EU onthult cyberbeveiligingsstrategie voor gezondheidszorgsector

De Europese Commissie heeft een actieplan gelanceerd om de cyberveiligheid van ziekenhuizen in de EU te verbeteren, waarbij de toenemende cyberdreigingen worden aangepakt door middel van initiatieven op het gebied van preventie, detectie en respons. De urgentie van dit initiatief wordt onderstreept door alarmerende statistieken uit 2023, waarin de lidstaten 309 significante cyberbeveiligingsincidenten in de gezondheidszorg meldden - meer dan in welke andere kritieke sector dan ook. Het actieplan, dat op 15 januari is onthuld, maakt deel uit van de belangrijkste prioriteiten van president Von der Leyen die in haar politieke richtsnoeren zijn aangekondigd en die betrekking hebben op de toenemende kwetsbaarheid van gezondheidszorgstelsels in een steeds digitaler landschap.

Beschermingskader

Het actieplan gaat verder dan alleen ziekenhuizen en omvat het hele ecosysteem van de gezondheidszorg, waaronder klinieken, verzorgingshuizen en de bredere toeleveringsketen van de gezondheidszorg, die van invloed is op de farmaceutische industrie, biotechnologie en medische hulpmiddelen. Een belangrijke nieuwe eis in het plan verplicht organisaties in de gezondheidszorg om betalingen voor ransomware te melden bij de autoriteiten, waarmee wordt afgeweken van de bestaande vereisten van de NIS2-richtlijn, met implementatie gepland voor het vierde kwartaal van 2025.

De kern van dit initiatief is de oprichting van een pan-Europees ondersteuningscentrum voor cyberbeveiliging door ENISA, het EU-agentschap voor cyberbeveiliging. Dit centrum zal begeleiding, hulpmiddelen, diensten en training op maat bieden aan zorgverleners. Daarnaast omvat het plan de ontwikkeling van aanbestedingsrichtlijnen om te helpen bij het beheren van cyberbeveiliging in cloudgebaseerde patiëntgegevenssystemen en de vorming van een Europees netwerk van CISO's voor de gezondheidszorg.

Het actieplan zal de komende twee jaar geleidelijk worden uitgevoerd, waarbij belangrijke ontwikkelingen zoals een EU-brede vroegtijdige waarschuwingsdienst tegen 2026 worden verwacht. De Europese Commissie is van plan om nauw samen te werken met de lidstaten om de voorstellen te verfijnen, wat moet leiden tot aanbevelingen in het vierde kwartaal van 2025. Deze gezamenlijke aanpak omvat de oprichting van een adviesraad voor cyberbeveiliging op het gebied van gezondheid om de implementatie van het ondersteuningscentrum te begeleiden.