Key takeaways

• De Europese Unie voert een actieplan uit om de cyberbeveiliging in de gezondheidszorg te verbeteren te midden van een toename van cyberaanvallen.
• Verbeterde mechanismen voor het delen van informatie, meer financiering en richtlijnen voor het toepassen van bestaande cyberbeveiligingsrichtlijnen zijn belangrijke onderdelen van de strategie.
• Gecoördineerde informatiedeling is van het grootste belang gezien de escalerende aanvallen in heel Europa, waarbij experts pleiten voor onmiddellijke verspreiding van aanvalsindicatoren en compromisindicatoren naar ziekenhuizen in heel Europa.

Invoering en financiering

De Europese Unie is bezig met de implementatie van een “actieplan” om de cyberbeveiliging in de gezondheidszorg te versterken, te midden van een toename in cyberaanvallen gericht tegen ziekenhuizen en zorgverleners. Dit meldt Politico.

Het plan, dat woensdag door de Europese Commissie wordt onthuld, omvat meer geld voor het verbeteren van de beveiliging van de technische infrastructuur van ziekenhuizen, naast richtlijnen voor het toepassen van bestaande cyberbeveiligingsrichtlijnen zoals NIS2 van de EU. Verbeterde mechanismen voor het delen van informatie zijn ook belangrijke onderdelen van de strategie.

Uitdagingen en risico’s

Organisaties in de gezondheidszorg in heel Europa hebben te maken met een niet aflatende golf van cyberaanvallen, vooral sinds het begin van de COVID-19 pandemie in 2020. Deze aanvallen, met name in Ierland, Frankrijk, het Verenigd Koninkrijk en Finland, hebben op grote schaal voor onrust en ontwrichting gezorgd.

Een geruchtmakend geval in Duitsland in 2020, waarbij een vrouw stierf tijdens een ziekenhuisoverplaatsing tijdens een aanval, leidde zelfs tot een moordonderzoek, hoewel de aanklacht later werd ingetrokken.

Internationale zorgen

Dit plan komt overeen met de prioriteiten van EU-Commissievoorzitter Ursula von der Leyen, die ze in haar eerste 100 dagen in functie heeft beloofd. Oorspronkelijk zou het volgende week worden gepubliceerd, maar de publicatie is versneld vanwege vertragingen door de ziekte van von der Leyen, die de lancering van het nieuwe Competitiveness Compass van de EU beïnvloedde.

De ernst van ransomware-aanvallen op zorginstellingen wordt onderstreept door internationale instanties. Tijdens een briefing van de VN-Veiligheidsraad in november karakteriseerde Stavros Lambrinidis, ambassadeur van de EU bij de Verenigde Naties, deze aanvallen als “een snel escalerende dreiging met verstrekkende gevolgen”. Hij benadrukte alarmerende statistieken: elke 11 seconden vindt er een ransomware-aanval plaats, een frequentie die naar verwachting zal escaleren tot een aanval elke 2 seconden in 2031.

Oorzaken van kwetsbaarheden

Deze aanvallen vormen een ernstig risico voor de veiligheid van patiënten, destabiliseren gezondheidszorgsystemen en tasten het vertrouwen van het publiek in essentiële diensten aan. Ze leggen ook een aanzienlijke financiële last op ziekenhuizen. Volgens het EU-agentschap voor cyberbeveiliging ENISA bedragen de mediane kosten van een groot beveiligingsincident in de gezondheidszorg €300.000.

Het kernprobleem ligt in de onderfinanciering binnen ziekenhuizen. Terwijl de beschikbare middelen in de eerste plaats naar patiëntenzorg gaan, krijgt de technische infrastructuur vaak onvoldoende aandacht. Hierdoor ontstaan kwetsbaarheden die door cybercriminelen worden uitgebuit. Uit een door de EU gefinancierd project bleek bijvoorbeeld dat verpleegkundigen dagelijks meer dan 80 keer inloggen op computersystemen, wat leidt tot onveilige praktijken zoals het delen van wachtwoorden of het opschrijven van wachtwoorden in de buurt van computers.

Opvattingen en aanbevelingen van experts

De uitdaging komt vooral voort uit budgettaire beperkingen en de inherente complexiteit van IT-landschappen in de gezondheidszorg. Wim Hafkamp, hoofd van het computer emergency response team van de Nederlandse gezondheidszorg en voorzitter van het European Health Information Sharing and Analysis Centre, benadrukt deze factoren. Richard Browne, hoofd van het Ierse cyberagentschap, sluit zich hierbij aan en benadrukt dat het welzijn van patiënten vaak voorrang heeft op technologie en beveiliging.

Maar, zoals Browne treffend opmerkt, “dat is geweldig, tot de dag dat het niet meer zo is.” Ierland kreeg in mei 2021 te maken met een verwoestende cyberaanval, die het land voor grote uitdagingen stelde. Browne suggereert dat de gezondheidszorg kan leren van bestaande Europese projecten gericht op het delen van financiële informatie en het simuleren van cyberdreigingen om de paraatheid te verbeteren.

Gecoördineerde informatiedeling

Gezien de escalerende aanvallen in heel Europa is gecoördineerde informatiedeling van het grootste belang. Hafkamp benadrukt dat een incident bij één zorgorganisatie dient als waarschuwing voor anderen. Hij pleit voor onmiddellijke verspreiding van aanvalsindicatoren en compromisindicatoren naar ziekenhuizen in heel Europa in het geval van een ransomware-aanval op een specifieke instelling, om zo een collectieve verdedigingsstrategie te stimuleren.

Wil je toegang tot alle artikelen, geniet tijdelijk van onze promo en abonneer je hier!