NIS2 voor de eerstelijnszorg: wat verandert er voor uw praktijk?

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Voor ongeveer 4.000 Nederlandse zorgorganisaties betekent dit dat cybersecurity sindsdien wettelijk verplicht is, met concrete eisen aan techniek, organisatie en bestuur. De vraag die wij deze zomer wekelijks krijgen: geldt dit voor mijn praktijk, en wat moet ik dan concreet doen?

In deze blog leest u wat NIS2 betekent voor de eerstelijnszorg: voor huisartsenpraktijken, apotheken en GGZ-instellingen. Zonder juridisch jargon, met concrete acties per verplichting en een checklist die u vandaag nog kunt gebruiken.

Wat is NIS2 en de Cyberbeveiligingswet?

NIS2 is een Europese richtlijn (Network and Information Security 2). Ze moet de digitale weerbaarheid van kritieke sectoren in de EU vergroten. Nederland heeft de richtlijn omgezet in de Cyberbeveiligingswet (Cbw). De wet is in april 2026 door de Tweede Kamer aangenomen en op 15 augustus 2026 in werking getreden.

De EU heeft de gezondheidszorg aangemerkt als essentiële sector. Dat betekent strengere eisen aan cybersecurity, actief toezicht door onder andere de IGJ en persoonlijke aansprakelijkheid voor bestuurders. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni), die alleen voor grote zorginstellingen gold.

Dat is de grootste verandering. De Wbni gold voor een handjevol grote spelers. Onder NIS2 komen ongeveer 4.000 zorgorganisaties onder toezicht. Daar horen ook huisartsenpraktijken en apotheken bij, als ze boven bepaalde drempels uitkomen.

Valt uw praktijk in de eerstelijnszorg onder NIS2?

De Cyberbeveiligingswet is van toepassing op uw praktijk als u aan twee voorwaarden voldoet:

Voorwaarde 1: uw organisatie hoort bij een aangewezen sub-sector.

Voor de zorg zijn dat onder andere zorgaanbieders, farmaceuten, fabrikanten van medische hulpmiddelen en organisaties die onderzoek doen naar geneesmiddelen. Voor zorgaanbieders geldt de brede definitie uit de Wet kwaliteit, klachten en geschillen zorg (Wkkgz). Daar vallen zowel apothekers als huisartsen onder.

Voorwaarde 2: uw organisatie heeft 50 of meer werknemers, óf een jaaromzet en jaarbalans van meer dan 10 miljoen euro.

Voor een gemiddelde huisartsenpraktijk met 8 tot 12 medewerkers geldt de wet in principe niet direct. Voor een grote GGZ-instelling of een groep apotheken wel. Er is wel een belangrijke uitzondering. De minister die verantwoordelijk is voor een sector, kan ook kleinere organisaties aanwijzen als ze een kritieke functie hebben. Dat kan gelden voor een huisartsenpost of een apotheek die als enige in de regio zorg levert.

Daarnaast is er de indirecte kant. Werkt u voor een organisatie die wél onder NIS2 valt, zoals een ziekenhuis of een GGZ-instelling? Dan kan die organisatie dezelfde beveiligingseisen in uw contract opnemen. De wet noemt die ketenverantwoordelijkheid expliciet.

Twijfelt u of uw organisatie eronder valt?

Met onze korte online scan van twaalf vragen weet u binnen tien minuten waar u staat. De uitkomst is geen juridisch advies, maar wel een goede eerste indicatie voor het gesprek met uw bestuur. De scan is gratis en vrijblijvend.

De drie verplichtingen: zorgplicht, meldplicht, registratieplicht

De Cyberbeveiligingswet kent drie hoofdverplichtingen. Elk vraagt actie van uw organisatie, en de acties zijn onderling verweven.

Zorgplicht: passende maatregelen nemen op basis van risicoanalyse

De zorgplicht verplicht u om technische en organisatorische maatregelen te nemen die passen bij de risico's van uw organisatie. Wat “passend” is, staat niet precies vast. De wet spreekt van “passend en evenredig, in lijn met de stand van de techniek”. Voor de zorg geeft NEN 7510 het praktische kader.

Concreet betekent de zorgplicht dat uw praktijk het volgende op orde moet hebben:

Een risicoanalyse op papier. Geen eenmalig document, maar een register dat u minstens jaarlijks bijwerkt. Voor elke reële dreiging staat erin wat u eraan doet en wie ervoor tekent. Denk aan ransomware, phishing, een verloren laptop of uitval bij uw HIS-leverancier.

Beveiligingsmaatregelen die de risico’s afdekken. Denk aan multi-factor authenticatie (MFA), een sterk toegangsbeleid, encryptie waar nodig, back-ups die getest worden, en trainingen voor uw team.

Een incidentbehandelingsproces. Voordat er iets misgaat, moet duidelijk zijn wie welke rol heeft. Dat u een draaiboek heeft is één; dat u dat draaiboek een keer heeft doorlopen is twee. In de praktijk is dat verschil groot.

Ketenverantwoordelijkheid. U bent verantwoordelijk voor de beveiliging in uw eigen omgeving, én voor de risico's die via uw leveranciers binnenkomen. Ga daarom in gesprek met uw HIS- of AIS-leverancier en uw hostingpartij over hoe zij zelf aan NIS2 voldoen.

In gewoon Nederlands: de zorgplicht dwingt u om cybersecurity te behandelen zoals u kwaliteitszorg behandelt. Niet als project dat af is, maar als proces dat loopt.

Meldplicht: 24 uur voor een vroege waarschuwing

Bij een significant cyberincident geldt onder NIS2 een meldplicht in stappen. De termijnen zijn kort en komen bovenop de datalekregeling uit de AVG (72 uur bij een datalek). Is een incident zowel een datalek als een cyberincident? Dan meldt u twee keer: bij de Autoriteit Persoonsgegevens én bij de NIS2-toezichthouder.

Voor de zorg lopen NIS2-meldingen via het NCSC-portaal (mijn.ncsc.nl). Van daaruit gaan ze naar Z-CERT, het expertisecentrum voor cybersecurity in de zorg, en naar de IGJ. Z-CERT helpt bij de afhandeling. De IGJ controleert of uw organisatie aan de zorgplicht heeft voldaan.

De termijnen:

• Binnen 24 uur nadat u het incident ontdekt, geeft u een vroege waarschuwing. Daarin staat wat er is gebeurd, welke systemen geraakt zijn en of er kwade opzet in het spel is.
• Binnen 72 uur volgt een inhoudelijke melding met een eerste impact-inschatting.
• Binnen één maand levert u een eindrapport op met de volledige analyse en welke maatregelen zijn getroffen om herhaling te voorkomen.

Wat telt als een significant incident? De precieze drempels voor de zorg worden uitgewerkt in een ministeriële regeling. In grote lijnen: raakt het incident de continuïteit van de zorg flink, dan is het significant. Denk aan ransomware die uw HIS platlegt, een phishingaanval waarbij patiëntgegevens zijn gestolen of een lange uitval van uw communicatiesysteem.

In gewoon Nederlands: als er ’s avonds iets misgaat, moet u de volgende ochtend om 08:00 weten wie er belt met NCSC. Niet zoeken. Weten.

Registratieplicht: aanmelden bij de bevoegde autoriteit

Organisaties die onder de wet vallen, moeten zich registreren bij de bevoegde autoriteit. Voor de zorg loopt dat via het portaal van het NCSC (mijn.ncsc.nl). De registratie zelf is administratief en duurt ongeveer tien minuten als u de gegevens bij de hand heeft.

Wat u nodig heeft voor de registratie:

• Contactgegevens van uw organisatie en de aangewezen verantwoordelijke voor cybersecurity.
• Een overzicht van de essentiële en belangrijke diensten die u levert. Voor een huisartsenpraktijk zijn dat bijvoorbeeld het elektronisch patiëntendossier, het uitschrijven van recepten en de communicatie met de tweede lijn.
• Een lijst van internetdomeinen die aan uw organisatie zijn gekoppeld.
• Sectorclassificatie: bent u aangemerkt als essentiële entiteit (streng toezicht) of belangrijke entiteit (reactief toezicht)?

Weet u dat uw organisatie eronder valt? Regel de registratie dan zo snel mogelijk. Hoe dat werkt, leest u bij het NCSC.

Waarom bestuurders persoonlijk aansprakelijk zijn

Een van de grootste veranderingen in NIS2 is de aansprakelijkheid van bestuurders. Vroeger werd cybersecurity vaak overgelaten aan een ICT-partner of een compliance-officer. NIS2 legt de verantwoordelijkheid expliciet bij het bestuur. In een eenmanspraktijk is dat de huisarts zelf. In een GGZ-instelling is dat het bestuur, bij een apotheekketen de directie.

Concreet betekent dit:

• Bestuurders moeten de cybersecurity-maatregelen goedkeuren en toezicht houden op de implementatie. Dat staat gedocumenteerd, met datum en handtekening.
• Bestuurders moeten aantoonbaar kennis hebben van cybersecurity. Dat vraagt om periodieke bijscholing. De opleidingsplicht wordt in het Cyberbeveiligingsbesluit nader uitgewerkt.
• Bij ernstige tekortkomingen kunnen bestuurders persoonlijk worden aangesproken. De boetes zijn hoog. Voor belangrijke entiteiten gaan ze tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Voor essentiële entiteiten tot 10 miljoen euro of 2%.

Voor uw praktijk betekent dit: het besluit over cybersecurity kan niet meer alleen bij “de ICT” liggen. Het bestuur moet weten wat er is besloten, waarom, en hoe wordt gecontroleerd dat het ook gebeurt. Wij zien vaak dat praktijken de techniek op orde hebben, maar de bestuurlijke vastlegging niet. Juist daar vraagt de toezichthouder als eerste naar bij een audit of incident.

Wat is het verschil met NEN 7510?

Veel praktijken vragen ons: wij werken volgens NEN 7510, voldoen we dan niet vanzelf aan NIS2? Het antwoord is: gedeeltelijk. NEN 7510 is een goede basis en dekt een groot deel van de zorgplicht. Maar NIS2 vraagt op vier punten meer.

Eén: NEN 7510 vraagt dat u uw informatiebeveiliging beschrijft. NIS2 vraagt dat u kunt aantonen wat u doet, op elk moment, ook aan een externe toezichthouder.

Twee: NEN 7510 kent geen externe meldplicht. NIS2 kent die wel, met scherpe termijnen (24 uur voor een vroege waarschuwing).

Drie: NEN 7510 legt de verantwoordelijkheid bij de organisatie. NIS2 legt die expliciet ook bij de bestuurder als persoon.

Vier: NEN 7510 gaat over uw eigen organisatie. NIS2 breidt dat uit naar uw leveranciersketen. U bent verantwoordelijk voor risico’s die via uw HIS-leverancier, uw hosting-partner, of uw softwareprovider bij u binnenkomen.

NEN 7510 is dus een goed startpunt, geen eindstation. Bent u al overgestapt op de versie van 2024? Dan zit u dichter bij NIS2. Die versie is duidelijker over ketenverantwoordelijkheid en melden dan de versie van 2017.

De ChipSoft-aanval als leerpunt

In april 2026 werd zorg-ICT-leverancier ChipSoft getroffen door een ransomware-aanval. Meerdere ziekenhuizen namen preventief hun patiëntportalen offline. Ook een aantal huisartsenpraktijken werd geraakt. Persoonsgegevens en medische gegevens zijn ontvreemd.

Voor de meeste praktijken was ChipSoft geen directe leverancier, maar de aanval maakt drie dingen zichtbaar die onder NIS2 relevant worden:

1. Leveranciersincidenten worden úw incidenten. Als ChipSoft de aanval had beleefd na 15 augustus 2026, hadden alle getroffen zorgorganisaties zelf moeten melden bij de toezichthouder. Ook als zij zelf geen aandeel hadden in de oorzaak.
2. De communicatie van ChipSoft liet zien hoe belangrijk een eigen draaiboek is: informatie kwam druppelsgewijs binnen en patiëntportalen bleven dagen offline. Wachten op uw leverancier terwijl uw patiënten bellen, is geen optie.
3. De grens tussen ziekenhuis-ICT en ICT in de eerstelijnszorg is dunner dan veel praktijken denken. Levert uw HIS-leverancier ook koppelingen aan ziekenhuizen? Dan loopt u indirect ook de risico's van die sector.

Checklist: wat u nu regelt

Wilt u nu concreet aan de slag? Dit is onze aanbevolen route voor de komende weken.

Week 1: nulmeting

Voer een NIS2-scan uit. Bepaal of u onder de wet valt en zo ja: als essentiële of belangrijke entiteit. Documenteer de uitkomst.

Week 2: risicoanalyse

Breng de vijf grootste digitale risico's van uw praktijk in kaart. Noteer per risico de kans, de impact, wat u er nu al aan doet en wat er extra kan. Dit hoeft geen dik rapport te zijn. Twee A4'tjes is genoeg.

Week 3: bestuursbesluit

Leg voor aan uw bestuur: dit zijn onze risico’s, dit zijn de maatregelen, dit is wat we goedkeuren. Zorg dat het besluit gedocumenteerd is met datum en handtekening. Wijs één persoon aan als verantwoordelijke voor cybersecurity.

Week 4: leveranciers

Vraag uw belangrijkste leveranciers (HIS/AIS, hosting, telefonie, mail-provider) om een korte verklaring over hun NIS2-status. Een halfjaar geleden was dit een ongebruikelijk verzoek. Nu is het routine.

Week 5: draaiboek

Zorg dat u een incident-draaiboek heeft dat u kunt vinden zonder dat u erover na moet denken. Op papier. Fysiek in de praktijk. Met telefoonnummers erop. Test het één keer.

Week 6: registratie voorbereiden

Verzamel de gegevens die u nodig heeft voor de registratie bij het NCSC-portaal: contactgegevens, een overzicht van uw diensten en uw internetdomeinen. Valt u onder de wet, registreer dan zo snel mogelijk.

Week 7 en 8: training

Plan een korte cybersecurity-training voor uw team. Niet één van drie uur waarin niemand oplet. Wel twee sessies van 45 minuten met een concrete oefening. Zo maakt u ook de opleidingsplicht van de bestuurder tegelijk waar.

Veelgestelde vragen

Sinds wanneer geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Valt uw organisatie onder de wet, dan gelden de zorgplicht, meldplicht en registratieplicht dus nu al.

Wat is het verschil tussen een essentiële en een belangrijke entiteit?

Essentiële entiteiten vallen onder proactief toezicht: de toezichthouder controleert actief of u aan de eisen voldoet. Belangrijke entiteiten vallen onder reactief toezicht: de toezichthouder komt pas in beeld bij een incident of klacht. De plichten zelf (zorgplicht, meldplicht, registratieplicht) zijn voor beide vrijwel gelijk.

Onze huisartsenpraktijk heeft 6 medewerkers. Valt die onder de wet?

In principe niet direct. De drempel voor de zorg is 50 medewerkers, of een omzet en balans boven 10 miljoen euro. Toch kunnen er eisen voor u gelden. Bijvoorbeeld als uw praktijk kritieke zorg levert in een regio zonder alternatief. Of als u via een ketenzorgcontract werkt voor organisaties die wél onder NIS2 vallen.

Wij hebben een IT-partner. Waarom moet ik dan zelf iets doen?

Uw IT-partner is verantwoordelijk voor de systemen die hij beheert. U blijft eindverantwoordelijk voor uw praktijk, en onder NIS2 kunt u die verantwoordelijkheid niet overdragen. Wel kunt u in het contract vastleggen dat uw partner meegaat met de NIS2-eisen. En dat hij regelmatig laat zien hoe het met zijn eigen maatregelen staat.

Hoe hoog zijn de boetes precies?

Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, als dat hoger is. Voor essentiële entiteiten is dat 10 miljoen euro of 2%. De toezichthouder zal waarschijnlijk pragmatisch beginnen. Bij een eerste tekortkoming ligt een verbeterplan meer voor de hand dan direct een boete.

Is er een NIS2-certificering?

Nee. Anders dan voor ISO 27001 of NEN 7510 bestaat er in Nederland geen officieel NIS2-certificaat. U kunt wel via bestaande normen aantonen dat u aan de zorgplicht voldoet. NEN 7510 en ISO 27001 worden daarvoor het meest gebruikt.

Hulp bij de eerste stap

Westers helpt huisartsenpraktijken, apotheken en GGZ-instellingen in de eerstelijnszorg bij hun NIS2-traject. Zo pakken we het aan:

• Een gratis online scan van twaalf vragen waarmee u binnen tien minuten weet waar u staat.
• Voor klanten van wie wij de ICT beheren: een kant-en-klaar sjabloon voor risicoanalyse, bestuursbesluit en incident-draaiboek, passend bij de omvang van uw praktijk.
• Voor bestuurders: een korte training van 45 minuten. Zonder jargon leert u wat u minimaal moet weten voor uw rol onder NIS2.

Twijfelt u waar u moet beginnen? Bel ons op 035 623 7999 of stuur een bericht via het contactformulier. We bellen doorgaans binnen een uur terug.

Deze blog is bijgewerkt na de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026. Bij belangrijke ontwikkelingen werken wij het artikel bij.