De financiële impact van cyberaanvallen op Belgische ziekenhuizen is moeilijk te berekenen. Dat zei minister Frank Vandenbroucke in de Kamer. Hij vermeldde wel enkele ziekenhuizen die een gedocumenteerde kostenraming maakten. De factuur kan oplopen van 300.000 euro tot 5 miljoen euro.
Kamerleden Frieda Gijbels (N-VA) en Ludivine Dedonder (PS) interpelleerden minister Vandenbroucke over de cyberveiligheid in de zorgsector. Aanleiding is de omzetting van de Europese richtlijn voor Network and Information Security (NIS2) in Belgische wetgeving. De richtlijn is sinds oktober 2024 in ons land van kracht.
De NIS2-richtlijn bepaalt dat ziekenhuizen een informatiebeveiligingsbeleid moeten voeren dat “ziekenhuisbreed” is en dus de hele werking omvat. Dat houdt in dat de ziekenhuizen rollen en functies moeten toekennen, zoals de rol van chief information security officer. Daarnaast moeten ze de kwetsbaarheden van het ziekenhuis op het gebied van cyberbeveiliging in kaart brengen. Ook de controle van alle vormen van toegang is een voorwaarde, evenals een beleid voor het beheer van wachtwoorden.
“Vallen de ziekenhuizen onder leveranciers van essentiële diensten waardoor ze een meldingsplicht hebben en aan strengere cyberveiligheidsvoorwaarden moeten voldoen,” wilde Frieda Gijbels weten. Uit het antwoord van Vandenbroucke blijkt dat de NIS2-richtlijn van toepassing is op alle ziekenhuizen die voldoen aan de criteria van een middelgrote onderneming of die criteria overstijgen.
Sancties al laatste middel
“Ziekenhuizen die de plafonds van middelgrote ondernemingen overstijgen, zullen als een essentiële entiteit worden erkend,” aldus Vandenbroucke. Zij hebben meldingsplicht bij incidenten en bedreigingen en zullen op regelmatige basis worden gecontroleerd op de naleving van de wetgeving. De richtlijn voorziet naast toezicht ook sancties, die volgens de minister als “een laatste middel” beschouwd dienen te worden.
Op de vraag van Ludivine Dedonder wat de financiële impact is van de cyberaanvallen die de Belgische ziekenhuizen in de voorbije vijf jaar hebben getroffen, moest Vandenbroucke het antwoord schuldig blijven. “Dat is moeilijk te becijferen, ook al omdat de ziekenhuizen in die periode ook een majeure gezondheidscrisis moesten aanpakken. Sommige ziekenhuizen hebben nog geen precieze schatting gemaakt van wat cyberaanvallen hen hebben gekost.”
Maar andere ziekenhuizen maakten wel een gedocumenteerde berekening. Zo schat het Heilig Hartziekenhuis van Mol de kostprijs van een cyberaanval in februari 2021 op 700.000 tot 1 miljoen euro. De kliniek Saint-Luc Bouge signaleerde een verlies van 1 miljoen euro ten gevolge van een cyberaanval in oktober 2021. Voor de kliniek André Renard in Herstal, die in januari 2022 met een hacking te maken kreeg, bleef de impact beperkt tot 300.000 euro.
Vandenbroucke vermeldde nog andere ziekenhuizen die geen schatting hebben overgemaakt van de kosten ten gevolge van een incident met cybercriminaliteit. Het gaat onder meer over het CHC MontLégia, Vivalia, het CHU Saint-Pierre en het AZ Herentals. Het Centre Hospitalier Régional Sambre et Meuse (CHRSM) ten slotte moest een budget van 3 tot 5 miljoen euro vrijmaken om het ziekenhuis na een cyberaanval in mei 2022 herop te starten.
Meer middelen nodig
Voor Dieter Goemaere, directeur ziekenhuizen van Gibbis, is het belangrijk dat minister Vandenbroucke erkent dat het om een essentieel vraagstuk gaat, zeker in de huidige geopolitieke context. “De ziekenhuizen,” zo vervolgt hij, “doen belangrijke inspanningen om hun weerbaarheid tegen cyberaanvallen te verbeteren. Prioritaire acties zijn incident response teams, bewustwording, kennisdeling, penetratietesten en risicoanalyses.”
Maar om de Belgische ziekenhuizen beter te wapen tegen hackers zijn er volgens Goemaere meer middelen nodig. “De overheid investeert momenteel 15 miljoen euro, terwijl er structureel 138 miljoen euro nodig is.”
> Meer info: https://www.dekamer.be/doc/CCRI/pdf/56/ic112.pdf (vanaf p.29)
