De Amerikaanse Senaat heeft een bipartisan wetsvoorstel aangenomen dat de digitale weerbaarheid van de zorg moet vergroten: de Health Care Cybersecurity and Resilience Act. Nu ligt de bal bij het Huis van Afgevaardigden. De kern van het voorstel is gericht op het verminderen van het aantal succesvolle aanvallen op zorgorganisaties, juist nu cybercriminelen steeds vaker inzetten op ransomware en datadiefstal.
De boodschap is duidelijk: aanvallen treffen niet alleen patiëntdata, maar kunnen ook de continuïteit van zorgprocessen verstoren. In dit artikel lees je wat de wet beoogt, welke onderdelen centraal staan en waar volgens experts de grootste uitdaging ligt.
Waarom healthcare zo’n aantrekkelijk doelwit is
Healthcare behoort tot de prioriteiten van cybercriminelen. In de bron wordt aangegeven dat er vorig jaar meer dan 730 datalekken betrokken waren bij 270 miljoen Amerikanen. Daarnaast worden meerdere grote incidenten aangehaald, waaronder:
- de Anthem-inbreuk uit 2015, met betrokkenheid van 78,8 miljoen klanten en een gemelde kost van meer dan 115 miljoen dollar;
- de ransomware-aanval op Ascension in 2024, die klinische operaties en elektronische patiëntdossiers raakte in 11 staten;
- de Change Healthcare-aanval in 2024, waarbij naar verwachting data van meer dan 190 miljoen mensen zijn blootgesteld en zorgprocessen vertraging opliepen, inclusief elektronisch voorschrijven.
Wat deze voorbeelden gemeen hebben, is de combinatie van datadamage en operationele stilstand. Daar komt bij dat zorgorganisaties vaak te maken hebben met een lastige realiteit: enerzijds adviseren overheden om losgeld niet te betalen, anderzijds staat de plicht om patiënten zo snel mogelijk te helpen onder druk.
Wat betekent de wet voor healthcare cyber resilience?
De voorgestelde aanpak draait om healthcare cyber resilience: de capaciteit om cyberaanvallen te voorkomen, de impact te beperken en snel te herstellen. De Senaat stuurde het voorstel door na unanieme instemming, waardoor het nu de volgende stap richting besluitvorming in het Huis ingaat.
Volgens de toelichting is het doel om de sector te helpen het aantal toekomstige succesvolle criminele aanvallen te verminderen. De wet beoogt daarbij niet alleen “harder beveiligen”, maar ook structureel meer slagkracht te organiseren bij preventie, respons en afstemming tussen instanties.
Subsidies, training en ondersteuning voor kwetsbare organisaties
Een van de concrete elementen uit de wet zijn grants (subsidies) waarmee zorginstellingen hun beveiliging kunnen verbeteren. Daarbij hoort ook training in best practices, zodat medewerkers en organisaties weten welke maatregelen prioriteit verdienen.
Daarnaast besteedt de wet extra aandacht aan rurale zorgverleners en gezondheidklinieken. Dat is relevant, omdat kleinere organisaties vaak minder budget en minder gespecialiseerde capaciteit hebben om security goed in te richten.
Het voorstel koppelt dus financiële ondersteuning aan kennisoverdracht. Daarmee probeert het de kloof te verkleinen tussen grote systemen met uitgebreide securityteams en organisaties die achterblijven door schaarste aan middelen.
Betere samenwerking tussen HHS en CISA
Een ander belangrijk onderdeel is de verbetering van de coördinatie tussen het Amerikaanse Department of Health and Human Services (HHS) en CISA. In de bron wordt specifiek genoemd dat de respons op cyberaanvallen beter moet worden afgestemd.
Daarbovenop wordt gewerkt aan een meer directe route voor dreigingsinformatie: CISA zou via een pipeline tailored, actionable threat intelligence kunnen aanleveren. Met andere woorden: informatie die is vertaald naar wat zorginstellingen daadwerkelijk kunnen gebruiken in hun beveiligings- en responscapaciteit.
Incidentresponsplan en afstemming op bestaande kaders
De wet vraagt de secretaris van HHS om een cybersecurity incident response plan te ontwikkelen en te implementeren. Dat plan moet helpen om incidenten consistent en sneller te adresseren wanneer het misgaat.
Ook probeert het voorstel centrale richtlijnen aan te reiken die aansluiten bij de verschillende bestaande frameworks die in de praktijk al bestaan. Zo moeten zorgorganisaties niet opnieuw het wiel uitvinden, maar beter worden geleid in het toepassen van bewezen werkwijzen.
Een verwant punt in de bron gaat over de rolverdeling: er wordt beschreven dat inter-agency coördinatie wordt geformaliseerd, waarbij ASPR (Administration for Strategic Preparedness and Response) wordt gepositioneerd als de duidelijke Sector Risk Management Agency. Tegelijk wil men zorgen dat CISA zijn informatie gericht kan uitrollen.
Waarom er discussie is: handhaving en kosten
De bron stelt dat de zorgsector de wet over het algemeen verwelkomt. Tegelijk zijn er kritische geluiden, vooral over de uitvoerbaarheid.
De grootste zorg die wordt genoemd, is dat succes afhankelijk is van hoe consequent de wet wordt nageleefd en gehandhaafd. Als federale financiering of technische ondersteuning niet op tijd en voldoende beschikbaar is, kan compliance een zware financiële belasting worden.
Met andere woorden: de wet introduceert een nieuwe compliance-verplichting. De bron benadrukt dat die pas werkt als zowel de overheid als de zorgsector de uitvoering serieus en haalbaar organiseren.
Ransomware en dubbele afpersing als bepalende factor
In de bron wordt ransomware omschreven als een dominante “wapenkeuze” tegen healthcare, vaak gecombineerd met double-extortion (dubbele afpersing). Daarbij komt steeds vaker ook pure data-extortion voor: de dreiging om data openbaar te maken of te verhandelen zonder dat het altijd nodig is om systemen volledig te gijzelen.
Juist deze combinatie maakt healthcare cyber resilience complex. Het gaat immers om meer dan alleen systeemherstel; er zijn ook aspecten zoals dataveiligheid, juridische en operationele gevolgen, en het vermogen om zorgprocessen zo snel mogelijk weer op gang te brengen.
Als een organisatie vooral reageert op incidenten, maar onvoldoende preventief is voorbereid, ontstaat er ruimte voor aanvallers om snel toe te slaan. De wet wil daarom preventie en respons sterker structureren.
Wat je als zorgorganisatie nu kunt doen
Ook al is de wet nog niet definitief, de richting is duidelijk: het gaat om aantoonbare weerbaarheid. Wil je voorbereid zijn op strengere eisen, dan zijn dit praktische aandachtspunten:
- Maak incidentrespons concreet: wie doet wat bij datalek, ransomware en operationele verstoring?
- Investeer in training: zorgmedewerkers en IT moeten weten welke signalen belangrijk zijn en hoe escalatie werkt.
- Herzie samenwerking en communicatie: welke externe partijen (zoals overheidsinstanties) kunnen helpen en hoe komt informatie bij de juiste teams?
- Focus op rurale of kleinere locaties: zorg dat ook vestigingen met beperkte middelen niet buiten beeld raken.
Als je intern al werkt met securityfundamentals, kan deze wet vooral dienen als versterking van je roadmap: waar sta je al, waar ontbreekt bewijslast, en hoe borg je continuïteit bij incidenten?
Meer lezen: cyberbest practices en healthcare-context
Wil je bredere context over beveiligingskeuzes binnen sectoren en fundamentals, dan zijn deze artikelen relevant:
