Europa scherpt cyberbeveiliging aan: hoe weerbaar is de Belgische zorg?

De noodzaak om onze digitale infrastructuur grondig te beveiligen is de afgelopen jaren sterk toegenomen. Buitenlandse actoren, cybercriminelen en andere indringers vallen steeds vaker de computersystemen van essentiële sectoren aan, waaronder de gezondheidszorg. Om die reden introduceerde de Europese Unie in 2023 haar nieuwe cyberveiligheidsrichtlijn, die binnen twee jaar volledig moet zijn geïmplementeerd door alle essentiële instellingen in ons land. Hoe gaat België dit doen?

Cybercriminaliteit heeft de afgelopen jaren een stormachtige ontwikkeling doorgemaakt. Waar het voor het grote publiek tot pakweg zo'n tiental jaar geleden voornamelijk nog om kleinschalige criminaliteit leek te gaan, gaat het tegenwoordig om geprofessionaliseerde criminele organisaties en vijandige staatsactoren. En dat zelfs onze gezondheidszorg niet buiten schot blijft, is de afgelopen jaren een aantal keer pijnlijk duidelijk geworden. Zo werd in januari dit jaar AZ Monica slachtoffer van een cyberaanval, waarna noodgedwongen duizenden consultaties en niet-dringende operaties werden uitgesteld.

Een ander spraakmakend incident vond plaats in mei 2022. Toen drong de Russische hackersgroep Lockbit de computersystemen van de Belgische Zorggroep Vivalia binnen, waarna grote hoeveelheden patiënten- en personeelsgegevens werden buitgemaakt.

Het zijn slechts enkele voorbeelden in een lange reeks van incidenten. Volgens cyberexperts zijn de digitale beveiligingssystemen van zorginstellingen in Europa dagelijks het doelwit van vijandige actoren, zo bevestigt ook het World Economic Forum. In haar jaarlijkse risicoanalyse bestempelt de organisatie cyberdreigingen als een van de grootste gevaren voor onze maatschappij en roept ze op tot een verdere bewustwording van de risico’s die gepaard gaan bij de digitalisering van onze samenleving.

Destabiliseren van gezondheidssysteem

“Cybersecurity is momenteel zeer relevant”, beaamt Wim Bijnens, CEO van Shield vzw. “We hebben sinds de covidperiode zowel ons persoonlijke als professionele leven steeds verder naar de digitale wereld verschoven. Sindsdien hebben er in toenemende mate veiligheidsincidenten plaatsgevonden, ook bij Belgische ziekenhuizen en zorginstellingen.” Met Shield vzw richt Bijnens zich op het versterken van de cyberveiligheid van de Belgische zorg- en onderwijssector. Momenteel werkt de vzw samen met bijna de helft van alle Belgische ziekenhuizen aan de implementering van de nieuwe Europese wetgeving.

Bijnens vult aan dat de belangrijkste drijfveren van deze vijandige actoren economisch of ideologisch zijn gedreven. “Ransomware of phishing zijn in de meeste gevallen bedoeld om geld te verdienen, terwijl een DDoS-aanval de werking van het ziekenhuis plat moet leggen met als doel het destabiliseren van het gezondheidssysteem en het creëren van maatschappelijke impact. We zien dat verschillende groeperingen zich verschuilen in landen als Noord-Korea en Rusland; regimes die momenteel een vijandige houding hebben tegenover het Westen. Daar hebben ze vrij spel om zich op Europese instellingen te richten en onze maatschappij te destabiliseren met cyberaanvallen.”

Financiering autocratische regimes

Naast het veroorzaken van maatschappelijke onrust, hebben specifieke kwaadwillende actoren ook een financieel belang. Zo verspreidden de beruchte Noord-Koreaanse hackersgroepen Unit 180 en APT38 de afgelopen jaren op grote schaal gijzelsoftware, dat wereldwijd de computersystemen van verschillende gezondheidsorganisaties binnendrong. Eenmaal binnen werden de computersystemen door de hackers overgenomen en waren ze niet langer bruikbaar voor het personeel. Enkel na het betalen van losgeld werden de systemen weer “vrijgelaten”. Zelfs de NHS in het Verenigd Koninkrijk bleek slachtoffer te zijn van Noord-Koreaanse hackers.

Op deze manier wisten de hackers, in dienst van Pyongyang, de afgelopen jaren met verschillende aanvallen meer dan vijf miljard dollar in crypto op te halen. Het is een praktijk die volgens deskundigen ook nu nog een belangrijke financiële inkomstenbron is voor het kernwapenprogramma van het Kim-regime.

Europa zet aan tot actie

Door de vele veiligheidsincidenten van de afgelopen jaren staat cyberveiligheid inmiddels dus hoog op de politieke agenda, ook in Europa. Om de landen binnen de Europese Unie op digitaal vlak weerbaarder te maken, introduceerde de EU in 2023 de NIS2-richtlijn, die tot april 2027 stapsgewijs zal worden ingevoerd. De nieuwe richtlijn is een uitbreiding op de eerdere NIS1-richtlijn uit 2016.

Belangrijk aandachtspunt van deze nieuwe richtlijn is dat de eindverantwoordelijkheid over de digitale veiligheid bij de leidinggevenden van ziekenhuizen en zorginstellingen komt te liggen. Bij flagrante niet-conformiteit kunnen dus ook managementteams verantwoordelijk worden gesteld. Daarnaast komt er voor organisaties een meldplicht, waarbij binnen 24 uur een incident moet worden gemeld aan de bevoegde instanties.

“Cyberveiligheid werd lang als een IT-probleem gezien. Smijt er nieuwe, verfijnde software en hardware tegenaan en het komt allemaal wel in orde. Maar veiligheid op digitaal vlak draait om veel meer, zoals de juiste procedures bij calamiteiten en werkwijzen van personeel. De grootste zwakke plek van een organisatie is nog altijd de menselijke component, waarbij iemand onbewust op een phishingmail klikt. Op het menselijk en organisatorische aspect is vandaag de dag nog veel te winnen”, zegt Bijnens.

Een recentelijk voorbeeld hiervan kwam naar buiten via een onderzoek van onderzoeksbureau iVox. Dat deed in opdracht van de communicatiedienstverlener Doctolib Siilo onderzoek naar het delen van gevoelige patiënteninformatie door zorgprofessionals. De onderzoekers kwamen tot de ontdekking dat bijna de helft van hen patiënteninformatie deelt via onveilige kanalen, zoals WhatsApp, wat in strijd is met de nieuwe NIS2-wetgeving.

'De vernieuwde Europese wetgeving creëert urgentie en zet aan tot actie'
– Wim Bijnens

België

“De vernieuwde Europese wetgeving creëert urgentie en zet aan tot actie. We doen het in België op het gebied van cyberveiligheid niet slecht, maar veel instellingen kunnen dat extra duwtje in de rug wel gebruiken. We hebben in ons land een uitgebreide en verzorgde digitale infrastructuur, met actuele hardware en softwarematige bescherming, maar er is wel degelijk ruimte voor verbetering”, licht Bijnens toe. “Om organisaties te ondersteunen is daarom vanuit de overheid door het Centrum voor Cybersecurity België (CCB), het ‘CyberFundamentals Framework’ ontwikkeld. Met dat framewerk heeft ons land de Europese NIS2-richtlijn praktisch vertaald in concrete acties en verplichtingen. Aan de hand van dat framewerk kunnen instellingen gemakkelijker nagaan of ze aan de Europese wetgeving beantwoorden.”

Om na te gaan hoe organisaties in België binnen het framewerk presteren, is er door het CCB een nieuw puntensysteem opgesteld. Als essentiële organisatie moet een ziekenhuis of zorginstelling tegen april 2027 over de verschillende punten een gemiddelde van minstens 3,5 op 5 scoren. Om deze score te bepalen wordt er niet enkel gekeken naar welke beveiligingssystemen een instelling heeft draaien, maar ook naar welke back-upsystemen er draaien, de mate waarop bij personeel bewustzijn wordt gecreëerd en of er binnen de organisatie duidelijke afspraken zijn gemaakt over wie welke verantwoordelijkheden draagt.

“Momenteel behaalt geen enkele organisatie in België een score van 3,5 of hoger, waardoor we nog niet voldoen aan de Europese wetgeving”, legt Bijnens uit. “Dat is op zich begrijpelijk, want het vergt veel werk om dit op korte termijn in orde te brengen. Er is dus nog heel wat werk aan de winkel.”