ChipSoft, maker van het elektronisch patiëntendossier HiX, heeft een IT-incident uitgewerkt in een heldere reconstructie. De CISO presenteerde deze week wie wat deed, op welk moment en met welk effect. Het incident trof ziekenhuizen in Nederland en leidde tot tijdelijke verstoringen. Doel is betere regie, snellere melding en minder risico’s voor zorginstellingen onder de AVG en NIS2-cybersecurityregels.
Tijdlijn geeft duidelijkheid
De reconstructie laat zien hoe de storing ontstond, werd opgeschaald en uiteindelijk werd opgelost. Elk uur is beschreven: van eerste alarmsignalen tot herstelacties en communicatie naar klanten. Dit helpt ziekenhuizen om hun eigen observaties te toetsen aan de leverancierstijdlijn. Het maakt ook zichtbaar waar beslissingen te laat of op te smal informatie zijn genomen.
ChipSoft benoemt technische en organisatorische factoren naast elkaar. Niet alleen software en netwerken tellen, ook wachttijden in besluitvorming. Dat onderscheid is belangrijk voor het verbeteren van procedures. Zo wordt voorkomen dat techniek de schuld krijgt terwijl de regie hapert.
De tijdlijn koppelt acties aan concrete impact op HiX, het EPD dat dossiers en orders verwerkt. EPD staat voor elektronisch patiëntendossier, de kernsoftware in de zorg. Door dit te koppelen aan beschikbaarheid van modules, zien ziekenhuizen waar hun kwetsbaarheden zitten. Dat geeft aanknopingspunten voor testen en noodplannen.
Regie en rollen schoten tekort
De reconstructie maakt duidelijk dat rollen niet altijd scherp waren. Wie beslist, wie informeert en wie levert bewijs van herstel? Zonder eenduidige regie ontstaat ruis. Dat kost tijd en vergroot risico’s voor patiëntenzorg.
Afstemming tussen leverancier, hostingpartner en ziekenhuis-IT bleek lastig op piekmomenten. Escalatiepaden en service level agreements (SLA’s, afspraken over prestaties) sloten niet altijd op elkaar aan. Een centrale “incident commander” ontbrak of had te weinig mandaat. Daardoor liep communicatie langs elkaar heen.
Ook het gebruik van zorgbrede kanalen kwam laat op gang. Z-CERT, het sectorale computercrisisteam voor de zorg, speelt hierin een rol als coördinator en adviseur. Een vroegtijdige aansluiting kan informatie delen versnellen. Dat verkleint de kans dat elk ziekenhuis zelf het wiel moet uitvinden.
Directe impact op de zorg
Wanneer een EPD haperde, moesten teams soms terugvallen op papieren lijsten. Dat is veilig als het geoefend is, maar traag als het ad hoc gebeurt. De reconstructie laat zien waar die fallback werkte en waar niet. Dat helpt instellingen om hun eigen noodscenario’s te verbeteren.
Labuitslagen, medicatieoverzichten en OK-planning zijn sterk verweven met HiX. Vertragingen daarin raken de hele keten. Kleine storingen kunnen zo groot effect hebben op wachtlijsten en doorstroom. Continuïteit is dus niet alleen een IT-vraag, maar een zorgproces-vraag.
Steeds meer ziekenhuizen gebruiken beslisregels en algoritmen bovenop EPD-data. Zo’n algoritme is een set stappen die helpt een keuze te maken. Als de onderlaag stokt, neemt de foutkans toe. Dat vraagt om extra controles op data-integriteit na herstel.
Meldplichten onder AVG en NIS2
De reconstructie benadrukt ook meldplichten. Bij een mogelijk datalek geldt de AVG. Dan moet de Autoriteit Persoonsgegevens binnen 72 uur worden geïnformeerd. Gaat het vooral om beschikbaarheid, dan is NIS2 leidend voor essentiële zorgaanbieders.
NIS2 verplicht essentiële en belangrijke organisaties om ernstige incidenten binnen 24 uur te melden bij het nationale CSIRT (in de zorg vaak via Z-CERT).
Logging, segmentatie en versleuteling beperken schade en verkorten analyses. Logging is het bijhouden van systeemberichten om te zien wat er gebeurde. Dit is nodig om te bepalen of persoonsgegevens zijn geraakt. Het helpt ook om te kiezen tussen AVG- of NIS2-melding of beide.
Op het moment van schrijven geldt NIS2 in de EU en wordt nationale uitwerking verder aangescherpt. Voor Nederlandse zorginstellingen betekent dit strengere eisen, meer audits en snellere rapportage. Bestuurders dragen aantoonbaar verantwoordelijkheid. Contracten met leveranciers moeten deze plichten dekken.
Wat ziekenhuizen nu doen
Instellingen evalueren hun eigen paraatheid aan de hand van de tijdlijn. Zij testen noodprocedures, inclusief papieren werkwijzen. Ook oefenen zij “tabletop”-scenario’s met bestuur, zorg en IT samen. Doel: sneller besluiten nemen en minder afhankelijk zijn van individuele experts.
Technisch zetten ziekenhuizen in op redundantie en segmentatie. Redundantie is dubbele uitvoering van kritieke onderdelen. Segmentatie is het opdelen van het netwerk om uitval te beperken. Verder komt er meer monitoring op cruciale HiX-koppelingen.
Inkoopafdelingen scherpen eisen richting leveranciers aan. Denk aan NEN 7510, ISO 27001 en transparante statuspagina’s met realtime informatie. Ook wordt gevraagd om een software bill of materials (SBOM), een lijst van gebruikte componenten. Dit versnelt kwetsbaarheidsbeheer en audits.
Leverancier werkt aan verbeterplan
ChipSoft kondigt aan te werken aan strakkere incidentprocessen. Denk aan één regisseur per incident, duidelijke escalaties en vaste updatevensters. Een openbaar statusportaal moet ruis in communicatie verminderen. Klanten krijgen daarnaast vooraf afgestemde sjablonen voor meldingen aan Z-CERT en bestuur.
Technisch ligt de focus op testen en gefaseerd uitrollen. Changes gaan eerst door extra acceptatie-omgevingen met meetbare exit-criteria. Ook komen er snellere “rollback”-paden bij mislukte updates. Dat moet downtime voor HiX-klanten verkorten.
Op het moment van schrijven werkt ChipSoft met ziekenhuizen aan gezamenlijke evaluaties. Externe toetsing op NEN 7510 en ISO 27001 wordt uitgebreid. Het verbeterplan krijgt deadlines en eigenaarschap per maatregel. Zo moet de sector sterker uit het incident komen.
