Cybersecurity op de agenda: welke vragen moet u als bestuurder of manager stellen?

In deze Cybersecuritymaand besteedt ZKN extra aandacht aan cybersecurityonderwerpen. Deze week: Grip op cyberrisico’s. Welke vragen kunt u als bestuurder of manager stellen om te weten of de informatiebeveiliging binnen uw organisatie voldoende op orde is?

Cybersecurity wordt steeds meer een onderwerp van de hele organisatie. De Cyberbeveiligingswet onderstreept dat nog eens: cyberrisico's moeten worden beheerst en bestuurders hebben daarin een duidelijke verantwoordelijkheid. Ook NEN 7510 vraagt om structurele aandacht voor informatiebeveiliging, risicobeoordeling en het periodiek beoordelen van het managementsysteem.

Dat betekent niet dat iedere bestuurder of manager cybersecurityexpert moet worden. Wel is het belangrijk om de juiste vragen te kunnen stellen en te weten waarop gestuurd moet worden:

1. Weten we wat onze belangrijkste risico's zijn?

Een risicoanalyse is meer dan een verplicht document voor een audit. Het moet inzicht geven in de risico's die daadwerkelijk relevant zijn voor de organisatie. Denk bijvoorbeeld aan de afhankelijkheid van het EPD, toegang tot patiëntgegevens, kwetsbaarheden bij leveranciers of de gevolgen wanneer systemen langere tijd niet beschikbaar zijn.

Voor bestuurder en management is vooral de vertaling belangrijk: wat zijn momenteel onze belangrijkste cyberrisico's en welke impact kunnen deze hebben op de zorgverlening en vinden we de genomen maatregelen voldoende?

De risicobeoordeling is geen eenmalige activiteit, maar onderdeel van de continue PDCA-cyclus van het ISMS. De organisatie voert periodiek een risicobeoordeling uit en houdt daarbij rekening met veranderingen en actuele ontwikkelingen die van invloed kunnen zijn op het risicoprofiel. Op basis hiervan wordt beoordeeld of bestaande beheersmaatregelen nog passend en effectief zijn en of aanvullende maatregelen nodig zijn.

2. Is duidelijk wie waarvoor verantwoordelijk is?

Informatiebeveiliging raakt ICT, kwaliteit, privacy, HR, inkoop en de zorgprocessen zelf. Daardoor kan gemakkelijk onduidelijkheid ontstaan over eigenaarschap:

• Wie besluit bijvoorbeeld over het accepteren van een cyberrisico?
• Wie beoordeelt een leverancier?
• Wie coördineert de organisatie bij een ernstig incident?
• Wanneer wordt een onderwerp opgeschaald naar directie of bestuur?

Juist de verbinding tussen beleid, uitvoering en bestuur is hierbij belangrijk. Goede cyberveiligheid vraagt niet alleen om technische expertise, maar ook om duidelijke verantwoordelijkheden, goede samenwerking en heldere besluitvorming.

3. Weten we hoe onze belangrijkste leveranciers ervoor staan?

Zoals we in het vorige artikel al benoemden, stopt cyberveiligheid niet bij de voordeur van de kliniek. EPD-leveranciers, hostingpartijen, laboratoria en andere ICT- en ketenpartners kunnen essentieel zijn voor de continuïteit van de zorg.

Daarom is het belangrijk dat kritieke leveranciers in beeld zijn en dat informatiebeveiliging onderdeel is van het leveranciersmanagement. Welke afspraken zijn gemaakt over beveiliging en incidenten? Worden deze afspraken periodiek beoordeeld? En hoe afhankelijk is de kliniek van één leverancier?

4. Krijgen we de juiste informatie om te kunnen sturen?

Cybersecurity hoeft niet ieder managementoverleg te domineren. Het onderwerp zou wel periodiek terug moeten komen, en dan bij voorkeur op een manier waarop bestuur en management daadwerkelijk kunnen sturen.

Alleen melden hoeveel phishingmails zijn tegengehouden zegt bijvoorbeeld weinig over de weerbaarheid van de organisatie. Interessanter zijn vragen als:

• Welke belangrijke risico's zijn erbij gekomen of veranderd?
• Welke beveiligingsincidenten hebben zich voorgedaan en wat hebben we daarvan geleerd?
• Welke verbetermaatregelen staan nog open?
• Zijn er risico's rondom kritieke leveranciers?
• Zijn continuïteits- en incidentplannen getest?
• Welke risico's vragen om een besluit van management of bestuur?

Zo wordt cybersecurity geen technisch rapportageonderwerp, maar onderdeel van reguliere risicosturing.

5. Zijn we ook voorbereid als het misgaat?

Goede informatiebeveiliging betekent niet dat incidenten volledig kunnen worden voorkomen. Minstens zo belangrijk is de vraag hoe snel de organisatie kan reageren en herstellen. Daarbij komen de onderwerpen uit ons vorige artikel weer terug:

• Zijn verantwoordelijkheden duidelijk?
• Zijn incidentprocedures actueel?
• Weten medewerkers en management wie moet worden ingeschakeld?
• Kan de belangrijkste zorgverlening doorgaan als een systeem langere tijd niet beschikbaar is?

De Cyberbeveiligingswet vraagt onder meer aandacht voor het beheersen van cyberrisico's en voor incidentmanagement.

Van verantwoordelijkheid naar grip

Voor bestuurders en managers betekent cybersecurity dus niet dat zij alle technische details hoeven te kennen. Hun rol zit vooral in sturen, vragen stellen en bewaken dat risico's daadwerkelijk worden beheerst. Een goed moment om bovenstaande vijf vragen binnen uw eigen organisatie op tafel te leggen. Als deze vragen niet eenvoudig te beantwoorden zijn, geeft dat meteen aanknopingspunten voor het gesprek binnen de organisatie.

Cyberveiligheid vraagt niet van iedere bestuurder of manager technische kennis. Wel vraagt het om voldoende inzicht om de juiste vragen te stellen en verantwoordelijkheid te kunnen nemen.

ZKN Academie over informatieveilig gedrag in de zorg

ZKN sluit de Cybersecuritymaand af met een ZKN Academie verzorgd door het programma Informatieveilig gedrag in de Zorg. Op 27 oktober a.s. worden deelnemers tijdens een lunchsessie meegenomen in de kansen en risico’s rond AI en de stappen die zorgondernemers kunnen zetten om AI veilig in te zetten binnen de kliniek.

Meer informatie en direct aanmelden voor de ZKN Academie op 27 oktober.