Op 27 mei 2026 maakte de Inspectie Gezondheidszorg en Jeugd (IGJ) bekend dat de informatiebeveiliging bij de meerderheid van de grotere organisaties in de ggz niet op orde is. De inspectie sprak openlijk haar zorgen uit over de informatiebeveiliging in de ggz. Een duidelijk signaal: het toezicht op dit thema wordt strenger, en de lat ligt voor iedereen hoog. In alle eerlijkheid: bij abaud hadden we helaas niet anders verwacht. Informatiebeveiliging is een complex thema en de NEN7510 maakt het nou niet direct toepasbaar. Als grote instellingen het al niet voor elkaar krijgen, hoe moet dat dan bij kleinere organisaties?
Het gaat niet vanzelf goed
De boodschap van de inspectie is ongemakkelijk: organisaties die je zou rekenen tot de partijen met de meeste mensen, middelen en interne expertise, hebben hun informatiebeveiliging op te veel plekken niet op orde. Dat zijn geen kleine, startende praktijken, maar de grotere gevestigde instellingen. Als het daar al schuurt, wat zegt dat dan over de rest van de sector?
Juist kleine instellingen lopen risico
Voor kleinere zorgaanbieders is de opgave precies dezelfde, maar de uitgangspositie is dat niet. De wettelijke eisen en de verwachtingen van de toezichthouder gelden onverkort, ook als je geen eigen kwaliteitsfunctionaris of securityteam hebt en het systeembeheer hebt uitbesteed. In de praktijk staat de directeur of eigenaar er vaak zelf bij, naast de zorg.
Dat maakt het risico reëel. Het gaat om bijzondere persoonsgegevens van mensen in een kwetsbare situatie. Een datalek, een onbeveiligde uitwisseling of een incident dat niet wordt opgemerkt, raakt direct aan de veiligheid van je cliënten, aan het vertrouwen in je organisatie en aan je verantwoording richting de inspectie.
De lat ligt hoog en wordt hoger
Informatiebeveiliging in de zorg draait om een herkenbare norm: de NEN7510. Die norm is voor zorgaanbieders stevig verankerd en het toezicht erop wordt strenger, niet soepeler. Daar komt bij dat verzekeraars informatiebeveiliging steeds vaker als voorwaarde in hun contracten opnemen. Het net sluit zich dus van twee kanten: vanuit het toezicht en vanuit de inkoop.
Wat de NEN7510 van de GGZ vraagt
Het goede nieuws is dat de NEN7510 een principe van proportionaliteit kent. De maatregelen mogen, en moeten, passen bij de aard, omvang en risico’s van je organisatie. Een kleine instelling hoeft niet hetzelfde op te tuigen als een groot ziekenhuis. Het gaat erom dat je snapt wat de risico’s voor jouw organisaties zijn, dat keuzes onderbouwd zijn, dat maatregelen daadwerkelijk worden uitgevoerd en dat je kunt aantonen hoe je op informatiebeveiliging stuurt.
Waar het misgaat, is meestal niet de onwil, maar het uitstel. Het onderwerp ligt op de stapel en zelden bovenaan. Het signaal van de inspectie maakt duidelijk dat dat uitstel een prijs heeft.
Voor kleine instellingen is de boodschap daarmee helder: wacht niet tot de inspectie of een verzekeraar ernaar vraagt. Informatiebeveiliging hoort, hoe klein je organisatie ook is, op de agenda. Het hoeft niet in een keer perfect te zijn, maar je moet er wel mee aan de slag.
Contact?
Heb je vragen over wat dit signaal voor jouw instelling betekent, of wil je er eens over sparren? Neem gerust contact met ons op.
