Cyberbeveiligingswet (NIS2) in 2026: wat betekent dit voor tandartspraktijken?

Nieuwe Cyberbeveiligingswet raakt ook de mondzorg

De Europese NIS2-richtlijn wordt in Nederland omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. De wet legt strengere eisen op aan organisaties in kritieke sectoren, waaronder de gezondheidszorg. Voor tandartspraktijken roept dit vragen op: valt mijn praktijk eronder en wat moet ik regelen?

Welke tandartspraktijken vallen onder de wet?

De Cyberbeveiligingswet richt zich op organisaties met minimaal vijftig medewerkers (FTE) of een jaaromzet en balanstotaal van meer dan tien miljoen euro. De meeste solopraktijken en kleine groepspraktijken vallen daarmee niet rechtstreeks onder de verplichtingen. Grotere mondzorgketens en groepspraktijken met meer dan vijftig medewerkers zullen zich wél moeten conformeren.

Maar ook kleinere praktijken krijgen indirect te maken met de wet. Wie patiënten doorverwijst naar een kaakchirurg of ziekenhuis, wordt in de ketenbenadering van NIS2 gezien als schakel in de zorgketen. Dat betekent dat de digitale communicatie en informatieoverdracht goed beveiligd moeten zijn, ongeacht de omvang van de praktijk.

Twee kernverplichtingen: zorgplicht en meldplicht

De Cyberbeveiligingswet kent twee hoofdverplichtingen:

• Zorgplicht: organisaties moeten passende en proportionele maatregelen nemen om cyberrisico's te beheersen. Denk aan firewalls, versleutelde verbindingen, regelmatige software-updates en back-ups van patiëntgegevens.
• Meldplicht: significante cyberincidenten moeten binnen 24 uur worden gemeld bij de toezichthouder. Binnen 72 uur volgt een nadere melding, en binnen een maand een eindrapport.

Deze verplichtingen komen bovenop de al bestaande meldplicht bij de Autoriteit Persoonsgegevens op grond van de AVG.

Lessen uit het verleden

Dat cyberveiligheid in de mondzorg geen overbodige luxe is, bleek in 2022 toen meer dan honderd tandartspraktijken van Colosseum Dental werden getroffen door een ransomware-aanval. De zorg lag dagenlang stil en het bedrijf betaalde uiteindelijk meer dan twee miljoen euro losgeld aan de criminelen. Het incident onderstreepte hoe kwetsbaar tandartspraktijken zijn wanneer digitale systemen worden gegijzeld.

Wat kunt u nu al doen?

Ook als uw praktijk niet direct onder de Cyberbeveiligingswet valt, is het verstandig om de digitale veiligheid op orde te brengen. De KNMT adviseert tandartsen om:

• Regelmatig software en besturingssystemen bij te werken
• Sterke, unieke wachtwoorden te gebruiken en tweefactorauthenticatie in te schakelen
• Automatische back-ups in te richten op een externe locatie
• Medewerkers te trainen in het herkennen van phishing-e-mails
• Verwerkersovereenkomsten met ICT-leveranciers te controleren

De Cyberbeveiligingswet mag dan primair gericht zijn op grotere organisaties, de boodschap is helder: digitale veiligheid is een verantwoordelijkheid voor elke zorgverlener. Neem nu alvast maatregelen, zodat uw praktijk en de gegevens van uw patiënten beschermd zijn. Bronnen:

• Digitale Overheid — Cyberbeveiligingswet (NIS2-richtlijn)
• Kiwa — Wat NIS2 betekent voor de zorg
• Techzine — Cyberaanval raakt meer dan 100 tandartspraktijken
• NOS — Tandartsbedrijf betaalt internetcriminelen losgeld na ransomware-aanval