WAT KUNT U NU AL DOEN:
Voor uitgebreide notitie Stand van zaken CBW: zie bijlage 20251208 Communicatie over CBW
Voor samenvatting tooling: zie bijlage overzicht tooling informatieveiligheid december 2025
Voor meer achtergrondinformatie vanuit VWS: zie bijlage Samenvatting Kamerbrief 4 december 2025 en de kamerbrief zelf: Kamerbrief 4-12-2025 informatieveiligheid_in_de_zorg
Nog even de belangrijkste samenvatting bij elkaar voor de CBW:
De CBW kent drie belangrijke pijlers:
- Zorgplicht: Organisaties moeten hun netwerk- en informatiesystemen beveiligen, onder andere door risicoanalyses en passende maatregelen. Voldoen aan NEN 7510:2024 is verplicht voor alle informatiesystemen binnen zorgorganisaties. Bestuurders moeten getraind worden in risicogedreven werken. De eisen voor training zijn versoepeld: het mag intern en zonder verplichte herhaling om de twee jaar.
- Meldplicht: Significante cyberincidenten moeten binnen 24 uur gemeld worden bij het CSIRT en de toezichthouder. De drempelwaarden voor meldingen zijn onder andere uitval van kritieke processen (>4 uur), compromittering van netwerksystemen, ernstige aantasting van vertrouwelijkheid van gevoelige informatie, en incidenten met ernstig letsel of overlijden
- Toezicht en handhaving: De IGJ is aangewezen als toezichthouder en werkt samen met andere autoriteiten en CSIRTs. Er zijn diverse lopende acties, zoals afstemming met brancheadviseurs, kennisdeling via netwerken en communities, en het ontwikkelen van gezamenlijke trainingsopzetten voor bestuurders. Extra werkzaamheden voor zorgorganisaties bestaan uit assessments, het formaliseren van beleid, het controleren van leveranciers, en het inrichten van een efficiënte meldstructuur.
Onderzoek naar financiële gevolgen: De eenmalige kosten om aan de CBW te voldoen worden gemiddeld geschat op €49.654 per organisatie, vooral door interne tijdbesteding. Structurele kosten worden geschat op €69.696 per jaar, met name door strengere eisen aan de toeleveringsketen. De verwachting is dat de meeste organisaties hun ISMS slechts op details hoeven aan te passen (indien dit naar behoren (voldoen aan NEN 7510) is ingeregeld).