Cyberaanvallen op de zorg vormen nu een bedreiging voor de patiëntenzorg

Jarenlang is aan beveiligingsleiders in de zorg verteld dat een cyberaanval een financieel incident is. Het nieuwste onderzoek laat zien dat het een klinisch incident is. In de 2026-studie van Proofpoint en het Ponemon Institute werd 97 procent van de ondervraagde zorgorganisaties het afgelopen jaar getroffen door minstens één cyberaanval, en 74 procent daarvan rapporteerde verstoring van de patiëntenzorg.

De gemiddelde hoeveelheid aanvallen steeg naar 51 per organisatie, tegenover 43 het jaar ervoor. De kosten van de duurste aanval stegen met bijna 8 procent, van $3,9 miljoen naar $4,2 miljoen. Dit zijn onderzoeksresultaten van 705 IT- en beveiligingsprofessionals bij Amerikaanse zorgorganisaties, dus ze geven een signaal, geen volledige telling. Toch vormen ze het duidelijkste signaal tot nu toe over hoe aanvallen leiden tot uitgestelde procedures, langere opnames en complicaties.

Hier volgt het hele betoog. Elke aanval eindigt voor een CISO of privacy officer op hetzelfde punt. Een toezichthouder, auditor of advocaat vraagt je te bewijzen wat er is gebeurd met beschermde gezondheidsinformatie en wie erbij kon. Detectie is belangrijk. Bewijs bepaalt de uitkomst. Kiteworks secure data exchange bestaat voor dat tweede probleem, en de onderstaande secties leggen uit waarom juist dat tweede probleem het minst goed geregeld is bij de meeste organisaties.

Belangrijkste inzichten

1. Aanvallen zijn nu een probleem voor patiëntenzorg.

Van de zorgorganisaties die het afgelopen jaar zijn getroffen, rapporteerde bijna driekwart verstoring van de patiëntenzorg. Daarmee verschuift het gesprek van budgetrisico naar klinisch risico.

2. Twee kosten-datasets kunnen allebei kloppen.

De ene meet de gemiddelde kosten van een datalek en de andere meet de kosten van de duurste aanval bij een organisatie. Een dalend gemiddelde kan dus naast een stijgend maximum bestaan.

3. Aanvallen op de toeleveringsketen doen het meeste pijn.

Negen op de tien getroffen organisaties rapporteerden verstoring van de zorg door aanvallen op de toeleveringsketen. Dat betekent dat gegevensuitwisseling met derden thuishoort op het klinisch risicoregister.

4. HIPAA wacht niet op de definitieve regel.

De voorgestelde herziening van de Security Rule is nog steeds een voorstel, maar unieke gebruikersidentificatie, auditcontroles en meldingsplicht bij datalekken gelden nu al.

5. Bewijs wint van status.

De helft van de ondervraagde organisaties in één onderzoek uit 2026 kan niet binnen één werkdag een volledig AI-data toegangslogboek produceren. Het bewijsprobleem is dus waar het volgende auditrisico vandaan komt.

Wat het onderzoek uit 2026 aantoonde

De belangrijkste cijfers verdienen meer aandacht dan ze tot nu toe kregen. Begin bij de impact op de zorg, want die veranderde het verhaal. Van de organisaties die verstoring rapporteerden over de vier onderzochte aanvalstypen (cloud- en accountcompromittering, ransomware, toeleveringsketen en business email compromise), noemde 53 procent meer complicaties bij procedures, 52 procent langere opnameduur en 52 procent vertragingen bij onderzoeken of procedures.

Dat is een ander soort verlies. Een kliniek kan een incident van $4,2 miljoen inplannen. Een vertraagd onderzoek kun je niet begroten.

De kostenstructuur wijst dezelfde kant op. Operationele verstoring was de grootste categorie met gemiddeld $1,39 miljoen, en stilstand en productiviteitsverlies gemiddeld $1,05 miljoen. Losgeldbetalingen nemen af als aandeel van de totale schade. Van de ransomware-slachtoffers betaalde 31 procent, tegenover 33 procent eerder, en de gemiddelde hoogste betaling daalde van $1,2 miljoen naar $1,1 miljoen. Organisaties betalen aanvallers minder, maar betalen meer voor downtime.

Gegevensverlies voegt een laag toe die makkelijk over het hoofd wordt gezien. Organisaties hadden gemiddeld 21 incidenten met gegevensverlies of exfiltratie van gevoelige zorginformatie in twee jaar tijd. Van de respondenten die aangaven dat deze incidenten de patiëntenzorg verstoorden (54 procent), rapporteerde 56 procent een hogere sterfte. Dit zijn zelfgerapporteerde indrukken van professionals, geen klinische uitkomstdata, dus neem ze met enige voorzichtigheid. Toch is het opvallend dat beveiligingsprofessionals ze überhaupt noteren.

Medewerker nalatigheid was de meest genoemde oorzaak van gegevensverlies. Gewone fouten zijn hier, net als in andere sectoren, vaker de oorzaak dan spectaculaire incidenten.

Twee datasets die schijnbaar tegenstrijdig zijn

Hier begint het tegendraadse perspectief. IBM’s 2026 Cost of a Data Breach Report vond dat de zorg nog steeds de duurste sector was voor datalekken met $6,64 miljoen, maar dat cijfer daalde met 10,5 procent ten opzichte van $7,42 miljoen in 2025, volgens Becker’s Hospital Review.

Een dalend gemiddelde naast een stijgend maximum lijkt tegenstrijdig. Het is een meetverschil. IBM, samen met het Ponemon Institute, onderzoekt organisaties die een datalek hadden en berekent het gemiddelde. Het Proofpoint- en Ponemon-onderzoek vraagt elke organisatie naar de kosten van hun duurste aanval, en telt frequentie, operationele verstoring en patiëntuitkomsten op. Het ene instrument beschrijft het midden van de verdeling. Het andere beschrijft de staart, en juist daar zitten de raden van bestuur van ziekenhuizen.

Laat je dus niet wijsmaken dat de kosten dalen en het probleem afneemt. Maar geloof ook niet het tegenovergestelde op basis van één onderzoek. De eerlijke samenvatting is smaller en nuttiger: de zorg is in beide datasets duur om te hacken, en de tweede dataset laat zien dat de schade verschuift van de boekhouding naar het bed.

Dat is belangrijk voor hoe je een bestuur informeert. Een bestuur dat hoort “de gemiddelde kosten van een datalek zijn gedaald” zal ontspannen. Een bestuur dat hoort “onze slechtste dag wordt erger en raakt nu de patiëntenzorg” zal om meer maatregelen vragen. Die tweede uitspraak is het meest accuraat voor een beveiligingsprogramma, want je risico wordt bepaald door je slechtste dag, niet door het sectorgemiddelde.

Toeleveringsketen-, ransomware- en e-mailaanvallen bereiken de afdeling

Niet elk type aanval raakt patiënten even hard. Aanvallen op de toeleveringsketen hadden de grootste impact in de Proofpoint- en Ponemon-data. Negentig procent van de getroffen organisaties rapporteerde verstoring van de zorg, tegenover 87 procent in 2025. Dat is de meest geconcentreerde bevinding in het onderzoek.

Dit sluit ook aan bij wat externe onderzoekers zien in de bredere markt. Black Kite’s 2026 Third-Party Breach Report telde 136 geverifieerde datalekken bij derden in 2025 en een mediane publieke bekendmakingstermijn van 73 dagen. Een leverancier kan tien weken gecompromitteerd zijn voordat je iets hoort, en in die periode gaan de dossiers van je patiënten via een partner waar je geen controle over hebt.

Ransomware-aanvallen laten de link met de zorg het duidelijkst zien. Van de zorgorganisaties die ransomware meemaakten, rapporteerde 72 procent verstoring van de patiëntenzorg, tegenover 67 procent het jaar ervoor, en 70 procent daarvan noemde langere opnameduur. Business email compromise heeft een ander klinisch profiel. Van de organisaties die verstoring rapporteerden, koppelde 68 procent dit aan uitgestelde procedures en onderzoeken die tot slechtere uitkomsten leidden.

Cloudadoptie maakt alle drie complexer. Uit het onderzoek blijkt dat 35 procent van de organisaties klinische applicaties naar de cloud heeft verplaatst, tegenover 30 procent eerder, en nog eens 44 procent is dat binnen twee jaar van plan. Cloud- en accountcompromittering kwam gemiddeld tot 20 keer per organisatie voor en verstoorde de zorg bij 65 procent van de respondenten.

Lees deze vier bevindingen samen en de structuur wordt duidelijk. Ransomware, e-mailcompromittering en cloud-accountovername zijn verschillende ingangen naar hetzelfde punt: gevoelige data die wordt uitgewisseld tussen jouw organisatie en een ander. Als je die uitwisseling niet centraal kunt zien en beheren over e-mail, bestandsoverdracht, transfer, formulieren en API’s, verdedig je vier perimeters met vier sets logs. Eén centraal beleid en één auditlog, zoals Kiteworks secure data exchange dat over deze kanalen biedt, verkleint het aantal plekken waar een bewijsverzoek kan misgaan.

Waarom bewijs belangrijker is dan detectie

Denk aan wat er gebeurt nadat een aanval een regionaal zorgsysteem treft. Het beveiligingsteam stopt de aanval. De zorgprocessen herstellen. Dan begint de andere klok te lopen. De meldingsplicht bij datalekken van HIPAA stelt een uiterste termijn van 60 dagen vanaf ontdekking voor individuele melding, en de vragen van een toezichthouder komen op hun eigen moment.

Dit deel van het werk staat nooit op het incidentdashboard. De vraag is niet of je de inbraak vond. De vraag is of je, op basis van betrouwbare gegevens, kunt reconstrueren welke patiëntgegevens toegankelijk waren, wie erbij kon en of de controles werkten zoals vastgelegd.

Het helpt om precies te zijn over wat nu wettelijk geldt. De HIPAA Security Rule vereist nu al unieke gebruikersidentificatie en auditcontroles, en behandelt encryptie van elektronische beschermde gezondheidsinformatie als een adresseerbare specificatie, volgens de tekst van 45 CFR 164.312. De grote herziening die deze vereisten zou aanscherpen, werd voorgesteld in januari 2025, maar is nog niet definitief. Volgens The HIPAA Journal staat een definitieve regel nu gepland voor juli 2027 op de OMB-agenda.

Sommige organisaties zien die vertraging als een adempauze. Dat is het niet. De huidige verplichtingen vragen nu al om bewijs van toegangscontrole en auditmogelijkheden, en handhaving gebeurt onder de huidige regel. The HIPAA Journal meldt dat OCR in 2026 een boete van $450.000 oplegde aan een bedrijf wegens het niet uitvoeren van een goede risicoanalyse. Dat laat zien dat de toezichthouder naar de basis kijkt.

Toezichthouders reguleren data, niet modellen of stemming. HIPAA maakt niet uit of een mens of een geautomatiseerd hulpmiddel het dossier heeft bekeken. Het gaat erom of de toegang geautoriseerd, gelogd en verdedigbaar was.

De AI-laag waar de meeste programma’s geen grip op hebben

Het Proofpoint- en Ponemon-onderzoek voegt een bevinding toe die in elke boardpresentatie van een zorg-CISO thuishoort. Van de respondenten heeft 45 procent AI geïntegreerd in cyberbeveiliging of zowel cyberbeveiliging als patiëntenzorg, en 60 procent mist controles voor gevoelige data die in AI-systemen wordt gebruikt. Slechts 32 procent heeft volledig zicht op het gebruik van niet-goedgekeurde AI-tools door medewerkers, en AI-agenten zonder waarborgen werden door 24 procent genoemd als hoofdoorzaak van gegevensverlies.

Kort gezegd: de sector adopteert AI sneller dan ze de data die AI aanraakt, reguleert. In de zorg is dat PHI, wat het risico verhoogt, maar de kloof is dezelfde als elders. Het onderzoek van Kiteworks wijst dezelfde kant op, zoals de volgende sectie laat zien.

Het governanceprincipe is simpel te formuleren, maar lastig uit te voeren. Een AI-tool of -agent die patiëntgegevens benadert, moet gekoppeld zijn aan de autoriteit van een mens, beperkt tot de minimaal noodzakelijke data en gelogd in een auditbestendig logboek. De HIPAA Minimum Necessary Rule geldt voor de data, niet voor wie of wat het opvraagt. Een gedeeld serviceaccount tussen een AI-tool en een datastore is lastig te combineren met unieke gebruikersidentificatie, want het logboek toont het account, niet de persoon wiens autoriteit werd gebruikt.

Hier passen Kiteworks Compliant AI en de Secure MCP Server bij. Zij passen dezelfde RBAC- en ABAC-beleidsregels en auditlogging toe als voor menselijke toegang, zodat een AI-integratie patiëntgegevens binnen dezelfde waarborgen leest en hetzelfde bewijs achterlaat. Kiteworks was geen onderdeel van het Proofpoint- en Ponemon-onderzoek, en niets hier claimt dat welk platform dan ook de gemeten aanvallen had kunnen voorkomen.

Wat het Kiteworks-onderzoek zegt over het leveren van bewijs

Het scherpste bewijs voor het bewijsprobleem komt uit een ander onderzoek. Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report ondervroeg 459 beveiligings-, compliance- en technologieprofessionals uit diverse sectoren in het tweede kwartaal van 2026. Het is zelfgerapporteerd, wereldwijd en niet specifiek voor de zorg. Daarin had 63 procent van de organisaties het afgelopen jaar minstens één compliance-gevolg, zoals een auditbevinding, een herstelplan, escalatie naar het bestuur, een contractuele boete of een onderzoek door de toezichthouder.

De cijfers over auditgereedheid zijn de cijfers waar een privacy officer wakker van ligt. De helft van de organisaties kan niet binnen één werkdag een volledig AI-data toegangslogboek produceren, en 67 procent mist tamper-evident audittrails. Tamper-evident trails zijn wat een onderzoeker bekijkt om te bevestigen dat gegevens achteraf niet zijn aangepast. Een audittrail die zijn eigen integriteit niet kan bewijzen, is een dagboek, geen bewijs.

Het aandeel zorgorganisaties in het onderzoek is klein, ongeveer 8 procent van de respondenten, dus zie het als richtinggevend. Toch is het interessant. Zorgorganisaties scoorden boven het gemiddelde op beveiligingsmaatregelen, met een gemiddelde Data Security Maturity Score van 42,3 tegenover 39 algemeen. Het dominante profiel in de sector was wat het rapport Fortified noemt, 1,84 keer vaker dan verwacht. Dat profiel betekent een sterke beveiligingsinfrastructuur die nog niet is uitgebreid naar AI-specifiek governance.

Geld dicht dat gat niet. In het 2026 Annual Survey Report scoorden de 54 procent van de respondenten die een kwart of meer van hun IT-budget aan cyberbeveiliging besteden gemiddeld 39,7, statistisch niet te onderscheiden van het gemiddelde van 39,2 voor iedereen. Uitgaven volgden intentie. Maatregelen volgden architectuur.

Dat is de rode draad tussen de twee onderzoeken. De aanvallen in de Proofpoint- en Ponemon-data zijn de kosten van blootstelling. De auditgaten in de Kiteworks-data zijn de kosten van het niet kunnen bewijzen wat er achteraf is gebeurd. Zorgorganisaties betalen beide rekeningen, en slechts één ervan komt terug in de koppen van leveranciers.

Wat te doen vóór het volgende auditverzoek

Stop met de vraag of je organisatie een aanval zou overleven. Stel een moeilijkere vraag. Als OCR of een advocaat vrijdag het toegangslogboek vraagt voor de gegevens van één patiënt over alle kanalen, wie levert het dan aan en hoe lang duurt dat?

Dit is het werk, in de volgorde die ik zou aanhouden.

Begin met de kanalen. Breng elk pad in kaart waarlangs PHI de organisatie verlaat of binnenkomt, inclusief beveiligde e-mail, bestandsoverdracht, beheerde bestandsoverdracht, webformulieren, API’s en AI-tools. Uit het Kiteworks-onderzoek blijkt dat 54 procent van de organisaties vier of meer platforms gebruikt voor gevoelige gegevensuitwisseling, en 73 procent geen technische handhaving heeft van welke kanalen medewerkers mogen gebruiken. Elk extra platform is een apart logboek, een apart beleid en een apart risico. Een tool als DSPM voor de zorg helpt bij ontdekking, maar ontdekking is geen handhaving.

Consolideer daarna het bewijs. Voer één geconsolideerd overzicht van logs in je SIEM in realtime, en test of een onderzoeker het kan vertrouwen. De vraag is niet of je logt. De vraag is of het logboek compleet, tamper-evident en herleidbaar tot een persoon is.

Daarna herschrijf je het draaiboek voor derden. Een verstoringspercentage van 90 procent bij aanvallen op de toeleveringsketen betekent dat gegevensuitwisseling met leveranciers een klinisch risico is, geen inkoopdetail. Eis dat partners PHI uitwisselen via kanalen die jij beheert, pas zero trust data protection toe op wat zij kunnen zien, en oefen je incident response plan samen met die leveranciers, niet alleen op papier.

Zet AI tenslotte op gelijke voet met mensen. Koppel AI-tools aan geautoriseerde gebruikers en minimaal noodzakelijke data, log wat ze benaderen en test je vermogen om ze af te sluiten. Organisaties die dit bewijs vragen vóórdat een auditor dat doet, zijn degenen die het hebben als het telt. Kiteworks biedt een Business Associate Agreement en HIPAA-conforme audittrails voor zorgorganisaties die PHI uitwisselen, en de dubbele encryptie in rust, single-tenant architectuur en geconsolideerde auditlog zijn gebouwd voor het hierboven beschreven bewijsprobleem.

Voor dit alles hoef je niet te wachten op een definitieve regel. Het vraagt om de keuze dat bewijs een ontwerpeis is, geen paniekreactie.

Wil je meer weten over het leveren van auditgereed bewijs voor PHI-uitwisseling onder HIPAA, plan vandaag nog een demo op maat.

Aanvullende bronnen

• Blog Post Zero Trust Architectuur: Nooit vertrouwen, altijd verifiëren
• Video Microsoft GCC High: Nadelen die defensie-aannemers richting slimmere voordelen sturen
• Blog Post Hoe je geclassificeerde data beveiligt zodra DSPM deze signaleert
• Blog Post Vertrouwen opbouwen in generatieve AI met een Zero Trust-aanpak
• Video De definitieve gids voor veilige opslag van gevoelige data voor IT-leiders