31 oktober 2026 · 12 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Pentest in de zorg: wat ziekenhuizen, zorginstellingen en fabrikanten van medische apparatuur moeten testen, en welke regels dat vereisen
De zorg kent de hoogste kosten per datalek van alle sectoren en draait een deel van de oudste technologie die aan een netwerk hangt. Deze sectorgids behandelt het regelgevend kader in Europa en de Verenigde Staten, het aanvalsoppervlak van het elektronisch patiëntendossier tot de infuuspomp, en de volgorde waarin een ziekenhuis-CISO het testen scopet. Voor de HIPAA Security Rule zelf is onze aparte HIPAA-pentestgids de verdieping; deze pagina is het sectoroverzicht.
Waarom de zorg anders wordt getest
Drie dingen onderscheiden de zorg. Ten eerste de gegevens: medische gegevens kunnen niet opnieuw worden uitgegeven zoals een betaalkaart, en één patiëntdossier brengt op criminele markten meer op dan bijna elk ander persoonsgegeven. Ten tweede het gevolg van uitval: toen de ransomware-aanval op Change Healthcare in februari 2024 een clearinghouse platlegde, konden apotheken in de Verenigde Staten geen recepten verwerken en zaten zorgaanbieders weken zonder vergoedingen; de aanval op Ascension in mei 2024 dwong ziekenhuizen ambulances om te leiden en terug te vallen op papieren dossiers. Het toegangspunt bij Change Healthcare was volgens de eigen verklaring van het bedrijf een portaal voor toegang op afstand zonder multifactorauthenticatie. Ten derde de technologie: beeldvormende apparatuur, infuuspompen en laboratoriumanalysers draaien vaak besturingssystemen die de leverancier jaren geleden niet meer patcht, kunnen niet zonder risico worden gescand en hangen aan hetzelfde netwerk als de werkplekken van de zorgverleners.
Een penetratietest in de zorg moet daarom meer doen dan een generieke netwerk- en applicatietest. Hij moet de klinische veiligheid respecteren (geen actieve exploitatie van een apparaat dat aan een patiënt hangt, afgesproken testvensters, een klinisch escalatiecontact), hij moet zorgprotocollen begrijpen (HL7 v2, FHIR, DICOM) die generieke tools verkeerd lezen, en hij moet bewijs opleveren dat aansluit op de regelgeving waar uw complianceteam aan moet voldoen. Deze gids is eerst rond die regelgeving georganiseerd, omdat zij bepaalt wat wordt getest en hoe het rapport wordt gelezen.
Het Europese en Nederlandse kader: NEN 7510, NIS2 en MDR
Drie bronnen van verplichtingen, met verschillend juridisch gewicht. Samen beschrijven zij het testprogramma dat van een Nederlandse zorginstelling in 2026 wordt verwacht.
1. NEN 7510:2024, NEN 7512 en NEN 7513
NEN 7510:2024 is de Nederlandse norm voor informatiebeveiliging in de zorg, verplicht gesteld via het Besluit elektronische gegevensverwerking door zorgaanbieders en getoetst door de Inspectie Gezondheidszorg en Jeugd. De norm verwacht een beheerst proces voor technische kwetsbaarheden en onafhankelijke technische toetsing van systemen die patiëntgegevens verwerken; een periodieke penetratietest is de gangbare invulling. NEN 7512 regelt de veilige uitwisseling van gegevens en NEN 7513 de logging van toegang tot het dossier, beide onderwerpen die een pentest in de zorg expliciet toetst.
2. NIS2 en de Cyberbeveiligingswet
Onder NIS2 (Richtlijn (EU) 2022/2555) staat de gezondheidszorg in bijlage I, en grote ziekenhuizen zijn essentiële entiteiten onder het strengste toezicht. Artikel 21(2) vereist risicobeheersmaatregelen, waaronder beleid om de doeltreffendheid van die maatregelen te beoordelen, wat toezichthouders lezen als regelmatige beveiligingstesten. In Nederland wordt NIS2 omgezet via de Cyberbeveiligingswet, met de sectorale toezichthouder voor de zorg als aanspreekpunt. Onze NIS2-gids behandelt de testverwachtingen van de richtlijn over alle sectoren.
3. MDR en MDCG 2019-16 voor medische apparatuur
Medische hulpmiddelen die in de EU worden verkocht, vallen onder de Medical Device Regulation (EU) 2017/745. De algemene veiligheids- en prestatie-eisen in bijlage I verplichten fabrikanten om software te ontwerpen volgens de stand van de techniek voor IT-beveiliging, en de MDCG 2019-16-richtsnoer beschrijft hoe cyberbeveiliging, inclusief beveiligingstesten, in de technische documentatie moet worden aangetoond. Ziekenhuizen doen er goed aan dat bewijs tijdens de inkoop bij leveranciers op te vragen.
Het Amerikaanse kader in het kort: HIPAA, HHS 405(d), FDA en HITRUST
Nederlandse zorginstellingen en leveranciers die met Amerikaanse partners werken of apparatuur in de VS verkopen, krijgen met vier bronnen te maken. De HIPAA Security Rule vereist een periodieke technische evaluatie (45 CFR 164.308(a)(8)); het in januari 2025 door HHS gepubliceerde voorstel tot herziening zou penetratietesten minimaal elke twaalf maanden en kwetsbaarheidsscans elke zes maanden expliciet verplicht maken, naast verplichte multifactorauthenticatie, versleuteling en netwerksegmentatie. Het blijft een voorstel totdat HHS een definitieve regel publiceert. Het HHS 405(d)-programma publiceert de Health Industry Cybersecurity Practices (HICP), waarin penetratietesten van de perimeter en het interne netwerk onder kwetsbaarheidsbeheer vallen; Public Law 116-321 (2021) draagt de toezichthouder OCR op om bij handhaving mee te wegen of een organisatie zulke 'recognized security practices' had. Voor fabrikanten geldt Section 524B van de Federal Food, Drug, and Cosmetic Act (sinds 29 maart 2023), die voor 'cyber devices' een plan voor kwetsbaarheden na marktintroductie, aantoonbaar veilige ontwikkelprocessen en een software bill of materials vereist, met de FDA-richtsnoer van september 2023 die onafhankelijke penetratietesten als onderdeel van het premarket-testbewijs noemt. HITRUST CSF, ten slotte, is de certificering die Amerikaanse zorgsystemen en hun leveranciers het vaakst van elkaar eisen; de gevalideerde beoordeling vereist onafhankelijke penetratietesten op een vaste frequentie. Onze HIPAA-pentestgids gaat dieper in op de Security Rule.
Het aanvalsoppervlak in de zorg
Zes domeinen, elk met eigen protocollen, faalwijzen en testbeperkingen.
EPD- en ZIS-platforms
Het elektronisch patiëntendossier is het kroonjuweel en de integratiehub. Wij testen rolgebaseerde toegang over klinische, administratieve en noodtoegangsrollen, de logging van toegang (NEN 7513), interface-engines, rapportage- en datawarehouse-exports, en de single sign-on en contextkoppelingen die het EPD met honderden afdelingssystemen verbinden.
Patiëntportalen en beeldbellen
Internetgerichte applicaties waarin een patiënt (of een aanvaller met een patiëntaccount) dossiers, afspraken, berichten en betalingen bereikt. Autorisatie tussen patiënten en gemachtigden (ouders, mantelzorgers), identiteitsverificatie bij aanmelding, DigiD-koppelingen en de API's achter mobiele apps zijn de gebruikelijke zwakke plekken.
HL7 v2-, FHIR- en DICOM-koppelingen
HL7 v2 over MLLP is doorgaans van ontwerp uit zonder authenticatie en versleuteling; voet aan de grond in het netwerk betekent vaak klinische berichten kunnen lezen of injecteren. FHIR R4-API's met SMART on FHIR vragen om toetsing van OAuth 2.0-scopes en tenantcontroles zoals elke API. DICOM- en PACS-servers die aan internet hangen, hebben wereldwijd miljoenen beeldstudies gelekt.
Medische apparatuur en IoMT
Infuuspompen, patiëntmonitoren, beeldvormende apparatuur en laboratoriumanalysers, vaak met niet meer ondersteunde besturingssystemen en standaardwachtwoorden van de leverancier. Passief getest en in afgesproken vensters, nooit op een apparaat dat aan een patiënt hangt, met de hardeningsgids van de leverancier als uitgangspunt en netwerksegmentatie als belangrijkste maatregel.
Legacy-OT en gebouwsystemen
Gebouwbeheer, klimaatregeling voor operatiekamers en apotheken, toegangspassen, verpleegoproepsystemen en buizenpost. Vaak in een plat netwerk, op afstand bereikbaar voor de facilitaire leverancier en onzichtbaar in de asset-inventaris van het beveiligingsteam totdat een test ze in kaart brengt.
Ransomware-weerbaarheid
De route van een gephishte werkplek of een onbeschermd portaal voor toegang op afstand naar domeinbeheerder en naar de back-upinfrastructuur. Active Directory, bevoorrechte toegang, toegang op afstand zonder MFA, VPN's van leveranciers en de onveranderbaarheid van back-ups worden als één keten getest, omdat incidenten zo verlopen.
Wat elke norm of regeling van uw testprogramma vraagt
Eén goed gescopet programma kan bewijs voor alle normen opleveren. De scopeverklaring moet ze dan wel elk bij naam noemen.
| Kader | Voor wie | Testverwachting | Bewijs dat de beoordelaar wil zien |
|---|---|---|---|
| NEN 7510:2024 | Nederlandse zorgaanbieders | Beheer van technische kwetsbaarheden; onafhankelijke technische toetsing | Testprogramma, rapporten, directiebeoordeling |
| NIS2 / Cyberbeveiligingswet | Ziekenhuizen en zorgaanbieders in de EU | Beoordeling van de doeltreffendheid van maatregelen; regelmatige beveiligingstesten | Testprogramma, rapporten, herstelbewijs |
| EU MDR bijlage I / MDCG 2019-16 | Fabrikanten die in de EU verkopen | Beveiligingstesten die IT-beveiliging volgens de stand van de techniek aantonen | Technische documentatie met testbewijs |
| HIPAA Security Rule (huidig) | Amerikaanse zorgaanbieders en hun verwerkers | Periodieke technische evaluatie (164.308(a)(8)); testen is de geaccepteerde methode | Risicoanalyse, evaluatierapport, herstelregistratie |
| HIPAA Security Rule (voorstel 2025) | Dezelfde groep | Kwetsbaarheidsscans elke 6 maanden, penetratietest elke 12 maanden (voorgesteld) | Gedateerde testrapporten, scanregistraties, asset-inventaris en netwerkkaart |
| HHS 405(d) HICP | Vrijwillig; weegt mee bij handhaving onder Public Law 116-321 | Perimeter- en interne penetratietesten binnen kwetsbaarheidsbeheer | Twaalf maanden gedocumenteerde praktijk conform HICP |
| FDA Section 524B en premarket-richtsnoer | Fabrikanten van cyber devices | Onafhankelijke penetratietest als onderdeel van premarket-testen; plan voor kwetsbaarheden na marktintroductie | Testrapport, scope, onafhankelijkheid en kwalificaties van testers, SBOM |
| HITRUST CSF | Organisaties die certificering nastreven en hun leveranciers | Onafhankelijke externe en interne penetratietesten op vaste frequentie | Rapporten gescopet op de beoordelingsgrens, herstelbewijs |
Wat een ziekenhuis-CISO als eerste laat testen
Budgetten en testvensters zijn eindig. Dit is de volgorde die wij aanbevelen wanneer een zorginstelling nog niet integraal is getest.
- De externe perimeter en elke route voor toegang op afstand: VPN, Citrix- of virtuele-werkplekgateways, remote-supporttools van leveranciers, en of elke route multifactorauthenticatie afdwingt
- Het interne netwerk en Active Directory als assumed-breach-test vanaf een gewone klinische werkplek: hoe ver een gephishte gebruiker komt, en of de route naar domeinbeheerder en naar de back-ups open ligt
- Het patiëntportaal, het beeldbelplatform en hun mobiele API's, getest met patiënt- en gemachtigdenrollen
- Het toegangsmodel van het EPD en de integratielaag: interface-engines, HL7-koppelingen, FHIR-endpoints en de serviceaccounts die afdelingssystemen verbinden
- Een passieve inventarisatie en segmentatiebeoordeling van medische apparatuur en IoMT, vóór enig actief testen van apparatuur in afgesproken onderhoudsvensters
- PACS, DICOM en beeldvormingsinfrastructuur, die vaak aan internet hangen zonder dat iemand het beseft
- Toegang van derden en leveranciers: wie het netwerk bereikt, via wat, met welke rechten en of die toegang wordt gelogd
- Back-up- en herstelinfrastructuur: onveranderbaarheid, scheiding van het productiedomein, en of een domeinbeheerder haar kan verwijderen
Veilig testen in een klinische omgeving
De eerste regel is dat geen test een patiënt in gevaar mag brengen. Wij testen nooit actief op een apparaat dat klinisch in gebruik is; apparatuur wordt getest op reserve-eenheden, in de werkplaats van de medische techniek of in onderhoudsvensters die met de leverancier zijn afgesproken en waarbij klinische techniek aanwezig is. Netwerkscans van klinische segmenten worden begrensd in snelheid en ingepland, omdat sommige oudere apparaten uitvallen wanneer ze worden bevraagd. Elke opdracht heeft een klinisch escalatiecontact dat het testen binnen minuten kan stoppen, en een terugdraaiplan voor elke configuratiewijziging. De scopeverklaring noemt de systemen die uitdrukkelijk buiten bereik blijven en de vensters voor al het overige.
De tweede regel is dat bevindingen bruikbaar moeten zijn voor drie doelgroepen: de engineers die ze oplossen, het complianceteam dat ze tegen NEN 7510, NIS2, HIPAA of HITRUST archiveert, en de bestuurders die beslissen wat wordt gefinancierd. Elke bevinding bevat daarom technische reproductiestappen, een koppeling aan de relevante maatregel en een begrijpelijke verklaring van de klinische en organisatorische impact. Een ontbrekende tenantcontrole op een FHIR-endpoint en een DICOM-server zonder authenticatie zijn beide van hoge ernst; het rapport moet duidelijk maken waarom, in termen die een raad van bestuur begrijpt.
Hoe HackersHub zorgorganisaties test
Onze zorgopdrachten worden geleid door OSCP-gecertificeerde testers die ziekenhuizen, zorggroepen, laboratoria, beeldbelplatforms en fabrikanten van medische apparatuur aan beide kanten van de oceaan hebben getest. Wij scopen op de regelgeving die voor u geldt, testen de perimeter, het interne netwerk en Active Directory als één beoordeling van de ransomware-route, testen patiëntgerichte applicaties en FHIR-API's met klinische en patiëntrollen, en beoordelen medische apparatuur en OT eerst passief en pas actief onder afgesproken voorwaarden. Elk rapport koppelt bevindingen aan NEN 7510:2024, NIS2, MDR, HIPAA, HICP, HITRUST of de FDA-verwachtingen waar van toepassing, en gaat vergezeld van een hertest en een attestatiebrief waarop uw toezichthouder, auditor en klanten kunnen vertrouwen. Scope en inspanning worden na een scopinggesprek schriftelijk vastgelegd; wij publiceren geen prijzen. Michael van Mameren leidt de praktijk en ondertekent elke attestatie.
Veelgestelde vragen
Een testprogramma scopen voor een ziekenhuis, zorginstelling of medisch apparaat?
Een scopinggesprek van 30 minuten koppelt uw wettelijke verplichtingen aan de systemen die getest moeten worden en de volgorde waarin, met klinische veiligheidsvoorwaarden ingebouwd in de scope. U ontvangt een schriftelijk voorstel met OSCP-testers bij naam. Praat met een expert.