Een volledig patiëntendossier is op de zwarte markt een veelvoud waard van een gestolen kredietkaart, want het bundelt rijksregisternummer, medische voorgeschiedenis en contactgegevens in één pakket. Dat maakt cybersecurity voor een tandarts- of huisartsenpraktijk geen luxe, maar een basisvoorwaarde om patiëntendata en uw beroepsgeheim te beschermen. En anders dan veel praktijkhouders aannemen, ligt de wettelijke eindverantwoordelijkheid bij u, niet bij uw softwareleverancier.
In het kort
- Een kleine praktijk valt buiten de rechtstreekse NIS2-plicht, maar de AVG geldt onverkort en grote partners leggen eisen op via de keten.
- Gezondheidsgegevens zijn “bijzondere gegevens” onder artikel 9 AVG; een lek raakt meteen uw medisch beroepsgeheim.
- Een verwerkingsregister is verplicht voor elke praktijk; een DPO doorgaans niet voor een solo- of groepspraktijk.
- Uw EPD-leverancier is verwerker. U blijft verwerkingsverantwoordelijke, en dus juridisch aansprakelijk.
- Via de kmo-portefeuille recupereert u 45% van cybersecurity-advies en -opleiding, tot 7.500 euro per jaar.
Waarom net kleine praktijken in het vizier liggen
Kleine medische praktijken zijn een aantrekkelijk doelwit omdat ze zeer gevoelige data verwerken maar zelden interne IT-expertise hebben. Cybercriminelen weten dat een geblokkeerd dossier of een uitgevallen agenda de zorg meteen stillegt, wat de bereidheid om losgeld te betalen verhoogt.
De aanvallen zijn zelden op uw praktijk persoonlijk gericht. Geautomatiseerde scanners zoeken het hele internet af naar zwakke plekken, ongeacht de omvang van de organisatie. Kleine praktijken vallen juist op door een lichtere verdediging. Dat vertaalt zich in de cijfers: de zorgsector voert al jaren de lijst aan van datalekmeldingen, met ongeveer een kwart van alle meldingen. En de ransomwaregroep SafePay, die in 2025 en 2026 sterk opkwam, richt zich volgens analyses van meer dan 500 lek-records voor ruim 90% op kmo’s en dienstverleners.
Wat zegt de wet? AVG, beroepsgeheim en de NIS2-grens
Gezondheidsgegevens onder artikel 9 AVG
Gezondheidsgegevens vallen onder artikel 9 AVG, de bijzondere categorieën. Verwerking is in principe verboden, tenzij een wettelijke uitzondering geldt. Voor een praktijk is dat artikel 9.2(h): verwerking voor diagnose en zorgverlening, uitgevoerd onder verantwoordelijkheid van een beroepsbeoefenaar die aan het beroepsgeheim gebonden is (artikel 458 Strafwetboek). Een datalek is daardoor nooit alleen een privacyprobleem, het raakt rechtstreeks uw deontologie.
Een bewaartermijn van 30 jaar vraagt om een veilige strategie
De Wet van 22 april 2019 inzake kwaliteitsvolle praktijkvoering verplicht u het patiëntendossier minstens 30 jaar en maximaal 50 jaar te bewaren, gerekend vanaf het laatste contact. Wie decennialang data bijhoudt, moet die ook decennialang beschermen tegen verlies, corruptie en onbevoegde toegang. Een doordacht back-upbeleid is hier geen detail maar een wettelijke noodzaak.
Valt uw praktijk onder NIS2?
In de regel niet. NIS2 hanteert cumulatieve drempels van minstens 50 werknemers of meer dan 10 miljoen euro omzet. Een solo- of groepspraktijk zit daar ruim onder en heeft geen rechtstreekse registratieplicht. Toch werkt de wet door via artikel 21.2, de ketenbeveiliging: ziekenhuizen en EPD-leveranciers die wél onder NIS2 vallen, moeten hun beveiligingseisen doorschuiven naar iedereen waarmee ze koppelen. Koppelt uw praktijk met een ziekenhuisnetwerk, dan zult u uw eigen beveiliging moeten kunnen aantonen. Werkt u in een grotere zorgstructuur, lees dan ook onze gids over cybersecurity in de zorgsector.
Verwerkingsregister en DPO: wat is wél verplicht?
Volgens de GBA en de Orde der Artsen hoeft een solo-arts of kleine groepspraktijk geen DPO aan te stellen; die plicht geldt pas bij grootschalige verwerking, zoals in ziekenhuizen. Wél verplicht, ongeacht uw omvang, is een verwerkingsregister (artikel 30 AVG) en een geldige verwerkersovereenkomst met elke externe partij die toegang heeft tot patiëntendata: uw EPD-leverancier, de online agenda, de IT-partner.
De grootste dreigingen in de praktijkvoering
Ransomware is de bekendste. Ze blokkeert het EPD of de agenda en legt de zorg meteen stil. Dat kan ook gebeuren zonder dat úw systemen worden gehackt: toen zorgsoftwareleverancier ChipSoft in april 2026 door ransomware werd getroffen, moesten talloze gekoppelde zorgverleners hun digitale koppelingen uit voorzorg verbreken. Enkele maanden eerder, in januari 2026, zorgde de aanval op AZ Monica voor systeemuitval, geannuleerde ingrepen en dagenlange hinder bij doorverwijzende huisartsen.
Daarnaast blijft phishing, steeds vaker AI-gestuurd, de meest gebruikte toegangsweg, met de praktijkassistent als geliefd doelwit. En de handhaving is streng voor wie de basis niet op orde heeft. De GBA legde het ziekenhuis Saint-Luc in Namen 200.000 euro boete op na een ransomware-incident, precies omdat er geen risicoanalyse, geen beveiligingsbeleid en geen securitytraining waren. Een medisch labo kreeg 20.000 euro omdat het testresultaten via onbeveiligde HTTP-verbindingen deelde.
Uw praktijk beveiligen in vijf stappen
- Voer een nulmeting en audit uit. Breng alle werkstations, medische apparatuur (denk aan röntgen- en PACS-systemen) en mobiele toestellen met patiëntendata in kaart, samen met de datastromen.
- Beveilig de toegang. Zet multifactorauthenticatie op EPD, e-mail en eHealth, en pas het principe van minimale rechten toe: elke medewerker krijgt enkel toegang tot wat de functie vereist.
- Train uw team. Korte, herhaalde sessies leren artsen en assistenten om AI-phishing en verdachte verzoeken te herkennen, ook onder werkdruk.
- Zet uw AVG-documentatie recht. Actualiseer het verwerkingsregister en herzie de verwerkersovereenkomsten met elke leverancier die aan patiëntendata kan.
- Regel back-ups en een incidentplan. Bewaar minstens één back-upkopie offline of gescheiden van het netwerk, en leg vast wie wat doet bij een vermoeden van een lek, inclusief de melding aan de GBA binnen 72 uur.
Tot 45% subsidie via de kmo-portefeuille
Sinds 1 februari 2026 is de advies-pijler van de kmo-portefeuille voorbehouden voor cybersecurity. Artsen en tandartsen, als vrije beroepen, komen in aanmerking: kleine ondernemingen recupereren 45% van cybersecurity-advies en -opleiding, met een plafond van 7.500 euro per jaar. Daarmee wordt een audit of awarenesstraject een stuk toegankelijker dan veel praktijkhouders denken.
Uw patiëntendata in vertrouwde handen
Cyberplan begeleidt kleine medische praktijken zonder de zorgverlening te belasten. We voeren een audit uit op uw werkstations en koppelingen, brengen uw AVG-documentatie en verwerkersovereenkomsten op orde, trainen uw team tegen phishing en staan klaar met incident response als het toch misgaat. Zo bouwt u aantoonbare weerbaarheid op, precies wat grotere zorgpartners via de keten van u verwachten. Een vrijblijvende kennismaking brengt uw grootste risico’s snel in beeld.
Veelgestelde vragen
Is een huisarts of tandarts verplicht om een DPO aan te stellen?
Nee. Volgens de GBA en de Orde der Artsen zijn solo-artsen en kleine groepspraktijken vrijgesteld; die plicht geldt pas bij grootschalige verwerking, zoals in ziekenhuizen. Een verwerkingsregister bijhouden is wél verplicht voor elke praktijk.
Valt onze praktijk rechtstreeks onder de NIS2-wetgeving?
In de regel niet: NIS2 geldt vanaf 50 werknemers of meer dan 10 miljoen euro omzet. Kleine praktijken vallen daaronder. Wel kunnen ziekenhuizen of softwareleveranciers via de toeleveringsketen beveiligingseisen aan uw praktijk opleggen.
Hoe lang moet ik een patiëntendossier bewaren?
Op grond van de Wet van 22 april 2019 minstens 30 jaar, gerekend vanaf het laatste patiëntencontact. Die lange termijn vraagt om back-ups en opslag die ook op lange termijn beschermd blijven tegen verlies en onbevoegde toegang.
Antivirus draait op onze computers. Zijn we daarmee voldoende beschermd?
Nee. Antivirus is een basismaatregel, maar beschermt niet tegen phishing, gestolen inloggegevens, menselijke fouten of slecht ingestelde cloud-agenda’s. Een goede aanpak combineert MFA, geactualiseerde verwerkersovereenkomsten, geïsoleerde back-ups en teamtraining.
