...

In februari 2021 poogden hackers de interne systemen van het Heilig Hartziekenhuis in Mol via malware te blokkeren. De aanvallers vroegen losgeld om de door hen geëncrypteerde gegevens te ontcijferen. Privacygevoelige data of medische inhoud bleven gelukkig gespaard, de schade was al bij al beperkt. Wat heet beperkt. Het duurde een week alvorens alle IT-systemen opnieuw gebruiksklaar waren en de website van het ziekenhuis was geruime tijd offline. Het voorval en de recente, meer ingrijpende, aanval waarvan de Luxemburgse ziekenhuisgroep Vivalia het slachtoffer werd, tonen het enorme belang aan van waterdichte cybersecurity. Dat de overheid daarvoor extra geld uittrekt en een actieplan opstelt, is dus zeker geen overbodige luxe. Hackers opereren internationaal. Absoluut noodzakelijk is dus dat ook Europa de problematiek ernstig neemt. Dat is gelukkig het geval. Recent organiseerde ENISA, het Agentschap van de Europese Unie voor Cyberbeveiliging, 'Cyber Europe 2022'. Dat is een pan-Europese cyberoefening specifiek gericht op de gezondheidszorg. Aan de simulatie namen, met inbegrip van ons land, 29 landen uit de Europese Unie en uit de Europese Vrijhandelsassociatie deel. Verder werkten meer dan 800 deskundigen, Europol, het Europees Geneesmiddelenbureau EMA enz. mee. 'Cyber Europe 2022' had tot doel antwoorden te formuleren op een aantal cruciale vragen. Wat gebeurt er bijvoorbeeld als Europese gezondheidsdiensten en infrastructuur het doelwit worden van een grote cyberaanval? Hoe reageren overheden en ziekenhuizen daarop? Hoe kan dat nationaal en Europees gecoördineerd worden om de gevolgen het hoofd te bieden en escalatie te voorkomen? Dergelijke oefeningen volgen een fictief scenario. Dag één stond in het teken van een desinformatiecampagne met gemanipuleerde laboratoriumresultaten en een cyberaanval op Europese ziekenhuisnetwerken. De tweede dag escaleerde dat nog en werd een Europese cybercrisis gesimuleerd. Medische persoonsgegevens dreigden op straat te belanden én een nieuwe desinformatiecampagne bracht een implanteerbaar medisch hulpmiddel in diskrediet met beweringen over vermeende risico's. Over het algemeen waren de deelnemers tevreden over de manier waarop incidenten werden aangepakt. Een analyse van het proces en de resultaten van de oefeningen moeten nu eventuele lacunes en zwakke punten blootleggen. Daarna volgen passende maatregelen. De analyses worden gepubliceerd in een 'after- action report'. Dat vormt de basis voor toekomstige richtlijnen en verbeteringen. Met uiteraard als finaal doel de gezondheidssector weerbaarder maken tegen cyberaanvallen. En dat is meer dan nodig.