De wereldwijde IT-storing van 2024: 5 lessen voor de zorg

Wat er gebeurde

Een defecte update van de beveiligingssoftware van leverancier CrowdStrike zorgde voor het beruchte blauwe scherm (Blue Screen of Death) op talloze Windows-computers. Wereldwijd raakten sectoren als luchtvaart, banken, media en de zorg ontregeld.

In Nederland werden onder meer ziekenhuizen van Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) en Slingeland (Doetinchem) getroffen. Operaties werden uitgesteld en sommige locaties namen tijdelijk geen nieuwe patienten aan. Het ging nadrukkelijk niet om een cyberaanval, maar om een fout in een update; herstel vergde per systeem handmatig werk.

Les 1: Zorg gaat door, ook op papier

Als het clientdossier, de medicatiemodule of de planning uitvalt, moet de zorg toch doorgaan. Dat vraagt om beproefde noodprocedures: werken met papieren toedienlijsten, dubbele controle bij risicovolle medicatie en duidelijke afspraken over wie wat doet.

Oefen deze noodprocedures periodiek. In de praktijk blijkt dat medewerkers die er zelden mee werken, tijdens een echte uitval kostbare tijd verliezen. Een korte, duidelijke instructiekaart per afdeling helpt enorm.

Les 2: Informeer medewerkers, ook buiten de systemen om

Als de gewone systemen plat liggen, kunt u medewerkers niet via die systemen bereiken. Denk vooraf na over alternatieve routes.

• Een centrale, korte instructie: wat werkt niet, welke noodprocedure geldt, waar staat de laatste stand.
• Bereikbaarheid via alternatieve kanalen (telefoon, sms, een besloten pagina).
• Duidelijkheid over prioriteiten: welke zorg en welke afdelingen gaan voor.
• Rust uitstralen: medewerkers die weten wat te doen, houden ook patienten en familie rustig.

Les 3: Stel familie en patienten gerust

Uitgestelde operaties en gesloten deuren leiden tot onrust bij patienten en familie. Wees hierin proactief: leg uit wat er speelt, wat het voor hun afspraak betekent en wanneer er meer nieuws is.

Een eerlijke, menselijke boodschap voorkomt onnodige telefoontjes en wantrouwen. Zorg dat de informatie op de website, aan de balie en bij de telefoon gelijkluidend is.

Les 4: Ken uw afhankelijkheid van leveranciers

De storing kwam niet van binnenuit, maar van een externe softwareleverancier. Dat laat zien hoe afhankelijk moderne zorg is van de digitale keten: een ecd-leverancier, een softwarepartij, een clouddienst.

Breng deze afhankelijkheden in kaart (welk systeem hangt van welke leverancier af) en leg vast wat u doet als een leverancier uitvalt. Maak afspraken over hersteltijden en houd een terugvaloptie achter de hand.

Les 5: Ken uw normen en meldplichten

Zorginstellingen werken onder NEN 7510 (informatiebeveiliging) en de AVG. Loopt de patientveiligheid gevaar, dan kan sprake zijn van een calamiteit die u binnen drie werkdagen meldt bij de Inspectie Gezondheidszorg en Jeugd (IGJ) onder de Wkkgz. Zijn er persoonsgegevens betrokken, dan geldt de datalekmeldplicht (72 uur) bij de Autoriteit Persoonsgegevens.

Zorgaanbieders vallen daarnaast steeds vaker onder de Cyberbeveiligingswet (NIS2), met een meldplicht voor significante incidenten. Leg tijdens de crisis vast welke meldingen wanneer en bij wie zijn gedaan.

Hoe CrisisRadar hierbij helpt

CrisisRadar brengt bestuur, zorgmanagement, ICT en woordvoering samen in een gedeeld crisisbeeld. U legt feiten met bron vast, deelt heldere noodinstructies met medewerkers, stelt een geruststellend bericht voor familie op en bewaakt de continuiteit van zorg. Meldplicht-timers bewaken de termijnen voor de IGJ en de Autoriteit Persoonsgegevens.

Wilt u zien hoe een ICT-uitval in de zorg er stap voor stap uitziet in het platform? Bekijk dan de bijbehorende praktijksituatie.

Stappenplan

Veelgestelde vragen

Was de CrowdStrike-storing een cyberaanval?

Nee. De storing van 19 juli 2024 kwam door een foute software-update van de leverancier CrowdStrike, niet door een aanval. Toch legde die wereldwijd Windows-systemen plat, ook in ziekenhuizen, wat het belang van goede noodprocedures onderstreept.

Hoe blijft de zorg doorgaan als de systemen uitvallen?

Met beproefde noodprocedures: werken met papieren toedienlijsten, dubbele controle bij risicovolle medicatie en duidelijke afspraken over prioriteiten en rollen. Oefen deze procedures periodiek, zodat ze in de vingers zitten.

Welke meldplicht geldt bij een ICT-uitval in de zorg?

Loopt de patientveiligheid gevaar, dan meldt u een calamiteit binnen drie werkdagen bij de IGJ (Wkkgz). Zijn er persoonsgegevens betrokken, dan geldt de datalekmelding binnen 72 uur bij de Autoriteit Persoonsgegevens. Vaak geldt ook de Cyberbeveiligingswet (NIS2).