In juli 2025 werden de medische gegevens van honderdduizenden Nederlanders gestolen bij het medisch laboratorium Clinical Diagnostics. Het ging om 850.000 vrouwen die deelnamen aan het bevolkingsonderzoek baarmoederhalskanker, aangevuld met patiënten van privéklinieken en huisartsen. De aanvallers kregen toegang via één enkel account zonder aanvullende beveiliging, en niemand had het in de gaten. Clinical Diagnostics betaalde uiteindelijk losgeld om publicatie van de gestolen gegevens te voorkomen.
Bijna een jaar later is de conclusie van de Inspectie Gezondheidszorg en Jeugd (IGJ) helder: het bedrijf voldeed op het moment van de hack niet aan de wettelijk verplichte beveiligingsnorm voor zorginstellingen.
Wat is de NEN 7510 en waarom geldt die voor medische laboratoria?
In de zorg zijn de gegevens die worden verwerkt bijzonder gevoelig. Diagnoses, uitslagen van screeningsonderzoeken, behandelhistorie — het zijn gegevens die mensen kwetsbaar maken wanneer ze op straat komen te liggen. Precies daarom bestaat de NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorgsector. Deze norm verplicht zorginstellingen, maar ook laboratoria en andere partijen die met patiëntgegevens werken, om aantoonbaar grip te hebben op hun digitale beveiliging. Dat betekent onder meer: periodiek in kaart brengen welke risico’s er zijn, maatregelen nemen op basis van die risico’s en die maatregelen laten toetsen door een onafhankelijke partij. Zoals wij eerder beschreven in ons artikel over de aanstaande herziening van de NEN 7510, is deze norm bovendien volop in beweging: de eisen worden aangescherpt en de verantwoording transparanter gemaakt. Voor Clinical Diagnostics gold die norm al ten tijde van de hack, en aan geen van de kernvereisten werd voldaan.
Hoe kregen de aanvallers toegang tot de gegevens?
Uit onderzoek dat Clinical Diagnostics zelf liet uitvoeren, bleek dat de aanvallers via een gehackt gebruikersaccount binnenkwamen. Met dat account maakten zij verbinding met een zogenoemde legacy-omgeving, een oudere digitale infrastructuur die nog niet was overgezet naar de centrale systemen van de organisatie. Voor dat account was geen meervoudige verificatie ingeschakeld, ook wel aangeduid als multifactorauthenticatie of MFA. In de praktijk betekent dat: wie het wachtwoord had, had ook direct toegang. Geen tweede stap, geen extra controle. Hoe de aanvallers het wachtwoord precies bemachtigden, kon het bedrijf achteraf niet meer achterhalen.
Wat de situatie verder verergerde: het Security Operations Center (SOC) van de internationale Eurofins-organisatie, het moederbedrijf van Clinical Diagnostics, had de bewaking van die specifieke legacy-omgeving uitgeschakeld. Op basis van onjuiste informatie meende het SOC dat de omgeving niet langer in gebruik was. Daardoor werden afwijkende activiteiten niet opgemerkt. De aanvallers hadden alle ruimte.
Drie structurele tekortkomingen die dit mogelijk maakten
De IGJ benoemde in haar rapport drie onderliggende problemen die los staan van de technische details van de aanval zelf. Ten eerste had Clinical Diagnostics nooit een onafhankelijke audit laten uitvoeren op haar informatiebeveiliging. Er was dus geen externe blik die eventuele zwakke plekken had kunnen signaleren. Ten tweede had het bedrijf de risico’s van haar gegevensverwerking nooit periodiek in kaart gebracht. Zonder dat inzicht, zo stelde de IGJ, kan een organisatie niet bepalen welke beveiligingsmaatregelen überhaupt nodig zijn. Ten derde was de monitoring van de legacy-omgevingen door menselijk handelen uitgeschakeld, zonder dat dit ergens werd opgemerkt of gecorrigeerd.
De inspectie concludeerde dat Clinical Diagnostics zowel op het moment van de hack als tijdens een inspectiebezoek in december 2025 niet voldeed aan de NEN 7510. De norm was niet alleen niet gecertificeerd; ze werd ook niet nageleefd.
Wat zijn de juridische gevolgen voor Clinical Diagnostics?
De IGJ heeft Clinical Diagnostics gevraagd om op korte termijn aantoonbaar aan de norm te voldoen. Het opleggen van een boete of andere bestraffende maatregel valt echter buiten de bevoegdheid van de IGJ op grond van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Die bevoegdheid ligt bij de Autoriteit Persoonsgegevens (AP), die een apart onderzoek voert op basis van de Algemene Verordening Gegevensbescherming (AVG). Zoals blijkt uit ons eerdere artikel over het jaarverslag van de Autoriteit Persoonsgegevens over 2025, ontving de AP al zo’n zeshonderd klachten die direct verband hielden met het datalek bij Clinical Diagnostics. Gedupeerden klaagden onder meer over gebrekkige communicatie na het incident. De AP heeft ruimere handhavingsinstrumenten en kan bij bewezen overtredingen van de AVG aanzienlijke boetes opleggen.
Clinical Diagnostics heeft inmiddels laten weten dat een externe audit heeft plaatsgevonden met een positieve uitkomst en dat de formele certificering naar verwachting binnenkort wordt afgerond. De IGJ houdt de voortgang nauwgezet in de gaten.
Wat zegt dit incident over informatiebeveiliging in de zorgsector?
De casus van Clinical Diagnostics illustreert een patroon dat breder voorkomt in sectoren waar de primaire expertise niet op het gebied van IT-beveiliging ligt. Organisaties verwerken grote hoeveelheden gevoelige gegevens, maar besteden weinig aandacht aan de vraag of hun beveiligingsmaatregelen ook daadwerkelijk werken. Er worden wettelijke normen vastgesteld, maar zonder onafhankelijke toetsing en periodieke risicoanalyse blijven die normen papieren afspraken. De IGJ riep in haar publicatie dan ook alle zorgaanbieders op om niet alleen te werken volgens NEN 7510, maar dit ook aantoonbaar te maken via een certificaat of beoordeling door een onafhankelijke partij. Wie gebruikmaakt van externe laboratoria of andere derde partijen, moet bovendien actief controleren of ook die partijen aantoonbaar voldoen.
De les is niet alleen technisch. De kern van het probleem bij Clinical Diagnostics was geen ingewikkelde aanvalstechniek. Het was een combinatie van ontbrekende controles, een vergeten omgeving en een beveiligingsmaatregel die wel had bestaan maar ergens onderweg was weggevallen. Precies die combinatie maakt organisaties kwetsbaar: niet één groot gat, maar meerdere kleine omissies die samen een opening creëren.
