Z-CERT formeel aangewezen als CSIRT voor de zorg

Z-CERT is formeel aangewezen als Computer Security Incident Response Team (CSIRT) voor de zorgsector. Dat staat in een wijzigingsregeling van de Cyberbeveiligingsregeling voor de zorg (CbrZ), die op 5 oktober 2026 in de Staatscourant is gepubliceerd (stcrt-2026-35238). Het ministerie van Volksgezondheid, Welzijn en Sport meldde dat dezelfde dag op Data voor gezondheid.

In de wijzigingsregeling van 2 oktober is vastgelegd dat Z-CERT het CSIRT is voor de sector gezondheidszorg en voor de subsector vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek. Bij de eerdere publicatie van de CbrZ kon die aanwijzing nog niet, omdat eerst de wettelijk voorgeschreven overlegprocedure met de Algemene Rekenkamer moest worden doorlopen. Die procedure is inmiddels afgerond. Z-CERT voerde de CSIRT-taken in de tussenliggende periode al uit, zodat organisaties met recht op ondersteuning ook voor de formele aanwijzing bij Z-CERT terechtkonden.

De Cyberbeveiligingswet (Cbw, Staatsblad 2026, 187) is op 15 augustus 2026 in werking getreden en implementeert de Europese NIS2-richtlijn in Nederland. Nadere regels staan in het Cyberbeveiligingsbesluit, en voor de zorg heeft VWS die verder uitgewerkt in de CbrZ. Die regeling bevat onder meer een nadere uitwerking van de maatregelen voor cyberrisicobeheersing, de criteria en drempelwaarden voor significante incidenten, aanvullende eisen aan incidentmeldingen en de aanwijzing van de Inspectie Gezondheidszorg en Jeugd (IGJ) als bevoegde instantie en toezichthouder.

Ook zorgorganisaties kunnen onder de Cbw vallen. Of dat zo is, hangt onder meer af van het type dienstverlening, de omvang van de organisatie en de criteria in de wet en de onderliggende regelgeving. Sinds 15 augustus 2026 moeten zorgorganisaties die eronder vallen voldoen aan verplichtingen op het gebied van onder meer cyberrisicobeheersing, incidentmelding, registratie, toezicht en naleving.

Als belangrijke 1e stap noemt het bericht vaststellen of de organisatie onder de Cbw valt. Organisaties die eronder vallen, moeten zich via MijnNCSC registreren in het entiteitenregister van het NCSC.