Boston Scientific kan door cyberaanval geen medische apparatuur leveren

Dit is niet alleen een IT-probleem van een miljardenbedrijf, ziekenhuizen kunnen hierdoor letterlijk behandelingen moeten uitstellen. Ik zie dagelijks hoe kwetsbaar de zorg al is door tekorten en gedoe in de keten; als één leverancier wekenlang platligt, wil ik vooral weten welke noodvoorraad en uitwijkplannen er zijn, niet alleen hoeveel de aandelenkoers daalt.

Dit laat ook zien hoe kwetsbaar “just in time” is. Niet alleen in de zorg trouwens; als één digitale schakel uitvalt, ligt de hele keten stil. Een paar weken extra voorraad kost geld, maar helemaal niks kunnen leveren kost uiteindelijk veel meer.

Ja goed, dan blijkt weer dat cyberveiligheid niet alleen gaat over wachtwoorden en computers. Als ziekenhuizen afhankelijk zijn van één leverancier die ineens stilvalt, is dat gewoon een risico voor patiënten, net als een kapotte brug maar dan minder zichtbaar.

De engelen fluisteren dat bij medische apparatuur niet alleen de levering stilvalt... ook updates, reserveonderdelen en technische ondersteuning kunnen vastlopen. Hopelijk staat patiëntveiligheid nu écht boven winst en reputatie, want een wekenlange digitale blackout geeft een heel lage vibratie af in een sector waar mensen geen vervangende bestelling uit de webshop kunnen halen.

De stille ellende zit waarschijnlijk bij de ziekenhuizen zelf: personeel dat uren moet bellen, alternatieven moet zoeken en patiënten opnieuw moet inplannen. En achteraf blijkt dan dat niemand precies wist wie bij zo’n leverancier de noodprocedure moest starten. Verrast me niks.

Wat ik vooral mis is duidelijkheid over wat ziekenhuizen nu moeten doen: wie informeert de patiënten en wanneer komt er een alternatief? Bij zo’n storing hoor je vaak pas dagen later dat een bepaald onderdeel nergens meer te krijgen is, en dan loopt iedereen achter de feiten aan.

Weer een mooi voorbeeld dat cyberverzekering en een vinkje bij de IT-afdeling geen noodplan zijn. Benieuwd wie nu de rekening krijgt als ziekenhuizen met spoed duurder elders moeten inkopen... vast niet de directeur.

Naast noodvoorraden verdient ook de meldplicht aandacht. Bij een leverancier van kritieke medische hulpmiddelen moet snel duidelijk zijn welke producten, landen en patiëntgroepen geraakt worden, zodat toezichthouders en ziekenhuizen niet afhankelijk zijn van losse telefoontjes. Transparantie over de aanval kan later komen, maar een actueel overzicht van de gevolgen hoort er meteen te zijn.

Lekker dan... en wie draait straks op voor de extra uren van ziekenhuizen en monteurs die alles met de hand moeten uitzoeken? Na zo’n aanval volgt meestal een duur herstelplan, maar de rekening en boete verdwijnen gewoon ergens in de zorgbegroting.

Wie controleert eigenlijk of zo’n fabrikant na een aanval nog veilig kan produceren en uitleveren??? Een bestelling die weken later alsnog komt is leuk, maar als systemen en kwaliteitscontroles zijn aangetast wil je toch geen apparatuur die half gecontroleerd de operatiekamer in gaat?!

Wat hier ook telt: ziekenhuizen moeten niet alleen weten óf er geleverd wordt, maar of de apparatuur die al in gebruik is nog veilig ondersteund wordt. Bij medische hulpmiddelen kunnen firmware-updates, licenties en storingsdiensten net zo cruciaal zijn als een doos onderdelen; een noodvoorraad lost dat niet op. Toezichthouders zouden daarom bij zulke leveranciers continuïteitsplannen en communicatieprotocollen moeten kunnen opvragen, niet pas na de volgende crisis.

Belangrijk onderscheid: geen bestellingen kunnen verwerken betekent nog niet automatisch dat bestaande medische apparaten uitvallen. De grootste risico’s zitten waarschijnlijk in verbruiksartikelen, reserveonderdelen en geplande ingrepen; patiëntgegevens zijn weer een aparte vraag die pas na forensisch onderzoek beantwoord kan worden. Ziekenhuizen zouden nu vooral moeten weten welke productlijnen geraakt zijn en welke alternatieven er veilig zijn, niet alleen dat “de systemen” platliggen.

Misschien moeten ziekenhuizen bij zulke incidenten niet alleen naar hun leverancier kijken, maar ook naar de apparaten zelf: kunnen ze veilig lokaal blijven werken als de cloud of updates wegvallen? Een noodscenario op papier is mooi, maar personeel moet het ook oefenen zonder meteen drie vergaderlagen erbij. verbinding tussen IT, artsen en leveranciers redt hier misschien meer dan nóg een wachtwoordbeleid.

Wat hier ook onderbelicht blijft: leveranciers van medische apparatuur zijn onderdeel van de zorgketen, maar vallen vaak buiten de crisisplannen van ziekenhuizen. Op de werkvloer krijg je dan een rare situatie: wel protocollen voor stroomuitval en ICT-storing binnen het ziekenhuis, maar geen idee wie belt als een cruciaal implantaat of onderdeel wekenlang niet geleverd wordt. Daar moet vooraf iemand verantwoordelijk voor zijn, niet pas als de operatie al gepland staat.

Misschien moeten fabrikanten bij dit soort aanvallen ook sneller en eerlijker communiceren over wat wél en niet geraakt is. Stilte voedt paniek, terwijl ziekenhuizen en patiënten juist samen rust en duidelijkheid nodig hebben; openheid is hier geen luxe maar een vorm van zorg en verbinding.

Wat vaak wordt vergeten: na een hack begint het echte werk pas. Ziekenhuizen moeten niet alleen een alternatief product vinden, maar ook controleren of het veilig werkt met hun eigen apparatuur en protocollen; daar kun je niet zomaar een ander merk tussen schuiven alsof het printerinkt is.

“Saai” tot de operatiekamer wacht… ja, dat is letterlijk altijd zo met noodplannen 😭 Maar als niemand ze test zijn het gewoon mooie papieren voor de audit, echt bizar dat dit bij medische spullen nog kan.

Ach ja, iedereen heeft het over noodvoorraad, maar wie betaalt die en wie controleert of spullen niet over datum raken? In de zorg wordt vaak pas geld vrijgemaakt als het misgaat, en dan moeten verpleegkundigen het weer met telefoontjes en kunstgrepen oplossen.

Wat hier vaak wordt vergeten: een cyberaanval kan ook de productkwaliteit raken, niet alleen de bestelling. Als systemen voor kwaliteitscontrole, traceerbaarheid of vrijgave zijn verstoord, is “dan maar handmatig uitleveren” juist geen veilige oplossing bij medische hulpmiddelen. Liever tijdelijk vertraging met duidelijke communicatie dan onder tijdsdruk producten vrijgeven waarvan de herkomst of controle niet volledig vaststaat.

Wat ook snel onderbelicht raakt: ziekenhuizen moeten nu niet alleen naar voorraad kijken, maar ook controleren of ze via koppelingen of supportaccounts toegang tot deze leverancier hadden. Bij een cyberincident kan een leverancier namelijk een ingang naar de eigen systemen vormen; bestellingen handmatig overzetten lost dat risico niet op. Boston Scientific zal dus tegelijk duidelijkheid moeten geven over leveringen én over eventuele digitale besmetting in de keten.

Opvallend dat we bij vitale medische spullen wél marktconcentratie en private winst normaal vinden, maar publieke strategische voorraden meteen “te duur” heten. Misschien moeten ziekenhuizen niet alleen noodplannen krijgen, maar ook gezamenlijke inkoopmacht en leveranciers die verplicht openheid geven over continuïteit — oh ja want transparantie is lastig zodra aandeelhouders meekijken.

Naast noodvoorraad en back-upleveranciers hoort hier ook een meldplicht met bruikbare informatie bij. Ziekenhuizen moeten snel weten welke producten, serienummers en ondersteunende diensten geraakt zijn, anders kunnen ze geen veilige afweging maken; echter, bedrijfsgeheimen mogen geen excuus worden om zorgverleners in het duister te laten.

Goh, cyberaanvallen op zorgleveranciers zouden eigenlijk net als brandveiligheid gecontroleerd moeten worden: niet alleen vragen of alles geregeld is, maar het ook onverwacht testen. Anders blijft iedereen tot de volgende storing denken dat de noodprocedure prima werkt, toch?

Wat mij dwarszit: wie controleert eigenlijk of zo’n fabrikant na een aanval nog veilig kan leveren, en niet alleen maar snel de boel weer online zet? In de zorg is “we zijn weer bereikbaar” geen bewijs dat die apparatuur betrouwbaar is, jong… bewijs het maar.

Een cyberaanval bij een fabrikant kan ook de veiligheid van bestaande apparatuur raken: denk aan software-updates, storingsmeldingen en toegang tot technische documentatie. Wat veel mensen niet weten is dat medische hulpmiddelen vaak jarenlang in gebruik blijven, dus “de bestelling ligt stil” kan later nog doorwerken; ziekenhuizen zouden daarom niet alleen voorraad, maar ook offline noodprocedures en onderhoudskennis moeten hebben.

Wat hier ook onderbelicht blijft: monteurs en technici kunnen misschien nog wel aan het werk, maar zonder toegang tot handleidingen, serienummers of storingshistorie staan die ook met lege handen. Ik hoorde van een klant dat één ontbrekend onderdeel haar behandeling al weken vertraagde… dan merk je pas hoe afhankelijk alles van digitale administratie is.

Er zit nog een kanttekening bij de roep om grotere voorraden: ziekenhuizen kunnen niet voor elk onderdeel weken voorraad aanhouden, zeker niet als houdbaarheid, maatvoering en certificering meespelen. Belangrijker is misschien dat leveranciers bij zo’n incident meteen een minimale continuïteitsdienst en één duidelijk meldpunt hebben; nu moet iedereen zelf uitzoeken wie er überhaupt iets mag zeggen.

Cyberaanvallen op leveranciers kunnen ook de veiligheid van bestaande apparatuur raken, bijvoorbeeld als storingsmeldingen, software-updates of onderhoudsinformatie niet beschikbaar zijn. Ziekenhuizen zouden daarom niet alleen moeten vragen wanneer de levering weer loopt, maar ook moeten controleren welke apparaten nog verantwoord gebruikt kunnen worden zonder ondersteuning.

Nou ja, ik vraag me vooral af wie straks de rekening krijgt van al die noodbestellingen en spoedtransporten, de leverancier, de verzekeraar of uiteindelijk gewoon de premiebetaler. En graag ook eerlijk melden als een apparaat niet geleverd is door zo’n aanval, patiënten hebben recht op die informatie, hoor toch.

“Saai” tot de operatiekamer wacht… ja, dat is letterlijk altijd zo met noodplannen 😭 Maar als niemand ze test zijn het gewoon mooie papieren voor de audit, echt bizar dat dit bij medische spullen nog kan.

Cyberweerbaarheid moet gewoon onderdeel zijn van het inkoopcontract: meldtermijnen, minimale voorraad, alternatieve productie en een financiële prikkel als levering stilvalt. Niet achteraf verbaasd doen; ziekenhuizen moeten leveranciers ook op continuïteit selecteren, niet alleen op de laagste prijs.

Bij een cyberaanval denk je meteen aan computers, maar hoeveel van die medische apparaten hangen zelf eigenlijk aan internet of een account van de fabrikant? Ik hoorde van een klant dat haar ziekenhuis zelfs voor een simpele apparaatstoring eerst op afstand toestemming moest krijgen… nou, dan ben je dus dubbel de klos als de leverancier platligt.