Op 13 januari 2026 werd het AZ Monica ziekenhuis in Antwerpen getroffen door ransomware. Binnen enkele uren annuleerde het personeel meer dan 70 operaties, werden zeven pati\u00ebnten in kritieke toestand ge\u00ebvacueerd en werden de hulpdiensten op twee campussen stilgelegd. MRI- en CT-scanners werden uitgeschakeld. De aanval dwong tot een volledige server shutdown die dagenlang duurde. <\/p>\n
Dit was geen ge\u00efsoleerd incident. Belgische zorgorganisaties werden in het tweede kwartaal van 2025 geconfronteerd met gemiddeld 2.620 cyberaanvallen per week. De vraag is niet langer of ziekenhuizen het doelwit zullen zijn, maar of hun architectuur de schade kan beperken wanneer aanvallers binnendringen. <\/p>\n
De aanval begon in de vroege ochtenduren, een overgangsperiode tussen nacht- en dagdiensten waarin detectie doorgaans trager verloopt. IT-medewerkers ontdekten rond 06:32 ongewone encryptieactiviteit op centrale servers. De reactie was onmiddellijk en streng: een volledige uitschakeling van alle IT-infrastructuur op beide campussen. <\/p>\n
De operationele impact was aanzienlijk. Radiologie verloor de toegang tot het PACS-systeem, waardoor beeldapparatuur onbruikbaar werd. Zeven pati\u00ebnten die continue digitale bewaking nodig hadden, moesten worden overgebracht naar andere ziekenhuizen onder toezicht van het Rode Kruis. De ambulances werden door de provincie omgeleid. <\/p>\n
Dit soort gedwongen uitschakeling legt een fundamenteel probleem bloot. Wanneer een organisatie een infectie niet kan indammen tot het punt waar deze is ontstaan, is de enige optie om de stekker uit alles te trekken. Die beslissing beschermde de pati\u00ebntgegevens, maar verlamde de pati\u00ebntenzorg. <\/p>\n
De meeste organisaties in de gezondheidszorg vertrouwen nog steeds op verdediging van de perimeter: firewalls aan de rand van het netwerk, VPN’s voor toegang op afstand en netwerksegmentatie om afdelingen van elkaar te scheiden. Dit model gaat ervan uit dat aanvallers buiten gehouden kunnen worden. Zodra ze die perimeter doorbreken, is het interne netwerk vaak plat en open. <\/p>\n
Traditionele VPN’s verbinden gebruikers met netwerksegmenten in plaats van met specifieke applicaties. Een aanvaller met gestolen referenties kan die tunnel gebruiken om naar andere systemen te scannen, back-up servers te lokaliseren en in de richting van domeincontrollers te gaan. Het VPN behandelt een gecompromitteerde laptop in wezen als een vertrouwd werkstation in het datacenter van het ziekenhuis. <\/p>\n
In het derde kwartaal van 2025 was bijna 48% van de ransomware-incidenten terug te voeren op gecompromitteerde VPN-referenties. Veel ziekenhuizen werken nog steeds met verouderde SSL-VPN-concentrators die zichtbaar zijn op het openbare internet en kwetsbaar zijn voor credential stuffing-aanvallen. <\/p>\n
Segmentatie klinkt effectief tot je onderzoekt hoe het in de praktijk werkt. Netwerksegmenten delen vaak een gemeenschappelijke infrastructuur. Administratieve werkstations hebben vaak toegang tot meerdere zones. Protocollen zoals SMB en RDP blijven open tussen segmenten om legitieme workflows te ondersteunen. <\/p>\n
Ransomware maakt gebruik van deze omstandigheden. Eenmaal binnen, inventariseren aanvallers het netwerk, identificeren doelwitten van grote waarde, zoals domeincontrollers en back-upsystemen, en verplaatsen zich zijdelings totdat ze alles tegelijkertijd kunnen versleutelen. De uitschakeling van AZ Monica suggereert dat deze laterale beweging al aan de gang was toen het personeel de dreiging ontdekte. <\/p>\n
MRI-scanners, CT-machines en pati\u00ebntmonitoren draaien meestal oudere besturingssystemen. Fabrikanten verbieden vaak beveiligingspatches of endpoint agents om de certificering van apparaten te behouden. Deze apparaten communiceren met behulp van protocollen zoals DICOM en HL7 die zijn ontworpen zonder authenticatie of encryptie. <\/p>\n
Een gecompromitteerd werkstation op hetzelfde netwerksegment kan deze apparaten aftasten, kwaadaardige gegevens injecteren of ze gebruiken als springplank om andere systemen te bereiken. Als \u00e9\u00e9n enkel kwetsbaar beeldvormingsapparaat onbeschermd blijft, kan het de spil worden voor een hele ziekenhuiscompromittering. <\/p>\n
Zero Trust gaat uit van een andere aanname: het netwerk is al gecompromitteerd. Elk verzoek om toegang moet worden geverifieerd op basis van identiteit, apparaatstatus en context. Niets wordt standaard vertrouwd. <\/p>\n
Zero Trust Network Access (ZTNA) verbindt gebruikers met specifieke applicaties in plaats van netwerksegmenten. De onderliggende infrastructuur blijft onzichtbaar. Aanvallers met gestolen referenties kunnen alleen de applicaties bereiken waartoe de gebruiker toegang had. Ze kunnen het netwerk niet scannen, geen back-upservers vinden en zich niet bewegen in de richting van domeincontrollers omdat die systemen vanuit hun perspectief gewoon niet bestaan. <\/p>\n
Deze aanpak maakt de hele ziekenhuisinfrastructuur donker voor externe indringers. Er zijn geen open poorten om te ontdekken, geen VPN-concentrators om aan te vallen en geen netwerkpaden om op te sommen. <\/p>\n
Veel aanvallen beginnen met een phishing-link. Een medewerker klikt door en malware wordt gedownload naar zijn werkstation. Van daaruit verspreidt de infectie zich. <\/p>\n
Remote Browser Isolation (RBI) doorbreekt deze keten door webinhoud uit te voeren in wegwerpcloudcontainers. Gebruikers zien een interactieve stream van de pagina, maar er komt geen actieve code op hun apparaat terecht. Als iemand op een kwaadaardige link klikt, wordt de malware in de container uitgevoerd en vernietigd wanneer de sessie eindigt. Het werkstation van het ziekenhuis blijft schoon. <\/p>\n
Apparaten waarop geen beveiligingsagenten kunnen draaien, hebben een andere aanpak nodig. Network Isolation Access Controllers (NIAC) bevinden zich tussen medische apparatuur en de rest van het netwerk als hardwarematige poortwachters. Ze staan alleen de specifieke verkeersstromen toe die elk apparaat nodig heeft, zoals DICOM-beelden naar de PACS-server op de juiste poort, en blokkeren al het andere. <\/p>\n
Zelfs als ransomware het administratieve netwerk overneemt, kan het geen beeldverwerkingsapparatuur achter NIAC-controllers bereiken. De infectie stopt bij de hardwaregrens. De scanners blijven werken en de pati\u00ebntenzorg gaat door. <\/p>\n
In een goed gesegmenteerde Zero Trust omgeving kunnen apparaten standaard niet met elkaar communiceren. Een werkstation bij de receptie heeft geen reden om verbinding te maken met de apotheekdatabase. Een laptop in de administratie kan het chirurgisch planningssysteem niet bereiken. Peer-to-peer verkeer wordt geblokkeerd. <\/p>\n
Wanneer ransomware een enkel apparaat infecteert, is het ge\u00efsoleerd. Er zijn geen SMB-shares om te versleutelen op naburige machines, geen RDP-sessies om te kapen, geen pad naar de domeincontroller. De infectie treft \u00e9\u00e9n apparaat in plaats van het hele ziekenhuis. Een totale shutdown wordt onnodig. <\/p>\n
De NIS2-richtlijn werd in Belgi\u00eb van kracht in oktober 2024. Ziekenhuizen worden geclassificeerd als essenti\u00eble entiteiten en zijn onderworpen aan de strengste verplichtingen. Bestuursleden kunnen persoonlijk aansprakelijk worden gesteld voor ontoereikende beveiligingsmaatregelen. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet. <\/p>\n
Artikel 21 van NIS2 vereist risicoanalyse, mogelijkheden voor incidentafhandeling, bedrijfscontinu\u00efteitsplanning en beveiliging van de toeleveringsketen. De Zero Trust-architectuur komt rechtstreeks tegemoet aan deze vereisten. <\/p>\n
Gecentraliseerde logging biedt de zichtbaarheid die nodig is om incidenten te detecteren en te voldoen aan de 24-uurs rapportageverplichting aan het Centre for Cybersecurity Belgium. ZTNA maakt veilige toegang door derden mogelijk voor leveranciers van apparatuur zonder hen privileges op netwerkniveau te geven. Hardware-isolatie toont aan dat kritieke medische systemen kunnen blijven werken tijdens een aanval. <\/p>\n
Het implementeren van deze controles zorgt voor gedocumenteerd bewijs van due diligence. Als toezichthouders vragen welke maatregelen er zijn genomen, kan de organisatie aantonen dat de beveiliging voldoet aan de Zero Trust-principes. <\/p>\n
Beschouw het waarschijnlijke aanvalspad bij AZ Monica: aanvallers kregen aanvankelijk toegang via gecompromitteerde inloggegevens of een phishing e-mail, scanden het netwerk om doelen te identificeren, verplaatsten zich lateraal om servers en medische systemen te bereiken en implementeerden vervolgens ransomware op alles wat ze konden bereiken.<\/p>\n
Met een Zero Trust architectuur breekt die keten op meerdere punten. ZTNA zou de initi\u00eble toegang hebben beperkt tot specifieke applicaties in plaats van het netwerk. Browserisolatie zou de levering van malware via phishing hebben gestopt. Microsegmentatie zou netwerkscanning en laterale beweging hebben voorkomen. Hardware-isolatie zou medische beeldvormingsapparatuur operationeel hebben gehouden. <\/p>\n
In plaats van een ziekenhuisbrede crisis waarbij pati\u00ebnten moesten worden overgeplaatst en operaties moesten worden geannuleerd, zou het incident beperkt zijn gebleven tot \u00e9\u00e9n gecompromitteerd apparaat. IT-medewerkers zouden dat apparaat hebben ge\u00efsoleerd, de inbreuk hebben onderzocht en de normale werkzaamheden hebben voortgezet. <\/p>\n
Kunnen middelgrote ziekenhuizen Zero Trust implementeren zonder grote projecten?<\/strong> Ja. Begin met ZTNA voor externe toegang en kritieke applicaties. Voeg browserisolatie toe voor webbrowsing door personeel. Zet NIAC-hardware in voor hoogwaardige medische apparatuur. Elk onderdeel biedt onmiddellijke waarde en bouwt tegelijkertijd aan uitgebreide dekking. <\/p>\n Moet je voor Zero Trust bestaande firewalls vervangen?<\/strong> Zero Trust voegt identiteitsgebaseerde controles en isolatiemogelijkheden toe aan de bestaande infrastructuur. Firewalls blijven het noord-zuid verkeer afhandelen terwijl ZTNA en microsegmentatie het interne netwerk aanpakken. <\/p>\n Hoe helpt dit met NIS2-compliance?<\/strong> Zero Trust biedt gedocumenteerd bewijs van toegang met minimale privileges, continue verificatie, mogelijkheden om incidenten in te dammen en veilig beheer van de toeleveringsketen. Gecentraliseerde registratie ondersteunt de 24-uurs meldingsplicht voor incidenten. <\/p>\n Hoe zit het met apparaten die geen beveiligingsagenten kunnen uitvoeren?<\/strong> NIAC-hardware biedt isolatie op netwerkniveau voor medische beeldvormingsapparatuur, IoT-apparaten en oudere systemen. Deze apparaten worden beschermd zonder dat er software op de apparaten zelf hoeft te worden ge\u00efnstalleerd. <\/p>\n Hoe lang duurt de implementatie?<\/strong> De eerste implementatie voor externe toegang en webbeveiliging kan binnen enkele weken worden voltooid. Volledige dekking, inclusief isolatie van medische apparaten, kan maanden duren, afhankelijk van de complexiteit en prioriteiten van de organisatie. <\/p>\n De aanval in AZ Monica laat zien wat er gebeurt als traditionele perimeterbeveiliging faalt. Ziekenhuizen kunnen zich geen dagenlange downtime, overplaatsingen van pati\u00ebnten en geannuleerde operaties veroorloven. De architectuur die deze crisis mogelijk maakte, draait nog steeds in zorgorganisaties in heel Europa. <\/p>\n Zero Trust biedt een ander model. Op identiteit gebaseerde toegang, browserisolatie en bescherming op hardwareniveau cre\u00ebren meerdere barri\u00e8res die aanvallers moeten overwinnen. Wanneer \u00e9\u00e9n controle faalt, houden de anderen de schade binnen de perken. De activiteiten gaan door, zelfs tijdens een actief incident. <\/p>\nVoorkom de volgende ziekenhuiscrisis<\/h2>\n