D66 en GroenLinks-PvdA willen duidelijkheid over de gijzelware-aanval op epd-leverancier ChipSoft. Volgens de partijen gaat het niet om een op zichzelf staand incident, maar om een signaal van structurele problemen in de zorg-ict. Zij vragen de verantwoordelijke bewindspersonen wie aan zet is.

ChipSoft maakte vorige week dinsdag bekend dat het bedrijf is getroffen door een ransomware-aanval. De leverancier besloot de eigen digitale omgeving te isoleren. ChipSoft levert het epd aan ruim 70 procent van de ziekenhuizen en is daarmee cruciaal voor hun functioneren.

Nog veel onbekend

Verschillende ziekenhuizen haalden uit voorzorg hun patiëntportalen offline. De impact bleef niet beperkt tot zorgorganisaties die rechtstreeks met ChipSoft werken. Ook ziekenhuizen en andere zorginstellingen die samenwerken met ChipSoft-klanten of patiënten naar hen verwijzen, moesten maatregelen nemen. De Autoriteit Persoonsgegevens ontving in korte tijd tientallen meldingen van mogelijke datalekken als gevolg van de aanval.

Over de oorzaak en de omvang van de aanval is nog altijd weinig bekend. Het onderzoek loopt en ChipSoft zegt geen details te kunnen delen over wat precies is gehackt, door wie en wanneer. Daardoor blijft ook onduidelijk of patiëntgegevens daadwerkelijk zijn buitgemaakt, gelekt of vergrendeld. Op de vraag of de hackers losgeld eisen voor gegijzelde data, geeft het bedrijf geen antwoord.

Strengere eisen

De aanhoudende onzekerheid vormt voor de D66 aanleiding om het kabinet om opheldering te vragen. D66-Kamerleden Marc Vervuurt en Sarah El Boujdaini stelden afgelopen donderdag vragen aan VWS-minister Sophie Hermans en staatssecretaris Willemijn Aerdts van Digitale Economie en Soevereiniteit. Zij willen weten welke gevolgen de hack heeft en hoe de bewindspersonen kijken naar de sterke afhankelijkheid van een klein aantal commerciële ict-leveranciers. Ook vragen zij welke eisen momenteel gelden voor leveranciers van kritieke zorgsoftware en of de hack aanleiding geeft om die eisen aan te scherpen en te vertalen naar nieuw beleid.

Deze versturen we 3-4x per jaar.