Uit onderzoek blijkt dat de betrokken bedrijfsonderdelen van Clinical Diagnostics zowel op het moment van de hack als tijdens een inspectiebezoek in december 2025 niet voldeden aan de norm.

Clinical Diagnostics voldeed tijdens de datahack in juli 2025 niet aan de wettelijke verplichte norm NEN 7510 voor informatiebeveiliging in de zorg. Het werken volgens deze norm had de kans op een informatiebeveiligingsincident als dit kunnen verkleinen en de gevolgen beperken. Dat concludeert de Inspectie Gezondheidszorg en Jeugd (IGJ) na onderzoek naar de informatiebeveiliging bij de betrokken bedrijfsonderdelen Clinical Diagnostics LCPL BV en NMDL BV in Rijswijk.

Onderzoek

Clinical Diagnostics is een laboratorium dat diagnostische tests uitvoert voor zorgaanbieders. Bij de hack in 2025 werden op grote schaal gevoelige gegevens gestolen, met name van deelnemers aan het bevolkingsonderzoek baarmoederhalskanker. Dit kan voor betrokkenen aanleiding zijn geweest tot onrust. De Autoriteit Persoonsgegevens (AP) voert een onderzoek uit op grond van de AVG (Algemene verordening gegevensbescherming). De IGJ deed onderzoek op basis van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Die vereist dat organisaties die werken met patiëntgegevens moeten voldoen aan de norm NEN 7510 om risico’s op cyberincidenten te beperken.

Conclusie

Uit het onderzoek blijkt dat de betrokken bedrijfsonderdelen van Clinical Diagnostics zowel op het moment van de hack als tijdens een inspectiebezoek in december 2025 niet voldeden aan de norm. Er was onder meer geen onafhankelijke audit uitgevoerd op informatiebeveiliging. Daarnaast had het bedrijf risico’s bij het verwerken van gegevens niet periodiek in kaart gebracht. Zonder inzicht te hebben in die risico’s kon zij niet bepalen welke maatregelen nodig waren voor databeveiliging. Clinical Diagnostics voldeed daarmee niet aan de wettelijke vereisten.

Vervolg

De inspectie heeft Clinical Diagnostics gevraagd om op korte termijn aantoonbaar te voldoen aan de NEN7510. 

Deze versturen we 3-4x per jaar.