Cyberbeveiligingswet medische hulpmiddelen: essentieel of belangrijk?

Een klant stuurt je zijn ISO 13485-certificaat en vraagt: "Dan zijn we toch gedekt?" Het is een fabrikant van in-vitrodiagnostica uit Brabant met 180 medewerkers. Op het certificaat staat niets over de Cyberbeveiligingswet (Cbw).

Productregelgeving en organisatiebrede cyberbeveiliging zijn twee verschillende regimes. MDR en IVDR gaan over het hulpmiddel. De Cbw, de Nederlandse implementatie van NIS2, gaat over het bedrijf dat het maakt. Adviseer je klanten onder de Cyberbeveiligingswet voor medische hulpmiddelen, dan moet je per klant weten in welke bijlage hij valt. Dat bepaalt het toezichtsmodel, het boetemaximum en de auditdruk.

Farma en medische hulpmiddelen staan in twee bijlagen

NIS2 (Richtlijn (EU) 2022/2555) plaatst life-sciencesentiteiten op twee plekken.

Bijlage I, sector 5 (gezondheidszorg) omvat onder meer:

• fabrikanten van basisfarmaceutische producten en farmaceutische bereidingen;
• entiteiten die onderzoek en ontwikkeling van geneesmiddelen verrichten;
• EU-referentielaboratoria;
• fabrikanten van medische hulpmiddelen die tijdens een noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd, dus hulpmiddelen op de lijst op grond van artikel 22 van Verordening (EU) 2022/123.

Bijlage II, sector 5 (vervaardiging van bepaalde kritieke producten) omvat fabrikanten van medische hulpmiddelen en in-vitrodiagnostica die niet op die noodlijst staan.

Essentieel of belangrijk: de omvang bepaalt het

Volgens artikel 3 is een grote entiteit in een Bijlage I-sector essentieel. Een middelgrote entiteit in Bijlage I is belangrijk. Elke entiteit binnen bereik in Bijlage II is belangrijk.

Klant	Bijlage	Typische indeling
Grote farmaceutische fabrikant	I	Essentieel
Middelgroot geneesmiddelenonderzoeksbedrijf	I	Belangrijk
Grote fabrikant van hulpmiddelen op de noodlijst	I	Essentieel
Middelgrote IVD-fabrikant	II	Belangrijk
Grote fabrikant van gewone medische hulpmiddelen	II	Belangrijk

Omvang volgt uit Aanbeveling 2003/361/EG: middelgroot betekent minstens 50 medewerkers of meer dan 10 miljoen euro omzet of balanstotaal. Kleine en micro-ondernemingen vallen in de regel buiten bereik, met enkele uitzonderingen voor entiteiten met een sleutelrol.

Ga er niet van uit dat een hulpmiddelenfabrikant in Bijlage I valt. De meeste doen dat niet. De noodlijst wordt pas relevant na erkenning van een noodsituatie voor de volksgezondheid; de typische klant zit in Bijlage II.

Toezicht in Nederland: IGJ en NCSC

In de zorgsector houdt de Inspectie Gezondheidszorg en Jeugd (IGJ) toezicht op de naleving van de Cbw, ook bij fabrikanten van medische hulpmiddelen en in-vitrodiagnostica. Registratie verloopt via het NCSC. De Cbw is sinds 15 augustus 2026 van kracht; zie de Cbw: wat je moet weten.

Het label verandert je opdracht. Beide categorieën hebben dezelfde zorgplicht (artikel 21 NIS2) en dezelfde meldplicht (artikel 23). Het verschil zit in toezicht en boetes. Essentiële entiteiten krijgen proactief toezicht; bij belangrijke entiteiten is het toezicht reactief. De boetes in artikel 34 lopen op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en 7 miljoen euro of 1,4% voor belangrijke entiteiten. Voor bestuurders noemt de Cbw een bestuurlijke boete tot 25.000 euro bij het niet nakomen van hun verplichtingen.

Reactief toezicht is niet soepel toezicht. Als een fabrikant van een gekoppelde infuuspomp ransomware oploopt, biedt "belangrijk" weinig troost.

Wat een audit bij life sciences vindt

Kwaliteitssystemen zijn volwassen. Security governance meestal niet.

OT- en labnetwerken. Productielijnen, cleanrooms en labapparatuur draaien op legacy-systemen die niet volgens het IT-schema te patchen zijn. Segmentatie is de realistische maatregel. Zie NIS2 voor fabrikanten: de IT/OT-grens.

Gevalideerde systemen. Computersysteemvalidatie bevriest softwareversies. Teams zien dat als reden om niet te patchen. NIS2 vraagt om een gedocumenteerd kwetsbaarhedenproces met compenserende maatregelen, niet om stilte.

Ketenrisico. Contractfabrikanten, CRO's, cloud-LIMS en softwareleveranciers vallen onder artikel 21, lid 2, onder d. Een kwaliteitsovereenkomst is geen securitybeoordeling.

Bestuurlijke verantwoordelijkheid. Artikel 20 maakt het bestuur verantwoordelijk voor goedkeuring en toezicht. De quality manager tekent dat niet namens het bestuur af.

Productbeveiliging is niet bedrijfsbeveiliging. De MDR- en IVDR-eisen aan cyberbeveiliging van hulpmiddelen gaan over de productlevenscyclus. Ze geven je geen incidentproces voor het bedrijfsnetwerk, geen registratie en geen early warning binnen 24 uur.

Meldplicht naast bestaande vigilantie

Een significant incident vraagt een early warning binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Voor de zorgsector noemt de Cbw onder meer een kritiek bedrijfsproces dat langer dan vier uur geheel of gedeeltelijk stilligt als criterium. Deze termijnen staan los van de bestaande meldplicht aan de IGJ bij ernstige incidenten met medische hulpmiddelen. Eén gebeurtenis kan beide starten.

Bouw één incidentdraaiboek: wie bepaalt of iets significant is, wie meldt aan het CSIRT of de toezichthouder, wie doet de vigilantiemelding. Test het één keer. De termijnen staan in NIS2-meldplicht: 24 uur, 72 uur en 1 maand.

Fabrikanten met vestigingen in meerdere landen

Een fabrikant met locaties in meerdere landen kan onder meerdere regimes vallen. Duitsland, Italië, Polen en Nederland hebben wetten in werking; Frankrijk en Spanje hebben niet omgezet en zijn in juli 2026 door de Commissie naar het Hof van Justitie verwezen.

Bevestig per rechtspersoon welke wet geldt en welke autoriteit toezicht houdt. Zie artikel 26: welke toezichthouder.

Wat je deze maand doet

1. Maak een lijst van rechtspersonen. NIS2 geldt per entiteit, niet per groepsmerk.
2. Deel elke entiteit in via Bijlage I en II en pas de omvangstoets toe.
3. Check of een product op de noodlijst staat.
4. Controleer de registratie bij het NCSC en in andere landen.
5. Leg de gaps langs de tien maatregelen van artikel 21, te beginnen met toeleveringsketen en kwetsbaarhedenbeheer.

Wil je snel een verdedigbaar vertrekpunt voor een life-sciencesklant? Begin met een readiness-beoordeling. Start de gratis NIS2 Quick Scan en je hebt een gap-analyse die je bij de directie op tafel legt.

Deel de klant in, vind de gaps en pak eerst keten en kwetsbaarhedenbeheer aan. Daar verliezen fabrikanten de meeste auditpunten.