Nieuws
image

Kamervragen over ransomware-aanval op EPD-leverancier ChipSoft

donderdag 9 april 2026, 14:42 door Redactie, 11 reacties

In de Tweede Kamer zijn vragen aan minister Hermans van Volksgezondheid gesteld over de ransomware-aanval op EPD-leverancier ChipSoft. Vanwege de aanval besloten meerdere ziekenhuizen om hun patiëntportalen offline te halen. Z-CERT, het Computer Emergency Response Team voor de Nederlandse zorg, adviseerde ziekenhuizen om hun ChipSoft-systemen te controleren op afwijkend netwerkverkeer.

De Autoriteit Persoonsgegevens heeft vanwege de aanval op ChipSoft inmiddels 23 datalekmeldingen ontvangen, zo meldt Skipr. ChipSoft levert software voor elektronische patiëntendossiers (EPD). De meeste Nederlandse ziekenhuizen gebruiken het EPD-systeem van ChipSoft. Het zou naar schatting een marktaandeel van zeventig procent hebben.

Naar aanleiding van de aanval besloot ChipSoft verbindingen met verschillende platforms uit te schakelen. Skipr meldt ook dat wordt geprobeerd om een aantal van deze diensten met behulp van 'nieuwe sleutels' weer online te krijgen. De aanval is reden voor D66-Kamerleden Vervuurt en El Boujdaini om minister Hermans om opheldering te vragen. Ze willen onder andere weten of de aanval gevolgen heeft voor de continuïteit van zorg en of er aanwijzingen zijn dat patiëntgegevens zijn gestolen.

"Hoe beoordeelt u de sterke afhankelijkheid van een beperkt aantal commerciële leveranciers voor cruciale zorg-IT, en hoe worden de risico's daarvan beperkt?", vragen Vervuurt en El Boujdaini verder. Minister Hermans moet ook duidelijk maken welke eisen worden gesteld aan leveranciers van zorg-IT op het gebied van cybersecurity, weerbaarheid en continuïteit, en in hoeverre deze eisen voldoende zijn gezien de kritieke rol van deze partijen voor het zorgsysteem.

"Ziet u aanleiding om aanvullende eisen te stellen aan leveranciers van kritieke zorg-IT, bijvoorbeeld op het gebied van redundantie, interoperabiliteit of exit-strategieën, zodat zorginstellingen minder kwetsbaar zijn bij uitval of incidenten?", willen de D66-Kamerleden aanvullend weten. Die vragen ook of er wordt gewerkt aan het verminderen van single points of failure in de digitale infrastructuur van de zorg. De minister heeft drie weken om de Kamervragen te beantwoorden.

Reacties (11)
Reageer met quote
Gisteren, 15:07 door Anoniem
Misschien niet alles online/in de cloud willen doen. En niet allemaal gevoelige data willen delen.

Er zijn teveel datasets met gevoelige data. En gezien de recente stroom aan hacks, te weinig goed beveiligde organisaties. (als dat al helemaal kan)

Dus waarom nog steeds dat digidrammen en verplichte deelname aan EPDs etc.
Dat iets gemakkelijk is, en er misschien extra geld verdiend kan worden met persoons- of patientdata door hergebruik, betekent nog niet dat de burger vogelvrij gemaakt moet worden voor bedrijfsbelangen.
Daar zou de politiek meer oog voor moeten hebben, dan ze nu heeft.

Wanneer het fout gaat (niet als het fout gaat, maar wanneer), dan mag de burger de puinzooi van anderen gaan opruimen. En dat jarenlang.
Dat moet echt anders.

Politici die nu opeens vragen stellen, presteren echt ondermaats met het type vragen dat ze stellen.
Om over het zittende kabinet (en diens vooirgangers) maar te zwijgen. Die steken hun kop in het zand.
Reageer met quote
Gisteren, 15:13 door Anoniem
Goh, wie voert die ransomeware aanvallen toch allemaal uit, zouden dat Russische criminelen zijn, of gewoon de hacker in het huizenblok tegenover je? Ze hebben het er maar druk mee. De hele dag met hun simbox bedrijven bellen naar aanleiding van een bestuurlijk opzetje uit 2023 en hun slaafjes en naar de mond praters.

Ik ben benieuwd of deze daders gepakt gaan worden, netzoals de daders van de Odidio social enginerings scam.
Reageer met quote
Gisteren, 15:31 door Anoniem
We duiken steeds dieper in steeds complexere afhankelijkheid van steeds ondoorzichtiger supply chains en denken nog altijd alleen in termen van prijs vs functionaliteit. Wie onderzoekt er zelf zijn supply chain, wie vraagt er om een SBOM, wie heeft er een exit strategie geregeld en wie heeft er een dekkend en ingeoefend BCP/DRP?
Reageer met quote
Gisteren, 15:52 door Anoniem
Voor het voorkomen dat je in een vendor lock-in duikt (zoals het nu effectief het geval is) heb je twee dingen nodig:
1) Een open standaard die zonder mitsen en maren door iedereen geïmplementeerd kan worden
2) De verplichting gebruik te maken van die open standaard
Reageer met quote
Gisteren, 16:33 door Anoniem
Door Anoniem: Voor het voorkomen dat je in een vendor lock-in duikt (zoals het nu effectief het geval is) heb je twee dingen nodig:
1) Een open standaard die zonder mitsen en maren door iedereen geïmplementeerd kan worden
2) De verplichting gebruik te maken van die open standaard

Ik ben het wel eens dat je open standaarden zou moeten gebruiken. Maar veel keus heb je in Nederland niet. Chipsoft of Epic. Epic wil niet eens praten met de meeste ziekenhuizen. dus is er niet. maar een (IHE) open standaard helpt niet tegen een medewerkeraccount dat gehackt wordt waar dan vervolgens enorm veel data mee wordt gelekt.
Daarnaast kan je ook iets zeggen tegen deze open standaarden. als het duidelijk is hoe alles werkt omdat het open is, dan is het zoeken van een gat ook makkelijker.
Reageer met quote
Gisteren, 19:21 door Anoniem
Door Anoniem:
Door Anoniem: Voor het voorkomen dat je in een vendor lock-in duikt (zoals het nu effectief het geval is) heb je twee dingen nodig:
1) Een open standaard die zonder mitsen en maren door iedereen geïmplementeerd kan worden
2) De verplichting gebruik te maken van die open standaard

Ik ben het wel eens dat je open standaarden zou moeten gebruiken. Maar veel keus heb je in Nederland niet. Chipsoft of Epic. Epic wil niet eens praten met de meeste ziekenhuizen. dus is er niet. maar een (IHE) open standaard helpt niet tegen een medewerkeraccount dat gehackt wordt waar dan vervolgens enorm veel data mee wordt gelekt.
En die situatie is ontstaan doordat er twee (of eerder meer) bedrijven waren met een monopolie op hun eigen standaard. Als door middel van standaarden het overstappen veel makkelijker is ga je je klanten ook anders behandelen.

Daarnaast kan je ook iets zeggen tegen deze open standaarden. als het duidelijk is hoe alles werkt omdat het open is, dan is het zoeken van een gat ook makkelijker.
In een standaard bepaal je hoe en wat er uitgewisseld of opgeslagen moet worden, een kwetsbaarheid zit vaak in de implementatie van de standaard. En uiteraard zit die kwetsbaarheid er ook als niemand er vanaf weet, maar of je daar nou beter mee af bent ... iemand die genoeg probeert komt er vanzelf achter. De software van ChipSoft is ook zo gesloten als wat, dat heeft niet voorkomen dat we in de huidige situatie zitten.
Reageer met quote
Gisteren, 20:14 door Anoniem
Door Anoniem:
Door Anoniem: Voor het voorkomen dat je in een vendor lock-in duikt (zoals het nu effectief het geval is) heb je twee dingen nodig:
1) Een open standaard die zonder mitsen en maren door iedereen geïmplementeerd kan worden
2) De verplichting gebruik te maken van die open standaard

Ik ben het wel eens dat je open standaarden zou moeten gebruiken. Maar veel keus heb je in Nederland niet. Chipsoft of Epic. Epic wil niet eens praten met de meeste ziekenhuizen. dus is er niet. maar een (IHE) open standaard helpt niet tegen een medewerkeraccount dat gehackt wordt waar dan vervolgens enorm veel data mee wordt gelekt.
Daarnaast kan je ook iets zeggen tegen deze open standaarden. als het duidelijk is hoe alles werkt omdat het open is, dan is het zoeken van een gat ook makkelijker.

Epic is ook Amerikaans, en zijn in AMC al grote ongelukken mee gebeurd.
Reageer met quote
Gisteren, 22:04 door Anoniem
regeren is vooruitzien, niet constant in de achteruitkijk spiegel staren.

soms is om vergeving vragen echt te laat.
Reageer met quote
Vandaag, 09:22 door Anoniem
Kamervragen, kamervragen. Ik wacht op kamerdaden want alleen vragen lossen niets op. En door naar de volgende ransomeware-aanval en de daarop volgende kamervragen, ...
Reageer met quote
Vandaag, 10:25 door Anoniem
Door Anoniem: Kamervragen, kamervragen. Ik wacht op kamerdaden want alleen vragen lossen niets op. En door naar de volgende ransomeware-aanval en de daarop volgende kamervragen, ...

En de burgers/patienten ondetussen maar puin ruimen.
Je vraagt je (soms) af waar kabinet en kamerleden nog voor betaald worden.

Als de politiek geen rol voor zichzelf in dit probleem ziet, geef ons als burger dan meer mogelijkheden en keuzevrijheid om ergens niet aan mee te moeten doen als we het niet vertrouwen of geef ons analoge alternatieven.
Voorkomen is beter dan genezen. Maar de burger staat door keuzes van de politiek met haar rug tegen de muur en kan geen kant op.
Reageer met quote
Vandaag, 11:37 door AX0
Het stellen van kamervragen helpt alleen als ze in de kamer begrijpen wat de essenties zijn van digitaal automatiseren en die basale kennis is niet eens aanwezig bij 85% van de huidige generaties in en met IT/digitale automatisering, 99,5% van boardroom Executives en manager kennen die niet.

Wat wil je dan bereiken met kamervragen? Als je van afstand al kan concluderen dat er een aantal zaken bijzonder mis blijkt te zijn bij Chipsoft, bijvoorbeeld dat men niet kan zeggen of er data is buit gemaakt? Dan is er veel meer mis bij Chipsoft. Vooral organisatorisch.

Meneer van Dijk CSO bij Chipsoft heeft vast wel wat uit te leggen aan de familie Mulder. Want voldoen aan een checkboxjes als CSO 'seen that, checked that', zonder na te denken over ketenconsequenties bij een eventuele hack, zoals nu een beetje helder aan het worden is?

BTW
Als niet kan worden gesteld of er data is buit gemaakt, dan kun je op je vingers natellen dat er a: juridisch verstoppertje wordt gespeeld en b: Het zomaar kan zijn dat er WEER geen adequate maatregelen zijn genomen grote volume data transport te detecteren, te stoppen of zelfs te voorkomen...

"Every Thinkable aspect/facet, in and with digital automation, is 100% predictable/manipulable, for all involved...."

Op naar de volgende hack ...
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure Salt Road Compromised Components