De Rijksinspectie Digitale Infrastructuur (RDI) is naar aanleiding van een ransomware-aanval een onderzoek gestart naar de beveiligingsmaatregelen van EPD-leverancier ChipSoft. De toezichthouder zal kijken wat er precies is gebeurd, onder welke omstandigheden de aanval kon plaatsvinden en wat de impact was. ChipSoft levert software voor elektronische patiëntendossiers (EPD). De meeste Nederlandse ziekenhuizen gebruiken het EPD-systeem van ChipSoft. Het zou naar schatting een marktaandeel van zeventig procent hebben.

ChipSoft maakte op 7 april bekend dat het door een ransomware-aanval was getroffen. Daarbij werden ook persoonsgegevens van patiënten buitgemaakt, waaronder medische gegevens. Hoe de ransomware-aanval mogelijk was liet ChipSoft niet weten. De aanval werd opgeëist door een ransomwaregroep genaamd Embargo. De aanvallers claimden op hun eigen website dat ze honderd gigabyte aan data hadden gestolen. De ransomwaregroep dreigde de gestolen data te publiceren tenzij er losgeld werd betaald.

"De bescherming van de gegevens van onze klanten heeft voor ons altijd de hoogste prioriteit. In deze uitzonderlijke situatie heeft dat belang zeer zwaar gewogen. Mede met ondersteuning van cybersecurity-experts is het ons gelukt om te voorkomen dat de gegevens gepubliceerd zijn", maakte ChipSoft eind april bekend. "ChipSoft heeft laten weten dat de bestanden vernietigd zijn", reageerde minister Sterk van Langdurige Zorg, Jeugd en Sport in een brief aan de Tweede Kamer over het incident. "Ik merk echter op dat nooit met volledige zekerheid vast te stellen is dat de buitgemaakte bestanden ook daadwerkelijk volledig zijn vernietigd."

Chipsoft is een digitale dienstverlener en valt hierdoor onder de Wet beveiliging netwerk- en informatiesystemen (Wbni). "Deze wet verplicht tot het nemen van passende en evenredige technische en organisatorische maatregelen om netwerk- en informatiesystemen te beveiligen", aldus de RDI, die toezicht op naleving van de wet houdt. "Incidenten zijn helaas niet altijd te voorkomen. Wel verwachten we dat organisaties hun beveiligingsmaatregelen op orde hebben", zo laat de toezichthouder verder weten. De RDI is ook bezig met een onderzoek naar Odido en de ransomware-aanval die daar plaatsvond.