Kort: bij het Poolse MyDr, een van de grootste leveranciers van elektronische patiëntendossiers daar, zijn de gegevens van bijna 19 miljoen mensen buitgemaakt. Niet 19 miljoen mensen die zich ergens hebben aangemeld — 19 miljoen mensen die gewoon naar de dokter gingen. Nederland doet niet minder aan concentratie: in 2021 draaiden 51 van de 74 ziekenhuizen op één pakket.
De Poolse minister van Digitale Zaken Krzysztof Gawkowski noemde het woensdag op een persconferentie “ongekend”. Het bedrijf bevestigde zelf dat er 19 miljoen records zijn gestolen, met verschillende soorten gegevens die aan elkaar te koppelen zijn. Er zijn volgens hem geen aanwijzingen dat een ander land erachter zit; het lijkt gewoon geld. Zijn lijn is duidelijk: “Niemand gaat met iemand onderhandelen. Niemand geeft toe aan chantage.” Burgers krijgen het advies hun PESEL — het Poolse burgerservicenummer — te beveiligen via de overheidsapp.
Dat is nette crisiscommunicatie. Het is alleen het antwoord op de verkeerde vraag.
Het probleem is niet de inbraak, het is de bundeling
Een softwareleverancier die de dossiers van 19 miljoen mensen op één plek beheert, is geen ICT-leverancier meer. Dat is nationale infrastructuur met een verkoopafdeling. Wie daar binnenkomt, hoeft niet 19 miljoen keer in te breken — één keer is genoeg. Alle beveiligingsbudget van alle aangesloten praktijken samen verandert daar niets aan, want de zwakste schakel zit niet bij hen.
Zo’n bundeling ontstaat nooit door een besluit. Ze ontstaat doordat elke individuele keuze logisch is: één pakket dat koppelt met de apotheek, met het lab, met de verzekeraar. Efficiënt. En dan zit je op een dag met een land dat op één inlog draait.
Nederland is geen uitzondering, eerder een extremer geval
Kijk naar onze eigen cijfers. In 2021 gebruikten 51 van de 74 Nederlandse ziekenhuizen HiX van ChipSoft — ruim 70 procent van de markt, de rest verdeeld over drie andere leveranciers. Computable schreef in januari 2026 dat die markt sindsdien nog verder één kant op is geschoven en steeds meer trekken van een monopolie krijgt. Bij de huisartsen zijn negen informatiesystemen actief, maar een handvol daarvan dekt vrijwel alle praktijken, en ook daar consolideren de aanbieders.
Vertaal de Poolse zaak dus even naar hier: één succesvolle aanval op de juiste partij raakt niet één ziekenhuis, maar het merendeel. Dat is geen doemscenario, dat is rekenwerk.
Waarom “wij betalen niet” het makkelijkste deel is
De minister zegt dat er niet onderhandeld wordt. Prima standpunt, en waarschijnlijk het juiste. Maar het beschermt niemand wiens diagnose nu ergens te koop staat. Medische gegevens zijn de meest bruikbare grondstof die er voor oplichters bestaat: ze zijn waar, ze zijn persoonlijk en ze verlopen nooit. Een mail die je aanspreekt op een behandeling die je echt hebt gehad, in combinatie met je burgerservicenummer, komt langs elk onderbuikgevoel waar je je mensen op traint. Wij schreven eerder over het script achter valse bankmails: dat script wordt met deze data alleen maar overtuigender.
Dat is ook de reden dat “niet betalen” en “geen risico” twee verschillende dingen zijn. De losgeldvraag is een bedrijfsbeslissing. De data is al weg.
Wat een zorginstelling deze week zou moeten doen
- Zoek uit welke leveranciers jouw patiëntgegevens buiten je eigen muren verwerken, en hoeveel andere klanten die leverancier heeft. Dat tweede getal is je echte risico.
- Vraag geen certificaat op, vraag een oefening: wanneer heeft die leverancier voor het laatst een inbraak gesimuleerd, en wat kwam eruit?
- Leg vast wie er belt, mailt en beslist als de melding niet bij jou vandaan komt maar van de leverancier. In het Poolse geval kwam de bevestiging van het bedrijf zelf, en pas daarna van de overheid. Onze checklist voor incidentrespons is daar een bruikbaar startpunt voor.
- Waarschuw je patiënten vóór de oplichters dat doen. Wie als eerste een geloofwaardige mail stuurt, wint.
En de bestuurlijke vraag die niemand graag stelt: wanneer wordt marktconcentratie in de zorg-ICT als veiligheidsrisico behandeld in plaats van als mededingingsdossier? Dit is namelijk hetzelfde patroon dat we eerder beschreven bij de MIVD-directeur op Strava: het incident is nooit het incident. Het is het systeem dat één fout genoeg maakt.
Bron: TVP World, 12 augustus 2026.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.