De meeste security-programma’s in ziekenhuizen zijn gebouwd om een datalek te stoppen. Maar de aanvalsketens die ON2IT laat zien in live “Hack the Hospital”-demonstraties raken nooit een patiëntendossier. Ze raken het HVAC-systeem dat een OK steriel houdt, de watercirculatie voor dialyse, de gebouwbeheersystemen die klinische zones scheiden. Deze systemen zijn verbonden, onbewaakt en onzichtbaar voor bijna elke tool die je securityteam gebruikt. Zero Trust dat stopt bij de datalaag beschermt je ziekenhuis niet. Het beschermt de helft ervan.
Het probleem
Ziekenhuis-OT is verbonden, onbewaakt en onveilig
Ziekenhuizen hebben 15 tot 20 netwerkapparaten per bed. Grotere instellingen kunnen 85.000 niet-IT medische apparaten hebben. De meeste traditionele cybersecuritysystemen kunnen OT-, IoT- en IoMT-apparaten niet eens zien, laat staan beschermen. Water-, HVAC- en sterilisatiesystemen draaien op hetzelfde netwerk als radiologie-werkstations.
Het antwoord
Zero Trust aangepast voor fysieke omgevingen
Standaard IT Zero Trust kun je niet één op één overzetten naar CPS-omgevingen zonder operationele verstoring te riskeren. Safety, latency en uptime-eisen vragen om een specifiek aangepaste aanpak. De principes blijven hetzelfde. Begin met zichtbaarheid, segmentatie en gecontroleerde remote toegang.
In het kort
De omvang van het probleem
De Europese zorgsector rapporteerde 309 cybersecurity-incidenten in 2023, met ziekenhuizen als belangrijkste doelwit (ENISA). De meeste aanvallen zijn niet geraffineerd. Ze maken gebruik van onbeveiligde interfaces, platte netwerkontwerpen en onbewaakte vendor-toegang. De schade blijft niet meer beperkt tot patiëntendata. Die reikt nu tot operatiekamers, dialyse-afdelingen en steriele zones.
Het verborgen aanvalsoppervlak
OT-systemen (HVAC, waterbeheer, sterilisatie, gebouwbeheer) zijn essentieel voor patiëntveiligheid, maar gebouwd voor beschikbaarheid, niet voor security. OT ontwikkelt zich elke 10 tot 15 jaar; IT elke 6 maanden. De meeste OT-systemen hebben geen logging, geen authenticatie, geen detectie. In veel ziekenhuizen delen deze systemen netwerkinfrastructuur met klinische IT en medische apparatuur.
Waarom standaard IT ZT niet werkt
IT-gerichte Zero Trust toepassen op ziekenhuis-CPS-omgevingen riskeert fysieke schade. Actieve kwetsbaarheidsscans laten kwetsbare PLC’s crashen. Auto-isolatie van een “risicovolle” controller op een IC kan patiënten schaden. Cloud-afhankelijke identiteitscontroles introduceren latency die realtime klinische systemen niet kunnen verdragen. Gartner (januari 2026) is daar expliciet over: pas de principes aan, kopieer niet de tools.
Wat aangepaste ZT oplevert
Passieve asset discovery die niet verstoort. Protocol-bewuste segmentatie die Modbus- en BACnet-commando’s begrijpt, niet alleen TCP-poorten. Just-in-time credentials voor vendor-toegang. Oost-west monitoring binnen het OT-netwerk. Succes wordt gemeten in time-to-recovery en beperking van de blast radius, niet in patch-percentages of MFA-dekking.
Wat we vinden in echte ziekenhuisassessments: “Geen logging op OT-controllers. Gedeelde wachtwoorden voor vendor-accounts. HMI’s die nog op Windows 7 draaien. Water- en HVAC-systemen op hetzelfde VLAN als radiologie-werkstations. Als je nu denkt ‘dat kan toch niet waar zijn’: je loopt al achter.”
I. Waarom ziekenhuizen het perfecte doelwit zijn
Vraag een securityteam in een ziekenhuis wat hun grootste risico is, en de meesten zeggen hetzelfde: een gelekt patiëntendossier. Dat klopt niet. Ziekenhuizen zijn digitaal versnipperd, structureel onderbemand op security, en architecturaal niet voorbereid op de dreiging die ze daadwerkelijk lopen. Dat maakt ze aantrekkelijk voor aanvallers, en kwetsbaar voor precies de techniek die moderne OT-aanvallen kenmerkt: living off the land.
Volt Typhoon, een Chinese statelijke actor, bleef in 2023 meer dan 300 dagen onopgemerkt binnen het Amerikaanse elektriciteitsnet. FrostyGoop-malware richtte zich in 2024 via Modbus op verwarmingscontrollers, met verstoring van 600 appartementengebouwen in Oekraïne tijdens vriestemperaturen, na tien maanden stille verkenning. Dit zijn geen IT-aanvallen. Het zijn infrastructuuraanvallen, uitgevoerd via dezelfde industriële protocollen die ziekenhuisgebouwen draaiende houden.
Wat ziekenhuizen specifiek kwetsbaar maakt, is niet hun belang. Het is hun architectuur. Complexe ecosystemen van legacy OT en moderne IT. Systemen van meerdere leveranciers, onregelmatig gepatcht of helemaal niet. Externe toegang door derde partijen, vaak met standaard of gedeelde inloggegevens. Minimale scheiding tussen klinische systemen en gebouwbeheer. De meeste ziekenhuizen zijn gebouwd voor zorg, niet voor cyberdefensie.
Signaal
“309 cybersecurity-incidenten in de Europese zorgsector in 2023 alleen al. Ziekenhuizen zijn volgens ENISA het grootste doelwit, en de meeste aanvallen maken gebruik van basale architecturale fouten, niet van geavanceerde zero-day exploits.”
II. Het cascade-effect: wanneer fysieke systemen falen
In de live Hack the Hospital-demonstraties van ON2IT, met op de praktijk geïnspireerde aanvalsketens, worden twee dingen meteen duidelijk. Eerst: de toegangspunten zijn beschamend toegankelijk. Ten tweede: de fysieke gevolgen zijn direct en ernstig.
Demo 1 · HVAC-aanval
Toegang via verouderde vendor-VPN → BACnet command injection
Een aanvaller misbruikt een ongepatchte vendor-VPN-gateway om bij het gebouwbeheersysteem te komen. BACnet-commando’s, van nature onversleuteld, worden gebruikt om de klimaatregeling van de operatiekamer te overschrijven en luchtkleppen te sluiten. De temperatuur stijgt. Operaties worden uitgesteld. Steriele zones raken gecompromitteerd. Medische apparatuur raakt beschadigd.
Demo 2 · Watersysteem-aanval
Toegang via lateral movement → directe command injection
Vanaf een positie ergens in het platte netwerk beweegt een aanvaller zich naar een publiek toegankelijke HMI met standaard inloggegevens. Waterdruk en chlorinatieniveaus worden aangepast. Dialyseprocessen, die exact gecontroleerde waterkwaliteit vereisen, raken verstoord. Patiëntveiligheid staat direct op het spel.
Beide aanvalsketens tonen dezelfde structurele kwetsbaarheid: wanneer systemen verbonden maar onbeschermd en niet gesegmenteerd zijn, duurt het van toegang tot impact slechts minuten. Geavanceerde tooling is niet nodig. De protocollen (BACnet, Modbus) zijn ontworpen voor industriële betrouwbaarheid, niet voor security. Ze hebben geen ingebouwde authenticatie. Ze accepteren commando’s van elk apparaat dat ze kan bereiken.
Het cascade-effect vergroot de schade. Een storende HVAC vertraagt operaties. Een gemanipuleerde watercirculatie besmet dialysebehandelingen. Een uitgeschakelde sterilisatiecyclus legt hele afdelingen stil. Alarmen gaan niet af, want ze zijn niet ontworpen om deze specifieke dreigingen te detecteren. Het ziekenhuis lijkt normaal te functioneren, tot het moment dat het niet meer werkt.
Belangrijkste bevinding uit ON2IT-assessments
“In sommige ziekenhuizen stonden water- en HVAC-systemen op hetzelfde VLAN als radiologie-werkstations. Zodra een aanvaller een slecht gesegmenteerd systeem binnenkomt, kan die binnen enkele minuten van een gebouwbeheersysteem naar een verpleegpost bewegen.”
III. Vijf tekortkomingen die we in elk ziekenhuisassessment vinden
De security-assessments van ON2IT bij ziekenhuizen laten steeds dezelfde kwetsbaarheden zien. Ze zijn niet exotisch. Ze zijn het voorspelbare resultaat van decennia waarin ziekenhuisinfrastructuur werd ontworpen voor beschikbaarheid, niet voor security.
- Geen logging op OT-controllers. Gebouwbeheersystemen, HVAC-controllers en watersystemen genereren geen securitylogs. Een aanvaller kan maandenlang binnen deze systemen zitten zonder ook maar één melding te veroorzaken. Er is geen bewijsspoor. Er is geen detectieoppervlak.
- Gedeelde wachtwoorden voor vendor-accounts. Externe leveranciers (apparatuurfabrikanten, onderhoudscontractors, systeemintegrators) krijgen toegang tot ziekenhuis-OT met gedeelde inloggegevens, vaak nog de fabrieksinstelling. Als die inloggegevens gecompromitteerd raken, is elk vendor-account voor dat systeem tegelijk gecompromitteerd.
- Verouderde Windows-HMI’s in productie. Op Windows 7 en Windows XP gebaseerde Human-Machine Interfaces die industriële besturingssystemen draaien: ongepatcht, niet ondersteund, en onmogelijk te patchen zonder OEM-garanties te verliezen of productie stil te leggen. Deze systemen kunnen niet worden bijgewerkt. Ze moeten worden ingesloten.
- Geen detectie van lateral movement. Ziekenhuisnetwerken zijn doorgaans plat: geen oost-west monitoring tussen segmenten, geen zicht op verkeer tussen controllers onderling. Een aanvaller die ergens in het netwerk voet aan de grond krijgt, kan zich vrij bewegen. Er is geen interne grens om over te steken en geen alarm dat afgaat.
- OT en klinische IT op hetzelfde netwerksegment. De gevaarlijkste bevinding: gebouwsystemen (HVAC, water, stroom) delen netwerkinfrastructuur met klinische werkstations en medische apparatuur. Een inbreuk in gebouwbeheer wordt een route naar patiëntdata. Een inbreuk in klinische IT wordt een route naar fysieke systemen.
Signaal
“Gerichte OT-aanvallen op ziekenhuizen zijn nog zeldzaam, maar het is een kwestie van tijd voordat zorg-OT in het vizier komt van cybercriminelen. De vraag is of ziekenhuizen handelen voordat dat moment aanbreekt.”
IV. Waarom standaard IT Zero Trust niet werkt, en wat wel
De meeste ziekenhuizen die Zero Trust willen invoeren, grijpen naar de toolkit die hun IT-team al heeft: kwetsbaarheidsscanners, universele MFA, cloud-identiteit, geautomatiseerde isolatie. In ziekenhuis-OT is die toolkit gevaarlijk. Gartner maakt in zijn onderzoeksnotitie van januari 2026 over Zero Trust voor Cyber-Physical Systems expliciet duidelijk: IT-gerichte Zero Trust-tools en -tactieken direct toepassen op CPS-omgevingen, zonder aanpassing, kan de fysieke veiligheid en operationele continuïteit in gevaar brengen. De principes kloppen. De implementatie moet anders.
Wat werkt in ziekenhuis-OT
- Passieve discovery: assets en topologie in kaart brengen zonder actieve probes te sturen die kwetsbare realtime controllers laten crashen
- Zone- en conduit-segmentatie: safety-systemen isoleren van control-systemen, en beide van enterprise-IT, met architectuur, niet alleen beleid
- Protocol-bewuste handhaving: firewalls die Modbus en BACnet begrijpen, en “write”-commando’s blokkeren voor read-only gebruikers in plaats van simpelweg TCP-poort 502 toe te staan of te blokkeren
- JIT-credentials voor vendor-toegang: roterende, tijdelijke inloggegevens voor onderhoudsvensters; nooit statische gedeelde wachtwoorden
- Alert-first adaptieve toegang: alarmen triggeren en monitoring opschalen bij afwijkende commando’s; nooit automatisch een controller isoleren zonder menselijke bevestiging
- Oost-west verkeersmonitoring: zicht op lateral movement tussen controllers onderling, niet alleen noord-zuid verkeer van enterprise-IT naar OT
Wat niet werkt, en waarom
- Actieve kwetsbaarheidsscans: laten kwetsbare PLC’s en realtime systemen crashen; een hoge scanfrequentie is een negatieve safety-indicator, geen positieve
- MFA voor alle OT-apparaten: legacy protocollen (Modbus, BACnet) kennen geen ingebouwd identiteitsconcept; ze inpakken in ZT-authenticatietunnels introduceert latency die realtime safety-systemen niet kunnen verdragen
- Cloud-afhankelijke identiteit voor lokale operaties: valt de internetverbinding weg, dan moeten lokale safety-systemen blijven functioneren; een cloud-only IdP is een gevaarlijk single point of failure
- IT SOAR-playbooks die automatisch isoleren: in een ziekenhuis kan het isoleren van een controller fysieke schade veroorzaken; isolatiebeslissingen vereisen menselijke bevestiging en klinische context
- Vertrouwen op de air-gap-mythe: CPS-omgevingen zijn steeds vaker verbonden en op afstand toegankelijk; de air gap is een illusie en ontbreekt in moderne ziekenhuisinfrastructuur vaak volledig
Gartner, CPS Security Research · G00845476, januari 2026, p.2
Gartners onderzoek naar CPS-security in 2026 is helder: in operationele omgevingen wordt succes niet gemeten aan het percentage gepatchte of gescande systemen, maar aan hoe snel kritieke processen kunnen worden hersteld en hoe effectief werkelijke risico’s worden beperkt zonder de productie stil te leggen. Die verschuiving in denken is het startpunt voor elk Zero Trust-programma in een ziekenhuis.
V. De vijf Zero Trust-principes, aangepast voor ziekenhuisomgevingen
Gartners vijf Zero Trust-principes bieden het juiste structurele kader. Toegepast op ziekenhuis-CPS vraagt elk principe om een specifieke aanpassing die recht doet aan de fysieke realiteit van klinisch werk.
Zero Trust is een paradigma: begin bij high-value assets, bouw van daaruit verder
Probeer niet overal tegelijk Zero Trust toe te passen. Identificeer de systemen met het hoogste risico en de hoogste waarde (specifieke safety-systemen, ventilatiecontrollers, waterbeheer) en bouw daar vanuit verder. Een brownfield-first strategie met gateways en overlay-oplossingen is realistisch. Een rip-and-replace strategie voor dure medische apparatuur niet. Een cross-functioneel team, met IT dat ZT-architectuur inbrengt en klinisch technici die process safety-context inbrengen, is niet onderhandelbaar.
Ga uit van vijandige actoren: OT-omgevingen worden steeds vaker doelwit
Living off the land-technieken en lange sluimerperiodes zijn de norm bij CPS-aanvallen. Volt Typhoon bleef 300 dagen onopgemerkt. FrostyGoop besteedde 10 maanden aan verkenning voordat het toesloeg. Zet purpose-built CPS-beveiligingsplatforms in voor passieve asset discovery en oost-west verkeersmonitoring. Voer oefeningen uit die ervan uitgaan dat aanvallers al geldige inloggegevens hebben, en stel de vraag: “wat weerhoudt hen ervan de sterilisatiecyclus uit te schakelen?” Dat leidt tot betere secundaire controls en fysieke safety-interlocks.
Stel identiteit vast: in ziekenhuis-OT is identiteit complex
“Monteur 3” in een 24/7-ploegendienst kan drie verschillende mensen zijn. Een polymorfe robotische CPS verandert continu wat hij doet. De identiteit van apparatuur kan tijdens OEM-onderhoud veranderen zonder dat IT dat weet. Gebruik gateway-proxy’s en gedragsgebaseerde device fingerprinting (“dit IP-adres communiceert altijd via Modbus TCP met deze drie registers”) om identiteit vast te stellen waar native authenticatie ontbreekt. Geef JIT-credentials uit voor onderhoudsvensters en roteer ze na afloop.
Beperkte toegang: least privilege via zones en conduits
Richt de architectuur in met zones en conduits die safety instrumented systems scheiden van control-systemen, en control-systemen van enterprise-IT, tenzij er een specifieke, gemonitorde noodzaak is. Voor kritieke segmenten zoals nucleaire installaties of energieopwekking (en sommige ziekenhuissystemen) geldt: forceer eenrichtingsverkeer fysiek af met unidirectionele gateways. Het werkstation van de technische dienst hoort geen directe IP-verbinding te hebben met een sensor op de kliniekvloer. Logische scheiding die alleen via ACL’s wordt afgedwongen, is zwak; een route die bestaat, is een route die te misbruiken is.
Risicogebaseerde adaptieve toegang: eerst alarmeren, nooit automatisch isoleren
In ziekenhuis-CPS is het automatisch blokkeren van een commando vanwege een gewijzigde risicoscore gevaarlijk. Een safety-commando dat op het verkeerde moment wordt gestopt, veroorzaakt precies de schade die je probeert te voorkomen. Adaptieve toegang in klinische OT betekent monitoring opschalen en high-priority alarmen sturen naar security-analisten, die vervolgens met productietechnici in gesprek gaan, terwijl het proces gewoon doorloopt. Definieer contextbewuste onderhoudsvensters: schrijftoegang tot een controller alleen wanneer er een permit-to-work-ticket open staat, of wanneer een fysieke onderhoudssleutel actief is.
Gartner, CPS Security Research · G00845476, januari 2026, p.3
Gartners onderzoek naar CPS-security in 2026 stelt dat Zero Trust in OT-omgevingen net zomin een toverstaf is als elk ander securityparadigma daarvoor, en dat het implementatietraject moeilijker is dan in IT. Organisaties die slagen, zijn organisaties die de fysieke beperkingen van klinische omgevingen respecteren in plaats van IT-aannames er met geweld op te plakken. De principes reizen mee; de tools moeten zorgvuldig worden gekozen.
VI. Succes meten: OT-metrics in een ziekenhuis zijn anders
De metrics waarmee Zero Trust-voortgang in IT-omgevingen wordt gemeten, zijn de verkeerde metrics voor ziekenhuis-OT. Sommige zijn zelfs actief gevaarlijk. Gartner identificeert een specifieke set “anti-metrics”: gangbare IT ZT-meetwaarden die op onbegrip wijzen wanneer ze worden toegepast op CPS.
Wel meten
- Time-to-recovery (TTR): hoe snel kan een kritiek klinisch proces worden hersteld met handmatige overrides of offline back-ups tijdens een oefening?
- Frequentie van oefeningen: hoe vaak worden “assume breach”-oefeningen gehouden met zowel IT-securityteams als klinisch technici, waarbij fysieke safety-interlocks worden getest, niet alleen perimeterverdediging?
- Zone-integriteit: welk percentage van het oost-west OT-verkeer (tussen controllers onderling) wordt gemonitord op lateral movement?
- Naleving van onderhoudsvensters: welk percentage van de “write”-commando’s naar controllers valt samen met een actief permit-to-work-ticket of een fysieke onderhoudssleutel?
Niet meten
- Patch-percentage: veel legacy OT-controllers kunnen niet worden gepatcht zonder garanties te verliezen of downtime te veroorzaken. Hoge patch-percentages wijzen in CPS op risicovol gedrag.
- Dekking van actieve scans: actief scannen laat kwetsbare PLC’s crashen. Een hoog aantal hier is een safety-falen, geen securitysucces.
- MFA-dekking: legacy CPS ondersteunt geen MFA. Een hoge streefwaarde hier wijst op een fundamenteel misverstand over de hardware-omgeving.
- % compliant apparaten: compliance-frameworks gebouwd voor IT-eindpunten zijn niet toepasbaar op industriële controllers. Deze metric afdwingen creëert compliance op papier, geen daadwerkelijke securityverbetering.
Gartner, CPS Security Research · G00845476, januari 2026, p.2
Gartners richtlijnen voor CPS-security in 2026 zijn direct: organisaties moeten rekening houden met een inbreuk, niet alleen proberen die te voorkomen. Dat betekent investeren in offline back-ups, werkende handmatige overrides behouden en regelmatig hersteloefeningen houden. In ziekenhuis-OT zijn veerkracht en hersteltijd de belangrijkste graadmeters voor securityvolwassenheid, niet preventiemetrics die zijn geleend van IT-frameworks.
De cijfers die het verschil maken
ENISA · 2023
ON2IT · Hack the Hospital
ON2IT · Hack the Hospital
US CISA · 2023
ON2IT · Gartner-analyse
Protocolspecificaties
Vier concrete eerste stappen voor security-leiders in ziekenhuizen
Zero Trust voor ziekenhuis-OT begint niet met een volledig transformatieprogramma. Het begint met zichtbaarheid en afgebakende segmentatie: bewijs dat de aanpak werkt in een beheersbare omgeving voordat je uitbreidt. Het ziekenhuis dat klein begint en het goed uitvoert, staat verder dan het ziekenhuis dat uitgebreid plant en niets uitvoert.
Maak het onzichtbare zichtbaar: passieve OT asset discovery
Zet een purpose-built CPS-beveiligingsplatform in dat elk OT-, IoT- en IoMT-apparaat passief ontdekt en in kaart brengt, zonder actieve probes te sturen. Deze ene stap onthult meestal assets waarvan het IT-team niet eens wist dat ze bestonden. Je kunt niet beschermen wat je niet ziet. Voor segmentatie, voor beleid, voor wat dan ook: bouw eerst de inventaris.
Scheid het kritieke van het verbondene
Identificeer je OT-systemen met het hoogste risico en de grootste impact (HVAC, water, sterilisatie, zuurstofvoorziening) en segmenteer ze van de rest van het netwerk met zones en conduits. Deze systemen horen geen netwerkinfrastructuur te delen met klinische IT of radiologie-werkstations. Begin met architecturale scheiding en handhaaf die met protocol-bewuste controls in plaats van generieke firewallregels.
Elimineer permanente vendor-toegang
Vervang statische, gedeelde vendor-inloggegevens door just-in-time toegang: credentials die worden uitgegeven voor een specifiek onderhoudsvenster, beperkt tot de systemen die de leverancier moet bereiken, en automatisch ingetrokken na afloop. Elke externe leverancier met permanente toegang tot ziekenhuis-OT is een blijvend, onbewaakt risico. JIT-toegang elimineert die hele risicocategorie.
Voer een “assume breach”-oefening uit met klinisch technici in de kamer
De meest waardevolle oefening die een securityteam in een ziekenhuis kan doen, is geen pentest. Het is een tabletop-oefening die de vraag stelt: “Een aanvaller heeft inloggegevens en zit nu in ons OT-netwerk. Wat weerhoudt hem ervan de patiëntenzorg te beïnvloeden?” Het antwoord op die vraag onthult de secundaire controls die je nodig hebt: fysieke safety-interlocks, handmatige overrides, responsprocedures. Klinisch technici moeten in de kamer zitten. Dit is geen IT-oefening.
Hack the Hospital
Wil je deze aanvalsketen zien, niet er alleen over lezen?
Hack the Hospital is de live demonstratie van ON2IT van precies de hierboven beschreven aanvalsketens, uitgevoerd tegen een realistische ziekenhuisomgeving. HVAC, watersystemen, gebouwbeheer: je team ziet het cascade-effect met eigen ogen, in plaats van op ons woord te vertrouwen.
Bekijk de Hack the Hospital demoBronnen
- ON2IT. “Hack the Hospital.” Gepresenteerd door Luca Cipriano, ONE Conference, 2025.
- Gartner. “Adapting Zero Trust Principles to CPS Security.” Katell Thielemann, G00845476, januari 2026.
- ENISA. “Health Threat Landscape.” European Union Agency for Cybersecurity, 2023.
- CISA. Advisory over Volt Typhoon-activiteit in Amerikaanse kritieke infrastructuur, 2023.