WannaCry bij de NHS

WannaCry bij de NHS: een plan dat niet was geoefend

In mei 2017 trof de WannaCry-ransomware grote delen van de Britse gezondheidszorg. Er was een responsplan, maar het was lokaal niet getest. Volgens de Britse rekenkamer was daardoor in het begin niet duidelijk wie de respons moest leiden, en konden veel organisaties niet communiceren omdat e-mail wegviel. Voor zorginstellingen die nu onder de Cyberbeveiligingswet vallen, is dit een herkenbaar scenario.

Wat er gebeurde

Op vrijdag 12 mei 2017 verspreidde de WannaCry-ransomware zich wereldwijd via een kwetsbaarheid in oudere Windows-systemen. In Engeland werden minstens 80 van de 236 ziekenhuisorganisaties (trusts) geraakt: 34 raakten besmet, 46 hadden verstoringen zonder besmetting. Daarnaast werden 603 andere zorgorganisaties besmet, waaronder 595 huisartsenpraktijken. Vijf spoedeisende-hulpafdelingen moesten patiënten doorverwijzen naar andere ziekenhuizen.

Naar schatting werden meer dan 19.000 afspraken en operaties geannuleerd. De Britse overheid schatte de totale kosten later op 92 miljoen pond, waarvan 19 miljoen aan gemiste zorgproductie en 73 miljoen aan IT-kosten.

Wat de evaluatie vaststelt

De Britse rekenkamer (National Audit Office) publiceerde in oktober 2017 het rapport Investigation: WannaCry cyber attack and the NHS. Over de respons stelt de NAO onder meer vast:

• Het ministerie had een plan voor een nationale cyberaanval, met rollen en verantwoordelijkheden, maar het plan was lokaal niet getest.
• Het was niet direct duidelijk wie de respons moest leiden, en er waren communicatieproblemen.
• Veel lokale organisaties konden niet per e-mail communiceren met de nationale instanties. Medewerkers weken uit naar de telefoon en persoonlijke mobiele telefoons, waaronder WhatsApp.
• Zonder duidelijke richtlijnen meldden lokale organisaties de aanval bij verschillende instanties.
• Het ministerie wist achteraf niet wat de volledige omvang van de verstoring was.

In een vervolgevaluatie uit februari 2018 voegt NHS England daaraan toe dat het gebrek aan coördinatie in het begin de rapportagelast voor lokale organisaties onnodig verhoogde. De evaluatie beveelt aan om alternatieve communicatiekanalen beschikbaar te hebben en te testen, en om jaarlijks een nationale cyberoefening te houden.

Lessen voor de respons

De volgende lessen zijn de interpretatie van OrcaGroup, op basis van de evaluaties.

1. Een plan dat niet is geoefend, werkt niet vanzelf. Rollen op papier zijn iets anders dan mensen die weten dat zij aan zet zijn. Oefen het cyberscenario, ook lokaal.
2. Reken erop dat e-mail en netwerk wegvallen. Bij een cyberaanval zijn juist de normale kanalen getroffen. Alarmering moet werken via een kanaal dat los staat van het eigen netwerk.
3. Eén meldroute, één leiding. Als iedereen bij een andere instantie meldt, ontstaat geen beeld. Leg vooraf vast wie leidt en waar meldingen samenkomen.
4. Vraag de impact gestructureerd uit. Een vaste uitvraag bij afdelingen en locaties (wat werkt, wat niet, welke zorg komt in gevaar) geeft sneller overzicht dan losse telefoontjes.

Wat dit betekent voor de zorg

Zorgaanbieders vallen onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. De wet vraagt om een plan voor crisisbeheer met taken en bevoegdheden, en om een vroegtijdige waarschuwing binnen 24 uur na een significant incident. Daarnaast verwijst de Cbw-regeling voor de zorg naar NEN 7510. Een ziekenhuis of zorginstelling moet dus niet alleen kunnen voorkomen, maar ook kunnen reageren: crisisteam bijeen, afdelingen geïnformeerd, impact in beeld, ook als e-mail en het ziekenhuisinformatiesysteem uitvallen.

iTelAlert alarmeert crisisteams en afdelingen via een kanaal dat los staat van het eigen netwerk, met bevestiging wie heeft gereageerd. DutyFlow maakt zichtbaar wie op welk moment dienst heeft.