Tijdens het eerste congres van de European Union of Medical Specialists (UEMS) hebben verschillende deskundigen gewaarschuwd voor de toename van risico’s die de gezondheidszorg langdurig kunnen verstoren. Cyberaanvallen, energiecrises, hybride conflicten of verstoringen in de bevoorrading zijn niet langer louter theoretische scenario’s.

Geconfronteerd met bedreigingen die IT-systemen, gegevens of bepaalde essentiële middelen onbeschikbaar kunnen maken, worden veerkracht en continuïteit van de zorg strategische prioriteiten voor zorginstellingen.

Cyberaanvallen, conflicten en continuïteit van de zorg
Voor Reinoud Reynders, IT-manager Infrastructure & Operations in het Universitair Ziekenhuis Leuven, is het niet langer de vraag of er een cyberaanval zal plaatsvinden, maar in welke staat van paraatheid de organisatie zich zal bevinden wanneer die zich voordoet. In een ziekenhuis is cyberbeveiliging immers bepalend voor het vermogen om aanwezige patiënten te identificeren, behandelingen voort te zetten en toegang te krijgen tot essentiële informatie wanneer het netwerk, de gegevens of de computers niet beschikbaar zijn.

Daders van dergelijke aanvallen behoren tot drie categorieën: hacktivisten, door staten ondersteunde groepen en e-crime. De eersten zetten zich in voor een zaak, de tweede groep streeft geopolitieke of spionagedoelstellingen na, de derde categorie is alleen uit op geld. E-crime is de meest voorkomende vorm van cyberdreiging. Cybercriminelen volgen een opportunistische logica, want ze zoeken de kwetsbaarste slachtoffers uit die ze met een minimale inspanning en een maximale slaagkans kunnen afpersen.

De gezondheidszorg is dan ook een aantrekkelijk doelwit. Deze criminelen gebruiken elektronische systemen, manipuleren gevoelige gegevens en zijn actief in complexe open omgevingen. Ransomware blijft hun meest gevreesde instrument. De aanvallers zoeken eerst een toegangspoort in de vorm van gestolen inloggegevens, phishing of softwarelekken. De getroffen computer dient vervolgens als uitvalsbasis. De aanvallers verkennen het netwerk en verplaatsen zich tussen systemen, op zoek naar inloggegevens, zwakke plekken en slechte configuraties.

Wanneer ze de controle over de kritieke systemen overnemen, schakelen ze beveiligingen uit, extraheren ze gegevens en versleutelen ze de productiesystemen. De organisatie kan een eerste keer worden benaderd om een decryptiesleutel te verkrijgen en een tweede keer om te vermijden dat de gelekte gegevens worden bekendgemaakt of verkocht. De impact is afhankelijk van de detectiesnelheid, de bruikbare beveiligingsfuncties, de herstelcapaciteit en de eventuele aanwezigheid van gestolen gegevens. Een dergelijke aanval kan de IT-tools dagen-, weken- of zelfs maandenlang lamleggen.

Volgens Reinoud Reynders versnelt artificiële intelligentie de fasen van een aanval, past de kwaadaardige software aan de technische omgeving aan en vergemakkelijkt het zoeken naar zwakke plekken. Bovendien stelt ze niet-specialisten in staat om snel toepassingen of websites aan te maken. Software kan perfect functioneren hoewel hij onvoldoende beveiligd is.

Zorg in tijden van conflicten
Deze gedachtegang sluit aan bij die van Steven Vermeren, een Belgische expert op het gebied van noodplanning. Volgens hem evolueren zorgsystemen zich nu in een omgeving waarin systeemcrises, hybride conflicten, cyberaanvallen, verstoringen in de bevoorrading en energiecrises elkaar steeds vaker versterken.

Tijdens een bezoek aan Oekraïne vatte de waarnemend burgemeester van Cherson de situatie in de Europese steden kort maar krachtig samen: "You are already in a hybrid war". Een sterke boodschap, die verder reikt dan de grenzen van Oekraïne. De westerse samenlevingen zijn zich vaak nog aan het voorbereiden op crises die ze al hebben doorgemaakt, terwijl de huidige dreigingen complexer, grensoverschrijdender en langduriger zijn.

Een oorlog kan een energiecrisis veroorzaken, een inval kan het risico op terroristische represailles vergroten, een hybride actie of sabotage kan tot een stroomonderbreking leiden en de zorg verstoren. Crises volgen elkaar op en versnellen, zodat er soms te weinig tijd is om nog naar een normaal functioneren terug te keren.

Na de covid-19-pandemie heeft de Europese Unie haar paraatheids- en veerkrachtarchitectuur versterkt. De concrete uitvoering blijft echter grotendeels lokaal. In België bemoeilijkt de versnippering van bevoegdheden deze opgave nog.

Een moderne gezondheidszorg berust op een aaneenschakeling van met elkaar verweven factoren, zoals personeel, geneesmiddelen, apparatuur, digitale systemen, gegevens, energie, water, gebouwen en transport. De zorgverstrekking bevindt zich op de top van deze piramide. Wanneer er één laag wegvalt, is het volledige systeem in gevaar.

Redundantie is dus een veiligheidsmarge en geen verspilling. Zorginstellingen moeten almaar efficiënter worden, en dat kan ze kwetsbaar maken. Tegenover het op efficiëntie gerichte 'lean management' stelt Steven Vermeren een veerkrachtig beheer dat is afgestemd op continuïteit. Die veerkracht is ook afhankelijk van de personen. Het welzijn, de psychologische veiligheid en de gemoedsrust van het personeel dragen rechtstreeks bij tot de handelingscapaciteit in crisissituaties.

Ten slotte is de veerkracht niet beperkt tot het ziekenhuis. De gezondheidszorg is een lokaal ecosysteem met formele structuren, informele netwerken, sociale actoren en bewoners. Een robuust ziekenhuis in een wankele omgeving blijft kwetsbaar. Het voorbereiden van dit ecosysteem is erop gericht de sociale continuïteit te handhaven in ongunstige omstandigheden. Psychosociale ondersteuning op lokaal niveau wordt dan ook een strategische pijler.