Brief regering : Toezending briefrapport van de Inspectie Gezondheidszorg en Jeugd (IGJ) over het onderzoek naar datahack bij laboratorium bevolkingsonderzoek baarmoederhalskanker

32 793
Preventief gezondheidsbeleid

Nr. 338
BRIEF VAN DE MINISTER VAN VOLKSGEZONDHEID, WELZIJN EN SPORT

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 13 mei 2026

Vandaag publiceerde de Inspectie Gezondheidszorg en Jeugd (IGJ) een briefrapport over
het onderzoek dat IGJ heeft uitgevoerd bij het laboratorium Clinical Diagnostics naar
aanleiding van de datahack die heeft plaatsgevonden begin juli 2025.1 Deze datahack heeft veel impact gehad op iedereen van wie gegevens zijn buitgemaakt.
Dit briefrapport is tevens bijgevoegd als bijlage bij deze brief. Clinical Diagnostics
voerde onder andere werkzaamheden uit voor het bevolkingsonderzoek baarmoederhalskanker
in opdracht van Bevolkingsonderzoek Nederland (BVO NL). Op 1 september 2025 is de
Kamer geïnformeerd dat de IGJ dit onderzoek was gestart.2 Op 30 september 2025 is de Kamer daar nader over geïnformeerd.3

Datahack

Op 6 augustus 2025 is BVO NL geïnformeerd over de hack bij het laboratorium Clinical
Diagnostics. Als gevolg van de hack zijn persoonsgegevens gestolen die betrekking
hebben op deelnemers aan het bevolkingsonderzoek baarmoederhalskanker en op mensen
bij wie onderzoek is uitgevoerd in het getroffen laboratorium in opdracht van andere
zorgverleners. BVO NL heeft de samenwerking met het laboratorium direct opgeschort.
Daarnaast heeft BVO NL in augustus en september 2025 alle deelnemers aan het bevolkingsonderzoek
baarmoederhalskanker van wie gegevens met het getroffen laboratorium zijn gedeeld,
per brief geïnformeerd over de hack en de mogelijke gevolgen.

Onderzoek IGJ

Doel van het onderzoek van de IGJ was om inzicht te krijgen in de status van de informatiebeveiliging
van Clinical Diagnostics, op het moment van de datahack en ten tijde van het inspectiebezoek
op 16 december 2025. De IGJ onderzocht of Clinical Diagnostics voldeed aan de norm
voor informatiebeveiliging in de zorg, NEN 7510. De IGJ concludeert in het onderzoek
dat Clinical Diagnostics niet voldeed aan de norm NEN 7510. Deze conclusie wordt in
het briefrapport nader onderbouwd.

De scope en conclusie van het IGJ-onderzoek zijn vergelijkbaar met eerder onafhankelijk
onderzoek naar de informatiebeveiliging bij het laboratorium dat BVO NL heeft laten
uitvoeren. Ook uit dit onderzoek bleek dat er sprake was van tekortkomingen in de
informatiebeveiliging bij het laboratorium. De Kamer is op 5 februari 2026 geïnformeerd
over de uitkomsten van het onafhankelijke onderzoek in opdracht van BVO NL.4

Samenwerking met Clincial Diagnostics

Zoals in de brief van 5 februari 2026 is toegelicht, werkt Clinical Diagnostics sinds
januari aan het verbeteren van de informatiebeveiliging op basis van de geconstateerde
tekortkomingen in het onafhankelijke onderzoek in opdracht van BVO NL. In het briefrapport
van de IGJ wordt verwezen naar het voornemen van Clincial Diagnostics om aan de norm
NEN 7510 te gaan voldoen, en het bijbehorende verbetertraject. De IGJ geeft in het
briefrapport aan van Clinical Diagnostics te verwachten dat aan de norm voldaan gaat
worden.

BVO NL is bereid de samenwerking met het laboratorium te hervatten mits onafhankelijk
kan worden vastgesteld dat aan de eisen wordt voldaan. Voor wat betreft de norm NEN
7510 wordt dit onafhankelijk vastgesteld door een certificerende instantie. Op korte
termijn volgt de besluitvorming van BVO NL over de samenwerking met Clinical Diagnostics.
Vanuit de stelselverantwoordelijkheid van het ministerie wordt dit nauwgezet gevolgd.

Het kabinet zal de Kamer vanzelfsprekend zo snel mogelijk informeren over de besluitvorming
van BVO NL.

De Minister van Volksgezondheid, Welzijn en Sport,
S.T.M. Hermans