Waarom bestuurders van arbodiensten verder moeten kijken dan hun eigen informatiebeveiliging

Door Ronald Spek

Veel bestuurders van arbodiensten investeren terecht in informatiebeveiliging, privacy en compliance. Maar wat gebeurt er wanneer niet uw eigen organisatie, maar een cruciale softwareleverancier wordt getroffen door een cyberaanval?

Dat is geen theoretisch scenario meer. Vrijwel iedere arbodienst is afhankelijk van externe softwareleveranciers voor verzuimregistratie, medische dossiers en cliëntcommunicatie. Wanneer een van die leveranciers wordt getroffen door een cyberincident, kunnen de gevolgen ook voor de arbodienst aanzienlijk zijn.

De kwetsbaarheid van de keten
Cybercriminelen richten zich steeds vaker op organisaties die toegang bieden tot grote aantallen klanten. Een softwareleverancier die tientallen of meer organisaties bedient, vormt daardoor een aantrekkelijk doelwit.

Voor arbodiensten ontstaat hiermee een zogenoemd ketenrisico. Ook wanneer de eigen informatiebeveiliging uitstekend op orde is, kan een cyberincident bij een leverancier leiden tot ernstige verstoringen van de dienstverlening.

Een recent voorbeeld uit de zorgsector laat zien hoe groot deze afhankelijkheid kan zijn. In 2026 werd softwareleverancier ChipSoft getroffen door een cyberaanval. Diverse zorginstellingen namen daarop voorzorgsmaatregelen en systemen werden tijdelijk beperkt beschikbaar. Het incident maakte zichtbaar hoe één leverancier impact kan hebben op een groot deel van een sector.

De gebeurtenis rond ChipSoft maakt duidelijk dat organisaties tegenwoordig niet alleen afhankelijk zijn van hun eigen beveiliging, maar ook van de weerbaarheid van hun leveranciers. Dat geldt niet alleen voor ziekenhuizen, maar evenzeer voor arbodiensten die sterk afhankelijk zijn van digitale verzuim- en dossiersystemen.

"De leverancier is aansprakelijk" is geen strategie
Wanneer een cyberincident plaatsvindt, wordt vaak als eerste gekeken naar de contractuele afspraken met de leverancier.

In de praktijk blijken leveranciers hun aansprakelijkheid echter regelmatig vergaand te beperken. Niet zelden wordt de maximale aansprakelijkheid begrensd tot de waarde van het contract of een vooraf vastgesteld maximumbedrag.

Voor arbodiensten betekent dit dat een belangrijk deel van het financiële risico als gevolg van bijvoorbeeld een Ransomware aanval uiteindelijk voor eigen rekening kan blijven. Wie ervan uitgaat dat een leverancier alle schade zal vergoeden, komt dan vaak bedrogen uit.

De verborgen kosten van een cyberincident bij uw leverancier
Wanneer systemen niet beschikbaar zijn, ontstaat schade vaak op meerdere fronten tegelijk.

Operationele stilstand
Medewerkers kunnen hun werkzaamheden niet of slechts beperkt uitvoeren terwijl personeelskosten gewoon doorlopen.

Noodmaatregelen
Het tijdelijk inrichten van alternatieve processen, externe ondersteuning, crisismanagement en juridisch advies brengt aanzienlijke kosten met zich mee.

Reputatie- en contractschade
Opdrachtgevers verwachten continuïteit. Bij langdurige verstoringen kunnen klanten schadeclaims indienen of besluiten een samenwerking niet voort te zetten.

Loonsancties en gevolgschade
Voor arbodiensten kan nog een specifiek risico spelen. Wanneer systemen langere tijd niet beschikbaar zijn, kunnen verzuimdossiers onvoldoende toegankelijk zijn en kan begeleiding van werknemers vertraging oplopen.

In uitzonderlijke situaties kan dit gevolgen hebben voor de re-integratieverplichtingen van werkgevers. Wanneer termijnen worden gemist of dossiers onvoldoende zijn opgebouwd, bestaat het risico dat een werkgever door het UWV wordt geconfronteerd met een loonsanctie.

Hoewel aansprakelijkheid altijd afhankelijk is van de specifieke omstandigheden, ligt het voor de hand dat een opdrachtgever vervolgens onderzoekt of de ontstane schade op de arbodienst kan worden verhaald. Ook wanneer een dergelijke claim uiteindelijk geen stand houdt, kunnen juridische kosten en reputatieschade aanzienlijk zijn.

Juist daarom is het belangrijk om niet alleen naar de directe gevolgen van een cyberincident te kijken, maar ook naar de gevolgschade die verderop in de keten kan ontstaan.

Vanuit de praktijk
In mijn rol als externe Functionaris Gegevensbescherming spreek ik regelmatig bestuurders en directies van organisaties die gevoelige persoonsgegevens verwerken. Onlangs hebben wij bij een arbodienst waar ik als externe FG betrokken ben uitgebreid stilgestaan bij de risico's rondom cyberincidenten zoals een Ransomware aanval en de afhankelijkheid van externe leveranciers.

Tijdens die analyse hebben we in eerste instantie gekeken naar de gevolgen voor de continuïteit van de dienstverlening. Wat gebeurt er wanneer een cruciale leverancier wordt getroffen door ransomware? Hoe lang kunnen we onze dienstverlening voortzetten? En welke financiële gevolgen heeft zo’n aanval voor onze organisatie en onze klanten?

Na een zorgvuldige risicoafweging en overleg tussen de directie en de assurantietussenpersoon is besloten een cyberverzekering af te sluiten. Niet omdat men verwacht slachtoffer te worden van een cyberaanval, maar omdat sommige risico's simpelweg niet volledig zijn uit te sluiten.

Als bestuurder draag je verantwoordelijkheid voor je cliënten, je medewerkers en de continuïteit van de organisatie. Het laatste wat je wilt, is dat één ernstig cyberincident leidt tot financiële problemen die de toekomst van de onderneming in gevaar brengen.

Cyberverzekering als onderdeel van risicomanagement
Vanwege de toegenomen dreiging van cyberaanvallen nemen steeds meer organisaties daarom een cyberverzekering op in hun risicomanagementstrategie.

Ransomware behoort momenteel tot de grootste digitale risico's voor organisaties. Wanneer systemen worden versleuteld en niet meer toegankelijk zijn, kunnen bedrijfsprocessen abrupt stilvallen met alle gevolgen van dien.

Belangrijk is wel om kritisch te onderzoeken welke dekking daadwerkelijk wordt geboden. Niet iedere polis biedt bijvoorbeeld bescherming wanneer de oorzaak van het incident bij een externe leverancier ligt.

Conclusie
Arbodiensten zijn in toenemende mate afhankelijk van externe softwareleveranciers. Een cyberaanval bij een leverancier kan grote gevolgen hebben voor de continuïteit van de dienstverlening, reputatie, contractuele relaties en uiteindelijk ook voor de financiële positie van de organisatie.

Daarbij gaat het niet alleen om directe schade. Ook gevolgschade, juridische procedures, mogelijke claims van opdrachtgevers en stagnatie in verzuim- en re-integratietrajecten kunnen een substantiële financiële last vormen.

Goed bestuur betekent daarom niet alleen investeren in preventie en informatiebeveiliging, maar ook bewust nadenken over restrisico's en de vraag hoe deze risico's financieel kunnen worden opgevangen wanneer het ondanks alle maatregelen toch misgaat.

Over de auteur
Ronald Spek is voorzitter van de Commissie Arbo bij het NGFG (Nederlands Genootschap van Functionarissen voor de Gegevensbescherming) en lid van de toelatingscommissie van het NRFG (Nederlands Register van Functionarissen voor de Gegevensbescherming). In de dagelijkse praktijk is hij als Privacy Consultant o.a. extern Functionaris Gegevensbescherming bij diverse organisaties en ziet hij hoe cyberrisico's verschuiven van een technisch vraagstuk naar een strategisch bestuursvraagstuk. Naast zijn werkzaamheden als Privacy Professional ondersteunt hij vanuit PrivacyJobs organisaties bij de invulling van vaste en tijdelijke Privacy vacatures. Voor vragen is hij bereikbaar op 06 53 665 441 / www.privacyjobs.nl /

________________________________________

Bronnen
Dit artikel is gebaseerd op praktijkervaring van de auteur als extern Functionaris Gegevensbescherming, aangevuld met openbare berichtgeving over recente cyberincidenten in de Nederlandse zorgsector, waaronder de cyberaanval op softwareleverancier ChipSoft in 2026.

________________________________________

Vijf acties voor directies van arbodiensten

1. Inventariseer de afhankelijkheid van kritische leveranciers.

2. Laat contractuele aansprakelijkheidsbeperkingen juridisch beoordelen.

3. Voer periodiek een leveranciersrisicoanalyse uit.

4. Test een scenario waarbij het primaire verzuimsysteem meerdere dagen uitvalt.

5. Onderzoek of een cyberverzekering voldoende dekking biedt voor ketenincidenten én ransomware-incidenten.