Bevolkingsonderzoek Nederland (BVO NL) wil de samenwerking met Clinical Diagnostics (CD) hervatten. Het laboratorium werd afgelopen zomer getroffen door een ransomware-aanval waarbij gegevens van 850.000 vrouwen werden gestolen. Staatssecretaris Tielen zegt geschrokken te zijn van de bevindingen over de securitystaat.
Het medisch laboratorium Clinical Diagnostics kreeg te maken met een cyberaanval door ransomwaregroep Nova. De aanvallers wisten persoonlijke en medische gegevens te stelen van vrouwen die deelnamen aan het bevolkingsonderzoek baarmoederhalskanker, plus patiënten van privéklinieken en huisartsen. Naar aanleiding daarvan schortte Bevolkingsonderzoek Nederland de samenwerking op.
Maar alternatieven blijken schaars. “Van BVO NL en het RIVM begrijp ik dat het vinden van een ander laboratorium dat op korte termijn het werk van CD kan en wil overnemen, niet haalbaar is”, schrijft demissionair staatssecretaris Tielen van Jeugd, Preventie en Sport in een brief aan de Tweede Kamer. Die schaarste heeft gevolgen. Er worden nu vijftig procent minder uitnodigingen voor het bevolkingsonderzoek verstuurd. Capaciteitsproblemen dwingen Bevolkingsonderzoek Nederland tot hervatting.
Informatiebeveiliging ondermaats
Een onafhankelijk onderzoek naar de informatiebeveiliging bij Clinical Diagnostics toont tekortkomingen op alle fronten. Het onderzoek analyseerde operationele processen, de IT-systemen, datastromen en de onderliggende infrastructuur. “Over de precieze onderzoeksbevindingen kan ik helaas niet meer specifieke informatie verstrekken, om reden dat dit tot openbaarmaking van gevoelige en vertrouwelijk verstrekte bedrijfsgegevens zou leiden”, aldus Tielen.
De staatssecretaris stelt wel geschrokken te zijn van wat het onderzoek aan het licht bracht. Toch begrijpt ze de wens om door te gaan. “CD is nu op basis van het rapport aan de slag om de informatiebeveiliging op orde te brengen.” Hoe de hack kon plaatsvinden blijft echter onbekend.
Clinical Diagnostics krijgt een half jaar de tijd om de geconstateerde problemen op te lossen. Pas daarna kan Bevolkingsonderzoek Nederland beoordelen of het veilig genoeg is om opnieuw samen te werken. “Uiteraard geldt dat BVO NL de samenwerking met CD alleen dan kan hervatten wanneer de veiligheid van alle data van alle deelnemers onafhankelijk is vastgesteld”, benadrukt Tielen. Tot die tijd analyseert het laboratorium geen testen voor het bevolkingsonderzoek.
De druk op Clinical Diagnostics is groot. Het laboratorium betaalde miljoenen aan losgeld, maar delen van de gestolen data verschenen toch online. Nova, de ransomwaregroep achter de aanval, blijkt sinds begin 2025 actief en gebruikt een double extortion-tactiek. Oftewel, data versleutelen én dreigen met publicatie.