Meerdere Nederlandse ziekenhuizen hebben digitale voorzieningen tijdelijk beperkt vanwege ernstige kwetsbaarheden in Citrix NetScaler. Daardoor konden patiënten bij onder meer het Amphia Ziekenhuis en het Elisabeth-TweeSteden Ziekenhuis (ETZ) hun digitale patiëntendossier niet raadplegen. Ook delen van de Rijksoverheid namen uit voorzorg Citrix-omgevingen offline.
Citrix NetScaler wordt gebruikt om gebruikers op afstand toegang te geven tot digitale omgevingen en applicaties. Juist omdat dergelijke systemen vanaf internet bereikbaar kunnen zijn, vormen ernstige kwetsbaarheden een direct beveiligingsrisico.
Z-CERT, het expertisecentrum voor cybersecurity in de zorg, waarschuwde zorginstellingen voor kritieke kwetsbaarheden en adviseerde maatregelen te nemen. Een mogelijke maatregel was het tijdelijk uitschakelen van systemen.
De gevolgen bleven niet beperkt tot de zorg. De Rijksoverheid koppelde Citrix-omgevingen uit voorzorg los van internet nadat Citrix ernstige beveiligingsrisico’s had gemeld. Hierdoor konden sommige rijksambtenaren niet op afstand inloggen en waren bepaalde applicaties tijdelijk niet beschikbaar.
De situatie onderstreept het spanningsveld tussen beveiliging en beschikbaarheid. Het uitschakelen van kwetsbare systemen kan noodzakelijk zijn om misbruik te voorkomen, maar kan tegelijkertijd belangrijke digitale dienstverlening verstoren.
Waarom is dit relevant voor BIO2?
Dit incident raakt rechtstreeks aan de Baseline Informatiebeveiliging Overheid (BIO2). Het laat zien dat technische kwetsbaarheden niet alleen een vertrouwelijkheidsrisico vormen, maar ook gevolgen kunnen hebben voor de beschikbaarheid van informatie en bedrijfsprocessen.
Drie BIO2-controls zijn in het bijzonder relevant:
BIO2 8.8 – Beheer van technische kwetsbaarheden
Organisaties moeten technische kwetsbaarheden tijdig identificeren en passende maatregelen nemen. De BIO2 schrijft voor dat bij kwetsbaarheden waarbij zowel de kans op misbruik als de verwachte schade hoog zijn, zo snel mogelijk en uiterlijk binnen een week mitigerende maatregelen moeten worden getroffen. Als een update niet direct kan worden geïnstalleerd, zijn tijdelijke maatregelen op basis van een expliciete risicoafweging nodig.
BIO2 5.30 – ICT-gereedheid voor bedrijfscontinuïteit
Wanneer een kritiek systeem uit veiligheidsoverwegingen moet worden uitgeschakeld, moet de dienstverlening waar mogelijk kunnen doorgaan. BIO2 vraagt organisaties kritieke systemen op basis van risicoanalyse te identificeren en continuïteitsplannen te testen.
BIO2 5.21 – Informatiebeveiliging in de ICT-toeleveringsketen
Organisaties zijn afhankelijk van softwareleveranciers zoals Citrix. BIO2 vraagt daarom aandacht voor beveiligingsrisico’s in de gehele ICT-toeleveringsketen. Leveranciers moeten onder meer relevante kwetsbaarheden en beveiligingsincidenten communiceren wanneer die gevolgen kunnen hebben voor de dienstverlening van de organisatie.
Het incident past daarmee ook binnen de bredere uitgangspunten van NIS2 en de Nederlandse Cyberbeveiligingswet. Daarin staan onder meer risicobeheer, incidentafhandeling, bedrijfscontinuïteit en beveiliging van de toeleveringsketen centraal. Deze onderwerpen sluiten rechtstreeks aan op verschillende BIO2- en ISO 27001/27002-maatregelen.
Voor overheidsorganisaties is vooral de afhankelijkheid van extern geleverde technologie een aandachtspunt. Een organisatie kan haar eigen systemen zorgvuldig beheren, maar toch worden geraakt door een kritieke kwetsbaarheid in een product waarop belangrijke dienstverlening steunt. Leveranciersmanagement moet daarom verder gaan dan contractuele afspraken: organisaties moeten weten welke technologie bedrijfskritisch is, hoe snel kwetsbaarheden kunnen worden aangepakt en welke alternatieven beschikbaar zijn als systemen tijdelijk moeten worden uitgeschakeld.
Conclusie
De problemen rond Citrix laten zien dat cybersecurity en bedrijfscontinuïteit niet los van elkaar kunnen worden gezien. Een snelle beveiligingsmaatregel kan noodzakelijk zijn om een aanval te voorkomen, maar tegelijkertijd de beschikbaarheid van essentiële digitale diensten beperken.
Voor organisaties die BIO2 toepassen, is de belangrijkste les daarom om vooraf keuzes te maken. Breng internettoegankelijke en kritieke systemen in kaart, volg kwetsbaarheidswaarschuwingen actief, leg verantwoordelijkheden voor patching en mitigatie vast en test wat er gebeurt wanneer een belangrijk systeem plotseling offline moet.
Een goed voorbereide organisatie hoeft bij een kritieke kwetsbaarheid niet te kiezen tussen improviseren en onaanvaardbare risico’s nemen. Risicomanagement, leveranciersbeheer en continuïteitsplanning zorgen er gezamenlijk voor dat snel én beheerst kan worden gehandeld.