ChipSoft geeft toe dat er toch gegevens van patiënten zijn gestolen bij hack

Bij de recente cyberaanval op ChipSoft zijn toch patiëntengegevens gestolen. De Nederlandse leverancier van software voor elektronische patiëntendossiers dacht tot dusver dat er geen persoonsgegevens van patiënten waren gestolen. Naar verluidt gaat het om gegevens van huisartsen, revalidatieklinieken en oogziekenhuizen.

Uit forensisch onderzoek blijkt volgens ChipSoft dat er persoonsgegevens van patiënten zijn gestolen door criminelen. Het bedrijf zegt over de getroffenen alleen: "Alle getroffen zorginstellingen worden inmiddels geïnformeerd. Instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn niet getroffen."

Volgens een bron van de Volkskrant gaat het om de vermelde huisartsen, revalidatieklinieken en het Oogziekenhuis in Rotterdam. Vermoedelijk melden alle getroffen zorginstellingen zelf welke patiënten betrokken zijn bij het datalek. Er zouden 66 meldingen van het datalek bij de Autoriteit Persoonsgegevens gedaan zijn, wat mogelijk wijst op ten minste 66 zorginstellingen die zijn getroffen.

Het is onduidelijk op welke schaal er gegevens zijn gestolen. Vooralsnog is bijvoorbeeld niet bekend of alle patiënten van de getroffen zorginstellingen bij het datalek betrokken zijn, of een deel van hen. Ook is niet duidelijk of het om bijvoorbeeld alleen contactgegevens gaat of ook medische gegevens.

In het kort: ransomwareaanval op ChipSoft

ChipSoft heeft te maken met een ransomwareaanval. Dat werd op dinsdag 7 april bekend. De getroffen software is in elk geval HiX on-premises, HiX SaaS en SaaS-patiëntenportaal gehost via ChipSoft, aldus Z-Cert, het expertisecentrum voor cybersecurity in de zorg.

ChipSoft is de grootste leverancier van software voor elektronische patiëntendossiers in Nederland. Het bedrijf heeft een marktaandeel van meer dan 70 procent onder ziekenhuizen. Bij huisartsenpraktijken is dat marktaandeel lager.

Reacties (114)

[wmrichard]

Gezien veel ziekenhuizen ChipSoft gebruiken vraag ik me nu wel af of ik een recht op vergetelheid of beperking op uitwisselen met ChipSoft als verwerker kan eisen als patient, gezien in ieder geval mijn vertrouwen behoorlijk is aangetast in deze cowboyclub.

[boshar]

Bij vrijwel alle ziekenhuizen staat je data onprem bij het ziekenhuis. Daar kan ChipSoft niet bij.

Bij de HiX365 cloudoplossing gaat dat uiteraard niet op. Voor zover bekend zit alleen het oogziekenhuis Rotterdam in de cloud (naast wat medische centra en huisartsen).

[Houtenklaas]

Als je even bij dnsdumpster.com kijkt naar het domein hix365.nl staan daar toch wel veel subdomeinen genoemd. Veel portalen vermoed ik, maar het lijkt wel meer dan één zorginstelling te zijn.

[Reactie gewijzigd door Houtenklaas op 16 april 2026 22:34]

[boshar]

Zorginstellingen versus ziekenhuizen. Alle datalekken zijn erg maar wanneer het om ziekenhuis data gaat is heeft het nog meer impact. Vooralsnog is alleen het oogziekenhuis de pineut.

[Houtenklaas]

Bij mij is een "zorginstelling" de verzameling van Poli's, ziekenhuizen, HAP's, weetikveel. Als men via een bloedprikclub bij mijn EPD kan, zie ik geen enkel verschil met een spoedeisendehulp waar men exact hetzelfde kan. In dat rijtje subdomeinen van de link die ik hierboven gaf, zie ik dat oogziekenhuis juist NIET staan, maar wel het Flevoziekenhuis, BovenIJ, Bravis, Diakonnessenhuis.

Nu is het maar de vraag wat ze daar exact hosten. Bravis meldt op hun website bijvoorbeeld dat er niets gestolen is. Misschien moeten ze dat even melden aan Chipsoft, die weet dat blijkbaar nog niet.

Het Oogziekenhuis had blijkbaar een backup omgeving bij Hix. Er lijken dan ook meer manieren te zijn om bij het lek betrokken te zijn.

[WhatsappHack]

Hoe zit dat dan met ziekenhuizen waarvan de omgeving nu offline is, geeft dat enige indicatie van waar de data staat? (on-prem/cloud) Het viel me op dat bij verschillende ziekenhuizen het HiX-portaal gewoon online is (en ook niet offline is gegaan), terwijl bij een selectere groep ziekenhuizen een foutmelding wordt weergegeven met een linkje naar een informatiepagina over de hack bij ChipSoft. Als dit enige indicatie geeft, dan zijn er meer ziekenhuizen dan het oogziekenhuis Rotterdam die in HiX365 of een andere non-prem variant zitten.

Een rondgang langs een aantal willekeurige ziekenhuizen ter illustratie:
- Rijnstate: online (chipsoft)
- Ikazia: online (chipsoft)
- MMC: online (chipsoft)
- Elkerliek: online (chipsoft)
- Kempenhaeghe: online (chipsoft)
- JBZ: online (chipsoft)
- RadboudMC: online (Epic Systems)
- MCL-groep: online (Epic Systems)
- ADRZ: offline (chipsoft)
- CWZ: offline (chipsoft)
- Oogziekenhuis R'dam: offline (chipsoft)
- Ijselland: offline (chipsoft)
- Maastro: offline (chipsoft)

Toevallig blijken een aantal van de "offline" ziekenhuizen een entry te hebben voor hix365.nl (ff gecheckt n.a.v. de post van @Houtenklaas), doch niet allemaal.
-edit- Op basis daarvan nog even verder gaan kijken, in ieder geval allen die via die check boven komen drijven zijn offline. Dan is dus ff de vraag hoe het zit met de ziekenhuizen die daar *niet* omhoog komen, maar tóch offline zijn. (Eg: ADRZ, CWZ)

[Reactie gewijzigd door WhatsappHack op 17 april 2026 02:01]

[Michiel85_nl]

Ik ben niet goed bekend met de infrastructuur achter Hix. Maar is er in grote lijnen niet een onderscheid tussen het patiëntportaal en de "interne" Hix applicatie? Vrijwel alle ziekenhuizen hosten zelf Hix (intern of bij een andere partij dan Chipsoft zelf). Dat onderdeel is dan niet geraakt (zover nu bekend). Daarintegen heb ik de indruk dat meerdere ziekenhuizen het patiëntportaal wél door Chipsoft laten hosten. Dat onderdeel is dan wél geraakt, maar dat wil niet zeggen dat het interne Hix gedeelte óók geraakt is (zover nu bekend) zolang dat zelf gehost wordt.

Mogelijk hebben enkele ziekenhuizen die alles zelf hosten alsnog ervoor gekozen om het Patiëntportaal offline te halen.

[Darklance]

Tegenwoordig draaien de Chipsoft patiëntenportalen van de ziekenhuizen op Kubernetes.

Hierbij heb je als zkh verschillende keuzes:

- bij Chipsoft laten hosten (hix365 dan is je portaal down)

- bij een 3e partij hosten zoals intermaxx of pink (portaal online of eigen keuze deze down te houden uit voorzorg)

- In eigen beheer Kubernetes hosten op eige infra (portaal online of eigen keuze deze down te houden uit voorzorg)

de databases met patiënten info staan on premises bij de ziekenhuizen

[Reactie gewijzigd door Darklance op 17 april 2026 11:09]

[boshar]

Het patiënten portaal van HiX is gebaseerd op een sharepoint omgeving. Sommige staan bij ChipSoft dus daar heb je een probleem maar er zijn veel ziekenhuizen die het patiënten portaal bij een andere externe partij hebben staan. Omdat die andere partijen niet dezelfde extreem hoge ChipSoft winstmarges hanteren zijn die portalen dus gelukkig vaak buiten ChipSoft om gehost.

[bigbramel]

-edit- Op basis daarvan nog even verder gaan kijken, in ieder geval allen die via die check boven komen drijven zijn offline. Dan is dus ff de vraag hoe het zit met de ziekenhuizen die daar niet omhoog komen, maar tóch offline zijn. (Eg: ADRZ, CWZ)

Die ziekenhuizen zijn offline omdat de patiëntenportaal door Chipsoft wordt beheerd. Dus EPD/ZIS zelf is meest waarschijnlijk niet getroffen, maar de ontsluiting van de gegevens naar patiënten wel.

[ronaldo.biertje]

Het recht op vergetelheid is sowieso niet absoluut. Die geldt alleen wanneer bijvoorbeeld

1. de gegevens niet meer nodig zijn voor het oorspronkelijke doel
2. de persoon zijn toestemming intrekt
3. de gegevens onrechtmatig zijn verwerkt
4. er bezwaar is gemaakt tegen verwerking zonder zwaarwegende reden

Ziekenhuizen hebben een bewaarplicht In Nederland geldt bijvoorbeeld:

• Medische dossiers moeten minimaal 20 jaar bewaard worden
• Dit volgt uit de Wet op de geneeskundige behandelingsovereenkomst (WGBO)
• Deze verplichting gaat vóór het recht op vergetelheid

Dus als data nodig is voor zorgverlening of wettelijk verplicht bewaard moet worden, kan een zorginstelling die niet zomaar verwijderen. Ook niet als jij geen vertrouwen hebt in ChipSoft

[mrmrmr]

BW artikel 455 lid 1 staat toe dat gegevens worden verwijderd.

• 1 De hulpverlener vernietigt de gegevens uit het dossier na een daartoe strekkend schriftelijk of elektronisch verzoek van de patiënt.

• 2 Lid 1 geldt niet voor zover het verzoek gegevens betreft waarvan redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de patiënt, alsmede voor zover het bepaalde bij of krachtens de wet zich tegen vernietiging verzet.

Ondanks artikel 454 lid 3, zal zeer waarschijnlijk het belang van de patiënt hoger worden ingeschat dan wetgeving op een lager niveau dan de rechten van de mens waaruit de AVG voortvloeit. Dat doet denk ik ook de Autoriteit Persoonsgevens:

U kunt na afloop van uw behandeling vragen om de gegevens uit uw dossier te vernietigen. De zorgaanbieder moet aan zo’n verzoek voldoen, tenzij er sprake is van belangen van anderen die zwaarder wegen.

https://www.autoriteitpersoonsgegevens.nl/themas/gezondheid/gezondheidsgegevens-in-een-dossier/rechten-bij-het-dossier-met-gezondheidsgegevens

[Reactie gewijzigd door mrmrmr op 17 april 2026 14:08]

[Sannr2]

De AVG benoemt expliciet bij het recht op vergetelheid “voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend“ (artikel 17-3b).

Hier geldt de Wet op de geneeskundige behandelingsovereenkomst (WGBO) die zegt dat medische dossiers in Nederland minimaal 20 jaar bewaard moeten worden. Deze termijn gaat in vanaf de datum van de laatste wijziging in het dossier.

[mrmrmr]

De artikelen die erover gaan staan in het BW zoals ik aangaf. Dat is wat WGBO genoemd wordt.

Mijn bezwaar tegen is dat het een persoonlijk dossier betreft en dat het zelfbeschikkingsrecht dat ieder mens heeft boven een wet gaat waar kennelijk geen rekening is gehouden met de risico's in de echte wereld. Ik zou zeggen dat het een slechte wet is, en ik verwacht dan ook dat het Europees hof er een doorslaggevende mening over zal hebben die niet strookt met de Nederlandse wet, waardoor die artikelen zullen moeten vervallen. Het wachten is op iemand (of het Nederlandse hof) die deze vraag neerlegt bij het Europees hof.

In feite is een lek van dossiers bij of via Chipsoft het bewijs uit de echte wereld dat deze artikelen in het BW niet voldoen en een veel te groot risico opleveren. Het betreft immers bijzondere persoonsgegevens. Het is iedere beveiligingspecialist bekend dat de bewaartermijn een grote invloed heeft op de veiligheid van deze gegevens. Niet alleen omdat er dan meer aanvallen kunnen plaatsvinden, maar ook omdat oude systemen niet afdoende (kunnen) worden onderhouden en er aanvallen bekend kunnen worden zonder dat de software nog ondersteund wordt. De vergeten server is een van de meest voorkomen redenen voor succesvolle hacks.

[Sannr2]

Er is wel degelijk rekening mee gehouden, maar het medisch belang gaat boven je persoonlijke angst. Als je dus vraagt om gegevens te wissen zullen ze wel je emailadres en telefoonnummer kunnen wissen, maar niet je medische gegevens en BSN. Die gegevens zijn te belangrijk om te wissen, ook al wil je dat graag.

[Mathijs Kok]

deze cowboyclub.

Alle organisaties die ooit te maken hebben gehad met een hack zijn cowboyclubs? Weet jij wat er gebeurt is, iets wat wij nog niet weten? Of roeptoeter je je gewoon maar door een donderdagavond?

Je kan overigens bij je zorgverlener vragen om je data te verwijderen. Niet bij ChipSoft want die is slechts de leverancier en niet degene die de verantwoordelijkheid voor je data heeft. Moet je natuurlijk niet gek opkijken als het ziekenhuis je niet de beste zorg kan bieden.

[flurb]

Een bold statement maar Chipsoft dient niet het nederlandse belang in termen van zorgkosten en kwaliteit.
Waarom stel ik dit:

- De door hen gemaakte type contract afspraken met hun klanten (Zie mede de documentaire)
- Marktdominantie
- Lockin strategie
- Breed gedragen emotie bij ziekenhuisen dat ze niet echt openstaan voor feedback of echt dialoog

Bij audits van hun contracten viel het op dat ze nog agresiever zijn dan de meeste van de Amerikaanse software bedrijven met zeer weinig rechten voor de eindgebruiker in relatieve zin.

Als je dan toch een positie hebt als deze, zet dan gewoon een positieve dienst neer ipv een klem op 70% van de markt.

[r03n_d]

Breed gedragen emotie bij ziekenhuisen dat ze niet echt openstaan voor feedback of echt dialoog

De alternatieven zijn EPIC en Nexus, maar daar spelen exact de zelfde problemen helaas.

[flurb]

Ik heb ze allen geauditeerd namens een partij die een nieuw EPD wilde selecteren.
Geen van deze aanbieders zou in het normale bedrijfsleven verder komen dan de parkeerplek.

Het is zorgelijke architectuur, er staat veel op papier maar niet vaak in het belang van de afnemende partij. Beheer en lifecycle van de diensten is "just enough".

Het irritante is, het kost echt niet veel meer om het wel goed te neer te zetten, het is door de monopolie helaas geen item voor de grote 3. Ik hoop dat we snel beseffen dat dit net zulke grote waanzin is als Digid bij een stel Amerikanen te parkeren. Totaal onnodig en bizar, het komt gelukkig goed, de overheid heeft een impact scan gedraaid, alleen horen we over 2 jaar dat er nog 64 miljoen records in een "Datakluis" zaten.

[Edward Dortland]

Wat heeft dit met de ransomware aanval te maken? Of verdienen ze gewoon straf?

[Deleon78]

ChipSoft is het EPD. Hoe zie je dat voor je? Dat ze voor jou weer een papieren dossier gaan maken?

[wmrichard]

In mijn geval staat er niet heel veel bijzonders in, ik weet van vroeger dat er een koppeling was met het huisartsen systeem waar wel redelijke auditing op zat, wanneer het ziekenhuis dit raadpleegde (Medicom/PharmaPartners/Anita). En dat dit werd gebruikt wanneer mensen niet in het EPD stonden.

[SImmenga]

Het ‘papieren’ dossier is in veel zorginstellingen de noodprocedure als het EPD eruit ligt

[Deleon78]

Om later weer gedigitaliseerd te worden, vermoed ik. Weet ik niet zeker

[thunder7]

Het lijkt gemakkelijk (koppel de patiënt die vergeten wil worden aan een test-patient en hopla, de te vergeten patiënt en de gegevens zijn weg), maar hoe krijg je het uit de logfiles en de backups.

Een beperking op het gebruik van het EPD voor jou specifiek zal neerkomen op 'zoek maar een ander ziekenhuis'.

[PokeFace2]

Helaas kan niet alle data weg. Voor de financiele afhandeling zal je dat nog in het systeem blijven staan. Het gaat dan om de info die nodig is om verantwoording naar de verzekeraar af te leggen. Dat gaat om NAW, BSN en behandelgegevens. Kijk maar op https://www.vektis.nl/standaardisatie/standaarden/ZH308-9.0

En volgens mij is zelfs ook verder inhoudelijk het dossier verwijderen een ding want volgens mij is er dossierplicht, maar hoe en wat weet ik daarvan niet precies.

[ronald136813]

Dit is wel weer slecht zeg , is het nou zo slecht gebouwd dat het gehacked kan worden?

[e.vanderavoird]

Ik kom hier altijd voor inzichten van mensen die direct betrokken zijn. Die zijn er nog niet?

Iemand die bij een betrokken klant werkt? Of iemand met ‘een vriend’ bij chipsoft …?

[mennomoog]

Ik heb toevallig deze week een opdracht uitgevoerd voor een betrokken ziekenhuis (audit). Aangezien ik een geheimhoudingsovereenkomst heb getekend kan ik je geen specifieke details geven, maar het was wel onderwerp van gesprek. Je merkt ook gelijk de impact als je daar rondloopt: aanmeldzuilen die niet werken, handmatige doorverwijzingen en een klantcontactcenter dat is opgericht om vragen te beantwoorden. Betrokken medewerkers van information security en ICT zijn ook dagelijks in overleg met elkaar en je merkt vooral dat heel, heel veel onduidelijkheid, frustratie en vermoeidheid heerst (ook omdat Chipsoft geen tot nauwelijks updates gaf tot nu toe).

Wat ik dus vooral bewonderenswaardig vond van het ziekenhuis is de inzet van deze mensen omdat ze lange, lange uren in de avond maken en de normale gang van zaken ook tot stilstand komt. Allemaal impact wat ook vaak vergeten wordt bij dit soort ernstige incidenten.

[Reinier]

Ik werk bij een klant van ChipSoft. Maar ik weet niet meer van de impact dan wat bekend gemaakt is.

[Robbierut4]

Uit het artikel:

Het is onduidelijk op welke schaal er gegevens zijn gestolen. Vooralsnog is bijvoorbeeld niet bekend of alle patiënten van de getroffen zorginstellingen bij het datalek betrokken zijn, of een deel van hen.

Echter stelt Chipsoft zelf:

Forensisch onderzoek heeft inmiddels uitgewezen dat deze criminelen daadwerkelijk persoonsgegevens van patiënten, waaronder medische gegevens, van enkele Nederlandse klanten hebben ontvreemd.

Enkele klanten. Dat zijn er dus 2, misschien 3?

Goed, Chipsoft gaf eerst aan dat er helemaal geen gegevens waren gestolen, dus verbaasd me niks als over een week het nieuws komt dat alle medische gegevens van alle klanten online staan.

[HakanX]

In het vorig nieuwsbericht had iemand een documentaire over Chipsoft gedeeld. Absoluut het kijken waard. Chipsoft is een bedrijf dat over lijken gaat. Letterlijk, want hun wanprestatie zorgt voor onnodige doden die gered hadden kunnen worden als hun software goed werkte. In het licht daarvan geloof ik geen enkel woord van Chipsoft. Ga er maar vanuit dat alles is uitgelekt tot het tegendeel bewezen is.

https://npo.nl/start/video/dodelijke-zorg/

[Me_Giant]

Heb de docu niet gezien. Maar de meeste bedrijven prutsen maar wat aan. Alleen heeft het hier meer impact. In hoeverre is dit verwijtbaar in dit geval? Pretenderen ze het beter voor elkaar te hebben dan het geval is, bijvoorbeeld?

[HakanX]

Heb de docu niet gezien. Maar de meeste bedrijven prutsen maar wat aan. Alleen heeft het hier meer impact. In hoeverre is dit verwijtbaar in dit geval? Pretenderen ze het beter voor elkaar te hebben dan het geval is, bijvoorbeeld?

Ze zijn 100% moreel verwijtbaar omdat ze het willens en wetens doen. Om concurrentie geen kans te geven zorgen ze ervoor dat koppelingen niet werken, waardoor in 2026 nog steeds van alles handmatig opgevraagd moet worden en documenten tig keer van systeem naar systeem overgetypt moet worden waar uiteindelijk belangrijke details verdwijnen.

Soms gaan er mensen dood terwijl ze op een handmatige overdracht wachten en soms gaan er mensen dood door verdwenen details. Allemaal voor geld. Ze hebben een winstmarge van 50%, van mij mag dat 500% zijn als er maar geen mensen doodgaan. Helaas boeit het die zielloze eigenaar van Chipsoft niet.

De documentaire is echt het kijken waard, je wordt ook boos tijdens het kijken als je ziet om welke onnozole redenen, voor eigenlijk in 2026 niet meer bestaande problemen mensen dood gaan. Duizenden Tweakers hier kunnen die problemen in hun software oplossen. Zo boeiend is dat niet, maar werkende systeemkoppelingen komt hem gewoon niet uit.

[ronaldo.biertje]

Dat is ook mijn afdronk van de documentaire. Ze weigeren te koppelen met andere systemen, waardoor véél menselijk handelen nodig is, en mensen maken fouten.

Overigens; dit is natuurlijk precies hoe commerciële bedrijven werken, alleen in de zorg ligt dit wat gevoeliger omdat "de klant", of nou ja meer de patiënten (elke Nederlander), geen keuze heeft. Laten we de overheid maar bedanken voor de "marktwerking in de zorg", want dit is een rechtstreeks gevolg er van als er niets gereguleerd is/wordt...

[Reactie gewijzigd door ronaldo.biertje op 17 april 2026 07:25]

[null]

Dit is verwijtbaar omdat ze zowel veel winst maken als in de zorg opereren. Eigenlijk is het gewoon verkapte kritiek op de privatisering van publieke goederen.

[Honza63]

Waarom zou een bedrijf geen winst mogen maken met hun software?
En niet privatiseren levert geen voordelen op, zie de landen waar je nog de staatsziekenfondsen hebt...

[null]

Ik geef alleen antwoord op de vraag van Me_Giant. De kritiek van de documentaire is dat ze veel winst maken terwijl dit in de zorg niet gebruikelijk is en de software niet zo goed is dat het deze winst zou rechtvaardigen.

[Tweakert2020]

Deze marges op software en hardware in de zorg zijn hartstikke normaal…

[WhatsappHack]

Puur het winst maken is toch niet de kritiek, maar de manier waarop? Bijvoorbeeld het meermaals genoemde doelbewust blokkeren van koppelingen met concurrerende software, waardoor zorgverleners onderling niet snel en adequaat toegang kunnen krijgen tot alle gegevens over patiënten - wat al tot meerdere doden zou hebben geleid. Dat is volgens mij toch net iets genuanceerder dan “hebben enkel kritiek op de winst”.

[metaalverf]

Ik heb de documentaire niet gezien, maar op deze manier kan je toch net zo goed de politiek het zelfde schuldgevoel aanpraten? Zij zijn immers degene die tegen een national EPD hebben gestemd en daardoor zijn zorginstellingen nu allemaal met eigen partijen in zee zijn gegaan.

Het klinkt op deze manier wel erg makkelijk de schuld van doden bij eenn partij neerleggen.

[WhatsappHack]

Dat komt inderdaad ook aan bod in de docu

[BiLLY_daKid]

Ik ben er ook wel blij mee, onder de AVG kan er 4% van de omzet worden gevorderd bij incompetentie. En als blijkt dat bekend was dat er gaten in het systeem zaten, is er ook nog een bestuurdersaansprakelijkheid.

[FreezeXJ]

Met een winstmarge van 40% is 4% niet heel spectaculair. Desnogwelteplus kunnen ze er misschien ook wat druk op de klanten zetten, want die zijn (ook) verantwoordelijk voor een veilige omgeving. Dan overwegen ze wellicht een ander pakket, en als je maar genoeg pakketten afschiet gaan ze vanzelf terug naar papier tot iemand iets beters uitvindt. Niet ideaal (verre van, zeker als je ziet wat je verzekeraar allemaal aan administratie wil zien voor ie een cent uitkeert) maar wel een stukje veiliger.

[YannickSpinner]

Klanten zijn zoals hieronder vermeld inderdaad zorginstellingen, geen individuen. En gezien het om 66 meldingen bij het AP gaat, kan 'enkele klanten' ook naar enkele overkoepelende bedrijven/organisaties refereren (maar het zal later wel bekend worden hoeveel organisaties er precies getroffen zijn).

[SImmenga]

Het aantal AP meldingen zegt niet zoveel. Chipsoft adviseerde vorige week aan álle Chipsoft ziekenhuizen om een melding te doen

[Pikoe]

Op de informatiepagina staat inmiddels "Instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn niet getroffen" en "uit het forensisch onderzoek is gebleken dat er geen Belgische zorginstellingen zijn getroffen door de hack". Als dit klopt is gelukkig de overgrote meerderheid van de zorginstellingen en vooral de ziekenhuizen niet getroffen. Bijzonder dat dit niet duidelijk wordt gecommuniceerd.

[Reactie gewijzigd door Pikoe op 16 april 2026 21:11]

[JWPrutser]

Klanten van ChipSoft zijn de zorginstellingen. Enkele klanten is hier dus niet hetzelfde als enkele personen. Als er bij die enkele klanten grote ziekenhuizen zitten, kan het om heel veel mensen gaan gaan.

[Heroic_Nonsense]

Daarbij, als één klant dan een bedrijf als Santeon is, waar zeven grote regionale ziekenhuizen onder vallen, waaronder OLVG in Amsterdam en Maasstad in Rotterdam, dan heb je het over héél veel patiënten.

[metbril]

Helaas. Of gelukkig. Santeon is een samenwerkingsverband van volledig zelfstandige ziekenhuizen met volledig gescheiden dossiers.

[null]

Goed, Chipsoft gaf eerst aan dat er helemaal geen gegevens waren gestolen, dus verbaasd me niks als over een week het nieuws komt dat alle medische gegevens van alle klanten online staan.

Volgens mij was uit het eerste nieuwsbericht van vorige week al duidelijk dat de hackers toegang hadden tot de cloudtenant van huisartsenpraktijken. Dus dit komt toch juist helemaal niet als een verrassing?

[latka]

Bij odido zijn ook enkele gegevens buitgemaakt... Enkel is marketing speak voor meer dan 1.

[Chocovla]

Begin me onderhand af te vragen of dit geen opzettelijk tactiek is. Bij de eerste melding roepen: "oeps wij zijn gehackt, maar het valt mee!" En dan stukje bij beetje het slechtere nieuws naar buiten brengen in de hoop dat de impact richting media en de buitenwereld steeds kleiner wordt en mensen de aandacht verliezen zodat uiteindelijk de reputatieschade meevalt, want mensen zijn het al weer vergeten. Of de volgende hack heeft het nieuws al gehaald.

[moonlander]

Die marketingafdeling werkt toch niet zo, dat weet iedereen. Ze hadden beter gelijk kunnen zeggen jongens er zijn gegevens gelekt. Daarna was het nieuws vanzelf wel weer voorbij gegaan. Nu komen ze weer in het nieuws,en de volgende keer weer want dan pas is bekend welke data gelekt is..

[PalingDrone]

Ik verwacht op een vrijdag tegen een uur of 5 of op of rond koningsdag dat we weer wat meer te horen krijgen, 4 en 5 mei komen er ook aan dus "handige momentjes" genoeg om slecht nieuws naar buiten te brengen.

[Reactie gewijzigd door PalingDrone op 16 april 2026 19:47]

[Remz]

Onderzoek heeft ook tijd nodig. Als je een vermoeden hebt, dan ga je dat niet direct van de daken schreeuwen. Ook de betrokken security partijen zullen hun conclusies zorgvuldig samenstellen en ook die nemen daar al snel enkele dagen voor.

Uiteraard zit er ook een stukje PR en damage control in en dat is zeker tactiek, maar dan zal het vooral gaan om timing, woordgebruik en alleen zeggen wat je zeker weet en niet weer gaat intrekken. Odido heeft ons daar een mooi voorbeeld van gegeven door eerst te zeggen dat er geen documentnummers waren gelekt, en dan later blijkt dat ze wel gelekt zijn.

[Mathijs Kok]

Marketing 101.... nooit slecht nieuws langzaam vrijgeven, want dan blijf je langer in het nieuws. Toegeven en de pijn ondergaan. Hoeveel artikelen op Tweakers denk je dat ChipSoft nog wil? Ik gok geen enkele.

[JJ93]

Bericht van Fonkelzorg (huisarts):

Uw gegevens zijn ontvreemd door cybercriminelen 

Op 7 april 2026 heeft de leverancier van ons EPD-systeem ChipSoft ontdekt dat er afwijkingen waren in het online patiëntregistratiesysteem dat ook onze zorginstelling gebruikt. Na onderzoek stelden zij vast dat dit ging om een ransomeware-aanval (software die systemen of data vergrendelt of ontvreemt voor losgeld).

Samen met ChipSoft hebben wij direct maatregelen getroffen en zijn de verbindingen met ChipSoft verbroken om de impact van het incident te beperken en de veiligheid van patiënt- en medewerkersgegevens zo goed mogelijk te waarborgen.

Helaas hebben de cybercriminelen toegang gekregen tot uw gegevens in het patiëntdossier. Vervolgens hebben zij gegevens ontvreemd. Het is op dit moment nog onduidelijk om welke persoonsgegevens het gaat.

[unaco]

Ik kreeg precies dezelfde e-mail maar dan vanuit mijn huisarts hier in Veldhoven..

Wat mij stoort is dat ze niet weten welke info gelekt is; hoe zo niet?? Alles vermoedelijk dus dan zeg je dat gewoon.

Het is een vereiste om dit aan te kunnen tonen.

[ronaldo.biertje]

Als je niet weet welke data gelekt is, kan je het moeilijk zeggen. En als je als bedrijf niet zeker weet wát er gelekt is, ga je in elk geval niet zeggen dat alles gelekt is "om jezelf in te dekken". Als later blijkt dat er toch niets (of veel minder) gelekt is, is er wel een bericht waarin staat dat alles gelekt is.. En dat blijft hangen.

In de meeste gevallen zullen bedrijven dus eerst een melding doen dat er data gelekt is. Pas als ze (zeker) weten welke data er gelekt is, melden ze dat. Voor zover ik weet is dat een normale gang van zaken, en voldoen ze daarmee gewoon aan hun meldplicht.

[mrmrmr]

In de meeste gevallen zullen bedrijven dus eerst een melding doen dat er data gelekt is. Pas als ze (zeker) weten welke data er gelekt is, melden ze dat. Voor zover ik weet is dat een normale gang van zaken, en voldoen ze daarmee gewoon aan hun meldplicht.

Bedrijven zoals Odido meldden niet, zoals het hoort, onmiddelijk dat er gelekt is. We kunnen misschien nu niet inschatten hoe dat bij Chipsoft gegaan is, maar de kans is aanwezig dat al langer bekend is dat bepaalde gegevens gelekt zijn. De omgang van het bedrijf met kritiek in het verleden voorspelt niet veel goeds.

[Milton]

Het is in die zin simpel: als 'derden' ongeautoriseerd bij data hadden kunnen komen, dan is in principe al die data gelekt.

Ze behandelen het nu als een 'ja, maar wij weten natuurlijk niet wat die boefjes met die data doen en welke data precies ingezien wordt'. Maar dat is fundamenteel onjuist.

Ze lijken vooral bezig met 'damage control' t.b.v. zichzelf, zeker niet het belang van patiënt en zorgverleners.

Ook dit sluit helaas nog steeds allemaal aan op het beeld van Chipsoft dat uit die documentaire is ontstaan.

[bronce]

Grote kans dat alles wat zichtbaar is in het EPD nu op straat ligt.

[pimlie]

Het wordt tijd dat het OM dit soort bedrijven en vooral hun bestuurders aanpakt gezien de impact op de samenleving.

Tevens zou het goed zijn als er een standaard vergoeding wordt opgenomen in de wet die burgers kunnen opeisen op het moment dat hun persoonsgegevens door nalatigheid van bedrijven gelekt worden. Op dit moment is dat helaas niet echt mogelijk omdat 'wie eist bewijst' en je kan als burger niet makkelijk aantonen dat je daadwerkelijke schade hebt geleden. En echte verandering komt waarschijnlijk pas als het bedrijven potentieel meer geld gaat kosten aan vergoedingen dan dat behoorlijk ict beheer kost.

[Mad Marty]

We weten natuurlijk nog niet zeker of en in hoeverre ChipSoft nalatig is geweest. Wie weet zit er ergens een zero day in de software stack die ze gebruiken of een update van een plaatselijke router waardoor ze binnen zijn gekomen.

[pimlie]

Je hebt gelijk maar daar zit gelijk de crux, het gaat erom dat het OM als 'onafhankelijke' partij beoordeelt of er sprake is van nalatigheid. Moeten wij als burgers erop vertrouwen dat het getroffen bedrijf zelf een eerlijk oordeel hier over velt?

Hoe eerder er een onderzoek opstart wordt hoe kleiner de kans dat er bewijs / gegevens worden weggemoffeld. Een goed proces voorbeeld hiervoor zijn de onderzoeken die meteen worden opgestart bij luchtvaart ongevallen. Daar komt de OVV vaak ook nog dezelfde dag ter plaatse.

Wellicht zou het OVV misschien dan ook een nog betere partij zijn dan het OM, maar naar mijn weten heeft de OVV daar geen mandaat voor momenteel.

[RoestVrijStaal]

Alleen al dat de website chipsoft.nl nu nog steeds dood is en in het begin al de telefoon niet werd opgenomen, geeft al te denken over de professionaliteit van het bedrijf.

Zo moeilijk is het toch niet om een statische pagina te hosten en de pers het zoethoudertje "De zaak wordt intern onderzocht." te geven?

Nog los van alle niet-zo-positieve reacties onder het eerste nieuwsbericht op de Frontpage van medetweakers die te maken hebben (gehad) met (software van) Chipsoft.

Juist dat er nu op damage-control wordt gewerkt door telkens schoorvoetend plukjes informatie toe te geven waaruit blijkt dat de hack veel ernstiger blijkt, maakt het beeld van het bedrijf niet beter op.

[kevinvs]

Die website is er wel maar staat op https://informatie.chipsoft.com , waarom ze dat niet onder de algemene url zetten weet ik niet. Ze lijken er wel zelf naar vanuit LinkedIn. Dus het is ook geen geheim.

Eerlijk gezegd was als je de berichten goed las en Chipsoft een goed kent was wel duidelijk dat het vanaf het begin in HiX365 cloud dienst zat, wat vooral voor huisartsen en kleinere klinieken is begonnen. Het grootste is een (nog) relatief klein oogziekenhuis Rotterdam (omzet 70 miljoen t.o.v. regio ziekenhuis van zo’n 300 miljoen).

Wat alleen lang onduidelijk bleef was de patiënt portaal hosting die ze ook aanbieden waar geen dossiers lokaal staan maar wel data vanuit hun web servers wordt opgehaald uit de on prem database van ziekenhuizen. Dat lijkt nu niet geraakt te zijn.

[PCG2020]

Hoe wil je hiervan dan een strafzaak maken? Want dat is waar het OM voor is. Tenzij er hard bewijs is dat een medewerker bewust toegang heeft verleend aan de hackers of de gegevens heeft gestolen, is er geen grond voor een strafzaak. ChipSoft zou in zo'n geval ook zelf aangifte moeten doen tegen de medewerker.

Voor wat betreft de gestolen gegevens komt dan alsnog een civiele procedure om de hoek kijken wanneer klanten schade hebben ondervonden. Dan komt jouw "wie eist, bewijst" ook weer om de hoek kijken.

[mrmrmr]

Grove nalatigheid kan wel degelijk grond vormen voor een strafzaak. Maar dan moet het gebeurde wel strafbaar worden gesteld. Dan is bijvoorbeeld zo in de Wet Computercriminaliteit III voor heling.

Er is een strafrechtelijk onderzoek gestart door het OM naar Tata Steel.

[Eduardio]

“Naar verluidt gaat het om om gegevens van huisartsen, revalidatieklinieken en oogziekenhuizen."

Is hier een bron van? Voor zover ik weet zijn er ook diverse “gewone” ziekenhuizen die het beheer bij Chipsoft hebben.

[Reactie gewijzigd door Eduardio op 16 april 2026 19:26]

[Turanmegil]

Dat zijn er niet heel veel hoor. De meeste ziekenhuizen draaien het gewoon on-premise. De patientportalen willen nog wel eens bij Chipsoft gehost worden. Maar hoe dat dan zit qua data weet ik niet.

[William_H]

Het revalidatiecentrum Heliomare is recent, noodgedwongen, overgestapt op HiX. Gezien de snelheid waarmee dat gegaan is (zeer korte termijn), kan het niet anders dan dat ze via Chipsoft365 draaien. Van die patienten kun je er dus vanuit gaan dat alle patientgegevens gelekt zijn.

[YannickSpinner]

De Volkskrant

[RadYeon]

Goed zo, nu vanuit AP zo'n boete geven dat ze de komende 2 jaar geen winst draaien of alle betrokkenen morgen een enkeltje naar Kaaimaneilanden moeten boeken.
Roekeloosheid en onschendbaarheid bij datalekken moet eens stoppen, geen enkel bedrijf wordt hier voor beboet - Odido niet, BasicFit niet en nu zal het bij ChipSoft ook niet gebeuren, ze zullen het 'betreuren' en de volgende dag gaat het leven vrolijk verder. Het kan toch niet dat al deze bedrijven zo ermee wegkomen?

Kan hier zo ontzettend laaiend over worden.

[Reactie gewijzigd door RadYeon op 16 april 2026 19:38]

[RoestVrijStaal]

Enkel een boete??? Het hele management verdient stokslagen als voorbeeld voor de rest.

Ook de klanten moeten zeer kritisch bevraagd worden hoe de keuze om met Chipsoft in zee te gaan tot stand is gekomen.

[Reactie gewijzigd door RoestVrijStaal op 16 april 2026 20:11]

[moonlander]

Je weet toch niet hoe het gebeurt is? Wat nou als dit gebeurt is door een lek van een extern software pakket wat nog niet gedicht is.. dan kunnen hun daar niks aan doen.

En klanten een keuze? In welke wereld leeft je dat je keuze hebt in een software pakket van een ziekenhuis? Dat is toch hetzelfde als dat je Google verplicht om gebruik te maken van Microsoft Word ipv Google docs

[Mathijs Kok]

Enkel een boete??? Het hele management verdient stokslagen als voorbeeld voor de rest.

Hoe weet jij nu al dat zij verantwoordelijk zijn? En als de fout door een systeembeheerder is gemaakt, moet het management dan gestraft worden als ze alles gedaan hebben om hun staf correct op te leiden en te begeleiden?

En hoe kan je de klanten hier nou in betrekken? Weet jij HEEL zeker dat je nooit software hebt gebruikt die lek bleek te zijn? Kunnen we jou daar dan heel kritisch over bevragen?

Dit soort commentaar, voordat we weten wat er aan de hand is, is gewoon niet erg intelligent.

[mrmrmr]

Dat zegt hij vermoedelijk wegens de bekende bedrijfscultuur bij dit bedrijf waar veel over naar buiten is gekomen, o.a. in een documentaire: YouTube: Documentaire - Dodelijke zorg. (2Doc)

[HoppyF]

Chipsoft kan een mega boete van een paar miljoen makkelijk betalen.
De eigenaren vader en zoon Mulder zijn multimiljonair en staan al jaren in de top van de Quote 500.

[phoenix2149]

Nu lijk het me wel heel goed dat er een externe partij eens goed de organisatie doorlicht gezien de enorme maatschappelijke impact van dergelijke marktleiders en hoe zij in godsnaam een ISO Certificering hadden kunnen krijgen om te mogen verkopen op de markt.

[boshar]

To big to fail. 70% van de ziekenhuizen migreren niet zomaar even naar een ander systeem. Veel van de HiX inrichting is maatwerk, er werken tal van HiX applicatie beheerders aan en voor de medisch specialisten is IT geen core business. Verander 1 klein dingetje in hun vertrouwde invoer scherm en ze lopen er op vast.

[phoenix2149]

Dat wil niet zeggen dat we bijvoorbeeld verkoop kunnen platleggen omdat hun veiligheid dusdanig brak is met open verbindingen naar patiënt gevoelige systemen.

Als je ziet wat wij allemaal moeten doen i.v.m. cybersecurity om onze ISO certificering te houden dan kan ik me niet indenken dat Chipsoft die nog heeft na de documentaire en ook interne bronnen die hier het eea bekend hebben gemaakt.

Als verkopen niet meer kan dan zullen snel dingen veranderen.

[batjes]

Het is vooral aan het bedrijf zelf hoe zwaar ze zo'n ISO certificering waarderen. Ik heb audits meegemaakt die nergens op sloegen en super strenge waar echt alles verantwoord moest zijn.

[Mathijs Kok]

Omdat een ISO-certificering geen garantie geeft dat er nooit fouten gemaakt worden en dat er geen bugs zijn waarvoor nog geen fix is? Als jij voor dit soort dingen een oplossing hebt, kan je morgen bij me komen werken voor een zeer ruim salaris. Wel verantwoordelijk zijn als je een fout maakt, maar dat spreekt voor zichzelf.

Barbertje moet weer hangen voor de Tweakersgemeenschap.

[phoenix2149]

Kan het zo niet terug vinden, maar als je uit intern bronnen hoort dat de IT een zooitje is en remote systemen naar klanten zonder voldoende beveiliging open stonden, dan lijkt mij dat er niet heel erg je best wordt gedaan om veiligheid te waarborgen.

Wij zijn niet eens een hele grote speler op de medische markt maar alles wordt trippel and quadruppel dicht getimmerd al het om externe toegang gaat. Soms frustrerend maar wel veilig.

[DennisGJanssen]

Ik ken de details van het Chipsoft systeem niet, ben weg uit een UMC sinds de introductie van dat systeem (2007), maar als ik goed begrijp gaat ook de communicatie van ziekenhuis naar/van huisarts via het chipsoft systeem. (dit bevat de volledige diagnose behandeling naw)


Dit kan in potentie betekenen dat alle informatie, die tussen een Chipsoft-ziekenhuis en willekeurige huisarts plaatsvindt, van welke patient dan ook, ergens bij chipsoft rondslingert en door de hackers kan zijn ingezien. Bv. in een log-file, misschien wel een echte database, AI systeem, of andere legitiem doel om die info te verzamelen.

Dan schat ik dat het overgrote deel van de nederlanders die in een ziekenhuis geweest zijn mogelijk kwetsbaar zijn

[daveytje]

Er zitten verschil in chipsoft. Als ik het artikel goed lees gaat het over de huisartsen en ziekenhuizen die hix365 gebruiken en niet hix lokaal binnen het ziekenhuis draaien.

ChipSoft heeft nieuwe informatie gedeeld. Daarin meldt het bedrijf dat klanten die gebruikmaken van een online omgeving van ChipSoft (SaaS HiX365) zijn geïnformeerd over gestolen persoonsgegevens van patiënten.

De meeste ziekenhuizen gebruiken geen Hix365

[DennisGJanssen]

de info war ik het over heb gaat over info die uit het systeem (waar dat dan ook gehost wordt) naar een ander systeem verstuurd wordt.

Stel dat ik naar een chipsoft ziekenhuis moet om een specialist te zien. De bevindingen van deze specialist worden met mijn huisarts gecommuniceerd.

In mijn tijd gebeurde dat via de organisatie UZorg. Hoe dat nu gaat weet ik niet, maar ik mag hopen dat het systeem van Chipsoft in deze basisfunctionaliteit voorziet.

Het gaat dus om info die uit het lokale ziekenhuissysteem wordt overgezonden naar een andere zorgverlener.

Als ik iets niet goed snap, of verkeerde aannames maak hoor ik het graag.

edit:
okay heb beter gelezen en nagedacht: mijn aanname is dat " als ze ergens binnen zijn ze overal binnen zijn" Dat klopt waarschijnlijk en hopelijk niet. dank @daveytje

[Reactie gewijzigd door DennisGJanssen op 16 april 2026 22:22]