Op een zondagochtend in februari 2026, om 02:14 uur, werd een regionaal ziekenhuis getroffen door een ransomwareaanval op zijn informatiesysteem. Gesteund door een continuïteitskader dat via ResiPlan operationeel was gemaakt, hield het ziekenhuis de patiëntenzorg draaiende, dijkte het de dreiging in minder dan een uur in en herstelde het de kritieke diensten binnen 18 uur. Hieronder leest u het verloop van het incident en de geleerde lessen.
Achtergrond
De organisatie is een middelgroot Frans regionaal ziekenhuis:
- 800 bedden voor gehospitaliseerde patiënten, waarvan 70 bedden voor kritieke zorg
- 5.000 medewerkers (medisch, verpleegkundig, administratief)
- 450 softwaretoepassingen, waarvan 38 als kritiek geclassificeerd
- "Plan blanc" (noodplan) sinds de pandemie gemiddeld 3 keer per jaar geactiveerd
- HDS-gecertificeerd (Health Data Hosting provider)
Het ziekenhuis had ResiPlan 14 maanden vóór het incident uitgerold, als onderdeel van een weerbaarheidsprogramma dat afgestemd was op de NIS2-vereisten en de aanbevelingen van ANSSI voor de zorgsector.
Het incident
Detectie (00:00 tot 00:47)
Het eerste alarm kwam van een EDR-tool die abnormale versleuteling op een bestandsserver van de dienst radiologie signaleerde. Tegelijk detecteerde het gedeelde SOC ongebruikelijke PowerShell-activiteit op drie andere servers. Het koppelen van beide signalen en de classificatie van de gebeurtenis als "groot cyberincident" gebeurden om 00:47, 47 minuten na het eerste alarm.
Initiële impact
- 14 servers versleuteld, waaronder 2 administratieve databaseservers
- Het Elektronisch Patiëntendossier (EPD) bleef toegankelijk, maar traag
- Medische beeldvorming (PACS) gedeeltelijk verstoord
- Interne e-mail uitgevallen
- Opnames, facturatie en het medicatieproces getroffen
Losgeldeis
De groep aanvallers eiste losgeld in cryptomunt, met een aftelperiode van 72 uur. In lijn met de doctrine van ANSSI en het interne beleid van het ziekenhuis besliste de instelling onmiddellijk niet te betalen.
De rol van ResiPlan in de respons
Activering van de reflexkaarten (00:47 tot 01:30)
De leider van de crisiscel activeerde het cyber-IRP via de mobiele interface van ResiPlan. De reflexkaarten voor de eerste 40 minuten werden naar de toestellen van de 12 leden van de crisiscel gestuurd. Kritieke acties werden live opgevolgd: netwerkisolatie (admin-VLAN), degraded mode van het EPD, activering van het interne communicatieplan.
Visualisatie van de afhankelijkheidscascade
Met de afhankelijkheidsgraaf van de CMDB werden in drie klikken de 112 bedrijfsprocessen geïdentificeerd die mogelijk getroffen waren door de 14 aangevallen servers. De teams gaven voorrang aan de 28 processen die verbonden zijn met vitale zorg (spoedgevallen, operatiekwartier, kritieke zorg) en activeerden de bijbehorende noodprocedures.
Coördinatie van het herstelplan
De IT-teams volgden het IT-herstelplan (DRP) stap voor stap: herstel vanuit geverifieerde cold back-ups (niet aangetast door de aanval), heropbouw in een geïsoleerde omgeving, integriteitstests vóór de ingebruikname in productie. Elke stap werd met tijdstempel vastgelegd en gedocumenteerd in ResiPlan, met het oog op audit en geleerde lessen.
Tijdlijn van het herstel
| Tijdstip | Actie |
|---|---|
| 00:00 | Eerste EDR-signaal |
| 00:47 | Classificatie als groot cyberincident |
| 01:15 | Crisiscel ter plaatse en op afstand geactiveerd |
| 01:30 | Netwerkisolatie effectief, IT-"plan blanc" geactiveerd |
| 03:00 | Interne communicatie naar alle diensten |
| 04:00 | ANSSI en regionale gezondheidsautoriteit geïnformeerd, klacht ingediend bij de politie |
| 08:00 | Stabiele degraded mode, geplande activiteiten uitgesteld |
| 14:00 | Herstel van de 2 prioritaire databaseservers |
| 18:00 | 38 kritieke toepassingen opnieuw in productie |
| 72h | Volledig herstel, met uitzondering van het niet-ontsleutelde ransomware-artefact |
Resultaten
- Geen enkele patiënt overgebracht wegens onvermogen om zorg te verlenen
- Geen verlies van klinische gegevens buiten een RPO van 2 uur
- Geplande activiteiten 48 uur uitgesteld, ingehaald in 10 dagen
- Losgeld niet betaald
- Opdrachten van ANSSI en de verzekeraar binnen 5 dagen afgerond met een volledig dossier
Geleerde lessen
Wat het verschil maakte:
- Dankzij de mobiele reflexkaarten kon midden in de nacht geactiveerd worden zonder op de fysieke crisisruimte te wachten
- De kwaliteit van de CMDB bracht de impactanalyse terug van uren naar minuten
- De driemaandelijks geteste immutable back-ups bleken niet gecompromitteerd
- De ransomware-tabletop-oefening van september 2025 had de juiste reflexen ingeoefend
Verbeterpunten:
- De papieren noodprocedures voor opnames waren verouderd, wat de instroom op de spoedgevallen vertraagde
- De netwerksegmentatie tussen de medisch-technische en de administratieve zones werd na het incident versterkt
- Het externe mediacommunicatieplan werd na de post-mortem volledig herschreven
Meer weten
ResiPlan ondersteunt meer dan twintig zorginstellingen in Frankrijk en Europa. Het platform combineert mobiele reflexkaarten, afhankelijkheidscascades, cyberplaybooks en gestructureerde post-mortems om van elk incident een troef voor weerbaarheid te maken.
- Oplossing voor BCM en bedrijfscontinuïteit
- 10 scenario's voor crisisoefeningen om uw BCMS te testen
- Spreek met een expert
- Prijzen en demo
Casestudy geanonimiseerd met toestemming van de klant. Cijfers, tijdstippen en impact zijn authentiek; de identiteit van de instelling is beschermd.