Background information Date of final decision: 3 September 2026 National case Controller: Hôpital Privé de la Loire Legal Reference: Article 32 (Security of processing), Article 34 (Communication of a personal data breach to the data subject), Decision: Administrative fine Keywords: Cybersecurity, Personal data breaches, Health and research Summary of the Decision Origin of the case In summer 2025, an attacker managed to connect to the Computerised Patient Summary (DPI) of the Hôpital Privé de la Loire (Loire’s private hospital), which centralises all the data of the individuals under care. It
Exploiteerbaarheid: geen exploit bekend. Blootstelling: niet internet-facing / geen bekende blootstelling. Gemeentelijke relevantie: geen match met de gemeentelijke context. Impact: persoonsgegevens betrokken. Bronvertrouwen: laag.
Scorecomponenten
geen exploit bekend
niet internet-facing / geen bekende blootstelling
geen match met de gemeentelijke context
persoonsgegevens betrokken
alleen media/vendorblog
geen mitigatie bekend
Geen automatische bestuurlijke escalatie — operationeel op te volgen.
Prioriteit: monitoren
Aanbevolen reactietijd: monitoren
Monitoren (50/100) — monitoren. Bepalend: gemeentelijke relevantie (100/100) en handelingsurgentie (51/100). Houd dit in de gaten; directe actie is nu niet nodig. Deze prioritering is regelgebaseerd en navolgbaar; weeg de aannames en onzekerheden mee voor de eigen gemeentelijke omgeving.
laag — De technische ernst is beperkt.
laag — Er zijn geen concrete aanwijzingen voor misbruik.
zeer hoog — Dit raakt technologie of processen die bij vrijwel elke Nederlandse gemeente in gebruik zijn.
verhoogd — Plan beoordeling en opvolging in; directe actie is nu niet vereist.
Positieve factoren
De categorie 'data_leak' verhoogt de technische ernst.
Bron: Categorisering door de verrijkingspijplijn
De dreiging raakt identity-, Microsoft 365- of Entra-technologie die vrijwel elke gemeente gebruikt.
Bron: Technologieherkenning in titel, samenvatting en labels
De dreiging raakt remote access of VPN (zoals Citrix, Fortinet, Ivanti of Palo Alto): vaak direct vanaf internet bereikbaar.
Bron: Technologieherkenning in titel, samenvatting en labels
Remote access en VPN zijn direct vanaf internet bereikbaar en een geliefd doelwit; dit verhoogt de urgentie.
Bron: Technologieherkenning in titel, samenvatting en labels
Negatieve factoren
Geen verlagende factoren herkend.
Aannames
Onzekerheden
Deze prioritering is regelgebaseerd en navolgbaar. Een CISO kan deze onderbouwing gebruiken richting directie of ICT-management; stem de opvolging af op de eigen gemeentelijke omgeving.
13 concrete acties verdeeld over 7 rol(len). Aanbevolen reactietijd: monitoren.
Taken voor CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
Laat bevestigen dat de patchstatus en mitigerende maatregelen voor de remote-accessvoorziening op orde zijn.
Bewijs vereist: Bevestiging van het beheerteam of de leverancier.
Stem met de Privacy Officer en communicatie af wat en wanneer wordt gecommuniceerd.
CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
Laat bevestigen dat de patchstatus en mitigerende maatregelen voor de remote-accessvoorziening op orde zijn.
Bewijs vereist: Bevestiging van het beheerteam of de leverancier.
Stem met de Privacy Officer en communicatie af wat en wanneer wordt gecommuniceerd.
ISO / patchmanagement
Controleer of een patch of mitigatie beschikbaar is en bepaal de deadline voor opvolging.
Bewijs vereist: Patch- of mitigatieoverzicht met versienummers.
SOC
Let op afwijkende of mislukte aanmeldingen en sessies op VPN of remote access.
Let op verdachte aanmeldingen, tokenmisbruik en wijzigingen in rechten.
ICT-beheer
Breng in kaart welke systemen, applicaties of accounts de kwetsbare component bevatten.
Bewijs vereist: Lijst van geraakte systemen uit de CMDB of inventaris.
Beperk waar mogelijk de internettoegang tot de remote-accessvoorziening tot de patch is uitgevoerd.
Controleer MFA, conditional access en rechten op de getroffen identity- of Microsoft 365-omgeving.
Bewijs vereist: Vastgelegde configuratiecontrole.
Functioneel beheer
Controleer of de geraakte applicatie of koppeling extra aandacht nodig heeft.
Privacy Officer
Toets of er persoonsgegevens betrokken zijn en of een melding bij de AP of de betrokkenen nodig is.
Bewijs vereist: Vastgelegde afweging van de meldplicht.
Proceseigenaar
Beoordeel wat de dreiging betekent voor de continuiteit van het geraakte proces.
De acties zijn regelgebaseerd gegenereerd. Stem ze af op de eigen gemeentelijke omgeving en wijs per actie een eigenaar en deadline toe.
Relevante logbronnen
MITRE ATT&CK — tactieken
MITRE ATT&CK — technieken
Huntingvragen
KQL-huntingqueries (Microsoft Sentinel)
Massale downloads van documenten
Toont gebruikers die in korte tijd ongebruikelijk veel bestanden downloaden - mogelijke exfiltratie.
// Massale downloads van documenten (mogelijke exfiltratie)
OfficeActivity
| where TimeGenerated > ago(1d)
| where Operation in ("FileDownloaded", "FileSyncDownloadedFull")
| summarize Downloads = count() by UserId, bin(TimeGenerated, 1h)
| where Downloads > 100
| order by Downloads descFalse positives: Legitieme migraties, back-ups en offline-synchronisatie veroorzaken downloadpieken.
Aanmeldingen vanuit onbekende landen
Toont geslaagde aanmeldingen vanuit landen buiten het verwachte werkgebied.
// Aanmeldingen vanuit onverwachte landen
let bekendeLanden = dynamic(["NL", "BE", "DE"]);
SigninLogs
| where TimeGenerated > ago(7d)
| where ResultType == 0
| where isnotempty(Location) and Location !in (bekendeLanden)
| summarize Aanmeldingen = count() by UserPrincipalName, Location
| order by Aanmeldingen descFalse positives: Vakanties, grensregio's en cloud-egress kunnen onverwachte landen tonen.
Impossible travel-risicodetecties
Toont aanmeldingen die Entra ID Protection markeert als 'impossible travel' of onbekende kenmerken - mogelijk overgenomen sessies.
// Impossible travel-risicodetecties (Entra ID Protection)
AADUserRiskEvents
| where TimeGenerated > ago(7d)
| where RiskEventType in ("impossibleTravel", "unfamiliarFeatures",
"anonymizedIPAddress")
| project TimeGenerated, UserPrincipalName, RiskEventType, RiskLevel,
IpAddress, Location
| order by TimeGenerated descFalse positives: VPN's, mobiele netwerken en cloud-egress kunnen een legitieme aanmelding als onmogelijke reis laten ogen.
Indicators of compromise
Geen IOC's herkend in de openbare dreigingstekst. IOC's kunnen later via een threat-intelfeed worden aangevuld.
False-positive-aandachtspunten
Legitieme migraties, back-ups en bulkbewerkingen veroorzaken downloadpieken. Verifieer met de gebruiker.
Deze informatie is uitsluitend defensief: detectie en hunting. De KQL-queries zijn read-only en bedoeld voor Microsoft Sentinel.
Vragenlijst
E-mailonderwerp
Uitvraag beveiligingsmelding — reactie gevraagd
E-mailtekst
Geachte heer/mevrouw, Naar aanleiding van een beveiligingsmelding doet onze gemeente een uitvraag bij u als leverancier. Deze uitvraag dient ter verificatie en feitenvaststelling: wij willen vaststellen of en in welke mate de aan onze gemeente geleverde dienstverlening wordt geraakt. Het betreft mogelijk het product of onderdeel "VPN". Wij verzoeken u de onderstaande vragen volledig en onderbouwd te beantwoorden en uw reactie binnen tien (10) werkdagen na ontvangst van dit bericht schriftelijk aan te leveren bij de informatiebeveiligingsfunctie van onze gemeente. Zijn bepaalde gegevens nog niet beschikbaar, dan ontvangen wij graag een tussentijdse terugkoppeling. Vragen: 1. Gebruikt u de kwetsbare component of het geraakte product? 2. Welke versies zijn bij u in gebruik? 3. Is de kwetsbaarheid van toepassing op de dienstverlening aan onze gemeente? 4. Is de kwetsbaarheid inmiddels gepatcht? 5. Zo ja, op welke datum is de patch doorgevoerd? 6. Zo nee, welke mitigerende maatregelen zijn genomen? 7. Is er actief misbruik van de kwetsbaarheid geconstateerd? 8. Is er logging of forensisch onderzoek uitgevoerd? 9. Is er sprake van een risico op een datalek? 10. Wanneer verwacht u een definitieve oplossing door te voeren? 11. Welke restrisico's blijven na de oplossing bestaan? 12. Welke communicatie mogen wij richting onze interne stakeholders gebruiken? Deze uitvraag is bedoeld om de feiten vast te stellen en gezamenlijk tot een passende opvolging te komen. Wij stellen uw tijdige medewerking op prijs. Met vriendelijke groet, [Naam] Namens de informatiebeveiligingsfunctie Gemeente [Gemeente]
Vul vóór verzending de afzender en gemeentenaam in. De tekst is zakelijk en gericht op feitenvaststelling; pas hem aan op de eigen situatie.
Deze dreiging raakt de onderstaande governance-thema's. Met de aanbevolen bewijsstukken kunt u aantonen dat het signaal is opgevolgd — bruikbaar voor BIO2, NIS2/CBW, ISMS en de ENSIA-verantwoording.
Een (mogelijk) datalek vraagt om gestructureerde opvolging.
Aanbevolen bewijs: Incidentregistratie en de uitgevoerde beoordeling.
Logging is nodig om de omvang van een mogelijk datalek vast te stellen.
Aanbevolen bewijs: Logonderzoek met conclusie over de omvang.
Bij een datalek kan een meldplicht bij de Autoriteit Persoonsgegevens en de betrokkenen gelden.
Aanbevolen bewijs: Afweging en eventuele melding, vastgelegd door de Privacy Officer.
De dreiging en de opvolging ervan horen thuis in de periodieke rapportage aan het management en de directie.
Aanbevolen bewijs: Vermelding in de CISO- of directierapportage informatiebeveiliging.
De radar legt de beoordeling, prioritering en opvolging navolgbaar vast.
Aanbevolen bewijs: Scoringonderbouwing, actiekaart en statusgeschiedenis uit de radar.
Een datalek toetst de effectiviteit van de beheersmaatregelen (Check).
Aanbevolen bewijs: Evaluatie van de oorzaak en de aangepaste maatregelen.
Aantoonbare opvolging draagt bij aan de jaarlijkse ENSIA-verantwoording over de BIO.
Aanbevolen bewijs: Overzicht van opgevolgde dreigingen voor de ENSIA-zelfevaluatie.
Background information Date of final decision: 3 September 2026 National case Controller: Hôpital Privé de la Loire Legal Reference: Article 32 (Security of processing), Article 34 (Communication of a personal data breach to the data subject), Decision: Administrative fine Keywords: Cybersecurity, Personal data breaches, Health and research Summary of the Decision Origin of the case In summer 2025, an attacker managed to connect to the Computerised Patient Summary (DPI) of the Hôpital Privé de la Loire (Loire’s private hospital), which centralises all the data of the individuals under care. It thus accessed the data of 524 867 patients (some of them health data) and 202 246 persons designated as “trusted third parties”. As a result of this data breach, the French Data Protection Authority (CNIL) carried out a check that identified several failures of the Hôpital Privé de la Loire to comply with the obligations laid down in the General Data Protection Regulation (GDPR). Key findings Failure to ensure the security of personal data (Article 32 GDPR) The authentication procedure to connect to the hospital’s e-Health Patient Summary, used by users outside the hospital, in particular doctors not affiliated with the hospital, was not sufficiently robust, due to the lack of VPNs and multifactor authentication means. The attacker took advantage of this vulnerability to access the data. Moreover, the access control policy was inadequate: it did not take account of the concept of care team, so that only professionals actually involved in the care of a patient had access to the information covered by medical confidentiality. This lack of access limitation allowed the attacker, using the credentials of a single user account, to access the data of all hospital patients. Finally, the hospital had not taken measures to detect suspicious activity within the e-Health Patient Summary in real time or in the very short term, and to trigger an alert mechanism if necessary. In those circumstances, the attacker was able to explore the hospital’s e-Health Patient Summary for several days and extract a very large volume of data, without that abnormal activity being detected. This vulnerability has contributed to exacerbating the scale of the data breach. Failure to inform data subjects about the data breach (Article 34 GDPR) Finally, the restricted committee found that only the patients of the Hôpital Privé de la Loire concerned by the data breach had been informed, but that no direct information had been provided to the 202 246 individuals designated by patients as trusted third parties, even though their personal data had also been stolen by the attacker. Decision The restricted committee – the body of the CNIL responsible for issuing sanctions – imposed a fine of 500 000 EUR on the Hôpital Privé de la Loire, taking into account, inter alia, the lack of awareness of essential security principles, the number of persons concerned, the nature of the data compromised and its financial capacities. Further information: Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE Health data breach: EUR 500,000 fine against HÔPITAL PRIVÉ DE LA LOIRE
Categorie 'data_leak' op basis van trefwoord 'data breach'. Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'confirmed': afgeleid van de betrouwbaarheidsscore van de bron (0.9). Geen bekende leveranciers of producten herkend.
Deze dreiging scoort 85/100 voor de gemeentelijke relevantie. Meegewogen: bevestiging door een officiële bron, getroffen internetgerichte technologie, veelgebruikte gemeentelijke technologie, impact op identity of Microsoft 365 en impact op persoonsgegevens. Geraakte processen: Microsoft 365 en identity, Netwerk en infrastructuur.
Bestuurlijke duiding
Deze dreiging vraagt om bestuurlijke aandacht. Bij een datalek met persoonsgegevens gelden meldplichten richting de Autoriteit Persoonsgegevens en de betrokkenen. Een succesvolle aanval kan de gemeentelijke dienstverlening direct raken en leiden tot uitval, imagoschade of een datalek met meldplicht. Borg dat de portefeuillehouder en de directie geïnformeerd zijn en dat de opvolging belegd en bewaakt wordt.
Geraakte processen
Betrokken rollen
CISO · ISO · SOC · ICT beheer · Privacy Officer
Concrete stappen voor ICT-beheer en het securityteam.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Deel geen vertrouwelijke of persoonsgegevens in dit formulier. Beschrijf je melding algemeen; gevoelige details horen niet op een publieke radar thuis.