Ligt er een offerte voor een nieuw of vervangen gebouwbeheersysteem in uw zorginstelling? Degero toetst die onafhankelijk vóór u tekent: scope, open protocollen, GACS, OT-beveiliging en de kosten na oplevering. U stuurt de stukken, wij brengen de omvang in kaart.
In de zorg komen bij een GBS-offerte twee regelsets samen: de GACS-plicht voor het gebouw en, voor grotere zorgaanbieders, de Cyberbeveiligingswet.
Wat de regels zeggen voor zorg
Letterlijk uit de officiële bron, zonder eigen interpretatie:
“De Cyberbeveiligingswet geldt voor zorgaanbieders, EU-referentielaboratoria, onderzoeks- en ontwikkelingsorganisaties voor geneesmiddelen, farmaceuten en fabrikanten van medische hulpmiddelen. Zij moeten voldoen aan de Cyberbeveiligingswet als zij 50 fte (of meer) in dienst hebben of een jaaromzet en een balanstotaal van 10 miljoen euro (of meer).”
Bron: IGJ – Vragen over cyberbeveiliging
“In de Cyberbeveiligingswet staat dat organisaties verantwoordelijk zijn voor hun toeleveringsketen, waarmee ook ICT-leveranciers bedoeld worden.”
Bron: IGJ – Vragen over cyberbeveiliging
“Er komt geen overgangsperiode voor de Cyberbeveiligingswet.”
Bron: IGJ – Vragen over cyberbeveiliging
“Bent u eigenaar van een utiliteitsgebouw met verwarmings- of airconditioningssysteem? En heeft dit systeem een vermogen van meer dan 290 kW? Dan moet uw gebouw vanaf 1 januari 2026 een gebouwautomatiserings- en controlesysteem (GACS) hebben.”
Bron: RVO – Gebouwautomatiserings- en controlesysteem (GACS), gecontroleerd 25 september 2026
Extra aandacht bij zorg
- Remote access en accounts van de installateur op het GBS
- Afspraken met de GBS-leverancier als schakel in uw toeleveringsketen
- Continuïteit: wat gebeurt er bij storing of uitval van het systeem
Wat we toetsen
1. Scope tegenover uw PvE
Staat alles uit uw programma van eisen of uitvraag in de offerte, en wat valt erbuiten?
2. Open protocollen
Worden open protocollen zoals BACnet en Modbus gebruikt, en kunt u later zelf koppelen of uitbreiden?
3. Vendor lock-in
Krijgt u software, licenties, wachtwoorden en broncode/engineering in eigendom of beheer, zodat u later van partij kunt wisselen?
4. GACS en Bbl
Benoemt de offerte de functies die RVO voor een GACS noemt: verbruik bewaken en analyseren, rendementsverlies signaleren, communiceren en samenwerken met andere systemen?
5. NIS2 / OT-beveiliging
Hoe zijn remote access, accounts, updates en netwerkscheiding van het GBS geregeld?
6. Onderhoud, licenties en TCO
Welke terugkerende kosten volgen na oplevering: licenties, cloudabonnement, onderhoud en storingsdienst?
7. I/O-lijst
Is er een I/O-lijst per installatie, en past die bij de installaties en de gevraagde regelstrategie?
8. Prijs-plausibiliteit
Zijn de posten onderling logisch opgebouwd en vergelijkbaar tussen aanbieders, en wat is als stelpost of uitsluiting opgenomen?
Wat u meestuurt
- De offerte(s), inclusief bijlagen
- Programma van eisen of uitvraag (PvE), als dat er is
- Gebouwoverzicht: welke gebouwen, oppervlak, installaties
- Huidig GBS: merk, type, leeftijd, eventueel een screenshot
- Principeschema’s van de installaties
- I/O-lijst, als die bij de offerte zit
Heeft u niet alles? Geen probleem. Stuur wat er is; ontbrekende stukken kunnen later.
Zo werkt het in 3 stappen
- U stuurt de stukken. Via het formulier hieronder of naar info@degero.nl. Niet alles hoeft compleet te zijn.
- Wij brengen de omvang in kaart. Na ontvangst bekijken we wat er ligt en laten we weten wat een toetsing omvat en wanneer u die kunt verwachten.
- U ontvangt een schriftelijke toetsing. Per punt wat in orde is, wat ontbreekt en welke vragen u aan de aanbieder(s) kunt stellen, zodat u onderbouwd kunt kiezen.
Veelgestelde vragen
Valt mijn zorginstelling onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt voor zorgaanbieders, EU-referentielaboratoria, onderzoeks- en ontwikkelingsorganisaties voor geneesmiddelen, farmaceuten en fabrikanten van medische hulpmiddelen. Zij moeten voldoen aan de Cyberbeveiligingswet als zij 50 fte (of meer) in dienst hebben of een jaaromzet en een balanstotaal van 10 miljoen euro (of meer).
Hoe snel moet een significant incident gemeld worden?
Binnen 24 uur: vroegtijdige waarschuwing via het NCSC-portaal. Binnen 72 uur: vervolgmelding met een update over het verloop van het incident. Binnen 1 maand: eindverslag.
Zijn zorgorganisaties verantwoordelijk voor hun ICT-leveranciers?
In de Cyberbeveiligingswet staat dat organisaties verantwoordelijk zijn voor hun toeleveringsketen, waarmee ook ICT-leveranciers bedoeld worden. Uw organisatie moet bij het selecteren van leveranciers - en ook tijdens de periode waarin zij diensten afneemt - zorgen dat er goede afspraken zijn.
Wat kost een second opinion?
Dat hangt af van de omvang. Na ontvangst van de stukken brengen we de omvang in kaart en hoort u wat een toetsing omvat, voordat er iets wordt afgesproken.
Verder lezen
Alle gebouwen · Second opinion scholen · Second opinion kantoren · Second opinion VvE’s
GACS in de zorg · De 7 toetspunten bij een GBS-offerteDe 7 toetspunten bij een GBS-offerte · GACS-verplichting 2026 · M&R-nieuws