Ik lees tussen de regels door dat de verantwoordelijke personen die moeten afwegen of een situatie acceptabel is (Raad van Toezicht, CISO, staffunctionaris) volkomen onbekwaam zijn op het gebied van ICT-beveiliging. En waar is de CISO in dit verhaal? Want de analyse over keuzes lijkt voornamelijk buiten deze (parttime ingehuurde) functie om gedaan te worden? Het komt om mij over op de situatie dat de RvT, CISO en staffunctionarissen zich meer bekommeren over het vervullen van functionele posten dan de inhoud: het continu onderkennen van de praktische en theoretische situatie, het bepalen van de eisen en de wensen (niet alleen naar de wet), het afwegen en bepalen van de maatregelen, het implementeren van de maatregelen, het controleren of de implementatie werkt, actief schade voorkomen, beperken, herstellen. En dit blijven herhalen. Om met de verzekering in dit geheel te beginnen: geen wet of fatsoensnorm is bedoeld achteraf tegen de slachtoffers te kunnen zeggen "Sorry patienten. We hadden praktisch geen ...