De Nederlandse Jeugdzorg heeft onvoldoende kennis van informatiebeveiliging, wat tot hoge risico's voor de beschikbaarheid, integriteit en vertrouwelijkheid van dossiers in de jeugdhulp kan leiden. Ook heeft de sector onvoldoende middelen voorhanden, zo stelt de Inspectie Gezondheidszorg en Jeugd op basis van eigen onderzoek.

De afgelopen jaren deden zich verschillende datalekken bij jeugdzorginstellingen voor. Zo kwamen begin vorig jaar door een lek bij Bureau Jeugdzorg Utrecht ruim 3200 dossiers van 2700 kwetsbare kinderen in handen van derden. En onlangs meldde het Centrum voor Jeugd en Gezin (CJG) Rijnmond nog een datalek nadat het slachtoffer was geworden van een phishingaanval.

Naar aanleiding van het datalek bij Bureau Jeugdzorg Utrecht werd er een onderzoek door de Inspectie ingesteld, waar 563 organisaties aan deelnamen. Informatiebeveiliging was een specifiek onderdeel van dit onderzoek. Daarnaast organiseerde de Inspectie een focusgroep om de resultaten van het onderzoek te bespreken. Verder zijn in opdracht van het ministerie van Volksgezondheid bij verschillende jeugdhulpaanbieders penetratietesten uitgevoerd.

Van de deelnemers aan het onderzoek heeft 88 procent beleid opgesteld voor informatiebeveiliging en de omgang met digitale privacy. Bij een derde van de organisaties is het beleid gebaseerd op de gangbare wettelijke normen (ISO 27001 en/of NEN7510). De Inspectie noemt het opvallend dat een deel van de sector niet bekend is met deze normen. Zo heeft 18 procent van de respondenten het beleid voor informatiebeveiliging gebaseerd op een niet gangbare norm en weet 26 procent de gehanteerde norm niet te noemen.

Bijna 80 procent van de respondenten heeft een verantwoordelijke voor informatiebeveiliging aangewezen. Bij de rest is deze functie niet aanwezig. Verder heeft 40 procent geen risicoanalyse laten uitvoeren. "Opvallend is dat bij 38 procent van de respondenten die aangaven wél de risico's op dit vlak te kennen en hierop voorbereid te zijn, geen risicoanalyse is gedaan", zo laat de Inspectie weten.

Op basis van het onderzoek, de resultaten van de penetratietesten en overleg met de focusgroep komt de Inspectie tot de conclusie dat erbij de Jeugdzorg onvoldoende kennis aanwezig is van en zicht op de risico's op het gebied van ict en informatiebeveiliging. De inspectie roept alle jeugdzorginstellingen dan ook op om de informatiebeveiliging op orde te brengen conform de hiervoor geldende normen, te weten de ISO27001 en/of de NEN7510.