Wat de cyberaanval bij Boston Scientific heeft verstoord

Boston Scientific ontdekte op 25 augustus 2026 een cyberaanval en maakte die een dag later bekend in een melding aan de Amerikaanse Securities and Exchange Commission (SEC). De aanval veroorzaakte een wereldwijde netwerkstoring, waardoor de toegang werd beperkt tot informatiesystemen en bedrijfsapplicaties voor onder meer productie, orderverwerking en verzending. Op 28 augustus was het herstel nog bezig en was er geen openbare termijn voor volledig herstel. 2

De belangrijkste nuance: het gaat vooralsnog om de operationele systemen van het bedrijf, niet om de werking van geïmplanteerde medische hulpmiddelen. Boston Scientific meldde dat het onderzoek tot dusver geen bekende gevolgen had gevonden voor de werking van geïmplanteerde hartritmemanagementapparaten of voor datatransmissies van apparaten die al waren aangemeld voor monitoring op afstand. Nieuwe aanmeldingen en activaties voor monitoring op afstand konden wel worden beperkt. 15

Wat werd er verstoord?

De storing trof bepaalde IT-systemen, besturingssystemen en bedrijfsapplicaties. Het directe gevolg was geen gemelde uitval van geïmplanteerde producten, maar een verlies of beperking van toegang tot systemen die de dagelijkse bedrijfsvoering ondersteunen.

Boston Scientific kon daardoor niet normaal:

• producten maken;
• klantorders verwerken; en
• afgeronde orders via de gebruikelijke systemen en logistieke processen verzenden. 12

Dat leidde tot problemen in de toeleveringsketen voor ziekenhuizen en andere klanten die afhankelijk zijn van medische hulpmiddelen van Boston Scientific. Het bedrijf kon elektronische bestellingen nog wel ontvangen, onder meer via elektronische gegevensuitwisseling (EDI) en de Global Health Exchange (GHX). Die orders werden echter in een wachtrij gezet voor latere afhandeling, in plaats van normaal te worden verwerkt en verzonden. 15

Bestellingen kwamen nog binnen, maar bleven liggen

Een update van Boston Scientific van 29 augustus gaf een preciezer beeld dan de eerste melding. Elektronische orders konden nog worden ontvangen via EDI en lokale applicaties, maar werden vastgehouden totdat de getroffen systemen weer beschikbaar waren. De orderinvoer was dus niet volledig stilgevallen; vooral de afhandeling en verzending vormden de grootste knelpunten. 15

Boston Scientific had niet bekendgemaakt wanneer de opgehoopte orders zouden worden verwerkt of wanneer de normale verzendcapaciteit zou terugkeren. Daardoor bleven klanten onzeker over levertijden en onderzocht het bedrijf nog steeds de operationele en financiële gevolgen. 12

Ook productie in Ierland geraakt

De storing bereikte de productieactiviteiten van Boston Scientific. Er is geen openbaar overzicht met het exacte productieverlies per fabriek, maar de Ierse locaties in Cork, Clonmel en Galway behoorden tot de getroffen vestigingen. In Ierland werken in totaal meer dan 7.000 mensen voor het bedrijf. 310

Volgens berichten uit Cork werden werknemers naar huis gestuurd of gevraagd, waar mogelijk, op afstand te werken. Ook medewerkers in Galway kregen de opdracht thuis te werken; de vereisten om op locatie aanwezig te zijn, werden per situatie bepaald. Naarmate de storing voortduurde, werden in Cork bovendien enkele diensten geannuleerd.

De maatregelen laten zien hoe een cyberincident verder kan gaan dan kantoor-IT. Wanneer netwerktoegang, productiesystemen of ondersteunende bedrijfsapplicaties uitvallen, kunnen ook medewerkers in fabrieken hun werk niet normaal uitvoeren. De berichtgeving bevestigt dat de productie werd verstoord, maar maakt niet duidelijk hoeveel productie op elke Ierse locatie verloren ging.

Zijn geïmplanteerde hartapparaten getroffen?

In de update van 29 augustus meldde Boston Scientific geen bekende gevolgen voor de werking van geïmplanteerde apparaten voor hartritmemanagement. Ook was er volgens het bedrijf geen bekende impact op de mogelijkheid van apparaten die al op afstand werden gemonitord om gegevens te verzenden, of op de toegang van zorgprofessionals tot die informatie. 15

De beperking zat bij nieuwe ondersteunende activiteiten. Aanmeldingen of activaties voor monitoring op afstand die na de netwerkstoring werden gestart, konden niet normaal worden afgerond. Dat wijst op een probleem met de ondersteunende systemen en het registratieproces, niet op bewijs dat bestaande implantaten waren uitgeschakeld, aangepast of gehackt. 15

Voor patiënten en zorgverleners is dat onderscheid belangrijk: de bevestigde gevolgen betroffen de systemen en processen rond de apparaten. Boston Scientific meldde geen verstoring van de werking van reeds geïmplanteerde apparaten.

Onderzoek en herstel

Na de ontdekking van het incident activeerde Boston Scientific zijn procedures voor incidentrespons. Het bedrijf schakelde externe cybersecurityspecialisten in om de dreiging te onderzoeken en in te dammen. 269

Boston Scientific zei aanvankelijk dat het werkte aan het herstel van de getroffen functies en systeemtoegang, maar kon geen termijn geven voor volledig herstel. Tegelijk onderzocht het de omvang, aard en gevolgen van het incident, waaronder de vraag of de aanval een materieel effect kon hebben op de bedrijfsvoering of financiële resultaten. 12

De update van 29 augustus bracht wel een belangrijke afbakening. Volgens de lopende beoordeling waren cloudgebaseerde systemen en applicaties niet getroffen en bleef ongeautoriseerde activiteit beperkt tot bepaalde systemen op locatie. Dat verkleinde het bekende impactgebied, maar gaf nog geen antwoord op alle vragen over herstel of mogelijke blootstelling van gegevens. 15

Wat is nog onbekend?

De openbare meldingen maakten niet bekend:

• hoe de aanvallers voor het eerst toegang kregen;
• welke specifieke systemen zij bereikten;
• of gegevens zijn buitgemaakt;
• of ransomware werd gebruikt; of
• welke groep verantwoordelijk was.

Er was in de beschikbare berichtgeving ook geen bevestigde melding van een datalek met patiëntgegevens of een losgeldeis. Dat betekent niet dat gegevens zeker niet zijn gestolen of dat ransomware is uitgesloten. Het betekent alleen dat het onderzoek daar publiekelijk nog geen uitsluitsel over gaf. 2

Financiële gevolgen en reactie van de markt

Boston Scientific rapporteerde over 2025 ongeveer 20 miljard dollar aan omzet. Een langdurige onderbreking van productie, orderverwerking en verzending kan daardoor de timing van inkomsten en leveringen aan klanten beïnvloeden, ook als de technische inbraak uiteindelijk beperkt blijkt tot bepaalde systemen. 1

Het aandeel daalde op 26 augustus met ongeveer 4,5%, omdat beleggers rekening hielden met mogelijke gevolgen voor de omzet op korte termijn. De koersreactie weerspiegelde vooral onzekerheid: Boston Scientific wist nog niet hoe lang de storing zou duren en of het incident materiële financiële gevolgen zou hebben.

Waarom dit incident belangrijk is voor de zorgsector

De zaak laat zien dat cyberrisico’s in de zorg niet alleen draaien om elektronische patiëntendossiers of rechtstreeks verbonden medische apparaten. Een inbraak in bedrijfs- en lokale systemen kan productie, orderverwerking, logistiek, klantenservice en de administratieve stappen voor nieuwe patiënten in monitoringprogramma’s stilleggen.

In dit geval was de bevestigde schade vooral een probleem van operationele beschikbaarheid: Boston Scientific kon sommige orders aannemen, maar kon ze niet normaal verwerken en verzenden. Ook de productie werd verstoord. Tegelijkertijd meldde het bedrijf geen bekende gevolgen voor de werking van geïmplanteerde hartapparaten of voor monitoring die al actief was. 15

Die scheiding is geruststellend, maar geen garantie tegen toekomstige risico’s. Zorgorganisaties en fabrikanten van medische technologie moeten rekening houden met de verbindingen tussen bedrijfsnetwerken, productieomgevingen, cloudapplicaties, logistieke platforms en diensten voor patiëntondersteuning. De storing bij Boston Scientific maakt duidelijk hoe snel een probleem in één laag gevolgen kan hebben voor ziekenhuizen, werknemers en klanten in meerdere landen, zelfs wanneer de medische hulpmiddelen zelf blijven functioneren.