VVD stelt Kamervragen over datastromen van Chinese medische apparatuur

VVD-Kamerleden Hilde Wendel en Queeny Rajkowski stelden op 1 september acht schriftelijke vragen over de datastromen van Chinese medische apparatuur in Nederlandse ziekenhuizen, en willen weten wie op die apparaten de updates en het onderhoud uitvoert.

De vraag eronder is geen zorgvraag. Elk bedrijf dat apparatuur van buiten de EU aan het bedrijfsnetwerk hangt, van camera's en toegangscontrole tot sensoren in een productielijn of een machine die de leverancier op afstand uitleest, koopt drie dingen tegelijk in: een apparaat dat gegevens verzamelt, een partij die het van buitenaf bijwerkt, en een contract dat over dat tweede meestal zwijgt. Wat vandaag verschuift, is dat die vraag op het bureau van twee bewindspersonen ligt en niet alleen bij de inkoper.

Acht vragen, nog geen constatering

De vragen dragen kenmerk 2026Z17530 en gaan naar minister Sterk van Langdurige Zorg, Jeugd en Sport en naar staatssecretaris Aerdts van Economische Zaken en Klimaat. De twee Kamerleden vragen of Nederlandse ziekenhuizen op dit moment Chinese medische technologie gebruiken, om welke technologie het dan gaat, of daarmee gevoelige persoonsgegevens worden verwerkt of opgeslagen, en wie de updates en het onderhoud van die technologie uitvoert.

Verder willen ze bevestigd zien of het St. Antonius Ziekenhuis patiëntmonitoren van een Chinees bedrijf gebruikt, hoe de bescherming van patiëntgegevens daar is geregeld en of er Europese alternatieven zijn. De laatste vragen gaan over bevoegdheden: hoe is gewaarborgd dat medische gegevens van Nederlanders niet bij niet-Europese bedrijven belanden, deelt het kabinet de zorgen over spionage, misbruik en privacy, en welke instrumenten heeft het als de huidige tekortschieten.

Voor de weging telt vooral wat er niet staat. Er ligt geen bevinding dat er gegevens weglekken. Er ligt een reeks vragen, en het kabinet heeft de gebruikelijke termijn van drie weken om te antwoorden.

Vijf dagen eerder stelde D66 dezelfde vraag anders

Dit is de tweede set vragen over hetzelfde onderwerp binnen een week. Op 27 augustus dienden D66-Kamerleden Marc Vervuurt en Sarah El Boujdaini al vragen in bij minister Hermans van Volksgezondheid, Welzijn en Sport. Zij waren concreter over de aanleiding: het St. Antonius Ziekenhuis is een samenwerking aangegaan met Mindray, en United Imaging kreeg een vergunning om in Nederland onderhoud te verrichten aan röntgenapparatuur. Hun scherpste punt raakt de inkooppraktijk rechtstreeks, namelijk dat de afhankelijkheid van een leverancier niet stopt bij de aankoop maar doorloopt in onderdelen, onderhoud en software-updates.

Ze wijzen er ook op dat maar een deel van de markt beschermd is. De Europese Commissie beperkte in juni 2025 de toegang van Chinese leveranciers tot Europese overheidsaanbestedingen van medische hulpmiddelen boven de vijf miljoen euro. Onder die drempel, en bij alles wat geen aanbesteding is, geldt die afscherming niet.

Waar de opmars vandaan komt

Aanleiding voor beide sets vragen is een artikel van het Financieele Dagblad van 25 augustus over Chinese fabrikanten die in Europa terrein winnen op Philips, Siemens Healthineers en GE Healthcare. Mindray haalde vorig jaar voor het eerst meer omzet buiten China dan daarbinnen, met Europa als een van de grootste groeimarkten op 17 procent en een gerapporteerde groei van 25 procent in Europa in het eerste kwartaal van 2026, tekent BNR op uit die berichtgeving. United Imaging, dat MRI- en CT-apparatuur maakt, rapporteerde over 2025 een internationale omzetgroei van meer dan 50 procent en heeft apparatuur staan in onder meer Frankrijk, Italië en Duitsland. Zakenbank UBS noemde het tweetal begin dit jaar de duidelijke winnaars in de sector en vergelijkt de beweging met wat eerder gebeurde bij zonnepanelen, telecomapparatuur en elektrische auto's.

Waarom de updatevraag zwaarder weegt dan de herkomstvraag

Een eerdere zaak laat zien waarom beheer belangrijker is dan het land op de doos. Eind januari 2025 waarschuwden de Amerikaanse toezichthouders FDA en CISA voor de Contec CMS8000, een patiëntmonitor van een Chinese fabrikant, vanwege drie kwetsbaarheden waarmee patiëntgegevens buiten de zorgomgeving konden belanden, geregistreerd als CVE-2024-12248, CVE-2025-0626 en CVE-2025-0683. Het advies was om de externe functies uit te zetten of het apparaat van het netwerk te halen.

Dat verhaal kreeg een correctie die het onderwerp beter maakt in plaats van kleiner. Onderzoekers van Claroty Team82 concludeerden dat het geen verborgen achterdeur was maar een onveilig ontworpen updatemechanisme: het hardgecodeerde adres stond gewoon in de handleiding en het apparaat haalde daar bij het opstarten bestanden vandaan om zichzelf mee te overschrijven. Wie dat adres overneemt of nabootst, zet zijn eigen code op het apparaat. De intentie van de fabrikant deed er voor het risico niet toe, de inrichting wel.

Datzelfde patroon speelde bij netwerkapparatuur. Bij de Amerikaanse inbeslagname van de Chinese hackplatforms QScan en QTRouter ging het niet om de gegevens op de gekaapte apparaten maar om hun IP-adres als dekmantel voor staatsaanvallen, en waren het vooral apparaten die al jaren geen firmware-update meer hadden gehad.

Wat er onder deze vragen ligt

De discussie over herkomst van hardware kruipt al langer omlaag in de stapel, van software naar de apparaten eronder. Van de optische modules die data binnen datacenters over glasvezel verplaatsen tot de monitor naast een ziekenhuisbed gaat het telkens om hetzelfde punt: het moment waarop een koper de controle kwijtraakt is niet de aankoop, maar de eerste keer dat iemand anders bepaalt wanneer en waarmee het apparaat wordt bijgewerkt.

Zolang niet is vastgelegd welke gegevens een apparaat verstuurt en wie het beheert, verandert het antwoord op die vraag met elke firmware-update mee. Daar gaan de vragen van vandaag uiteindelijk over, en daar houdt het niet op bij de zorg.