Zorgbestuurders zijn aansprakelijk voor goede digitale veiligheid van hun organisatie. Ze hebben echter ook plichten als de digitale veiligheid bij een andere organisatie heeft gefaald en zij daar gevolgen van ondervinden. Is dat wel terecht als er weinig aanbieders zijn en het bovendien moeilijk is om over te stappen, zoals bij epd-leveranciers?