Recap Grip op zorgdigitalisering: Dit zijn de key takeaways

Op donderdag 8 oktober kwamen professionals uit de zorg samen op ons kantoor voor het evenement: Grip op zorgdigitalisering. Drie vragen stonden centraal: wie is verantwoordelijk, hoe richt je governance in, en hoe krijg je grip op zorgdigitalisering? 

Keynote: het scherm blijft zwart 

We openden met een scenario dat niet voor iedereen dagelijkse kost is, maar waar wel iedereen voor vreest: een incident dat de zorgverlening platlegt. Maandagochtend, half acht. Een chirurg wil de CT van gisteren bekijken, maar het scherm blijft zwart: PACS ligt plat. In mei 2017 legde WannaCry in Engeland minstens 81 ziekenhuisorganisaties lam, terwijl de patch al twee maanden beschikbaar was. 

PACS is medische software onder de MDR. De verantwoordelijkheid ligt bij drie partijen: de fabrikant, de IT-dienstverlener en de zorgaanbieder. Ieder gaat ervan uit dat een ander het laatste woord heeft. Iedereen heeft een deel van de verantwoordelijkheid, maar niemand het geheel. 

Sinds 2017 is er veel veranderd 

Sinds WannaCry zijn er veel waarborgen getroffen om grip te krijgen op digitale systemen in de zorg. Toch kan zo'n incident zich nog steeds voordoen. En de wetgeving volgt elkaar snel op: de komende jaren gaat er geen jaar voorbij zonder deadline. Een goed moment om te beseffen dat het tijd is om aan de slag te gaan. 

Augustus 2026: De Cyberbeveiligingswet geldt, en bestuurders zijn zelf aanspreekbaar. 
2027 en 2028 : De AI Act-eisen gaan gelden en het MDR-overgangsrecht loopt af. 
2029 en 2031 : Onder de EHDS moeten eerst patiëntsamenvattingen en e-recepten, en daarna medische beelden beschikbaar zijn.

Neem de meldplicht. Bij één incident kunnen meerdere meldplichten tegelijk gelden, elk met een eigen termijn en toezichthouder. Onder de Cyberbeveiligingswet volgt een eerste melding binnen 24 uur. Zijn er persoonsgegevens geraakt, dan moet er onder de AVG binnen 72 uur een melding naar de Autoriteit Persoonsgegevens. Gaat het om een calamiteit, dan meldt u die onder de Wkkgz bij de IGJ. En raakt het incident een medisch hulpmiddel, dan speelt ook de MDR. Wie doet welke melding, en wie houdt het overzicht?

Wat de breakouts opleverden 

NEN 7510 en leveranciers 

Een terugkerende vraag tijdens de sessies: hoeveel kun je bij een leverancier op blauwe ogen vertrouwen? 

Uit de zaal kwam een sterk voorbeeld: de apotheek. Valt die uit, dan raakt dat ook ziekenhuizen en andere partijen die het medicatiedossier nodig hebben. Beschikbaarheid is dus een ketenvraagstuk. Neem je dat mee in jouw BCP (business continuity plan)? 

Wat werkt volgens de deelnemers: 

ISAE-verklaringen vragen van (SaaS-)leveranciers; 
tabletopoefeningen, ook met ketenpartners; 
continuïteitsprocessen echt testen; 
vooraf mensen aanwijzen die een crisisrol ook onder druk aankunnen.

Ook kwam de rol van bestuurders aan bod. Hun verantwoordelijkheid neemt toe, ook voor de gehele keten. Tegelijk is het voor hen één van vele regelingen die om aandacht vragen. Dat maakt het des te belangrijker om het onderwerp concreet en behapbaar op de bestuurstafel te krijgen. 

Databeschikbaarheid en gegevens delen 

Partijen buiten de zorg, zoals gemeenten en onderwijs, vragen steeds vaker om gegevens en kijken vanuit een ander kader. Tegelijk maken bestuurders regionale afspraken over samenwerking. Wat er precies is afgesproken, is binnen de organisatie lang niet altijd duidelijk. Met de EHDS in aantocht wordt dat alleen maar belangrijker. 

Precies weten met wie je alles deelt, is volgens de deelnemers onmogelijk. Sturen kan wel: met een verwerkingsregister, door processen in kaart te brengen en afspraken vast te leggen. En waar gegevens juist niet gedeeld worden terwijl dat goed zou zijn voor de zorg, gaat het vooral om cultuur en gedrag. 

Medische software 

In deze breakout nam Sander Bijl, operationeel directeur van BeterDichtbij, de deelnemers mee in de praktijk van een communicatieplatform tussen zorgverleners en patiënten. De vraag: hoe betrouwbaar zijn de berichten die via zo'n platform lopen. Zijn boodschap: als zorgverlener heb je zelf in de hand of een patiënt een bericht vertrouwt. Bijvoorbeeld door niet te veel berichten te sturen en te zorgen voor een herkenbare, betrouwbare afzender. Want de basis voor een goede samenwerking tussen zorgverlener, IT dienstverlener en patiënt is vertrouwen. 

Panel: het bestuurlijk perspectief 

Robert sloot de dag af met een panelgesprek met onze collega Melanie en Siebren van der Kooij van Zorg Bij Jou, over de best practices uit de breakouts en één vraag: hoe kijk je hier vanuit bestuurlijk perspectief naar.  

Grip krijgen op drie manieren 

De wetgeving rond zorgdigitalisering is op drie punten verschoven. Wat ze gemeen hebben: de wet vraagt steeds vaker dat je zelf grip hebt, in plaats van dat je regels afvinkt. 

Risicogebaseerd: De wet schrijft niet meer precies voor wat je moet doen. Je moet zelf weten welke systemen kritiek zijn, waar de risico's zitten en welke maatregelen daarbij passen op basis van de door jouw bepaalde risico’s. 
Bestuurdersverantwoordelijkheid: Informatiebeveiliging en compliance liggen niet meer alleen bij de CISO of de afdeling ICT. Het bestuur is zelf aanspreekbaar. 
Ketenverantwoordelijkheid: Je bent ook verantwoordelijk voor wat er bij leveranciers en ketenpartners gebeurt. Dan moet je wel weten met wie je werkt en wat je met hen hebt afgesproken.

Grip is daarmee geen extraatje meer, maar precies wat de wet van je vraagt. Met de aanpak In 4 stappen compliant helpen wij je daarbij, van analyse en implementatie tot audit en monitoring. 

De eerste stap is inventariseren. Aan de ene kant breng je je systemen, toepassingen en processen in kaart. Aan de andere kant zoek je uit welke wet- en regelgeving daarop van toepassing is. Voor dat laatste kun je binnenkort onze tool gebruiken. Die geeft je een eerste inzicht in welke regels uit het digitale zorgdomein voor jouw organisatie gelden.  Benieuwd naar onze nieuwe tool? Schrijf je in voor onze nieuwsbrief en blijf op de hoogte van de lancering.