Updates uit de zorg | september 2026

1. AI in de zorg: van strategie tot praktijk

De afgelopen maand verschenen meerdere ontwikkelingen die laten zien dat het gebruik van AI in de zorg meer vorm krijgt, van bestuurlijk niveau tot aan de uitvoering. Uit de Future Health Index 2026 van Philips blijkt dat 83% van de zorgprofessionals positief is over de bijdrage van AI aan betere zorg.¹

Die optimistische stemming vertaalt zich ook in concrete acties. Bestuurders van alle zeven UMC’s kwamen bijeen om een gezamenlijke AI-strategie te bespreken en krachten te bundelen. Afgesproken is dat de UMC’s investeren in talentontwikkeling, kennisdeling en implementatie van bewezen AI-toepassingen, zodat AI-modellen ontwikkeld kunnen worden die werken in de praktijk. De UMC's richten zich daarmee op twee doelen: betere zorg voor patiënten en het versterken van de internationale positie van Nederland.

Op sectoraal niveau is het programmaplan Realisatie AI in de Zorg gepubliceerd door het ministerie van VWS, in samenwerking met het zorgveld.² Het programma is onderdeel van het Aanvullend Zorg- en Welzijn Akkoord (AZWA) en biedt praktische ondersteuning aan zorgorganisaties, van een AI-readiness scan tot hulp bij het opstellen van AI-beleid en de naleving van de AI-verordening. Zorgorganisaties die aan de slag willen met projecten op het gebied van AI kunnen vanaf 1 januari tot uiterlijk 31 januari 2027 aanvragen indienen voor de doorbraakmiddelen IZA-AZWA.³

2. Eerste Uitvoeringsverordeningen EHDS gepubliceerd

Op 18 en 21 september stelde de Europese Commissie de eerste drie uitvoeringsverordeningen van de European Health Data Space (EHDS) vast. Ze worden gefaseerd van toepassing vanaf 26 maart 2027.

De eerste uitvoeringsverordening betreft de MyHealth@EU.⁴ Dit is de grensoverschrijdende infrastructuur voor de uitwisseling van persoonlijke elektronische gezondheidsgegevens voor primair gebruik, zoals patiëntendossiers, elektronische recepten en ontslagverslagen. De technische en organisatorische verplichtingen zijn nu gericht aan lidstaten en de nationale contactpunten. Voor zorgaanbieders geldt nog geen directe verplichting, maar de implementatie zal uiteindelijk ook gevolgen hebben voor hun aansluiting op de nationale infrastructuur.

De tweede verordening is wél direct relevant voor datahouders zoals zorgorganisaties en onderzoeksinstellingen.⁵ Zij zijn vanaf 26 maart 2029 verplicht om een vaste set metagegevenselementen aan te leveren voor de beschrijving van hun datasets voor secundair gebruik.⁶ Denk aan elementen als een beschrijving, contactpunt, geografisch bereik en categorie van gezondheidsgegevens.

De derde verordening stelt de eisen aan identificatie- en authenticatie van patiënten, gezondheidswerkers en zorgaanbieders voor grensoverschrijdende gegevensuitwisseling via MyHealth@EU.⁷ Lidstaten moeten zogeheten ‘zorgattributen’ vaststellen om de identiteit van patiënten te verifiëren. Deze kunnen worden opgeslagen in de Europese portemonnee voor digitale identiteit. De eisen worden stapsgewijs aangescherpt: vanaf 2030 geldt betrouwbaarheidsniveau "hoog" voor patiënten, vanaf 2032 ook voor gezondheidswerkers.

Wil je meer weten over de EHDS en wat deze voor jouw organisatie betekent? Bekijk onze EHDS-pagina met de belangrijkste informatie op een rij.

3. Tweede Kamer debatteert over Wet DIAZ

Op 24 september debatteerde de Tweede Kamer over de Wet Digitale Identificatie en Authenticatie in de Zorg (DIAZ). Inmiddels heeft een ruime meerderheid van de Tweede Kamer ingestemd.⁸ De wet DIAZ moet zorgen voor veilige en betrouwbare digitale toegang tot patiënt- en cliëntgegevens. De wet vervangt op termijn het huidige UZI-stelsel en introduceert een nieuw inlogstelsel voor de zorg ‘Dezi’ (De ZorgIdentiteit).

In aanloop naar het debat waren er zorgen over de uitvoerbaarheid: de praktische invulling van betrouwbaarheidsniveau "hoog", de toegang voor tijdelijk personeel en de financiële lasten voor zorgorganisaties.⁹ De Minister erkende deze zorgen en deed concrete toezeggingen: de definitieve regels worden pas vastgelegd na evaluatie van de lopende pilots, de jaarlijkse bijdrage aan het Dezi-register wordt omgezet naar een eenmalige betaling en de UZI-middelen blijven geldig tot 30 september 2029.¹⁰

Met Dezi kunnen zorgprofessionals straks kiezen uit verschillende goedgekeurde inlogmiddelen, passend bij het zorgproces. Daarmee sluit Nederland aan op Europese ontwikkelingen, zoals de eIDAS en de EHDS.

4. Citrix-kwetsbaarheden raken ziekenhuizen en Z-CERT officieel aangewezen

In het weekend van 27 september ondervonden Nederlandse ziekenhuizen problemen door ernstige kwetsbaarheden in Citrix Netscaler.¹¹ Dit is de software die organisaties gebruiken om medewerkers op afstand veilige toegang te geven tot interne systemen en applicaties. Het Nationaal Cyber Security Centrum (NCSC) heeft zorginstellingen uit voorzorg gewaarschuwd en geadviseerd om systemen uit te schakelen. Cliënten konden daardoor tijdelijk hun eigen dossier niet inzien.

De incidenten benadrukken opnieuw het belang van tijdige opvolging van beveiligingswaarschuwingen én van naleving van de Cyberbeveiligingswet (Cbw), die van kracht is sinds 15 augustus 2026. De Cbw bepaalt dat zorgorganisaties met meer dan 50 fte of een jaaromzet van tien miljoen euro zich moeten registreren in het entiteitenregister. Die naleving laat nog te wensen over: lang niet alle verplichte organisaties hebben aan hun registratieplicht voldaan.

Per 5 oktober 2026 is Z-CERT officieel aangewezen als Computer Security Incident Response Team (CSIRT) voor de zorgsector en de subsector vervaardiging van medische hulpmiddelen en hulpmiddelen voor in-vitrodiagnostiek.¹² Z-CERT voerde de wettelijke taken in de tussenliggende periode al uit, maar organisaties die vallen onder de Cbw hebben nu officieel recht op ondersteuning bij cyberdreigingen- en incidenten.

Wil je weten welke stappen jouw organisatie moet zetten op het gebied van de Cyberbeveiligingswet? Lees ons blog Cyberbeveiligingswet: vijf acties voor jouw organisatie.

5. GISA: initiële versie gepubliceerd en op weg naar vaststelling

De Gezondheidsinformatiestelselarchitectuur (GISA) beschrijft de architectuurkaders waaraan het Nederlandse gezondheidsinformatiestelsel moet voldoen en biedt daarmee richting aan de digitale transformatie van de zorg. In de nieuwste versie zijn zo’n duizend commentaren uit de publieke consultatie verwerkt.

Op 14 september gaf het Digitaal Transitie Orgaan (DTO) een positief advies over de vaststelling, met de nadrukkelijke kanttekening dat toepassing van de GISA niet vrijblijvend mag zijn en dat toezicht op tijdelijke afwijkingen noodzakelijk is. Op 28 september besprak het Informatieberaad Zorg de GISA. Bij een positief advies volgt bekrachtiging binnen VWS, waarna GISA.2027 definitief kan worden vastgesteld in de loop van het vierde kwartaal.¹³ Wanneer de GISA definitief is vastgesteld, vertellen wij daar uiteraard meer over en ook welk impact dat heeft op zorgaanbieders.

Wil je op de hoogte blijven van de ontwikkelingen binnen de zorg? Meld je dan aan voor onze zorgnieuwsbrief!

1. Global rapport Philips ‘AI in practice: Shaping the future of healthcare now’ te vinden via:https://www.philips.com/a-w/about/news/future-health-index/reports/2026/ai-in-practice.html),

2. ‘Programma Realisatie AI in de zorg’, datavoorgezondheid.nl, te vinden via:https://www.datavoorgezondheid.nl/onderwerpen/a/ai-in-de-zorg/programma-realisatie-ai-in-de-zorg

3. ‘Zorgorganisaties kunnen binnenkort doorbraakmiddelen aanvragen: bereid je vast voor’, datavoorgezondheid.nl, te vinden via:https://www.datavoorgezondheid.nl/actueel/nieuws/2026/08/04/zorgorganisaties-kunnen-binnenkort-doorbraakmiddelen-aanvragen-bereid-je-vast-voor

4. Uitvoeringsverordening (EU) 2026/2083.

5. Uitvoeringsverordening (EU) 2026/2098.

6. Volgens het HealthDCAT-AP-metagegevenskader.

7. Uitvoeringsverordening (EU) 2026/2099.

8. ‘DIAZ: belangrijke stap naar veilige toegang tot gezondheidsgegevens’, datavoorgezondheid.nl.

9. ‘Tweede Kamer in debat over Wet DIAZ’, nvs-ziekenhuizen.nl.

10. Stenogram te vinden via:https://www.tweedekamer.nl/debat_en_vergadering/plenaire_vergaderingen/details/activiteit?id=2026A03919.

11. ‘Problemen bij ziekenhuizen met Citrix, patiënten kunnen dossier niet inzien’, nos.nl.

12. ‘Z-CERT officieel aangewezen als CSIRT voor de zorg’, z-cert.nl.

13. ‘GISA: initiële versie gepubliceerd, op weg naar vaststelling’, datavoorgezondheid.nl