Eind september kwamen twee berichten naar buiten die op het eerste gezicht weinig met elkaar te maken hebben. Het ene gaat over de landelijke architectuur voor het gezondheidsinformatiestelsel, het andere over de keuring van EPD-systemen. Toch stellen ze dezelfde vraag: wat is een afspraak waard als niemand controleert of je je eraan houdt?
GISA 0.7: de architectuur krijgt tanden
Op 23 september meldde ICT&Health dat versie 0.7 van de Gezondheidsinformatiestelselarchitectuur (GISA) is gepubliceerd. Een deel van de ongeveer duizend reacties uit de publieke consultatie is verwerkt; de rest volgt in latere versies. Het Digitaal Transitie Orgaan (DTO) adviseerde op 14 september positief over vaststelling, met twee kanttekeningen: toepassing van GISA mag niet vrijblijvend zijn, en er moet toezicht komen op tijdelijke afwijkingen van de architectuur.
GISA 0.7 stond op 28 september op de agenda van het Informatieberaad Zorg. Na een positief advies volgt bekrachtiging door VWS, waarna GISA.2027 in het vierde kwartaal van 2026 kan worden vastgesteld.
EPD-systemen: van certificering naar zelfbeoordeling
In een blog op ICT&Health van 29 september zet neuroloog Geert Sulter van DC Klinieken uiteen wat het wetsvoorstel voor de Wet op het gezondheidsinformatiestelsel betekent voor EPD-systemen. Volgens zijn analyse vervalt de verplichte onafhankelijke certificering. In plaats daarvan beoordelen leveranciers zelf of hun EPD aan de eisen voldoet en stellen ze een EU-conformiteitsverklaring op. Dat loopt vooruit op de EHDS. Softwarecomponenten worden vóór markttoelating getest in een Europese digitale testomgeving; een positieve uitslag geldt als vermoeden van conformiteit.
Sulter wijst in hetzelfde stuk op onduidelijkheid over het toezicht. VWS meldde in juni dat de IGJ het markttoezicht op EPD-systemen krijgt. In de ontwerpbegroting 2027 wordt echter de Gezondheidsdata-autoriteit genoemd. Die moet in 2027 wettelijk worden aangewezen en uiterlijk 26 maart 2029 operationeel zijn. Sulter pleit ervoor om dit vóór invoering helder vast te leggen, om per systeemversie openbaar te maken welke testresultaten onder de verklaring liggen, en om zorgaanbieders een rol te geven bij het testen.
Onze duiding: een standaard zonder toezicht is een advies
Het DTO en Sulter komen vanuit verschillende hoeken tot dezelfde conclusie. Normen die niet worden gehandhaafd, veranderen weinig. Dat herkennen we in de praktijk. Interoperabiliteit loopt zelden vast op de vraag of er een standaard bestaat. Ze loopt vast op de manier waarop die standaard is geïmplementeerd: eigen interpretaties, optionele velden die niemand vult, versies die net niet op elkaar aansluiten.
Een conformiteitsverklaring zegt dat een systeem gegevens volgens de standaard kán vastleggen en uitwisselen. Ze zegt niets over de vraag of de gegevens in je organisatie dat ook doen. Hoe een EPD is ingericht en hoe zorgverleners registreren, bepaalt uiteindelijk of de data bruikbaar zijn. Conformiteit van het systeem en kwaliteit van de data zijn twee verschillende dingen, en beide hebben aandacht nodig. Daarom is Sulters punt over transparantie belangrijk. Als testresultaten per versie openbaar zijn, kunnen zorgorganisaties zelf beoordelen wat een verklaring waard is. Zonder die openheid wordt de conformiteitsverklaring een vinkje waar de koper op moet vertrouwen.
Twee open vragen voor de komende maanden
De eerste vraag is of GISA na bekrachtiging door VWS ook echt het karakter krijgt dat het DTO voor ogen heeft. Een architectuur die niet vrijblijvend is, betekent dat afwijkingen worden gemeld, beoordeeld en in de tijd begrensd. Wie dat toezicht uitvoert en met welke middelen, is nog niet uitgewerkt. Juist daar blijkt of GISA een kader wordt waaraan investeringsbeslissingen worden getoetst, of een plaat die op de achtergrond blijft hangen.
De tweede vraag is wie het markttoezicht op EPD-systemen krijgt: de IGJ of de Gezondheidsdata-autoriteit. Dat is meer dan een bestuurlijke kwestie. De toezichthouder bepaalt welke testresultaten openbaar worden, hoe klachten over systemen worden behandeld en of zorgaanbieders een rol krijgen bij het testen, zoals Sulter bepleit. Tot die keuze is gemaakt, ligt de controle in de praktijk bij de inkopende partij. Dat sluit aan bij de Cyberbeveiligingswet, die bestuurders al aanspreekt op risico's in de leveranciersketen: vraag bij inkoop en verlenging naar onderbouwing per systeemversie en test belangrijke gegevensstromen met je eigen inrichting.
Op beide vragen komt de komende maanden meer duidelijkheid, met de vaststelling van GISA.2027 en de verdere behandeling van de Wet op het gezondheidsinformatiestelsel. We volgen ze in de Zorgmonitor. Afspraken over architectuur en standaarden zijn de afgelopen jaren steeds beter geworden. De volgende stap is dat ze ook gaan gelden.
FAQ
Hier vind je de meestgestelde vragen over dit onderwerp. Heb je opmerkingen, andere vragen of wil je contact met een van onze experts? We helpen je graag!
GISA staat voor Gezondheidsinformatiestelselarchitectuur. Het is de landelijke architectuur die beschrijft hoe het Nederlandse gezondheidsinformatiestelsel in samenhang moet worden ingericht: welke bouwstenen er zijn, hoe ze op elkaar aansluiten en welke principes daarbij gelden.
Na bespreking in het Informatieberaad Zorg en bekrachtiging door VWS kan GISA.2027 in het vierde kwartaal van 2026 worden vastgesteld. Het DTO adviseerde op 14 september positief, onder voorwaarde dat toepassing niet vrijblijvend is.
Volgens het wetsvoorstel voor de Wet op het gezondheidsinformatiestelsel vervalt de verplichte onafhankelijke certificering. Leveranciers beoordelen zelf of hun EPD aan de eisen voldoet en stellen een EU-conformiteitsverklaring op. Softwarecomponenten worden vooraf getest in een Europese digitale testomgeving.
Dat is nog niet duidelijk. VWS noemde in juni de IGJ, terwijl de ontwerpbegroting 2027 de Gezondheidsdata-autoriteit noemt. Die autoriteit moet uiterlijk 26 maart 2029 operationeel zijn.
Vraag om onderbouwing van conformiteit per systeemversie, leg afspraken over testresultaten en incidenten contractueel vast en test belangrijke gegevensstromen zelf. Een conformiteitsverklaring zegt iets over het systeem, niet over de kwaliteit van de data in je eigen organisatie.