Digitale weerbaarheid staat stevig op de agenda van zorginstellingen. Begrijpelijk: cyberaanvallen halen het nieuws, bestuurders zijn inmiddels wakker geschud en wetgeving op dit vlak neemt toe. Maar wie iets beter kijkt, ziet dat het probleem breder is. Niet alleen criminelen verstoren de zorg. Ook storingen, falende koppelingen en afhankelijkheden van leveranciers doen dat - vaak net zo ontwrichtend, maar een stuk minder zichtbaar. En precies daar begint het ongemak.
Want hoe afhankelijker we worden van digitale systemen, hoe sterker de reflex om controle terug te pakken. Meer zelf doen; misschien wel weg uit de cloud. Het klinkt logisch, maar het is een gevaarlijke gedachte - en bestuurlijk gezien misschien wel een onderschatte valkuil.
Moderne zorg-IT laat zich niet terugbrengen tot een gesloten system waar je controle op kunt uitoefenen. De werkelijkheid is een netwerk van collega-zorginstellingen, leveranciers, platforms en koppelingen. Wie denkt dat hij dat kan beheersen door het ‘zelf te doen’, creëert vooral een andere vorm van kwetsbaarheid en starheid.
We investeren veel in voorkomen van verstoringen. Dat is terecht: de zorg moet beschermd worden om door kunnen gaan. Maar in verhouding is er te weinig aandacht vóór en zijn er te weinig investeringen ín de vraag wat we doen als voorkomen niet lukt. En juist daar wordt zichtbaar hoe weerbaar een organisatie echt is.
Neem een EPD-verstoring. Niet hypothetisch, maar reëel. Operaties worden uitgesteld, medicatieverificatie valt stil en artsen grijpen terug op de noodprocedures, papieren lijstjes die ergens nog bestaan - of niet meer. Dan blijkt snel dat weerbaarheid niet zit in de techniek, maar in het vermogen om te schakelen en door te werken.
Weten en voelen
Simulaties spelen daarin een sleutelrol, maar alleen als ze gevoeld worden. Een IC-arts leert niet van een generiek cyberverhaal. Die moet weten en voelen in zijn/haar omgeving wat te doen als medicatie niet meer digitaal uit de pompen doorkomt of te verifiëren is, als labuitslagen niet doorkomen of als het patiëntbeeld incompleet is.
En kunnen we dat nog wel? Vanuit de AI-wereld kennen we inmiddels breder de term deskilling (verlies van vaardigheden). Maar dat geldt natuurlijk breder voor de inzet van techniek en digitalisering – of dat nou het EPD is of automatische bloeddrukmeters. Kunnen we het nog wel als dat het niet meer doet? Zoals we het vroeger deden?
Dan blijkt dat we ook voor die kennis afhankelijk zijn van systemen – we hebben een deel in de opleidingen al nooit meer geleerd. Digitale weerbaarheid is daarmee geen IT-thema. Het is een bestuursvraagstuk.
De vraag is dus niet zozeer of je veilig bent. De vraag die we wat vaker mogen stellen is: hoe we zo goed mogelijk kunnen blijven functioneren als een deel van je kennis en informatie er niet meer is.
Wat vraagt dit van bestuurders?
- Ontwerp voor uitval, niet alleen voor stabiliteit. Ga er niet impliciet vanuit dat systemen beschikbaar zijn. Bepaal welke processen moeten doorgaan bij uitval en hoe die er dan uitzien.
- Oefen zoals je werkt — of oefen niet. Simulaties moeten herkenbaar zijn, tijdsdruk bevatten en multidisciplinair zijn. Anders leveren ze schijnzekerheid op.
- Maak afhankelijkheden expliciet. Breng afhankelijkheden van leveranciers, cloud en technologie in kaart en bespreek ze als strategisch risico.
- Investeer in dubbele vaardigheden. Zorg dat professionals zowel mét als zónder systemen kunnen functioneren.
- Stuur op balans, niet op maximalisatie van controle. Meer controle is niet altijd beter. Digitale weerbaarheid vraagt om continue afweging.
Digitale weerbaarheid vraagt om balans. Niet de organisatie die alles onder controle heeft is het meest weerbaar, maar de organisatie die blijft functioneren als die controle wegvalt.
