DIAZ aangenomen: inloggen met Dezi komt eraan

De vernieuwing van het digitale inloggen in de zorgsector komt dichterbij. Na de Tweede Kamer op 6 oktober heeft ook de Eerste Kamer op 27 oktober 2026 ingestemd met de Wet digitale identificatie en authenticatie in de zorg (DIAZ). Het bijbehorende Dezi-stelsel moet volgens de planning in januari 2027 technisch gereed zijn. De invoering verloopt gefaseerd, met een aangekondigde verlenging van het UZI-gebruik tot en met september 2029 en een brede verplichtstelling voorzien voor januari 2031. Tijd voor een opfrisser: waarom komt Dezi er en wat verandert voor zorgaanbieders en zorgprofessionals?

Een snel digitaliserende zorg betekent ook dat zorgmedewerkers steeds vaker digitaal gegevens moeten raadplegen, vastleggen en uitwisselen. Betrouwbaar kunnen vaststellen wie inlogt, is daarvoor een basisvoorwaarde. Tot nu toe speelt de UZI-pas daarin een belangrijke rol. De overheid wil de afhankelijkheid van dit fysieke middel echter doorbreken en veilige digitale toegang breder organiseren.

DIAZ biedt daarvoor het wettelijke kader. Dezi, voluit De Zorgidentiteit, is het stelsel waarmee VWS en het CIBG hier samen met het zorgveld invulling aan geven. Parlementaire instemming betekent overigens nog niet dat alle nieuwe verplichtingen direct gelden. De inwerkingtreding wordt afzonderlijk geregeld en kan per onderdeel verschillen.

In 2024 publiceerde Nictiz in samenwerking met VWS een interactieve handreiking over Dezi (zie link onderaan). De gids belicht wetgeving (zoals de Wet DIAZ), implementatie en praktijkervaringen, gericht op veilige, flexibele en gebruiksvriendelijke inlogmethodes voor digitale gegevensuitwisseling in de zorg.

Waarom UZI niet meer volstaat

Het huidige UZI-stelsel (Unieke Zorgverlener Identificatie) stamt uit 2006 en past niet langer bij een zorgpraktijk waarin professionals mobiel werken, meerdere werkgevers hebben en verschillende informatiesystemen gebruiken. De pas en bijbehorende kaartlezer zijn niet geschikt voor elk werkproces. Een ambulanceverpleegkundige of wijkverpleegkundige heeft bijvoorbeeld andere behoeften dan iemand die op een vaste werkplek inlogt.

Ook de koppeling tussen identiteit, beroep, werkgever en fysieke pas maakt UZI weinig flexibel. Bij wijzigingen kan een nieuw middel nodig zijn. Dat veroorzaakt administratief werk en kosten. Bovendien ervaren zorgorganisaties de middelen als duur, mede doordat zij daarnaast andere inlogmethoden moeten onderhouden.

De privacy-opgave is breder dan de beveiliging van één pas. Patiëntgegevens moeten beschermd blijven in alle systemen waarin medewerkers ze verwerken. Omdat UZI niet overal goed toepasbaar is, gebruiken organisaties ook andere manieren van inloggen. Dezi moet betrouwbare identificatie en authenticatie op het vereiste hoge niveau zorgbreed ondersteunen. Het vervangen van UZI is dan ook vooral nodig vanwege geschiktheid en brede toepassing, niet omdat de UZI-pas op zichzelf onveilig is.

Eén zorgidentiteit, verschillende middelen

Dezi bestaat uit een landelijk stelsel en een register. In het register worden zorgaanbieders, medewerkers en hun zorgidentiteit vastgelegd. Via de technische voorzieningen kunnen aangesloten applicaties de identificerende kenmerken gebruiken die nodig zijn voor betrouwbaar inloggen.

Een belangrijk verschil met UZI is dat de zorgidentiteit wordt losgemaakt van één specifiek inlogmiddel. Professionals krijgen keuze uit goedgekeurde middelen die passen bij hun werkzaamheden. Denk aan DigiD, erkende Europese inlogmiddelen en zorgspecifieke oplossingen. Een digitale wallet op een telefoon kan bijvoorbeeld bruikbaar zijn in de ambulancezorg. Welke middelen daadwerkelijk beschikbaar komen, hangt af van toelating, ontwikkeling en implementatie.

Dezelfde zorgidentiteit kan aan verschillende werkrelaties worden gekoppeld. Dat moet vooral waarnemers, flexmedewerkers en professionals die op meerdere locaties werken helpen. Zij hoeven niet telkens een afzonderlijke identiteit met bijbehorende pas op te bouwen. Voorwaarde is wel dat de betrokken organisaties en hun systemen Dezi ondersteunen.

Ook het beheer moet eenvoudiger worden. Koppelingen met bronregisters en HR-systemen kunnen registratie en het vastleggen van werkrelaties ondersteunen. Minder handmatige verwerking en minder verschillende inlogoplossingen kunnen de administratieve lasten verminderen. Dat zijn beoogde voordelen; de uiteindelijke opbrengst hangt af van de inrichting bij zorgorganisaties.

Wat DIAZ wettelijk regelt

De Wet DIAZ, waar Dezi onder 'hangt', wijzigt de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de Jeugdwet. De wet geeft de basis voor het nieuwe register en het gebruik van goedgekeurde inlogmiddelen. De minister beoordeelt welke middelen binnen het stelsel mogen worden gebruikt.

De reikwijdte van de wet gaat verder dan gegevensuitwisseling – en straks databeschikbaarheid - tussen organisaties. Ook toegang tot zorginformatiesystemen, zoals het elektronisch patiëntendossier (EPD, maar ook ECD, HIS etc), valt eronder. De verplichtingen raken dus eveneens organisaties die voor hun interne dossiers nog geen UZI gebruiken.

Het uitgangspunt is betrouwbare identificatie en authenticatie op niveau hoog, aansluitend op de Europese eIDAS-afspraken. Voor zorgspecifieke middelen die onder verantwoordelijkheid van zorgaanbieders worden uitgegeven, is NEN 7518 het relevante normenkader. Keuzevrijheid betekent dus niet dat iedere bestaande pas of app zonder beoordeling bruikbaar wordt.

Dezi vervangt bovendien niet de afspraken over bevoegdheden. Identificatie maakt duidelijk wie iemand is; authenticatie bewijst die identiteit. Autorisatie bepaalt vervolgens welke gegevens iemand mag raadplegen of verwerken. Alleen een registratie in Dezi geeft daarom geen toegang tot patiëntdossiers. De zorgaanbieder blijft verantwoordelijk voor passende toegangsrechten.

Onderdeel van databeschikbaarheid

Dezi past binnen de Nationale visie en strategie voor het gezondheidsinformatiestelsel, in april 2023 (visie) en december 2024 (strategie) geïntroduceerd. Binnen de NVS werken overheid en zorgveld toe naar databeschikbaarheid: de juiste gegevens moeten beschikbaar zijn waar ze voor de zorg nodig zijn.

Identificatie en authenticatie (uitgangspunten van DIAZ) zijn twee van de zes generieke functies die de NVS-doelen op het gebied van databeschikbaarheid naar de praktijk moeten brengen. De andere functies zijn toestemming, autorisatie, lokalisatie en adressering. Samen moeten deze functies betrouwbare gegevensuitwisseling ondersteunen, ook over sectorgrenzen heen.

Dezi is in dit licht een randvoorwaarde voor verdere digitalisering, geen zelfstandig uitwisselingsnetwerk. De aansluiting op Europese identificatieafspraken moet bovendien toekomstig grensoverschrijdend gebruik ondersteunen. Dat betekent niet dat Nederlandse professionals door hun Dezi-registratie automatisch buitenlandse dossiers kunnen openen.

Van pilots naar invoering

De ontwikkeling van Dezi heeft al tot diverse praktijkproeven geleid. In maart 2023 werd een pilot afgerond waarin zorgprofessionals DigiD gebruikten voor vaccinatieregistratie. Een latere pilot, van november 2024 tot juli 2025, richtte zich op alternatieve toegang tot de Sectorale Berichtenvoorziening in de Zorg (SBV-Z). De ervaringen benadrukten het belang van eenvoudige registratie en keuze uit inlogmiddelen.

Nieuwe pilots staan gepland voor het vierde kwartaal van 2026. Die pilots moeten duidelijk maken hoe Dezi binnen uiteenlopende zorgprocessen functioneert. De minister heeft toegezegd de definitieve uitvoeringsregels pas vast te stellen nadat de pilots tussentijds op uitvoerbaarheid zijn geëvalueerd.

Die toets is relevant. Brancheorganisaties waarschuwden in september voor ingewikkelder inloggen, problemen met tijdelijke medewerkers en extra kosten voor apparatuur en systeemaanpassingen. Gebruiksgemak en lagere lasten zijn dus geen automatische uitkomst van een nieuw stelsel.

Planning niet in steen gehouwen

De oorspronkelijke invoering per januari 2026 bleek door de vertraagde wetsbehandeling, mede na de kabinetsval, onhaalbaar. De meest recente Dezi-tijdlijn noemt nu januari 2027 voor technische gereedheid en de start van een periode waarin UZI en Dezi naast elkaar bestaan. Inschrijving wordt eveneens rond die datum verwacht.

Dezelfde webpagina noemt nog november 2026 voor uitsluitend eenjarige UZI-middelen, november 2027 voor het stoppen van de uitgifte en november 2028 voor het einde van UZI. Die planning sluit echter niet aan op de toezegging in het Kamerdebat van 24 september: de minister wil UZI-gebruik verlengen tot en met 30 september 2029. De precieze overgang moet bij koninklijk besluit worden geregeld. Januari 2031 blijft op de website het beoogde moment voor de brede verplichtstelling. De gepubliceerde tijdlijn is dan ook indicatief.

Voor zorgaanbieders betekent dit alles dat voorbereiding op de invoering van Dezi nu al zinvol is. Breng met leveranciers de benodigde koppelingen, werkprocessen en middelen in kaart en maak afspraken over registratie en toegangsbeheer.

Overgangsmiddelen zoals de ZORG-ID Smartcard zijn bedoeld om inloggen al te vereenvoudigen terwijl Dezi nog niet van kracht is.

De eerder dit jaar geïntroduceerde ZORG-ID Smartcard van VZVZ laat zien dat er ondertussen ook alternatieven voor de UZI-medewerkerspas ontstaan. Deze kaart is echter niet hetzelfde als Dezi; bij de introductie blijft voor activering vooralsnog een geldige UZI-medewerkerspas nodig.

Veelgestelde vragen over Dezi

• Voor wie is het register? Voor zorg- en jeugdhulpaanbieders, indicatieorganen, zorgverzekeraars en medewerkers die cliëntgegevens verwerken. Het betreft dus ook ondersteunend personeel.
• Wordt registratie verplicht? Ja, voor de betrokken organisaties en medewerkers binnen de wettelijke reikwijdte, volgens de gefaseerde invoering.
• Kan één middel bij meerdere werkgevers worden gebruikt? Ja, als hun systemen Dezi ondersteunen. Per organisatie wordt een werkrelatie vastgelegd.
• Blijft digitaal ondertekenen mogelijk? Daarvoor is een geschikt middel met de benodigde certificaten nodig. Het CIBG verstrekt binnen Dezi zelf geen inlogmiddelen meer.
• Wat gaat het kosten? De uiteindelijke kosten hangen onder meer af van de gekozen middelen en aanpassingen aan systemen. Een algemene besparing staat vooraf niet vast.