Verklaring over het EPD hoort niet alleen van de leverancier te komen

Onder elk elektronisch patiëntendossier (EPD) dat in een Nederlands ziekenhuis draait, ligt een verklaring dat het systeem aan de wettelijke eisen voldoet. Die verklaring wordt nu ondertekend door een onafhankelijke partij, na een traject waarin het systeem langs vaste eisen is gelegd. In het wetsvoorstel dat deze zomer in consultatie lag, zet de leverancier zijn handtekening er voortaan zelf onder.

Het gaat om de Wet op het gezondheidsinformatiestelsel, de eerste tranche waarmee Nederland de Europese verordening European Health Data Space uitvoert. De consultatie liep van eind mei tot begin juli en is gesloten. Op Prinsjesdag stond in de begroting van VWS iets anders over het toezicht op die verklaring dan drie maanden eerder op de eigen site van hetzelfde ministerie.

In het wetsvoorstel verdwijnt de verplichte certificering van EPD-systemen door een derde partij en komt daar zelfbeoordeling door de leverancier voor in de plaats. Zo’n zelfbeoordeling, in de verordening conformiteitszelfbeoordeling genoemd, is de toets waarmee de fabrikant zelf vaststelt of zijn systeem aan de wettelijke eisen voldoet, zonder dat een onafhankelijke partij daar vooraf naar heeft gekeken.

VWS schrijft er begin juni over op de eigen site datavoorgezondheid.nl: “de EHDS werkt met een systeem van zelfbeoordeling door leveranciers”. Advocatenkantoor Nysingh vat het wetsvoorstel zo samen: “De huidige systematiek van vereiste derdencertificering voor EPD-systemen zal, vooruitlopend op de verordening, worden vervangen door een systematiek van zelfbeoordeling.”

Juriste Ilona Kuipers van ICTRecht stelt medio juni dat de certificeringseisen van de Wegiz vroegtijdig worden vervangen door een systematiek van zelfbeoordeling, en dat fabrikanten dit zelf moeten beoordelen in een Europese digitale testomgeving.

Nysingh noemt dat vooruitlopend, Kuipers spreekt van vroegtijdig. Nederland schrapt de eigen certificeringseis al voordat er in Europa iets staat dat haar plaats inneemt.

Twee teksten, één ministerie

Hetzelfde VWS-bericht van begin juni zegt ook wie er toezicht gaat houden. Het markttoezicht op EPD-systemen gaat naar de Inspectie Gezondheidszorg en Jeugd; de Autoriteit Persoonsgegevens krijgt de burgerrechten uit de EHDS; de Gezondheidsdata-autoriteit ziet toe op de naleving van de voorwaarden van gegevensvergunningen.

In de ontwerpbegroting 2027, gepubliceerd op Prinsjesdag, staat het anders. Daar wijst VWS, in de paragraaf over de doorontwikkeling van het gezondheidsinformatiestelsel, de Gezondheidsdata-autoriteit aan als ‘de markttoezichtautoriteit gericht op regulering van de EPD-markt’. Diezelfde alinea meldt dat die autoriteit in 2027 wettelijk moet zijn aangewezen en pas uiterlijk op 26 maart 2029 operationeel hoeft te zijn. Twee teksten van hetzelfde ministerie, drie maanden uit elkaar, noemen twee verschillende instanties als markttoezichthouder op het EPD.

De Gezondheidsdata-autoriteit is een nieuw zelfstandig bestuursorgaan, een zbo: een organisatie die een publieke taak uitvoert op afstand van het ministerie, met een eigen bevoegdheid en een eigen verantwoordingslijn. Kwartiermaker Jaap Eikelboom begon op 1 juni aan de opbouw.

De minister schreef in mei aan de Kamer dat zij ‘een zo klein mogelijk zbo’ wil oprichten, waarin alleen de publieke taken komen die de EHDS strikt noodzakelijk maakt. Een organisatie die nog gebouwd wordt, heeft bevoegdheden die nog schuiven - en aan een begrotingstekst ontleent niemand rechten. Toch denk ik dat een ziekenhuis dat nu een aanbesteding voorbereidt, mag weten bij wie het straks terechtkan.

Driekwart ziekenhuizen bij één leverancier

Volgens de marktinventarisatie van adviesbureau M&I/Partners, gemeld in januari 2026, gebruikt 76 procent van de Nederlandse ziekenhuizen het EPD van ChipSoft en 16 procent dat van Epic; twee jaar eerder was ChipSoft goed voor 71 procent. De Autoriteit Consument en Markt (ACM) beschreef die markt in december 2021 al als verzadigd, met ziekenhuizen die sterk afhankelijk zijn van hun leverancier en voor wie overstappen ‘forse en meerjarige uitgaven’ vergt.

In zo’n markt komt de verklaring straks van een partij die weinig concurrentiedruk voelt om haar streng op te stellen. Zelfbeoordeling wordt een probleem zodra een ziekenhuis niet meer kan nagaan wat er precies is getoetst. De verordening schrijft die zelfbeoordeling overigens zelf voor en een lidstaat mag er geen nationale koppen bovenop zetten. Wie er iets van vindt, moet in Brussel zijn.

Wat de Europese testomgeving oplevert

Terug naar de verklaring. De verordening bepaalt dat geharmoniseerde softwarecomponenten vóór markttoelating worden getest in een Europese digitale testomgeving, en dat een positief testresultaat een vermoeden van conformiteit oplevert. Dat kan harder bewijs zijn dan een papieren certificaat van een derde partij die het systeem ooit heeft doorgelicht. Artikel 39 van de verordening beschrijft de EU-conformiteitsverklaring die de fabrikant na de zelfbeoordeling opstelt.

En terwijl in Nederland nog niet vaststaat wie op die verklaring toeziet, groeit wat zij moet dekken gestaag: per maart 2029 gaat het om de patiëntsamenvatting, het elektronisch recept en de elektronische verstrekking, en per maart 2031 komen beeldmateriaal, laboratoriumuitslagen, de brief die de specialist naar de huisarts stuurt en de interne systemen van zorginstellingen erbij.

Regelen vóór behandeling

Wie een EPD aanschaft, wil vóór de gunning weten waar de verklaring op rust - niet pas merken dat er iets anders in stond toen het systeem in de spreekkamer draaide. Dat is te regelen zonder nieuwe wet. VWS kan per systeemversie openbaar maken welke testresultaten uit de Europese digitale testomgeving aan de verklaring ten grondslag liggen. Dat vraagt van de leverancier niets wat hij niet toch al heeft laten testen.

Dan het toezicht. In de nota naar aanleiding van het verslag hoort te staan wie het markttoezicht op EPD-systemen krijgt, de inspectie of de Gezondheidsdata-autoriteit, en vanaf welke datum. Een Kamerlid dat straks wil weten bij wie hij moet zijn als een EPD faalt, moet dat in één zin kunnen opzoeken.

De mensen die als eerste merken dat een systeem in de praktijk anders werkt dan op papier, zitten op de afdeling. Geef zorgaanbieders daarom een plaats bij het testen.

Brief aan huisarts valt in 2031 onder EHDS

Per maart 2031 valt de brief die ik als specialist naar de huisarts stuur onder de EHDS, het document waarover mijn stuk in dit blad van augustus ging, over wat AI aan de ontvangstkant met zo’n brief doet. Diezelfde brief voedt straks de federatieve laag die ik in juni beschreef, de laag die landelijk leert van wat de systemen aanleveren. Wat die laag leert, is niet beter dan wat de systemen erin stoppen. Als niemand meer onafhankelijk vaststelt wat een systeem erin stopt, rust de kwaliteit ervan op een verklaring van de partij die het systeem heeft verkocht.

De arts die vannacht op de spoedeisende hulp een dossier opent, ziet daar de medicatie die iemand gebruikt en de allergie die ooit is gemeld. Hij vertrouwt daarop blind, want een alternatief heeft hij niet. Ik vind dat dit vertrouwen meer waard is dan de handtekening van de partij die het systeem verkoopt. Wie daar anders over denkt, mag uitleggen waarom uitgerekend deze markt zichzelf wel kan beoordelen. Het wetsvoorstel is nu nog te wijzigen, en de eerste verklaringen onder dit stelsel worden vóór maart 2029 getekend.