Toetsingskader IGJ ehealth aanvulling op NEN 7510

De Inspectie Gezondheidszorg en Jeugd (hierna: de inspectie) ziet toe op de naleving van een groot aantal wettelijke– en veldnormen. De inspectie wil transparant zijn over wat zij toetst bij het toezicht. Daarom maakt de inspectie toetsingskaders voor onderdelen van de gezondheidszorg. Een toetsingskader bestaat uit een aantal normen
en daarbij horende toetsingscriteria. Die zijn gebaseerd op wet- en regelgeving, en zogeheten ‘veldnormen’ die beroepsorganisaties van zorgverleners hebben opgesteld.
Een toetsingskader groepeert de verschillende normen in een aantal onderwerpen of thema’s. Inspecteurs beoordelen deze onderwerpen tijdens een onderzoek.

Dit toetsingskader vormt het uitgangspunt voor het toezicht op de juiste randvoorwaarden voor de inzet van e-health door zorgaanbieders. Onder e-health verstaat de inspectie de inzet van hedendaagse informatie- en communicatietechnologie (ICT) om de zorg te ondersteunen of te verbeteren. De inspectie hanteert dit toetsingskader met ingang van september 2018.

Uitgangspunt van de ontwikkeling van dit toetsingskader is dat de inzet van e-health een positieve ontwikkeling is, mits ingezet onder de juiste randvoorwaarden. Immers, e-health biedt mogelijkheden om de zorg te ondersteunen en te verbeteren. Tegelijkertijd brengt e-health grote veranderingen met zich mee. Dat kan ook leiden tot nieuwe risico’s. Het is belangrijk dat de kwaliteit en veiligheid van de zorg daardoor niet in het geding komen.

Er zijn verschillende soorten van risico die samenhangen met de inzet van e-health. Ten eerste zijn er technische risico’s. Zo kunnen producten soms onvoldoende veilig zijn ontworpen of niet goed blijken te werken. Ten tweede zijn er mensgebonden risico’s. Techniek is niet altijd intuïtief. Mensen kunnen niet altijd de impact van de inzet van nieuwe technieken overzien. Mensen maken daardoor fouten of overzien de gevolgen van hun werkwijze niet. Ten derde zijn er organisatorische risico’s. De inzet van e-health vraagt om nieuwe rollen in organisaties of om wijzigingen in processen. Waar dit niet voldoende wordt onderkend kunnen zich problemen voordoen. Bijvoorbeeld omdat niet duidelijk is wie verantwoordelijk is voor de kwaliteit van de met e-health geleverde zorg. Het inzicht dat mens en organisatie belangrijk zijn naast de techniek is ook nadrukkelijk terug te vinden in richtlijnen en veldnormen. Om deze reden kijkt het toetsingskader niet alleen naar technische normen. Het kader gebruikt ook juist normen en richtlijnen die aandacht geven aan het organisatorische of menselijke vlak.

Thema’s in het toetsingskader
Het toetsingskader e-health is opgebouwd uit vijf onderwerpen of thema’s. Per thema is een aantal normen beschreven. Deze hebben te maken met de belangrijkste risico’s.
De eerste twee thema’s hebben vooral te maken met het beheersen van organisatorische en mensgebonden risico’s. Het toetsingskader sluit goed aan bij de eis dat organisaties in de zorg moeten voldoen aan NEN 7510

Een duidelijk beleid, heldere besluitvorming en goede organisatie op het gebied van e-health helpen daarbij. Daarover gaat het thema ‘goed bestuur en verantwoord innoveren’.
Als een zorginstelling besluit nieuwe digitale systemen en diensten in te richten, dan volgt een uitgebreid traject. Dit gaat van het formuleren van gebruikerswensen tot en met implementatie en in beheer nemen van systemen. Dit traject stelt veel organisaties voor uitdagingen. Dit onderwerp komt terug in het tweede thema ‘invoering en gebruik van e-health-producten en diensten’.

Veel e-health-toepassingen zijn gericht op betere zorg voor de patiënt en/of het versterken van diens rol. Het kan echter voorkomen dat de patiënt slecht geïnformeerd wordt of onvoldoende betrokken bij te maken keuzes. Het risico is dan dat de aangeboden vorm van zorg uiteindelijk niet aansluit bij de leefwereld van de patiënt. Dit kan leiden tot acceptatieproblemen of zelfs onjuist gebruik van e-health. Daarom is patiëntparticipatie een apart thema.
De laatste twee thema’s komen voort uit bekende problematiek op het gebied van ICT in de zorg. Dit geldt vooral voor het thema ‘informatiebeveiliging en continuïteit’. Zorginstellingen
worden steeds afhankelijker van ICT en de bedreigingen, zoals ransomware, nemen toe. Informatiebeveiliging moet daarom op orde zijn. Ook het thema ‘samenwerken in de keten en elektronische uitwisseling van gegevens’ is een bekend thema. Het onderwerp vraagt vanwege het belang van goede overdracht in de zorg
al geruime tijd de aandacht op landelijk niveau.

Hieronder worden de thema’s van het toetsingskader nader toegelicht.

Thema 1 – Goed bestuur en verantwoord innoveren.
E-health kan ingrijpende gevolgen hebben voor de wijze waarop de zorg georganiseerd wordt. Ook worden organisaties steeds afhankelijker van verschillende vormen van ICT.
De verantwoorde inzet van e-health vereist daarom voldoende aandacht op verschillende niveaus in de organisatie. Wil de organisatie ‘in control’ zijn, dan vereist dit ook bestuurlijke
aandacht. Bijvoorbeeld voor het formuleren van doelstellingen en strategie. Maar ook voor de toekenning van verantwoordelijkheden bij het toepassen van technische innovaties.

Thema 2 – Invoering en gebruik van e-health-producten en –diensten.
E-health-producten en –diensten zijn vaak complex. Bij de inzet ervan zijn veel verschillende belanghebbenden betrokken. Deze hebben verschillende verwachtingen en expertises. Het
goed in kaart brengen van eisen en wensen voorkomt dat de gekozen oplossing niet voldoet. Verder is aandacht nodig voor de te verwachten risico’s bij introductie van innovaties, afgewogen tegen de te verwachten voordelen voor de doelgroep. En voor de deskundigheid en scholing van betrokkenen.

Thema 3 – Patiëntparticipatie.
Veel e-health-toepassingen zijn erop gericht om de patiënt beter van dienst te zijn. De zorgaanbieder kan de zorg aanbieden onafhankelijk van plaats en tijd. Of kan betere informatie verstrekken. Maar daarvoor moet de patiënt wel gebruik willen en kunnen maken van de nieuwe diensten. Daarom is het belangrijk om aandacht te besteden aan de wijze waarop patiënten in het innovatieproces worden betrokken. Verder moet de zorgaanbieder denken
aan de juiste informatieverstrekking aan de patiënt over de aangeboden diensten. En aan de ondersteuning en de nazorg.

Thema 4 – Samenwerken in het netwerk en elektronisch vastleggen en uitwisselen van gegevens.
E-health speelt een rol bij het mogelijk maken van andere vormen van samenwerken. Enerzijds tussen zorgverleners onderling, bijvoorbeeld bij overdracht. Anderzijds tussen zorgverlener en patiënt. Daar horen heldere afspraken bij tussen zorgaanbieders onderling,
maar ook van zorgaanbieders met hun ICT-leveranciers. In de meeste organisaties worden medische gegevens elektronisch vastgelegd. Het uitwisselen van informatie tussen samenwerkende partijen kan worden ondersteund door elektronische gegevensuitwisseling. Dat vraagt om het goed in kaart brengen van de informatiebehoefte. Verder gelden er (wettelijke) randvoorwaarden op het gebied van privacy en informatiebeveiliging.

Thema 5 – Informatiebeveiliging en continuïteit.
De groeiende afhankelijkheid van technologie vereist dat de organisatie is voorbereid op de risico’s die daaruit voortkomen. Verstoringen ten gevolge van problemen in de informatie beveiliging of onverwachte gebeurtenissen zoals stroomuitval kunnen de continuïteit van zorg direct beïnvloeden. De inspectie verwacht dat zorgaanbieders aantoonbaar werk maken van een managementsysteem voor informatiebeveiliging dat voldoet aan de wettelijke norm.

Wet- en regelgeving en veldnormen

Wet kwaliteit, klachten en geschillen zorg (wkkgz)
Uitvoeringsbesluit Wkkgz
NEN 8028 Medische informatica – Kwaliteitseisen telemedicine
Leidraad nieuwe interventies in de klinische praktijk
Convenant medische technologie
Kwaliteitskader verpleeghuiszorg
Convenant medische hulpmiddelen
NEN 8009 Veiligheidsmanagementsysteem voor ziekenhuizen en instellingen die ziekenhuiszorg verlenen
NEN 8028 Medische informatica – kwaliteitseisen telemedicine
Convenant medische technologie
Prestatie-indicatoren Kwalitetisborging Medische Systemen
NEN 7510 informatiebeveiliging in de zorg
Governancecode zorg
Handreiking toezichthoudende domotica
Handreiking verantwoordelijkheidsverdeling bij samenwerking in de zorg
NTA 8009 Veiligheidsmanagementsysteem voor ziekenhuizen en instellingen die ziekenhuiszorg verlenen
NEN 7512 vertrouwensbasis voor gegevensuitwisseling
Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg
Leidraad van mediscatiegeevens in de keten
Richtlijn elektronisch voorschrijven
Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)
NEN-EN-ISO 22301 Maatschappelijke veiligheid – Managementsystemen voor bedrijfscontinuïteit