Inspectie Gezondheidszorg en JeugdMinisterie vaii Vogezondheid,Welzijn en Sport

Rapport van het inspectiebezoek in het kader vanhet toezicht op e-health

aan het HagaZiekenhuis te Den Haagop 18 september 2019

VGRXX

xxx

Utrecht, 19 november 2019

Inhoud

Inhoud .2

1 Inleiding .3

1.1 Aanleiding en belang .3

1.2 Onderzoeksvragen 4

1.3 Onderzoeksmethode en toetsingskader 4

2 Conclusie 7

3 Handhaving 9

4 Resultaten 10

4.1 Goed bestuur en verantwoord innoveren 10

4.2 Invoering en gebruik van e-health-praducten en -diensten 12

4.3 Patiëntparticipatie 15

4.4 Samenwerken in het netwerk en elektronische vastleggen en uitwisselen van gegevens 16

4.5 Informatiebeveiliging en continuïteit 17

Bijlage 1: Algemene uitleg van de beoorcfelingen 20

Bijlage 2: Overzicht van documenten die zijn bestudeerd 21

Pagina 2 van 21

1 Inleiding

De Inspectie Gezondheidszorg en Jeugd bezocht op 18 september 2019 hetHagaZiekenhuis (hierna: het ziekenhuis), locatie Leyweg te Den Haag. Het onderwerpvan het bezoek was de inzet van informatie- en communicatietechnologie (ICT) in dezorg. Dit heet ook wel ‘e-health’ of ‘digitale zorg’.

De inspectie toetste of het ziekenhuis bij het gebruik van e-health zorgt voor denodige voorwaarden voor goede en veilige zorg, die volgen uit wetten, (veld)normenen richtlijnen op dit gebied. Het ziekenhuis is onderdeel van de Reinier Haga Groep.Tijdens het bezoek lag de focus op de situatie in het HagaZiekenhuis, waarbij de za kenop groepsniveau alleen aan de orde waren voor zover sprake was van eengezamenlijke aanpak.

1.1 Aanleiding en belangOnder e-health verstaat de inspectie: de inzet van hedendaagse ICT, in het bijzonderinternettechnologie, om de gezondheid en gezondheidszorg te ondersteunen ofteverbeteren.

Voorbeelden hiervan zijn elektronische patiëntendossiers (EPD’s) en elektronischeuitwisseling van gegevens’. Maar ook patiëntenportalen, medische apps, monitoringvan chronische patiënten op afstand en inzet van online behandeling of begeleiding.De inspectie is positief over de mogelijkheden die e-health kan bieden. E-health kande zorg minder laten afhangen van tijd en plaats. Ook kan het de communicatietussen patiënt2 en zorgverlener helpen en ook die tussen zorgverleners. Dit wordtbelangrijker nu de patiënt vaker te maken krijgt met een netwerk van zorgaanbieders.Tegelijk vindt de inspectie het belangrijk dat de inzet van e-health doordacht gebeurt.Ook bij de inzet van e-health moet de zorgaanbieder de kwaliteit en veiligheid van dezorg bewaken. Vooral grote organisaties leunen steeds meer op e-health. Dat vraagterom dat de zorgaanbieder zorgt voor goede voorwaarden in de Organisatie.De nieuwe mogelijkheden kennen helaas ook risico’s. In een landelijk onderzoek3vanVIM-meldingen (‘Veilig Incident Melden’) staan problemen met ICT op de vierdeplaats. In een analyse uit 2017 van het Emergency Care Research Institute staanICT-risico’s op de zesde plaats4.Ook de bedreigingen van ransomware zijn veel in hetnieuws geweest5.Intussen ontwikkelen de wetgeving en normering zich verder. Denkaan de wet ‘aanvullende bepalingen verwerking persoonsgegevens in de zorg’, die injuli 2017 is ingegaan.

Met e-health bedoelt de inspectie dus ook de meer traditionele zorg-IcT.2 Voor patiënten kan in dit rapport ook cliënten of bewoners worden gelezen.

Zie

Zie https://www.ecri.org/Resources/Wliitepapers_and_reports/Razl7.pdf

Zie httr/!nosnl/ar-tikel/2179941-zeker-vijftin-ziekpnhujzpn-gejrifteerd-met-ransomwarehtml

Pagina 3 van 21

Sinds het najaar van 2017 kijkt de inspectie bij zorgaanbieders naar e-health. Daarbijtoetst de inspectie of de zorgaanbieder zorgt voor de goede randvoorwaarden voordigitale zorg. De inspectie komt onder andere bij ziekenhuizen en aanbieders vanverpleging en verzorging, geestelijke gezondheidszorg of gehandicaptenzorg.

De keuze valt op zorgaanbieders die volgens openbare bronnen actief e-healthproducten of -diensten inzetten. Verder gaat het om zorgaanbieders verspreid overhet land.

In het toezicht op e-health betrekt de inspectie verschillende wetten, veldnormen enrichtlijnen op het gebied van ICT in de zorg (zie 1.3).

1.2 Onderzoeksvragen

Het doel van het bezoek was om te toetsen of het ziekenhuis bij de inzet van ICT(e-health) zorgt voor de nodige voorwaarden voor goede en veilige zorg, die volgenuit wetten, (veld)normen en richtlijnen op dit gebied.

1.3 Onderzoeksmethode en toetsingskaderBij het bezoek gebruikte de inspectie een toetsingskader, dat is gepubliceerd op dewebsite van de 1Gi6.

Een toetsingskader moet praktisch bruikbaar zijn. Daarom heeft de inspectie tijdenshet bezoek gekeken naar de volgende vijf onderwerpen. Daarin zijn de verschillendenormen en richtlijnen meegenomen.

Onderwerp Uitleg

Goed bestuur en Het bestuur van de zorgaanbieder moet ‘in control’ zijn,verantwoord ook op het gebied van e-health. Dit vraagt om een helderinnoveren en gedragen beleid. Het bestuur moet de

verantwoordelijkheden goed regelen bij inzetten vantechnische innovaties, zoals e-health. Ook een goedeinrichting van de besluitvorming hoort daarbij.

Invoering en gebruik De zorgaanbieder moet bij invoering en gebruik vanvan e-health- e-health-producten en -diensten zorgen voor goedeproducten en voorwaarden. De zorgaanbieder zorgt bijvoorbeeld voor

-diensten duidelijke eisen aan producten en diensten. Ook moet dezorgaanbieder goed omgaan met mogelijke risico’s.Belangrijke voorwaarden zijn verder goede training, goedtesten en goed onderhoud.

6 Zie https://www.igj.nI/documenten/toetsingskaders/2018/11/15/toetsingskader-inzet-van-e-health-door-zo rga a n hieders

Pagina 4 van 21

Onderwerp Uitleg

Patiëntparticipatie De patiëntenzorg wordt steeds afhankelijker van e-health.Daarom is het belangrijk dat de zorgaanbieder decliëntenraad raadpleegt over het beleid. Dezorgaanbieder kijkt hoe geschikt e-health-producten en-diensten zijn voor patiënten. Ook zorgt de zorgaanbiedervoor goede informatie en begeleiding voor patiënten.

Samenwerken in het E-health kan andere vormen van samenwerken mogelijknetwerk en maken tussen zorgverleners. Daarbij is het belangrijk datelektronisch de zorgaanbieder duidelijke afspraken maakt met anderevastleggen en zorgaanbieders over digitale samenwerking. Daarbij moetuitwisselen van de zorgaanbieder zorgen voor goede organisatorische engegevens technische maatregelen.

Informatiebeveiliging De groeiende afhankelijkheid van ICT vraagt erom dat deen continuïteit Organisatie zorgt voor de continuïteit. Daar horen goede

afspraken en maatregelen bij voor informatiebeveiliging.

De inspectie heeft het bezoek kort van tevoren bekend gemaakt. Dit was nodig omhet ziekenhuis de mogelijkheid te geven gesprekspartners vrij te maken. Ook heeft deinspectie gevraagd om een aantal documenten ter voorbereiding op te leveren. Eenoverzicht staat in bijlage 2 van dit rapport.

Tijdens het bezoek heeft de inspectie met verschillende betrokkenen gesproken overde thema’s van het toetsingskader. Dit waren personen in de volgende rollen:

- directievoorzitter;- manager informatisering en automatisering (l&A);- medisch manager l&A, chief medical information officer (CMIO),

reumatoloog;- chief nursing information officer (CNIO), senior verpleegkundige;- information security officer (ISO);- voorzitter stuurgroep informatisering en automatisering (SlA),

anesthesioloog;- programmaleider project patiëntportaal;- lid cliëntenraad;- manager resultaatverantwoordelijke eenheid (RVE) Hart-longcentrum,

programmaleider project monitoring bij atriumfibrilleren;- cardioloog;- physician assistent in opleiding;- internist ouderengeneeskunde;- arts-assistent;- verpleegkundige.

Pagina 5 van 21

Ook heeft de inspectie tijdens het bezoek twee e-health-toepassingen bestudeerd.Het gaat om de volgende voorbeelden:

1. Het patiëntportaal.2. Telemonitoring bij atriumfibrillatie.

Bij 1: Het patiëntportaal is een module die behoort bij het elektronischpatiëntendossier (EPD), die gezamenlijk met het EPD is aangeschaft.

Bij 2: Het gaat om een project waarbij patiënten met overgewicht die leiden aanatriumfibrillatie onder begeleiding trachten af te vallen in voorbereiding op eenablatie. Deze patiënten meten thuis gewicht en hartslag. De zorgverlener (en patiënt)kunnen deze waarden volgen in een webapplicatie. Deze werkwijze is eerdertoegepast in andere ziekenhuizen (Radboudumc en Isala).

De resultaten van het inspectiebezoek staan in hoofdstuk 3.1 van dit rapport. Debeoordeling bij elk onderwerp volgt een vierpuntsschaal: afwezig, aanwezig,operationeel en geborgd. Zie bijlage 1 voor een uitleg over deze begrippen.

Pagina 6 van 21

2 Conclusie

De inspectie concludeert dat de zorgaanbieder bij de inzet van ICT in de zorg(e-health) grotendeels zorgt voor de juiste randvoorwaarden voor goede en veiligezorg. Hoewel het ziekenhuis een managementsysteem voor informatiebeveiligingheeft ingericht, is de werking hiervan echter onvoldoende aantoonbaar geborgd.

De inspectie komt tot de volgende deelconciusies:

Het ziekenhuis heeft voldoende aandacht voor de bestuurlijke en organisatorischebeheersing van de ICT (ICT-governance). Evaluatie van de beleidsuitvoering kan nogmeer aandacht krijgen.

Het ziekenhuis heeft een gedocumenteerd e-health-beleid, dat nog niet isgeëvalueerd. Een breed samengestelde stuurgroep bewaakt de samenhang in debesluitvorming rondom ICT-projecten; deze stuurgroep is in 2018 na een rustperiode(vanwege invoering van het huidige EPD) weer nieuw leven ingeblazen. Hetziekenhuis heeft een Chief Medical Information Officer (CMIO) en een Chief NursingInformation Officer (CNIO). Dit zijn zorgverleners die een actieve rol spelen in hetvertalen van de wensen van de beroepsgroep naar het informatiebeleid.Het ziekenhuis heeft het proces voor aanvraag en beoordeling van ICT-projecten ophoofdlijnen gedocumenteerd. De directie ontvangt gedetailleerde rapportages overde ICT-ontwikkelingen. Het ziekenhuis heeft een proces om risico’s voor debedrijfsvoering te analyseren en beheersmaatregelen te nemen.

Het ziekenhuis kon de procedures rondom het invoeren van e-healthtoepassingenop onderdelen aanscherpen; dit geldt onder andere voor risicoanalyses enuitvoering van testenHet ziekenhuis heeft een proces voor aanvragen en beoordelen van ICT-projecten envoor het uitvoeren ervan, echter de vastlegging hiervan is erg globaal.In het geval van twee bestudeerde e-health-voorbeelden was er geen explicietprogramma van eisen en geen risicoanalyse. Volgens de eigen procedure voorrisicoanalyses zou dit wel moeten omdat deze procedure geen explicieteuitzonderingen maakt. Het ziekenhuis besteedt aantoonbaar aandacht aan hettrainen van gebruikers. Tevens besteedt het ziekenhuis aandacht aan testen maarzorgt bij extern ontwikkelde producten niet altijd voor acceptatietests. Het iswenselijk dat duidelijk is wanneer dit nodig is. Het ziekenhuis zorgt voor contractenvoor beheer en onderhoud. Het is van belang om daarbij expliciet aandacht tebesteden aan de wijze waarop de toeleverancier gegevens na de afgesprokenbewaartermijn afvoert.

Pagina 7 van 21

Het ziekenhuis besteedt voldoende aandacht aan het betrekken van patiënten bije-health-ontwikkelingenHet ziekenhuis betrekt de cliëntenraad actief bij de ontwikkelingen op het gebied vane-health/ICT. Het ziekenhuis betrekt patiënten bij specifieke projecten. Het ziekenhuisheeft nog geen speciale aandacht besteed aan bijzondere doelgroepen zoalslaaggeletterden, maar is dit wel van plan.Het ziekenhuis zorgt voor informatiemateriaal voor patiënten over de beschikbaredigitale diensten en zorgt voor ondersteuning van patiënten bij het gebruik ervan.

Het ziekenhuis kon onvoldoende aantonen dat het managementsysteem voorinformatiebeveiliging voldoet aan de wettelijke normHet ziekenhuis heeft een managementsysteem voor informatiebeveiliging ingericht inde Organisatie en heeft diverse bijbehorende beheersmaatregelen ingevoerd. Hetziekenhuis kon echter niet met een recente onafhankelijke beoordeling van hetmanagementsysteem voor informatiebeveiliging aantonen dat het voldoet aan dewettelijke norm voor informatiebeveiliging de NEN 7510. Wel voert het ziekenhuis opregelmatige basis PENtesten uit. Dit zijn testen waarbij externe deskundigen zich opverschillende manieren onbevoegde toegang proberen te verschaffen tot deICT-omgeving. Tijdens de laatste PENtest werden enkele serieuze risico’s onderkend.Het ziekenhuis heeft maatregelen genomen om de bevindingen op te lossen. Verderhad het ziekenhuis ten tijde van het inspectiebezoek een recent privacy-incident inonderzoek. De inspectie vond tijdens het bezoek geen aanwijzingen dat dit incidentwees op structurele problemen in de veiligheidscultuur in het ziekenhuis. Hetziekenhuis heeft diverse maatregelen ingericht om de continuïteit van de ICT tebevorderen en doet oefeningen op dit terrein.

Pagina 8 van 21

3 Handhaving

3.1 Maatregelen

Voer een audit uit op NEN 7510 en maak indien nodig een verbeterplan

Het ziekenhuis moet een onafhankelijke beoordeling (laten) uitvoeren van de matewaarin het voldoet aan NEN 7510. ‘Onafhankelijk’ houdt volgens de NEN 7510 in dateen dergelijke beoordeling behoort te worden uitgevoerd door personen met eenonafhankelijke positie ten opzichte van het te beoordelen gebied, bijvoorbeeld doorde interne auditor, een onafhankelijke manager of een externe Organisatie diegespecialiseerd is in dergelijke beoordelingen. Personen die deze beoordelingenuitvoeren behoren te beschikken over passende vaardigheden en ervaringen. Indiensprake blijkt te zijn van tekortkomingen, moet een verbeterplan aangeven hoe en opwelke termijn, de eventueel gevonden tekortkomingen zullen worden weggenomen.

3.2 AanbevelingenDe inspectie geeft de volgende punten van verbetering aan:

Zorg voor regelmatige evaluatie van het beleid op het gebied van e-health en ICTRegelmatige evaluatie van de uitvoering van het beleid op het gebied van e-health enICT kan ervoor zorgen dat punten waarop (de uitvoering van) het beleid kan wordenverbeterd tijdig worden opgemerkt.

Werk de procedures voor het in voeren van e-health-toepassingen nader uitDe procedures voor het invoeren van e-health-toepassingen kunnen op diversepunten nader worden uitgewerkt. Dit zou onder andere meer duidelijkheid geven opde vereisten voor het vastleggen van functionele en niet-functionele eisen, hetuitvoeren van risicoanalyses, de criteria voor het doen van acceptatietesten en deaspecten waarop gelet moet worden bij afspreken van beheer en onderhoud (onderandere het omgaan met data na afloop van bewaartermijnen).

3.3 Vervolgacties inspectieDe inspectie verwacht uiterlijk per 31januari 2020 de resultaten van eenonafhankelijke beoordeling van de naleving van de NEN 7510. Hieruit moet peronderdeel van bijlage A van de NEN 7510 blijken in hoeverre het ziekenhuis hieraanvoldoet. Indien blijkt dat hieruit kritische tekortkomingen naar voren komen danverwacht de inspectie op 31januari 2020 ook een verbeterplan dat ertoe leidt dat dekritische tekortkomingen voor eind juli 2020 zijn opgelost.

Pagina 9 van 21

4 Resultaten

4.1 Goed bestuur en verantwoord innoverenGetoetste normen:

- De raad van bestuur heeft de controle over de e-health-ontwikkelingen. Dezorgaanbieder heeft een beleid voor e-health en heeft hierbij de mensenbetrokken die er belang bij hebben. Hij heeft taken en verantwoordelijkhedenbelegd in de Organisatie. Hij regelt een duidelijke besluitvorming. Dezorgaanbieder heeft aandacht voor risicomanagement en kwaliteitsborgingvan de e-health/ICT-omgeving. Het bestuur krijgt stuurinformatie.

Afwezig Aanwezig Operationeel Geborgd

Goed bestuur en verantwoord innoveren

Uitleg:

Het ziekenhuis heeft een gedocumenteerd e-health-beleid, dat nog niet is geëvalueerd.

Het ziekenhuis heeft een beknopte notitie uit maart 2018 waarin het e-health-beleidis vastgelegd. Deze notitie richt zich specifiek op bestaande en nieuwe toepassingenvan technologie in de zorg waarbij de patiënt zelf meer regie krijgt over zijn eigenzorgproces7.Het document geeft een overzicht van de initiatieven op groepsniveau(samen met de twee andere ziekenhuizen in de groep). Het beleid noemt een drietalaandachtsgebieden, namelijk het intensiveren van de informatie-uitwisseling metandere zorgaanbieders (huisartsen, laboratoria, instellingen voor verpleging,verzorging en thuiszorg), de patiënt digitaal toegang geven tot zijn informatie eninvesteren in innovatieprojecten om te anticiperen op toekomstige ontwikkelingen.Het ziekenhuis had op het moment van het inspectiebezoek het beleid in de e-healthnotitie nog niet geëvalueerd.

De afdeling informatisering en automatisering heeft een gedetailleerd jaarplan

Het ziekenhuis heeft een afdeling informatisering en automatisering (l&A) waarvan demanager rapporteert aan de directeur. De afdeling heeft een jaarplan, waarin onderandere de ICT-gerelateerde doelen van het ziekenhuis, de afdelingsdoelstellingen ende uit te voeren projecten zijn opgenomen.

De IGJ hanteert tijdens inspectiebezoeken een bredere definitie, waaronder niet alleen patiëntgerichte toepassingenvallen, maar ook andere toepassingen die deel uitmaken van het primaire zorgproces, zoals het elektronischpatitntendosier en elektronische gegevenstjitwiseling.

Pagina 10 van 21

Een breed samengestelde stuurgroep bewaakt de samenhang in de besluitvormingrondom ICT-projecten; deze stuurgroep is in 2018 na een rustperiode weer nieuw leveningeblazen

Voor een evenwichtige besluitvorming over keuzes op het gebied van ICT/e-healthheeft het ziekenhuis heeft een stuurgroep informatisering en automatisering (SlA)ingesteld. De SlA zorgt voor brede afstemming van alle ICT-programma’s onderling envoor toetsing aan de kaders van het informatiebeleid. De SlA beoordeeltICT-projectaanvragen, bewaakt het projectbudget en adviseert de directie en hetmedisch stafbestuur. In de SlA is een brede vertegenwoordiging vanuit het ziekenhuisopgenomen (zorgverleners en staf). In de SlA is geen directepatiëntvertegenwoordiging aanwezig. De SlA heeft een kernteam dat maandelijks bijelkaar komt. De SlA als geheel komt circa drie maal per jaar bijeen. Het ziekenhuisheeft een Chief Medical Information Officer (CMIO, lid van de SlA) en een ChiefNursing Information Officer. Dit zijn zorgverleners die een actieve rol spelen in hetvertalen van de wensen van de beroepsgroep naar het informatiebeleid.

Tijdens het bezoek gaf de voorzitter van de SlA aan dat de SlA niet nauw betrokken isgeweest bij het opstellen van het eerder genoemde e-healthbeleid (uit maart 2018)omdat de stuurgroep een periode minder actief is geweest. Vanwege de invoeringvan een nieuw EPD (ingebruikname halverwege 2016, upgrade eind 2017) was ertijdelijk weinig andere investeringsruimte waardoor de SlA weinig te besluiten had.De SlA was ten tijde van het inspectiebezoek inmiddels wel weer actief.

Het ziekenhuis heeft het proces voor aanvraag en beoordeling van ICT-projecten ophoofdlijnen gedocumenteerd

Het ziekenhuis heeft het proces van aanvragen van ICT-projecten globaal vastgelegdin een processchema. Het beoordelen van een projectaanvraag door de SlA is hiervaneen onderdeel. De SlA hanteert hierbij vastgelegde toetsingscriteria (o.a. mate vannoodzakelijkheid, positieve business case, voldoen aan architectuurrichtlijnen). Inaanvulling op deze toetsingscriteria heeft het ziekenhuis criteria opgesteld voor appsen e-health (e-health in de zin van op de patiënt gerichte toepassingen), die onderandere zijn gebaseerd op een KNMG-handreiking. Deze criteria hadden op hetmoment van het inspectiebezoek nog geen officiële status. Kleine innovatieve pilotslopen niet via de SlA maar via het innovatielab. Hiervoor heeft het ziekenhuis eenklein budget; ook kan het innovatielab aanspraak maken op subsidies. Eventuele‘opschaling’ van een succesvolle innovatie vereist vervolgens een aanvraag bij de SlA(die in de pilotfase kan worden voorbereid).

De directie ontvangt gedetailleerde rapportages van de afdeling l&A

De directie ontvangt gedetailleerde maand- en kwartaalrapportages van de afdelingl&A. Hierin komen financiële en personele indicatoren aan de orde, de afhandelingvan meldingen en storingen en de status van projectdoelen.

Pagina 11 van 21

Het ziekenhuis heeft een proces om risico’s voor de bedrijfsvoering te analyseren enbeheersmaatregelen te nemen. Continuïteit van ICTIs opgenomen in de actuelerisicolijst, inbreuk op de informatiebeveiliging niet

Het ziekenhuis analyseert op groepsniveau met een gestructureerde methode derisico’s voor de bedrijfsvoering, waarna risico-eigenaren per domeinbeheersmaatregelen ontwikkelen. In het jaarplan 2019 van de afdeling l&A is hetoverzicht opgenomen van ‘top 10’ risico’s die op groepsniveau zijn vastgesteld. Ophet gebied van ICT is het risico van uitval benoemd. In algemene zin is het risico vanimagoschade benoemd, niet specifiek gekoppeld aan één deelonderwerp. Het risicovan inbreuk op de informatiebeveiliging is niet in de top 10 opgenomen.De manager I&A heeft tijdens het bezoek overzichten verstrekt van genomenmaatregelen voor het adresseren van risico’s op het gebied vancybersecurity/informatiebeveiliging en op het gebied van uitval van ICT. Dezeoverzichten waren respectievelijk uit september 2017 en uit oktober 2018. Dezeoverzichten geven zowel inzicht in de maatregelen in het ziekenhuis als in de anderetwee ziekenhuizen binnen de groep. Het ziekenhuis heeft voor informatiebeveiligingeen afzonderlijk jaarplan; het jaarplan voor 2019 is ter inzage verstrekt en besteedtonder andere aandacht aan bewustwording en verbetering van het autorisatiebeleid.

4.2 Invoering en gebruik van e-health-producten en -dienstenGetoetste normen:

- De zorgaanbieder heeft een proces afgesproken voor de invoering vane-health-producten of-diensten. Hij brengt daarbij de nodige experts samen.De zorgaanbieder stelt programma’s van eisen op. De zorgaanbieder doetrisicoanalyses. Hij zorgt voor training van gebruikers en testen van productenen diensten voor het in gebruik nemen. Ook regelt de zorgaanbieder hetonderhoud.

Afwezig Aanwezig Operationeel Geborgd

Invoering en gebruik van e-healthproducten en -diensten

Uitleg:

Het ziekenhuis heeft een proces voor aanvragen en beoordelen van ICT-projecten envoor het uitvoeren ervan, echter de vastiegging hiervan is erg globaalHet ziekenhuis heeft een proces voor aanvragen en beoordelen van ICT-gerelateerdeprojecten, waarna een projectdefinitie volgt. In het proces is aandacht voor toetsingop verschillende criteria, waaronder een toets aan de architectuurrichtlijnen. Hetproces van aanvragen en beoordelen is alleen op hoofdlijnen vastgelegd in eendiagram en is niet voorzien van begeleidende tekst die duidelijkheid geeft over denadere invulling van de fases.

Pagina 12 van 21

De twee bestudeerde voorbeelden van e-health-toepassingen weken beide op puntenaf wat betreft het gevolgde proces van aanvragen/beoordelenTijdens het inspectiebezoek bekeek de inspectie twee projectvoorbeelden, namelijkhet patiëntportaal en een pilot met telemonitoring (zie ook paragraaf 1.3). Dezevoorbeelden bleken beide voor wat betreft het standaardproces van aanvragen af tewijken. In het geval van het patiëntportaal kwam dit doordat het patiëntportaal wasaangeschaft als module van het EPD. In het geval van de pilot met telemonitoring wasdeze gestart in november 2017 in een fase dat het huidige e-health beleid en debijbehorende criteria nog niet waren geformuleerd.

In het geval van beide bestudeerde voorbeelden was er geen expliciet programma vaneisenOmdat het patiëntportaal is aangeschaft als onderdeel van het EPD, was er geenspecifiek programma van eisen voor het portaal. Ook later is dat niet tot standgekomen. Wel zijn in overleg met de medische staf tijdens het implementatietrajectbesluiten genomen over wezenlijke aspecten van de gewenste functionaliteit, zoalshet besluit om pathologie-uitslagen niet via het portaal beschikbaar te stellen en eenvertraging van zeven dagen in te bouwen voordat de patiënt informatie via hetportaal te zien krijgt (zodat de behandelaar eerst met de patiënt kan spreken). Ookvoor de telemonitoringpilot heeft het ziekenhuis geen programma van eisenopgesteld. Het project is ontstaan uit de wens om de mogelijkheden voor preventieveinnovatieve interventies te verkennen, en kwam tot stand naar aanleiding van een‘innovation challenge’ van de Samenwerkende Topklinische Ziekenhuizen (STZ) en opgrond van ervaringen met de leverancier van het gebruikte platform in twee andereziekenhuizen.

In het geval van beide voorbeelden heeft het ziekenhuis geen risicoanalyse uitgevoerdomdat men het risico laag inschatte; de bestaande procedure voor risicoanalyses geeftniet aan wanneer een PRI voor e-health-toepassingen achterwege kan blijvenBij geen van beide voorbeelden heeft het ziekenhuis een prospectieverisicoinventarisatie (PRI) uitgevoerd. In het geval van het patiëntportaal was dit eenbewuste keuze. Het ziekenhuis voert een aantal PRI’s uit op jaarbasis; in hetafgelopen jaar is dit gebeurd bij projecten die het ziekenhuis meer risicovol achtte,zoals bijvoorbeeld bij een scanner van geneesmiddelen die gebruikt wordt voorcontroles in het toedieningsproces. Het ziekenhuis heeft een procedure voorprospectieve risicoanalyses. Daarin staat dat een PRI moet plaatsvinden voorafgaandaan (onder andere) de aanschaf en het gebruik van e-health-toepassingen8.Deprocedure geeft niet onder welke voorwaarden een PRI voor e-health-toepassingenachterwege kan blijven. Ook in het geval van het telemonitoringproject heeft hetziekenhuis geen PRI gedaan omdat de betrokkenen het risico daarvoor te laagachtten. Het gaat om het begeleiden van patiënten bij het afvallen. Bij dit trajecthebben de betrokkenen wel gekeken naar de vereiste CE-markering op de gebruiktemedische hulpmiddelen en naar aspecten van informatiebeveiliging.

‘ Hoofdstuk 3 van de procedure prospectieve risico inventarisatie

Pagina 13 van 21

Het ziekenhuis besteedt aantoonbaar aandacht aan het trainen van gebruikersHet ziekenhuis voert het patiëntportaal in per vakgroep. Daarbij krijgen de patiëntenvan de vakgroep de mogelijkheid tot het inzien van hun informatie en tot het makenvan online afspraken, het voeren van e-consulten en het opvragen vanherhaalrecepten. Het ziekenhuis heeft hiervoor een vast implementatieplan. Dit planbesteedt aandacht aan de interne communicatie met de betrokken zorgprofessionals.Het projectteam geeft aan alle betrokken zorgprofessionals informatie over de doelenvan het patiëntportaal en bespreekt met hen verwachtingen, behoeften en ideeën. Zowerkt het projectteam aan het vereiste draagvlak onder de betrokkenzorgprofessionals. Bij de pilot met telemonitoring krijgen de betrokken zorgverlenerseen scholing van de leverancier in het gebruik van de apparatuur. Er is ook eengebruikershandleiding voor het gebruikte webportaal.

Het ziekenhuis besteedt aandacht aan testen en doet dit aan de hand van testscripts;bij het telemonitoringproject werden eventuele nieuwe software versies niet formeelgeaccepteerdVoor het patiëntportaal (en het EPD als geheel) bestaat een testomgeving.Wijzigingen in het patiëntportaal kunnen daar getest worden doorapplicatiebeheerders en gebruikers. Dit gebeurt aan de hand van testscripts; dezebevatten een beschrijving van het gewenste resultaat. Na uitvoering van detestscripts volgt een go/no go beslissing. Bij de telemonitoring pilot maakt hetziekenhuis gebruik van een portaal van een leverancier, die de verantwoordelijkheidheeft voor het testen. Het ziekenhuis test dus niet zelf het portaal bij eventueleoplevering van nieuwe versies. Het ziekenhuis heeft wel evaluaties uitgevoerd op dedienst naar aanleiding van de pilot.

Het ziekenhuis zorgt voor contracten voor beheer en onderhoud; hij hettelemonitoringplatform bestond een onduidelijkheid over het verwijderen dan welanonimiseren van data door de leverancierHet ziekenhuis heeft zowel voor het EPD (inclusief het patiëntportaal) als voor het detelemonitoringapparatuur en software beheer/onderhoudscontracten met deleverancier. Met de leverancier van het EPD is er een maandelijksaccounthoudersoverleg. Bij de telemonitoringpilot bleek er tijdens hetinspectiebezoek een discrepantie te zijn tussen handleiding van het portaal en hetcontract over het verwijderen van gegevens. In de handleiding stond dat data dertigdagen na het afsluiten van het dossier van een patiënt geanonimiseerd werd (en nietverwijderd), dit bleek niet duidelijk uit het contract en uit de patiëntinformatie.

Pagilia 14 van 21

4.3 Patiëntparticipatie

Getoetste normen:

De zorgaanbieder bespreekt de keuzes over e-health met patiëntvertegenwoordigers.De zorgaanbieder kijkt wanneer en e-health-product of -dienst wel of niet geschikt is.Daarbij houdt hij rekening met de zorgbehoefte van patiënten en de eigenschappenvan de e-health-dienst. Patiënten krijgen voldoende informatie. Zo kunnen zijbeslissen of een e-health-product of -dienst past bij hun zorgbehoefte. Ze zijn dus ookop de hoogte van mogelijke risico’s. De zorgaanbieder maakt duidelijk hoe patiëntenhulp kunnen krijgen bij e-health.

Afwezig Aanwezig Operationeel Geborgd

Patiëntparticipatie L v

Uitleg:

Het ziekenhuis betrekt de cliëntenraad actief bij de ontwikkelingen op het gebied vane-health/ICT

Een vertegenwoordiger van de cliëntenraad gaf tijdens het bezoek aan dat de raadgoed op de hoogte wordt gehouden over ontwikkelingen op het gebied van ICT ene-health, onder andere door de manager l&A. De raad heeft ook diverse kerensuccesvol invloed kunnen uitoefenen op cie prioriteitstelling, bijvoorbeeld in het gevalvan het verbeteren van de telefonische bereikbaarheid door invoeren van eenterugbelregeling en in het geval van de komst van aanmeldzuilen. De cliëntenraad ziete-health in het algemeen als een positieve ontwikkeling die het minder noodzakelijkkan maken dat hulp per se in het ziekenhuis moet plaatsvinden. Het is goed dat hetziekenhuis ICT veel aandacht geeft. Wat volgens de cliëntvertegenwoordiger nog welbeter kan is de uitwisseling van gegevens tussen de ziekenhuizen binnen de groepzelf. Beelden bijvoorbeeld kunnen in de praktijk nog moeilijk uitgewisseld wordentussen de drie ziekenhuizen. Ook is het lastig dat laboratoriumgegevens van buitenhet ziekenhuis niet in het portaal te zien zijn.

Het ziekenhuis betrekt patiënten bij specifieke projecten, maar heeft nog geen specialeaandacht besteed aan bijzondere doelgroepen zoals laaggeletterden

Voor de ontwikkeling van de nieuwe website van het ziekenhuis en het patiëntportaalheeft het ziekenhuis bijeenkomsten met patiënten georganiseerd. Er is geen specialeaandacht voor mensen die het Nederlands niet machtig zijn of voor laaggeletterden.Het ziekenhuis heeft wel plannen om dit in 2020 te doen. Bij de ontwikkelingen in hetinnovatielab is een groepje patiënten betrokken. In het geval van hettelemonitoringprogramma heeft het ziekenhuis duidelijke inclusiecriteria opgesteld

Pagina 15 van 21

die aangeven welke patiënten in aanmerking komen voor deelname. Patiënten zijnbetrokken bij de evaluatie door middel van een enquête.

Het ziekenhuis zorgt voor informatiemateriaal voor patiënten over de beschikbaredigitale diensten

Het ziekenhuis heeft voor het patiëntportaal een instructie opgesteld die aangeefthoe inloggen werkt en welke mogelijkheden het portaal biedt. De handleiding gaatook in op privacyaspecten. Bij deelname aan de telemonitoringpilot vraagt hetziekenhuis toestemming aan patiënten voor de gegevensverwerking en er is voorpatiënten een handleiding beschikbaar.

Het ziekenhuis zorgt voor ondersteuning van patiënten bi] gebruik van digitalediensten

Het patiëntportaal verwijst patiënten in geval van vragen voor ondersteuning naar dereceptie of naar de desbetreffende polikliniek. Ook is er een speciaal mailadres(beheerd tijdens kantooruren op werkdagen).

4.4 Samenwerken in het netwerk en elektronische vastieggen en uitwisselen vangegevensGetoetste normen:

De zorgaanbieder kent de andere zorgaanbieders met wie hij samen zorg levert aanpatiënten. Hij spreekt met hen de (zorginhoudelijke) informatie af die daarbij nodig is.Hij regelt dat de zorgverleners deze informatie kunnen uitwisselen. De zorgaanbiederlegt afspraken over elektronische uitwisseling vast. De zorgaanbieder vraagt depatiënt toestemming voor elektronische uitwisseling als dat moet. De zorgaanbiederregelt samen met de mede-zorgaanbieders in de regio de medicatieoverdracht.

Afwezig Aanwezig Operationeel Geborgd

Samenwerken in het netwerk enelektronisch uitwisselen van gegevens

Uitleg:

Het ziekenhuis overlegt met andere partijen in de regio om te komen tot optimaleinformatie-uitwisseling en maakt gebruik van diverse mogelijkheden voorelektronische uitwisseling van gegevens

Het ziekenhuis is betrokken bij de regionale samenwerkingsorganisatie StichtingTransmurale Zorg / RSO Haaglanden. Deze stichting zorgt voor het regionale beheervan een tweetal oplossingen voor elektronische gegevensuitwisseling, POINT (voorverpleegkundige overdracht) en Edifact/Zorgmail. Het ziekenhuis heeft verderstructureel overleg met de huisartsenvereniging Hadoks in de regio Haaglanden.Omdat het ziekenhuis vanwege de ligging en samenwerkingsverbanden meerdere

Pagina 16 van 21

regio’s bedient, zijn er nog twee huisartsenorganisaties waarmee het ziekenhuis totafspraken moet komen. De elektronische uitwisseling van gegevens volgens derichtlijn informatie-uitwisseling tussen Huisarts en Specialist9wordt op dit momentnog niet optimaal ondersteund omdat een bijbehorende informatiestandaard opbasis van zorginformatiebouwsteunen nog in ontwikkeling is.

Het ziekenhuis werkt samen met het Haaglanden Medisch Centrum en de huisartsenin de commissie substitutie Haaglanden om tot afspraken te komen over eenregionaal programma voor het verschuiven van zorg van ziekenhuizen naar huisartsendaar waar dat passend is. Dit zal ook gevolgen hebben voor de informatie-uitwisseling.

Het ziekenhuis werkt eraan om de onderlinge elektronische informatie-uitwisselingtussen de ziekenhuizen in de groep te verbeteren

Het ziekenhuis is bezig de onderlinge gegevensuitwisseling tussen de ziekenhuizenbinnen de groep te verbeteren. Dit gebeurt met een module van het EPD die is gerichtop het uitwisselen van zorginformatiebouwstenen. Daarnaast loopt er een pilot ophet gebied van onderlinge beelduitwisseling. Verder heeft het ziekenhuisondersteuning voor teleconsultatie (advies van medisch specialisten aan huisartsen)ingericht.

Het ziekenhuis ondersteunt dat voorschrijvers kunnen beschikken over actuelemedicatie-informatie over patiënten

Het ziekenhuis heeft een aansluiting op het landelijk schakelpunt (LSP) ommedicatieoverzichten te kunnen opvragen bij de openbare apotheek voor patiëntendie daarvoor toestemming hebben gegeven. Medisch specialisten hebben directtoegang tot de LSP-functionaliteit via een functietoets in het EPD. Elke afdeling heefteen apothekersassistent die zorgt voor de verificatie van het medicatieoverzicht. Dezezorgt tevens voor het omzetten van medicatie naar de oorspronkelijke thuismedicatiebij ontslag.

4.5 1 nformatiebeveiligirig en continuïteit

Getoetste normen:

lnformatiebeveiliging: het bestuur heeft gezorgd voor het inrichten, invoeren,onderhouden en aldoor verbeteren van een managementsysteem voorinformatiebeveiliging. De Organisatie heeft een continuïteitsstrategie afgesproken,gedocumenteerd, ingevoerd en getest.

Richtlijn Informatie-uitwisseling tussen Huisarts en specialist (versie december 2017); zie:https://richtlijnendatabase.nl/richtlijn/richtlijn_informatieuitv. isseling tussen huisarts en specialist hasri/richtlijn_infnrmatieuitwisseling_tiissen huisartsen specialist html

Pagina 17 van 21

Afwezig Aanwezig Operationeel Geborgd.

Informatiebeveiliging en continuïteit JUitleg:

Het ziekenhuis heeft een managementsysteem voor informatiebeveiliging en heeftdiverse beheersmaatrege/en ingerichtHet ziekenhuis beschikt over een beleid op het gebied van informatiebeveiliging. Hetziekenhuis heeft een information security officer (ISO) die verantwoordelijk is voor deuitvoering van en controle op het beleid.

Het ziekenhuis heeft een e-learning op het gebied van informatiebeveiliging per 1december 2018 voor alle medewerkers in het ziekenhuis verplicht gesteld;verschillende medewerkers noemden zelf deze e-learning tijdens een gesprek met deinspecteurs tijdens het inspectiebezoek. Het onderwerp is verder onderdeel van demaandelijkse introductiebijeenkomsten en wordt ook aan de orde gesteld bijinformatiebijeenkomsten van de directie voor het personeel (de zogenaamde‘zeepkist’). Het ziekenhuis geeft verder aan dat de 150 maandelijkse overleggen vanmedewerkers bijwoont om informatiebeveiliging onder de aandacht te brengen endat de ISO maandelijks interne audits uitvoert (zogenaamde security quick scans,samen met een leidinggevende of aangewezen afgevaardigde van een afdeling ofunit). Het ziekenhuis heeft verwezen naar het rapport van de AutoriteitPersoonsgegevens (AP) van maart 2019 waarin de AP concludeert dat hetHagaZiekenhuis naar het oordeel van de AP voldoende maatregelen heeft genomenmet betrekking tot de bewustwording van medewerkers ten aanzien vaninformatie beveiliging.

Ten tijde van het inspectiebezoek had het ziekenhuis een recent privacy-incident inonderzoekKort voor het inspectiebezoek kwam het ziekenhuis in het nieuws met het feit dat eenoverdrachtsformulier met patiëntgegevens door een medewerker was achtergelatenin een winkelwagen in een supermarkt. Tijdens het inspectiebezoek is dit feitbesproken met de directievoorzitter. Het ziekenhuis heeft hiervan melding gemaaktaan de Autoriteit Persoonsgegevens en heeft het incident in onderzoek. Dedirectievoorzitter gaf aan dat dit incident zeer betreurenswaardig is, maar nietkenmerkend voor de medewerkerscultuur op het gebied van informatiebeveiliging.Tegelijkertijd gaf zij aan dat het ondanks uitgebreide aandacht voor het onderwerp inde Organisatie toch onmogelijk is om absolute garanties te geven over het gedrag vanvierduizend medewerkers. Het lopende onderzoek moest op het moment van hetinspectiebezoek nog uitwijzen wat er precies was gebeurd.

Pagina 18 van 21

Het ziekenhuis kon niet met een recente onafhankelijke beoordeling van hetmanagementsysteem voor informatiebeveiliging aantonen dat het voldoet aan deNEN 7510Het ziekenhuis beschikte niet over een actueel resultaat van een onafhankelijkebeoordeling’0van het managementsysteem voor informatiebeveiliging, zoals dewettelijke norm voor informatiebeveiliging, de NEN 7510, vereist.

Wel laat het ziekenhuis op regelmatige basis PENtesten uitvoeren, waarbij externedeskundigen zich op verschillende manieren toegang proberen te verschaffen tot deICT-omgeving. De inspectie heeft de samenvatting ingezien van de meest recentepentest. Hieruit kwamen enkele bevindingen naar voren die tijdens de PENtestleidden tot een vergaande vorm van onbedoelde toegang. De manager l&A heeft tertoelichting hierop tijdens het inspectiebezoek aangegeven dat een specifiekebeheersmaatregel tegen inbreuken op het systeem tijdens de PENtest tijdelijk wasuitgeschakeld om meer inzicht te krijgen in eventuele achterliggende problemen dieanders niet ontdekt zouden zijn. Het ziekenhuis heeft maatregelen genomen om debevindingen op te lossen.

Enkele deelaspecten van informatiebeveiliging komen verder aan de orde tijdens deaccountantscontrole.

Ondanks de genoemde vormen van controle beschikte het ziekenhuis tijdens hetinspectiebezoek niet over een volledig beeld van de stand van zaken op het gebiedvan informatiebeveiliging zoals tijdens een onafhankelijke beoordeling op basis vande NEN 7510 naarvoren zou moeten komen.

Het ziekenhuis heeft diverse maatregelen ingericht om de continuïteit van de ICT tebevorderen en doet oefeningen op dit terrein.Het ziekenhuis heeft de ICT-infrastructuur ondergebracht in een tweetal datacenters,met parallelle opslag op twee plaatsen. Voor vervanging vaninfrastructuuronderdelen bestaat een vervangingskalender. Het ziekenhuis heeftmaatregelen genomen om te kunnen omgaan met uitval van stroom en van hetdatanetwerk. Er zijn noodcomputers met aparte stroomvoorziening die alleenlezentoegang geven tot het EPD en daarnaast zijn er papieren formulierenbeschikbaar om tijdelijk dossier te kunnen voeren zonder het EPD. Enkelezorgmedewerkers die tijdens het inspectiebezoek hiernaar werden gevraagd blekenbekend te zijn met de noodmaatregelen. Het ziekenhuis organiseert jaarlijks een‘tabletop’ oefening met direct betrokkenen om droog te oefenen metnood procedu res.

10 ‘onafhankelijk’ houdt volgens de NEN 7510 in dat een dergelijke beoordeling behoort te worden uitgevoerd doorpersonen met een onafhankelijke positie ten opzichte van het te beoordelen gebied, bijvoorbeeld door de interneauditor, een onafhankelijke manager of een externe Organisatie die gespecialiseerd is in dergelijke beoordelingen.Personen die deze benordelingen uitvoeren behoren te hesrhikken over passende vaardigheden en ervaring.

Pagina 19 van 21

Bijlage 1: Algemene uitleg van de beoordelingen

Niveau Uitleg

Afwezig De zorgaanbieder besteedt niet aantoonbaar aandachtaan het onderwerp en/of heeft geen herkenbaarproces. Er ligt niets vast.

Aanwezig De zorgaanbieder besteedt aantoonbaar aandacht aanhet onderwerp. Er kan een gedocumenteerd proceszijn, maar in de praktijk kent niet iedereen dit. Ofmedewerkers volgen het niet altijd.

Operationeel De zorgaanbieder heeft een gedocumenteerd proces.Medewerkers kennen dit en volgen het ook.

Geborgd De zorgaanbieder heeft een gedocumenteerd proces.Medewerkers kennen dit en volgen het ook. Dezorgaanbieder kijkt naar de resultaten en brengtverbeteringen aan waar mogelijk.

Pagina 20 van 21

Bijlage 2: Overzicht van documenten die zijn bestudeerd

Voorafgaand aan het inspectiebezoek zijn de volgende documenten bestudeerd:

- Memo e-health strategie Reinier Haga Groep, maart 2018- Organogram HagaZiekenhuis- Reglement stuurgroep informatisering en automatiserng, november 2018- Presentatie over Rol SlA, aanvraagproces en beoordelingscriteria- Bijlage ‘toetsingscriteria’, oktober 2017- Discussiestuk Haga strategie ten aanzien van aanschaf van e-health

toepassingen

- Criteria voor apps en e-health- Jaarplan 2019 afdeling l&A, dienstbare ICT voor betere zorg, september 2018- Jaarplan informatiebeveiliging/privacy 2019- Toegang tot digitale patiëntdossiers door medewerkers van het

HagaZiekenhuis, onderzoeksrapport; Autoriteit Persoonsgegevens, maart2019

- U4-rapportage Informatisering en automatisering, jan-dec 2018- Kwartaalrapportage Informatisering en automatisering, juni 2019- Procedure prospectieve risico inventarisatie (PRI)- lmplementatieplan patiëntportaal [vakgroep]- MijnHaga, uw digitale dossier, instructie en handleiding- Intentieverklaring RSO Haaglanden, voor ICT in de de Zorg, december 2008- Memo ‘maatregelen cybersecurity/informatiebeveiliging, september 2017- Memo ‘maatregelen risico uitval ICT, oktober 2018- Executive summary Penetration Test HagaZiekenhuis, november 2018- Management summary actiepunten PenTest

Tijdens het inspectiebezoek heeft de inspectie documentatiemappen ingezien met

betrekking tot de twee geselecteerde voorbeelden van e-health-toepassingen.

Onderstaande afbeeldingen geven de inhoudsopgaven van deze mappen weer.

inhoud

A

Zorgproccs lifettylePoli

13 Begeleidende patientenbilef

/ C. Inhoud patteilten mail

Bijlage mail apparatuur, dictetiek beweging

\ 1) roesteminingsverklanng voor ondertekening

Patiintcn informatie apparatuur HC@HOnIe

- E Handleiding Portaal

F. Resultaten IIMI oserzichten

G Voorbeeld HC@H patientenrapport

H. Notulen LifeStylePoli 2019

t Uitkomsten enquêteP j. Tussen evaluatie fase 2

K. Stroomschema fase2

9 L Evaluatie piloti

M M-Leaniing HC@H

N Bewerkwerkers overeenkonst

Aanvulling security document

O Overeenkomst HC@Home

1’. Product info HCHeme

Q. CE keurmerk

R.. Projertpian RadboudS.. ST?. Chalielige

T. Wetenschappelijk onderzoek

Inhoudsopgave documenten voorbeeld Patientenportaal.

A. Project initjat ie’Jiy.ument VIPP Al en A2B. Projectplan CS ZorgportaalC. Projectopdracht AIA2B1B2 ondertekend

0. Patieriten informotie patienten portaal: Q&A

E. Vaststelling Min VWS aanvraag projectsubsidie V1PP 2017,

formulier subsidievaststelling VIPP Al, Formulier+ vaststelling

‘IWS subsidie VIPP Al

F. Rapport OjgiD- Assesinent 2018 en reactie Logius.

G. Rapportage DigiD- Assesment 2017

H. Rapportage VIPP- assesnielit 2018

1. Overeenkomst CSHiX (wo. patienten portaal)