Rapportage van het inspectiebezoek in het kader van het ... · Samenwerken in de keten E-health speelt een rol bij het mogelijk maken van andere vormen van samenwerken tussen zorgverleners

xx

xxx

Utrecht, 20 november 2017

Rapportage van het inspectiebezoek in het kader van het toezicht op e-health

aan Isala te Zwolle op 13 september 2017

Pagina 2 van 20

Inhoud

Inhoud ........................................................................................................................................... 2

1 Aanleiding inspectiebezoek ................................................................................................... 3

1.1 Achtergrond ........................................................................................................................ 3

1.2 Toetsingskader .................................................................................................................... 4

2 Conclusie ............................................................................................................................... 6

3 Handhaving ........................................................................................................................... 8

4 Uitvoering van het inspectiebezoek ....................................................................................... 9

4.1 Inleiding .............................................................................................................................. 9

4.2 Methodiek ......................................................................................................................... 10

5 Resultaten ........................................................................................................................... 12

5.1 Goed bestuur en verantwoord innoveren ......................................................................... 12 Strategie, implementatie en monitoring ................................................................................... 12 Aanschaf en gebruik .................................................................................................................. 13

5.2 Patiëntparticipatie ............................................................................................................ 15 Patiëntparticipatie ..................................................................................................................... 15

5.3 Samenwerken in de keten en elektronische vastleggen en uitwisselen van gegevens ..... 15 Samenwerken in de keten ......................................................................................................... 16 Elektronisch vastleggen en uitwisselen van gegevens .............................................................. 16

5.4 Afhankelijkheid van technologie ....................................................................................... 17 Informatiebeveiliging ................................................................................................................ 17 Continuïteit ................................................................................................................................ 18

6 Bijlage 1: Algemene toelichting scorekwalificaties ............................................................... 19

7 Bijlage 2: Overzicht documenten die zijn ingezien ............................................................... 20

Pagina 3 van 20

1 Aanleiding inspectiebezoek

In het kader van haar toezichthoudende taak heeft de Inspectie voor de

Gezondheidszorg (de inspectie) op 13 september 2017 een semi-onaangekondigd

bezoek gebracht aan Isala te Zwolle (hierna ‘het ziekenhuis’).

Het doel van het bezoek was te beoordelen of het ziekenhuis bij de inzet van

informatie- en communicatietechnologie in de zorg, of ‘e-health’, zodanige

randvoorwaarden creëert dat sprake is van verantwoorde inzet van technologie voor

goede en veilige zorg.

1.1 Achtergrond Onder e-health verstaat de inspectie de inzet van hedendaagse informatie- en

communicatietechnologie (ICT), in het bijzonder internettechnologie, om de

gezondheid en gezondheidszorg te ondersteunen of te verbeteren. Concrete

voorbeelden hiervan zijn elektronische patiëntendossiers (EPD’s), elektronische

gegevensuitwisseling, patiëntenportalen, medische apps en monitoring van

chronische patiënten op afstand.

Vooral grote zorginstellingen worden steeds afhankelijker van e-health. Zo is het EPD

een essentieel onderdeel van de bedrijfsvoering geworden. Doordat zorg in

toenemende mate in een netwerk van zorgaanbieders wordt geleverd, wordt ook

onderlinge communicatie tussen zorgverleners steeds belangrijker. Digitale middelen

kunnen hierbij helpen. De inspectie is positief over de mogelijkheden die e-health kan

bieden om de zorg te ondersteunen en te verbeteren, tegelijkertijd vindt zij het

belangrijk dat de kwaliteit en veiligheid van de zorg niet in het geding komen.

Aan de nieuwe mogelijkheden zijn helaas ook risico’s verbonden. Uit een recent

onderzoek in opdracht van de Nederlandse Vereniging voor Klinische Fysica1 blijkt dat

ICT-gerelateerde problematiek op de vierde plaats komt in een landelijke

inventarisatie van VIM-meldingen. In een recente analyse van het Emergency Care

Research Institute komen ICT-risico’s op de zesde plaats2. Ook de bedreigingen van

ransomware zijn recentelijk in het nieuws geweest3. Tegelijkertijd ontwikkelen de

wetgeving en normering zich verder, denk aan de wet ‘aanvullende bepalingen

verwerking persoonsgegevens in de zorg’, die in juli 2017 is ingegaan.

Vanaf 2018 zal de inspectie structureel aandacht gaan besteden aan het thema e-

health bij zorginstellingen. In aanloop daar naartoe oriënteert de inspectie zich nader

op de huidige stand van zaken in verschillende zorginstellingen, te weten

ziekenhuizen, GGZ-instellingen en instellingen voor gehandicaptenzorg. In het najaar

van 2017 voert de inspectie daartoe verkennende bezoeken uit. Het gaat om

zorginstellingen verspreid over het land, waarvan de inspectie op basis van openbare

1 Zie http://www.mtintegraal.nl/artikelen/489/landelijke-inventarisatie-incidentmeldingen-medische-apparatuur

2 Zie https://www.ecri.org/Resources/Whitepapers_and_reports/Haz17.pdf

3 Zie http://nos.nl/artikel/2179941-zeker-vijftien-ziekenhuizen-geinfecteerd-met-ransomware.html

Pagina 4 van 20

bronnen de indruk heeft dat deze actief e-health-producten of diensten inzetten,

echter niet noodzakelijkerwijs op grote schaal. De verkennende bezoeken zijn in dit

stadium van het toezicht op e-health niet gericht op handhaving, tenzij eventuele

risicovolle situaties worden aangetroffen die direct maatregelen behoeven. De

bevindingen van deze bezoeken gebruikt de inspectie om haar toezicht op e-health

verder in te richten en een toetsingskader nader vorm te geven.

1.2 Toetsingskader Het voorlopig toetsingskader, dat is gebruikt bij dit inspectiebezoek, is gebaseerd op

de volgende wetten en veldnormen.

Wetten - Wet kwaliteit, klachten en geschillen zorg (Wkkgz), in het

bijzonder artikel 3 (2016);

- Uitvoeringsbesluit Wkkgz, in het bijzonder artikel 4.1 (2016);

- Wet aanvullende bepalingen verwerking persoonsgegevens

in de zorg (2017);

Richtlijnen en

handreikingen

- Handreiking verantwoordelijkheidsverdeling bij

samenwerking in de zorg (KNMG, V&VN, KNOV, KNGF,

KNMP, NIP, NZV, NFU, GGZ Nederland, NPCF; 2010);

- Convenant veilige toepassing van medische technologie in

de medisch specialistische zorg (NVZ, NFU, Revalidatie

Nederland, ZKN; 2016)

- Leidraad nieuwe interventies in de medische praktijk (Orde

van Medisch Specialisten, Zorginstituut Nederland,

Kennisinstituut van medisch specialisten; 2014)

- Richtlijn online arts-patiëntcontact (KNMG, 2007)

- Richtlijn elektronisch voorschrijven (KNMG, 2013)

- Richtlijn overdracht van medicatiegegevens in de keten

(Actiz, GGZ Nederland, KNMG, KNMP, LEVV, LHV, NFU, NHG,

Nictiz, NPCF, NVZ, NVZA, Orde, V&VN, Verenso, ZN;

2008/2016)

- Artsen en social media (KNMG, 2011);

- Hoe gebruik je sociale media op een verantwoorde manier?

(V&VN, 2012)

- Medische app checker (KNMG, 2016)

Normen

- NEN 8028 – kwaliteitseisen telemedicine

- NTA 8009 – veiligheidsmanagementsysteem voor

ziekenhuizen en instellingen die ziekenhuiszorg verlenen

(2011/2014)

- NEN 7510 – informatiebeveiliging in de zorg (2011)

Pagina 5 van 20

Normen - NEN 7512 – vertrouwensbasis voor gegevensuitwisseling

(2015)

Verwante

kaders

- Kader ‘Toezicht op goed bestuur’ (IGZ/NZa), 2016

Pagina 6 van 20

2 Conclusie

De inspectie concludeert op basis van het inspectiebezoek dat het ziekenhuis zich op

het gebied van e-health in een actief lerende fase bevindt. De raad van bestuur is

nauw betrokken is bij de e-healthontwikkelingen. Op basis van de constateringen

komt de inspectie tot de volgende deelconclusies:

Er is nog geen uitgekristalliseerde werkwijze rondom e-health-implementaties

Er zijn veel e-health-initiatieven in het ziekenhuis, waarvan een aantal geruime tijd is

doorontwikkeld. In dit stadium is echter nog niet uitgekristalliseerd welke stappen

nodig zijn om de omslag te maken van innovatieve experimenten naar geborgde

‘productie’processen, waardoor het moment van deze overgang niet duidelijk is aan

te wijzen. Dit was bijvoorbeeld het geval bij de telemonitoring van hartfalen, waar

geen risicoanalyse of formele evaluatie was terug te vinden. De inspectie constateert

dat prospectieve risico-analyses niet structureel worden uitgevoerd voor e-

healthdiensten.

Het ziekenhuis betrekt patiënten actief te bij e-health-ontwikkelingen

De inspectie heeft vastgesteld dat het ziekenhuis op verschillende manieren patiënten

actief betrekt bij de e-health-ontwikkelingen. De cliëntenraad wordt geïnformeerd

over belangrijke ontwikkelingen rondom e-health-diensten. Ook zijn patiënten

bijvoorbeeld betrokken bij tevredenheidsonderzoeken voor telemonitoringdiensten.

Elektronische informatie-uitwisseling met partijen in de regio vindt plaats, maar er

is geen overkoepelende visie ontwikkeld op dit thema

Ten tijde van het inspectiebezoek was niet structureel op IT-architectuurniveau in

kaart gebracht welke belangrijke informatiestromen bestaan tussen het ziekenhuis en

de omgeving. Wel zijn enkele informatie-uitwisselingsdiensten geïmplementeerd,

zoals aansluiting op het LSP bij de ziekenhuisapotheek, en krijgen externe

zorgverleners onder voorwaarden toegang tot het ziekenhuis-EPD.

Op het gebied van informatiebeveiliging zijn nog stappen te zetten

Het ziekenhuis heeft weliswaar op operationeel niveau de nodige maatregelen

genomen om het ziekenhuis voor directe problemen te behoeden, maar de aandacht

voor informatiebeveiliging in de organisatie als geheel heeft nog niet voldoende

fundament. De inspectie verwacht dat de voorgenomen versterking van de

governancestructuur voortvarend ter hand wordt genomen.

Daarnaast geeft de inspectie de volgende aandachts- en verbeterpunten mee:

Bevorder de veilige toepassing van e-health-diensten met risicoanalyses

Het uitvoeren van een prospectieve risicoanalyse bleek desgevraagd geen regulier

procesonderdeel te zijn voor e-health-diensten die worden geleverd door het

ziekenhuis. De inspectie verwacht dat dit een onderdeel wordt van een verder

ontwikkeld e-healthimplementatieproces. Ook verwacht de inspectie dat e-

healthdiensten vanuit het perspectief van zorgkwaliteit en veiligheid worden

geëvalueerd. De inspectie verwijst in dit kader naar normelement 4.9 van NTA

8009:2014.

Pagina 7 van 20

Zorg voor een bewerkersovereenkomst met alle externe toeleveranciers die

patiëntgegevens verwerken

Een formele bewerkersovereenkomst voor het bewerken van patiëntgegevens met de

leverancier van het monitoringssysteem bleek ten tijde van het inspectiebezoek nog

niet gerealiseerd te zijn, terwijl in beheer van de leverancier zich wel (tijdelijk)

individuele patiëntgegevens bevinden in de fase voordat dit wordt doorgegeven aan

het ziekenhuis-EPD. Bewerkersovereenkomsten helpen garanderen dat het ziekenhuis

de controle houdt over patiëntgegevens.

Maak aantoonbaar in hoeverre wordt voldaan aan de NEN 7510

Hoewel een externe risicoanalyse is uitgevoerd en aandacht aanwezig is voor

operationele bedreigingen (PENtest) vindt de inspectie op basis van de waarnemingen

tijdens het inspectiebezoek en de verstrekte documentatie onvoldoende aantoonbaar

in hoeverre het ziekenhuis voldoet aan NEN 7510. Aantoonbaar voldoen aan NEN

7510 biedt een waarborg dat sprake is van een lerend managementsysteem op het

gebied van informatiebeveiliging.

Borg dat patiënten toestemming wordt gevraagd voor het beschikbaar maken van

gegevens aan zorgverleners buiten de organisatie

Artikel 15a van de wet aanvullende bepalingen verwerking persoonsgegevens in de

zorg bepaalt dat de zorgaanbieder gegevens van de cliënt slechts beschikbaar stelt via

een elektronisch uitwisselingssysteem, voor zover de zorgaanbieder heeft vastgesteld

dat de cliënt daartoe uitdrukkelijk toestemming heeft gegeven. Indien het EPD wordt

opengesteld buiten de eigen organisatie, moet het worden beschouwd als een

elektronisch uitwisselingssysteem. Het ziekenhuis regelt weliswaar in

overeenkomsten met externe zorgaanbieders dat zij toestemming dienen te vragen,

maar controleert niet dat deze toestemming werkelijk is gevraagd. De inspectie

verwacht dat het ziekenhuis hiervoor aandacht heeft.

Pagina 8 van 20

3 Handhaving

De inspectie constateert dat de raad van bestuur van het ziekenhuis

eindverantwoordelijk is voor de kwaliteit en de veiligheid van de binnen de instelling

geleverde zorg. De inspectie verwacht dan ook dat de raad van bestuur de gegeven

aandachts- en verbeterpunten ter harte zal nemen en maatregelen zal nemen om

deze te implementeren binnen een redelijke termijn.

Ten aanzien van het verbeterpunt om aantoonbaar te maken in welke mate wordt

voldaan aan NEN 7510 verwacht de inspectie uiterlijk 30 april 2018 de resultaten te

ontvangen van een interne audit conform paragraaf 4.5.2 van de NEN 7510 waaruit

de mate van conformiteit met NEN 7510 eenduidig is af te leiden, plus een

verbeterplan om eventuele non-conformiteiten te adresseren. De interne auditor

dient onafhankelijk te zijn van de direct verantwoordelijken voor

informatiebeveiliging.

Ten aanzien van het borgen van toestemming verwacht de inspectie dat uiterlijk 28

februari 2018 door het ziekenhuis wordt beschreven op welke wijze het ziekenhuis

controleert of de partijen die inzage krijgen in het EPD conform de afgesloten

overeenkomsten daadwerkelijk toestemming vragen aan patiënten wiens gegevens zij

inzien.

Pagina 9 van 20

4 Uitvoering van het inspectiebezoek

4.1 Inleiding De inspectie heeft zich tijdens het bezoek op vijf hoofdthema’s geconcentreerd, die

naar haar oordeel relevant zijn voor de veilige en verantwoorde inzet van e-health .

Dit waren de volgende thema’s.

Thema Toelichting

Goed bestuur en

verantwoord

innoveren

De verantwoorde inzet van e-health vereist voldoende

aandacht op verschillende niveaus in de organisatie. Wil de

organisatie ‘in control’ zijn, dan vereist dit bestuurlijke

aandacht voor de toekenning van verantwoordelijkheden bij

toepassen van technische innovaties, zoals e-health. Verder

is aandacht nodig voor de te verwachten risico’s bij

introductie van innovaties, afgewogen tegen de te

verwachten voordelen.

Patiëntparticipatie Veel e-health-toepassingen zijn erop gericht om de patiënt

beter van dienst te zijn, bijvoorbeeld door zorg meer plaats-

en tijdsonafhankelijk aan te bieden of door betere

informatie te verstrekken. Daarbij is het belangrijk dat

aandacht is besteed aan de wijze waarop patiënten in het

innovatieproces worden betrokken, aan de juiste

informatieverstrekking aan de patiënt over de aangeboden

diensten, de gebruiksvriendelijkheid, toegankelijkheid en

veiligheid van toepassingen, de keuzevrijheid van de patiënt

en de ondersteuning en nazorg.

Samenwerken in de

keten

E-health speelt een rol bij het mogelijk maken van andere

vormen van samenwerken tussen zorgverleners onderling,

bijvoorbeeld bij overdracht, of tussen zorgverlener en

patiënt. De aandacht die is besteed aan de samenwerking is

medebepalend voor de verantwoorde inzet van de e-health-

implementatie. Daar horen heldere afspraken bij tussen

zorgaanbieders onderling, maar ook van zorgaanbieders

met hun ICT-leveranciers.

Elektronisch

vastleggen en

uitwisselen van

gegevens

In de meeste organisaties worden medische gegevens

elektronisch vastgelegd. Het uitwisselen van informatie

tussen samenwerkende partijen kan worden ondersteund

door elektronische gegevensuitwisseling. Dat vraagt om het

goed in kaart brengen van de informatiebehoefte en het

voldoen aan geldende randvoorwaarden, bijvoorbeeld op

het gebied van privacy en informatiebeveiliging.

Afhankelijkheid van

technologie

De groeiende afhankelijkheid van technologie vereist dat de

organisatie is voorbereid op de risico’s die voortkomen uit

deze afhankelijkheid, bv. voor wat betreft

informatiebeveiliging en continuïteit van zorg.

Pagina 10 van 20

Elk thema is opgebouwd uit een aantal onderdelen, gebaseerd op onderdelen uit

wetten en veldnormen zoals opgesomd in paragraaf 1.2.

De resultaten worden per onderdeel weergegeven op een vierpuntsschaal: afwezig,

aanwezig, operationeel, geborgd. Zie bijlage 1 voor een toelichting op de definities

van deze scores. Onder de tabellen met de resultaten geeft de inspectie een

toelichting op de scores.

4.2 Methodiek Het bezoek is kort van tevoren aangekondigd om de instelling de mogelijkheid te

geven om de vereiste organisatorische voorbereidingen te treffen om het bezoek

mogelijk te maken en om de inspecteurs in de gelegenheid te stellen om de van te

voren opgevraagde documentatie te bestuderen.

Voorafgaand aan het bezoek is gevraagd een aantal documenten aan de inspectie te

verstrekken. Ook tijdens het bezoek zijn nog aanvullend documenten opgevraagd en

bestudeerd. De aangeleverde en door het inspectieteam bekeken documenten

worden benoemd in bijlage 2 van dit rapport. Daarnaast is gevraagd de dag tevoren

een overzicht te verstrekken van in de zorginstelling beschikbare e-

healthtoepassingen, naar aanleiding waarvan het inspectieteam het

inspectieprogramma nader heeft ingevuld.

Het inspectieprogramma zag er als volgt uit.

Onderdeel Onderwerpen van focus

Gesprek met de raad van bestuur en

sleutelfunctionarissen

THEMA 1 - Governance en verantwoord

innoveren

THEMA 3 – Samenwerking in de keten

THEMA 5 – Afhankelijkheid van technologie

Documentatieonderzoek Onderzoek documentatie (aanschafdossier) van

twee concrete e-health-voorbeelden (1 en 2)

Inspectie e-healthtoepassing 1 THEMA 1 - Governance en verantwoord

innoveren (2: aanschaf en gebruik)

THEMA 2 - Patiëntparticipatie

Inspectie e-healthtoepassing 2 THEMA 1 - Governance en verantwoord

innoveren (2: aanschaf en gebruik)

THEMA 2 - Patiëntparticipatie

Inspectie samenwerking in de keten,

elektronische gegevensuitwisseling,

informatiebeveiliging en

continuïteitsplanning

THEMA 3 – Samenwerking in de keten

THEMA 4 – Elektronisch vastleggen en

uitwisselen van gegevens

THEMA 5 – Afhankelijkheid van technologie

Onderhoud met

patiëntvertegenwoordiger

THEMA 1 - Governance en verantwoord

innoveren

Pagina 11 van 20

Onderdeel Onderwerpen van focus

THEMA 2 - Patiëntparticipatie

Eindgesprek met de raad van

bestuur en sleutelfunctionarissen

Alle bovengenoemde thema’s

Tijdens het bezoek zijn van twee specifieke e-health-toepassingen de

aanschafdossiers opgevraagd en bestudeerd en zijn deze toepassingen nader

besproken en nader onderzocht. De keuze van de toepassingen is niet voorafgaand

aan het bezoek bekend gemaakt. Het gaat om de volgende toepassingen:

1. Het patiëntenportaal MijnIsala 2. Tele-monitoring vanuit het Isala Hartcentrum

Tijdens het bezoek zijn gesprekken gevoerd met de volgende functionarissen.

- Voorzitter van de raad van bestuur - Lid van de raad van bestuur, o.a. verantwoordelijk voor kwaliteit en veiligheid - Kwartiermaker innovatie - Directeur ICT - Teamleider ICT, Staf IT Operations - Concern Information Security Officer - Manager Strategie en Sales - Business consultant ICT - Voorzitter cliëntenraad - Bestuurssecretaris Isala Hartcentrum - Leidinggevende Invasief Hartcentrum - Verpleegkundig specialist van het hartcentrum - Pacemakertechnicus - Leidinggevende Isala Harthuis - Manager HC@Home (externe toeleverancier)

Pagina 12 van 20

5 Resultaten

5.1 Goed bestuur en verantwoord innoveren

Getoetste normen:

- Strategie, implementatie en monitoring: de portefeuille van e-health is belegd bij de raad van bestuur. Er is op het juiste niveau aandacht voor stellen van doelen en planvorming. Verantwoordelijkheden en bevoegdheden zijn belegd in de organisatie. Er is aandacht voor risicomanagement en kwaliteitsborging van e-healthtoepassingen. Het bestuur beschikt over sturingsformatie.

- Aanschaf en gebruik: de relevante disciplines zijn betrokken bij aanschaf. Er worden programma’s van eisen opgesteld. Er worden risico-analyses uitgevoerd. Er is voldoende aandacht voor instructie van gebruikers, formele vrijgave van toepassingen en onderhoud.

Afwezig Aanwezig Operationeel Geborgd

Governance en verantwoord innoveren – strategie, implementatie en monitoring

√

Governance en verantwoord innoveren –

aanschaf en gebruik

√

Toelichting:

Strategie, implementatie en monitoring De strategie rondom e-health is bij het ziekenhuis sterk in ontwikkeling, onder

verantwoordelijkheid van de voorzitter van de raad van bestuur. Er is onder

aansturing van de raad van bestuur een innovatieplatform opgericht met een brede

samenstelling, dat eerst heeft geïnventariseerd wat al gedaan wordt. Voorbeelden die

in studieverband zijn ontwikkeld zijn monitoring van zwangeren thuis, hartrevalidatie

op afstand en monitoring van COPD-patiënten. De raad van bestuur gaf aan dat men

vanuit de visie van ‘connected care’ meer van dergelijke mogelijkheden wil gaan

ontwikkelen, voor vooral chronische patiënten. Het ziekenhuis ziet dit niet alleen als

een kwestie van gemak, maar ook als een bijdrage aan de kwaliteit. Door thuis

interveniëren voorkomt men ziekenhuisopnames en vermindert men complicaties.

De strategie is vastgelegd in het memo ‘Implementeren strategische agenda’ van

januari 2017 van de manager strategie en sales aan de voorzitter van de raad van

bestuur. Centrale punten in dit memo zijn de onderwerpen substitutie en e-health, bij

beide onderdelen zijn concrete plannen benoemd. De raad van bestuur gaf aan dat

ook gekeken wordt of kan worden aangesloten bij ontwikkelingen in de regio, zoals

OZO-verbindzorg, een virtueel overlegplatform rondom patiënten.

Er is een jaarlijkse strategiedag waarbij ook medewerkers, leden van de cliëntenraad

en externe patiëntvertegenwoordigers (‘patiënt experts’) hun bijdrage kunnen

leveren.

Pagina 13 van 20

Het ziekenhuis werkt samen in een innovatienetwerk ‘mProve’ van vijf STZ-

ziekenhuizen, het Maxima, het Rijnstate, het Jeroen Bosch en het Albert Schweitzer

om de krachten te bundelen op het onderwerp innovatie, inclusief e-health. Er wordt

bijvoorbeeld gedacht aan de gezamenlijke ontwikkeling van apps. De ziekenhuizen

hebben het EPD van dezelfde leverancier.

Men gaf aan dat op het gebied van kwaliteitsborging en risicomanagement

verschillend wordt omgegaan met enerzijds medische technologie in formele zin en

anderzijds andere toepassingen, bijvoorbeeld op het gebied van

communicatiemiddelen. Wel ziet men dat deze zaken steeds moeilijker te

onderscheiden zijn. Over eigen app-ontwikkeling geven leidinggevenden in het

ziekenhuis aan zich bewust te zijn van de vereisten op grond van de wet op de

medische hulpmiddelen en hierin in het proces aandacht te besteden.

Alles overziend kan worden gezegd dat het ziekenhuis zich op het gebied van e-health

zich in een actief lerende fase bevindt. De raad van bestuur is nauw betrokken is bij

de e-healthontwikkelingen; in dit stadium kon nog geen ‘dashboard’ op het gebied

van e-health worden getoond; er is nog geen sprake van gestandaardiseerde

stuurinformatie op dit terrein.

Aanschaf en gebruik Tijdens het inspectiebezoek werden twee e-health-toepassingen nader belicht; het patiëntenportaal en het telemonitoringprogramma bij het Hartcentrum, met name het onderdeel hartfalen. Beide zijn min of meer organisch ontstaan, er is geen sprake geweest van een ziekenhuisbreed gestandaardiseerd proces. De inspectie trof geen pakket van eisen of risico-analyse aangetroffen aan. Het patiëntenportaal is gestart als initiatief van een longarts rond 2006. In een latere fase is een professionaliseringsslag gemaakt met een externe leverancier, Vital Health. In het kader van het programma optimalisatie poliklinieken (begin 2016) is de reikwijdte van het portaal sterk verbreed. Voor deze uitbreiding is een formeler proces gevolgd met een ontwerp, statement of work en test scenarios. De medische staf was nauw betrokken bij de uitbreiding, waarbij ook aanvankelijke weerstanden geadresseerd moesten worden. De projectleider heeft belangrijke keuzes met elk afzonderlijk specialisme besproken. Op het moment van het inspectiebezoek was de ontwikkeling van het portaal bevroren in verband met de overgang naar een nieuw ziekenhuisbreed EPD. De hartfalenmonitoring werkt met een externe leverancier voor het monitoringsysteem en de apparatuur die thuis wordt geleverd (HC@Home). De thuisapp is geregistreerd als medisch hulpmiddel. De dienst is rond 2012 geïntroduceerd. Er zijn gemiddeld 120 patiënten in monitoring, in totaal zijn er circa 250 aangesloten. Een formele bewerkersovereenkomst voor het bewerken van patiëntgegevens met de leverancier bleek ten tijde van het inspectiebezoek nog niet gerealiseerd te zijn, terwijl in beheer van de leverancier zich wel (tijdelijk) individuele patiëntgegevens bevinden in de fase voordat dit wordt doorgegeven aan het ziekenhuis-EPD. Dit was wel in voorbereiding, volgens de betrokkenen.

Pagina 14 van 20

Er werd een protocol getoond waarin globaal staat aangegeven welke patiënten in aanmerking komen voor het inzetten van de tele-monitoringdienst bij hartfalen. Patiënten geven dagelijks meetgegevens door, indien geen meetgegevens binnenkomen dan wordt zo nodig contact op genomen met de patiënt om hiervoor een verklaring te vinden (tenzij dit al was afgesproken). Indien aanwijzingen bestaan voor een defect dan wordt de leverancier ingeschakeld. In weekenden en op feestdagen wordt niet gecontroleerd, patiënten zijn hierover wel geïnformeerd (dit gebeurt wel bij de telemonitoringdiensten voor mensen met een ICD). Ondanks dat de tele-monitoringdienst voor hartfalen al enkele jaren operationeel is, is hiervoor geen formele risico-analyse uitgevoerd. Hoewel het personeel betrokken en geïnformeerd overkwam op de inspecteurs, kunnen door het ontbreken van een formele analsye in principe risico’s onderbelicht blijven. Ook is de dienst niet formeel geëvalueerd. Er is wel patiënttevredenheidsonderzoek gedaan. Alles overziend stelt de inspectie vast dat voor innovaties op het gebied van e-

healthdiensten in het algemeen in het ziekenhuis in deze fase nog geen sprake is van

een uitgekristalliseerde werkwijze waarbij aanschaf- en implementatatieprocessen

rondom e-health-innovaties formeel zijn gedocumenteerd, vastgesteld en structureel

worden gevolgd. De bestaande ontwikkelingen zijn op hun eigen wijze tot stand

gekomen. Vooral is niet uitgekristalliseerd welke stappen nodig zijn om de omslag te

maken van innovatieve experimenten naar geborgde ‘productie’processen, waardoor

deze overgang niet goed is aan te wijzen. Dit was bijvoorbeeld het geval bij de

telemonitoring van hartfalen, waar geen risicoanalyse of formele evaluatie was terug

te vinden, terwijl de dienst al geruime tijd in productie is. De inspectie constateert dat

prospectieve risico-analyses die op grond van het convenant medische technologie

zijn aangewezen voor medische hulpmiddelen, niet structureel worden uitgevoerd

voor e-healthdiensten.

Pagina 15 van 20

5.2 Patiëntparticipatie

Getoetste normen:

Patiënten zijn betrokken bij de introductie van voor hen relevante toepassingen.

Risico’s voor patiënten worden onderkend en geadresseerd. Bij het vaststellen van in-

en exclusiecriteria wordt rekening gehouden met de zorgbehoefte van cliënten en de

eigenschappen van de e-healthdienst. Patiënten beschikken over de informatie die

nodig is voor de keuze voor bij hun zorgvraag passend aanbod. Patiënten beschikken

over de juiste kennis en vaardigheden.

Afwezig Aanwezig Operationeel Geborgd

Patiëntparticipatie √

Toelichting:

Patiëntparticipatie De inspectie heeft vastgesteld dat er door het ziekenhuis stappen worden gezet om

patiënten actief te betrekken bij de e-health-ontwikkelingen. De cliëntenraad wordt

actief geïnformeerd over belangrijke ontwikkelingen rondom e-health-diensten. Ook

op de strategiedagen is de cliëntenraad vertegenwoordigd. De cliëntenraad vindt

gebruiksvriendelijkheid van toepassingen vooral voor oudere patiënten een belangrijk

aandachtspunt, denk bijvoorbeeld ook aan aspecten als leesbaarheid.

De cliëntenraad heeft nog geen formele rol in het opgerichte innovatieplatform. Wel

bevat de strategie plannen voor een digitaal platform voor patiënten en het werven

van eigen expert patiënten, om mee te denken over verbetertrajecten.

Er is een samenwerking met de Stichting Ikone, die het ziekenhuis bijstaat in

strategiediscussies via ‘patiënt experts’.

Patiënten zijn betrokken bij tevredenheidsonderzoeken voor telemonitoringdiensten.

Waar dit relevant is, wordt aandacht besteed aan het vaststellen van de geschiktheid

van diensten voor de patiëntenpopulatie, bijvoorbeeld bij de hartfalendienst. Ook

wordt aandacht besteed aan het instrueren van patiënten. Er wordt

patiënteninformatie geleverd bij e-healthdiensten zoals het patiëntenportaal en de

telemonitoringdiensten.

5.3 Samenwerken in de keten en elektronische vastleggen en uitwisselen van gegevens Getoetste normen:

- Samenwerking: De zorgorganisatie heeft duidelijk in beeld met welke andere zorgaanbieders zorginhoudelijk wordt samengewerkt. Bij samenwerking kunnen de betrokken zorgverleners beschikken over relevante gegevens van collega’s en zijn er afspraken gemaakt over de wijze waarop

Pagina 16 van 20

samenwerkingspartners relevante informatie uit een dossier kunnen verkrijgen.

- Uitwisselen van gegevens: de zorgaanbieder maakt samenwerkingsafspraken met medezorgaanbieders voor de informatievoorziening rondom medicatieoverdracht in de regionale situatie en is zich bewust van relevante standaarden. Afspraken met partijen waarmee elektronisch gegevens worden uitgewisseld worden vastgelegd. Er wordt toestemming gevraagd aan patiënten voor het elektronisch beschikbaar maken van patiëntinformatie aan andere zorgaanbieders.

Afwezig Aanwezig Operationeel Geborgd

Samenwerken in de keten √

Elektronisch vastleggen en uitwisselen van gegevens

√

Toelichting:

Samenwerken in de keten De regio kent geen regionale samenwerkingsorganisatie op het gebied van digitale samenwerking, zoals enkele omliggende regio’s die wel kennen (bv. Izit in Twente of Stichting Gerrit in Friesland). Er zijn wel enkele overkoepelende afspraken met organisaties in de regio. Zo zijn er afspraken over samenwerking en verwijzingen met de huisartsen in de regio (Medisch Coördinerend Centrum Klik) en het ziekenhuis biedt het ‘diagnosepunt’ (eerstelijns diagnostisch centrum). Ook zijn er afspraken met Medrie, de overkoepelende huisartsenorganisatie van de regio’s Zwolle, Flevoland en Hardenberg. Verder onderzoekt het ziekenhuis aansluiting bij het OZO-verbindzorg initiatief. Er is de inspectie een document getoond, getiteld “Toegangsbeleid externe zorgverleners” dat regelt onder welke voorwaarden individuele externe zorgverleners gedeeltelijke inzage kunnen krijgen in het EPD van het ziekenhuis. Het toegangsbeleid vereist het bestaan van een formele overeenkomst tussen de zorgpartijen. Met elke individuele zorgverlener die inzage krijgt (bijvoorbeeld huisarts of apotheker), wordt een gebruikersovereenkomst gesloten.

Elektronisch vastleggen en uitwisselen van gegevens Ten tijde van het inspectiebezoekwas niet structureel op IT-architectuurniveau in kaart gebracht welke belangrijke informatiestromen bestaan tussen het ziekenhuis en de omgeving. Men gaf aan wel het referentiedomeinenmodel voor ziekenhuizen te hanteren. Ook zijn enkele informatie-uitwisselingsdiensten geïmplementeerd, zoals aansluiting op het LSP bij de ziekenhuisapotheek. Er zijn binnen het ziekenhuis procedures geïmplementeerd om de medicatiegegevens afkomstig uit het LSP onder de aandacht te brengen van de relevante medewerkers.

Pagina 17 van 20

Tijdens het bezoek werd aangegeven dat op het gebied van beeldinformatie een zogenaamd ‘vendor neutral archive’ wordt ingericht. Dit kan volgens het ziekenhuis een opstap zijn naar het op gestandaardiseerde wijze uitwisselen van beelden met andere partijen in de toekomst. Een belangrijke bron van informatie voor externe zorgverleners in de regio van het ziekenhuis is gedeeltelijke toegang tot het ziekenhuis-EPD. Hiervoor worden gebruikersovereenkomsten gesloten. De verantwoordelijkheid voor het vragen van toestemming aan patiënten voor deze vorm van inzage wordt bij de gebruiker afgedekt, echter, het ziekenhuis heeft hiervoor zelf ook een verantwoordelijkheid op basis van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en de richtlijn EGiZ. Op dit moment wordt aan patiënten van het ziekenhuis hiervoor op grond van de gebruikersovereenkomst toestemming gevraagd door degene die inzage heeft maar niet door het ziekenhuis zelf, dat de gegevens ter beschikking stelt. Het ziekenhuis heeft aangegeven de toestemming wel te gaan inregelen in het nieuwe EPD dat naar verwachting eind 2018 in gebruik wordt genomen.

5.4 Afhankelijkheid van technologie

Getoetste normen:

- Informatiebeveiliging: het bestuur is aantoonbaar betrokken bij het vaststellen, controleren en verbeteren van het informatiebeveiligingssysteem; informatiebeveilingsgebeurtenissen worden op het juiste niveau gerapporteerd.

- Continuïteit: de organisatie heeft een continuïteitsstrategie vastgesteld, ingevoerd en getest.

Afwezig Aanwezig Operationeel Geborgd

Informatiebeveiliging √

Continuïteitsplanning √

Toelichting:

Informatiebeveiliging Er is een conceptdocument getoond, getiteld “strategie en governance

informatiebeveiliging”, versie 0.2 van 1 september 2017. Dit schets onder andere de

beoogde rollen en verantwoordelijkheden voor de informatiebeveiligingsorganisatie,

waarin ook nadrukkelijk verantwoordelijkheden worden belegd bij de lijnorganisatie

van de resultaatverantwoordelijke afdelingen en stafafdelingen. In het document is

aangegeven dat nog discussie bestaat over de inrichting van het

informatiemanagement.

Pagina 18 van 20

De concept strategie volgt op een organisatiebrede risico-analyse van KPMG

opgeleverd in juli 2016. Uit deze analyse volgde dat het ziekenhuis geen concreet en

uitvoerbaar plan van aanpak had voor het beheersen van cyberrisico’s en taken en

verantwoordelijkheden te minimaal belegd waren binnen de organisatie.

Het plan strategie en governance bevindt zich nog in de conceptfase en was ten tijde

van het inspectiebezoek nog niet operationeel. Met name het inrichten van de

benodigde governancestructuren, niet in de laatste plaats binnen de RVE’s, is een

aandachtspunt. Er bestaat bijvoorbeeld een minder duidelijk beeld bij de directeur ICT

van hoe de informatiebeveiligingsaspecten in de praktijk worden geadresseerd in de

resultaatverantwoordelijke afdelingen bij de ontwikkeling van nieuwe innovaties,

bijvoorbeeld op het gebied van telemonitoring. De concern security officer gaf aan

dat certificering op basis van de NEN 7510 is gepland voor eind 2019.

Wel worden volgens de concern information security officer op operationeel niveau

maatregelen genomen om bedreigingen te analyseren. Er wordt aangegeven dat een

jaarlijkse PENtest wordt uitgevoerd en dat maandelijkse controles worden gehouden

op eventuele kwetsbaarheden van het patiëntenportaal. Ook geeft de

verantwoordelijk manager desgevraagd aan dat er een actuele Configuration

Management Database (CMDB) is en dat eventuele verouderde versies van operating

systemen daarmee in beeld zijn.

Op logs van toegang tot patiëntgegevens wordt niet steeksproefgewijs gecontroleerd,

wel op basis van meldingen.

Alles overziend is het beeld dat weliswaar op operationeel niveau de nodige

maatregelen zijn genomen om het ziekenhuis voor directe problemen te behoeden,

maar dat de aandacht voor informatiebeveiliging in de organisatie als geheel nog niet

voldoende fundament heeft en daarom de voorgenomen versterking van de

governancestructuur voortvarend ter hand moet worden genomen. Voor de inspectie

is niet overtuigend aangetoond dat het ziekenhuis voldoet aan de NEN 7510.

Continuïteit De kritische informatiesystemen zijn duaal uitgevoerd in twee datacenters, weliswaar

op beperkte afstand van elkaar gelegen. Er is een continuïteitsplan dat aangeeft hoe

om te gaan met grote verstoringen in de nutsvoorzieningen. Dit is nog niet integraal

getest. Wel worden de noodstroomgeneratoren op regelmatige basis getest. Over de

service level agreements van kritische systemen wordt op regelmatige basis

gerapporteerd.

Pagina 19 van 20

6 Bijlage 1: Algemene toelichting scorekwalificaties

Niveau Toelichting

Afwezig Er wordt niet aantoonbaar aandacht besteed aan het

onderwerp en/of er is geen herkenbaar proces

Aanwezig Er wordt aantoonbaar aandacht besteed aan het

onderwerp, er kan een gedocumenteerd proces zijn,

maar in de praktijk is dit niet bij iedereen bekend en

wordt het niet structureel gevolgd

Operationeel Er is een gedocumenteerd proces dat in de praktijk

bekend is en structureel wordt gevolgd

Geborgd Er is een gedocumenteerd, structureel in de praktijk

gevolgd proces, waarvan de uitkomsten worden

gemeten en dat op basis van de uitkomsten wordt

verbeterd.

Pagina 20 van 20

7 Bijlage 2: Overzicht documenten die zijn ingezien

- Memo Implementeren strategische agenda, 17 januari 2017.

- Strategie en governance informatiebeveiliging, concept 0.2, 1 september 2017.

- Organisatiebrede risicoanalyse Isala Ziekenhuis, KPMG, 21 juli 2016

- Toegangsbeleid externe zorgverleners, versie 1.1 definitief, 13 december 2015.

- Implementatieplan telemonitoring bij Hartfalen patiënten, juni 2008.

- Raamovereenkomst tussen Isala HC@Home van 1 oktober 2016, voor het leveren van telehartrevalidatie en telemonitoring .

- Ondernemingsplan Isala Hartcentrum, Versie 1.4, juli 2015.

- Patiënteninformatie Van HC@home, handleiding hartfalen Versie 1.6.

- Service Level Agreement MijnIsala, versei 1.1, 28 november 2014.

- Testverslag Mijn Isala , versie 1.3.6.a.

- MijnIsala, Het digitale patiëntenportaal (kopie patiëntenfolder).

- Werkafspraken en procedures MijnIsala, Isala en Vital Health Solutions, 2016, versie 4.0, 6 juni 2016.

- Pilot Isala Patients Portal (PIPPO), Conceptual Design, code 1007, Versie 1.0, Status Reworked, 10 augustus 2010.

- Map procedures/ handleidingen en overeenkomst ‘Medtronic CareLink Network Services’ voor de thuismonitoring, thuispatiënten.