Upload
others
View
5
Download
0
Embed Size (px)
Citation preview
xx
xxx
Utrecht, 20 november 2017
Rapportage van het inspectiebezoek in het kader van het toezicht op e-health
aan Isala te Zwolle op 13 september 2017
Pagina 2 van 20
Inhoud
Inhoud ........................................................................................................................................... 2
1 Aanleiding inspectiebezoek ................................................................................................... 3
1.1 Achtergrond ........................................................................................................................ 3
1.2 Toetsingskader .................................................................................................................... 4
2 Conclusie ............................................................................................................................... 6
3 Handhaving ........................................................................................................................... 8
4 Uitvoering van het inspectiebezoek ....................................................................................... 9
4.1 Inleiding .............................................................................................................................. 9
4.2 Methodiek ......................................................................................................................... 10
5 Resultaten ........................................................................................................................... 12
5.1 Goed bestuur en verantwoord innoveren ......................................................................... 12 Strategie, implementatie en monitoring ................................................................................... 12 Aanschaf en gebruik .................................................................................................................. 13
5.2 Patiëntparticipatie ............................................................................................................ 15 Patiëntparticipatie ..................................................................................................................... 15
5.3 Samenwerken in de keten en elektronische vastleggen en uitwisselen van gegevens ..... 15 Samenwerken in de keten ......................................................................................................... 16 Elektronisch vastleggen en uitwisselen van gegevens .............................................................. 16
5.4 Afhankelijkheid van technologie ....................................................................................... 17 Informatiebeveiliging ................................................................................................................ 17 Continuïteit ................................................................................................................................ 18
6 Bijlage 1: Algemene toelichting scorekwalificaties ............................................................... 19
7 Bijlage 2: Overzicht documenten die zijn ingezien ............................................................... 20
Pagina 3 van 20
1 Aanleiding inspectiebezoek
In het kader van haar toezichthoudende taak heeft de Inspectie voor de
Gezondheidszorg (de inspectie) op 13 september 2017 een semi-onaangekondigd
bezoek gebracht aan Isala te Zwolle (hierna ‘het ziekenhuis’).
Het doel van het bezoek was te beoordelen of het ziekenhuis bij de inzet van
informatie- en communicatietechnologie in de zorg, of ‘e-health’, zodanige
randvoorwaarden creëert dat sprake is van verantwoorde inzet van technologie voor
goede en veilige zorg.
1.1 Achtergrond Onder e-health verstaat de inspectie de inzet van hedendaagse informatie- en
communicatietechnologie (ICT), in het bijzonder internettechnologie, om de
gezondheid en gezondheidszorg te ondersteunen of te verbeteren. Concrete
voorbeelden hiervan zijn elektronische patiëntendossiers (EPD’s), elektronische
gegevensuitwisseling, patiëntenportalen, medische apps en monitoring van
chronische patiënten op afstand.
Vooral grote zorginstellingen worden steeds afhankelijker van e-health. Zo is het EPD
een essentieel onderdeel van de bedrijfsvoering geworden. Doordat zorg in
toenemende mate in een netwerk van zorgaanbieders wordt geleverd, wordt ook
onderlinge communicatie tussen zorgverleners steeds belangrijker. Digitale middelen
kunnen hierbij helpen. De inspectie is positief over de mogelijkheden die e-health kan
bieden om de zorg te ondersteunen en te verbeteren, tegelijkertijd vindt zij het
belangrijk dat de kwaliteit en veiligheid van de zorg niet in het geding komen.
Aan de nieuwe mogelijkheden zijn helaas ook risico’s verbonden. Uit een recent
onderzoek in opdracht van de Nederlandse Vereniging voor Klinische Fysica1 blijkt dat
ICT-gerelateerde problematiek op de vierde plaats komt in een landelijke
inventarisatie van VIM-meldingen. In een recente analyse van het Emergency Care
Research Institute komen ICT-risico’s op de zesde plaats2. Ook de bedreigingen van
ransomware zijn recentelijk in het nieuws geweest3. Tegelijkertijd ontwikkelen de
wetgeving en normering zich verder, denk aan de wet ‘aanvullende bepalingen
verwerking persoonsgegevens in de zorg’, die in juli 2017 is ingegaan.
Vanaf 2018 zal de inspectie structureel aandacht gaan besteden aan het thema e-
health bij zorginstellingen. In aanloop daar naartoe oriënteert de inspectie zich nader
op de huidige stand van zaken in verschillende zorginstellingen, te weten
ziekenhuizen, GGZ-instellingen en instellingen voor gehandicaptenzorg. In het najaar
van 2017 voert de inspectie daartoe verkennende bezoeken uit. Het gaat om
zorginstellingen verspreid over het land, waarvan de inspectie op basis van openbare
1 Zie http://www.mtintegraal.nl/artikelen/489/landelijke-inventarisatie-incidentmeldingen-medische-apparatuur
2 Zie https://www.ecri.org/Resources/Whitepapers_and_reports/Haz17.pdf
3 Zie http://nos.nl/artikel/2179941-zeker-vijftien-ziekenhuizen-geinfecteerd-met-ransomware.html
Pagina 4 van 20
bronnen de indruk heeft dat deze actief e-health-producten of diensten inzetten,
echter niet noodzakelijkerwijs op grote schaal. De verkennende bezoeken zijn in dit
stadium van het toezicht op e-health niet gericht op handhaving, tenzij eventuele
risicovolle situaties worden aangetroffen die direct maatregelen behoeven. De
bevindingen van deze bezoeken gebruikt de inspectie om haar toezicht op e-health
verder in te richten en een toetsingskader nader vorm te geven.
1.2 Toetsingskader Het voorlopig toetsingskader, dat is gebruikt bij dit inspectiebezoek, is gebaseerd op
de volgende wetten en veldnormen.
Wetten - Wet kwaliteit, klachten en geschillen zorg (Wkkgz), in het
bijzonder artikel 3 (2016);
- Uitvoeringsbesluit Wkkgz, in het bijzonder artikel 4.1 (2016);
- Wet aanvullende bepalingen verwerking persoonsgegevens
in de zorg (2017);
Richtlijnen en
handreikingen
- Handreiking verantwoordelijkheidsverdeling bij
samenwerking in de zorg (KNMG, V&VN, KNOV, KNGF,
KNMP, NIP, NZV, NFU, GGZ Nederland, NPCF; 2010);
- Convenant veilige toepassing van medische technologie in
de medisch specialistische zorg (NVZ, NFU, Revalidatie
Nederland, ZKN; 2016)
- Leidraad nieuwe interventies in de medische praktijk (Orde
van Medisch Specialisten, Zorginstituut Nederland,
Kennisinstituut van medisch specialisten; 2014)
- Richtlijn online arts-patiëntcontact (KNMG, 2007)
- Richtlijn elektronisch voorschrijven (KNMG, 2013)
- Richtlijn overdracht van medicatiegegevens in de keten
(Actiz, GGZ Nederland, KNMG, KNMP, LEVV, LHV, NFU, NHG,
Nictiz, NPCF, NVZ, NVZA, Orde, V&VN, Verenso, ZN;
2008/2016)
- Artsen en social media (KNMG, 2011);
- Hoe gebruik je sociale media op een verantwoorde manier?
(V&VN, 2012)
- Medische app checker (KNMG, 2016)
Normen
- NEN 8028 – kwaliteitseisen telemedicine
- NTA 8009 – veiligheidsmanagementsysteem voor
ziekenhuizen en instellingen die ziekenhuiszorg verlenen
(2011/2014)
- NEN 7510 – informatiebeveiliging in de zorg (2011)
Pagina 5 van 20
Normen - NEN 7512 – vertrouwensbasis voor gegevensuitwisseling
(2015)
Verwante
kaders
- Kader ‘Toezicht op goed bestuur’ (IGZ/NZa), 2016
Pagina 6 van 20
2 Conclusie
De inspectie concludeert op basis van het inspectiebezoek dat het ziekenhuis zich op
het gebied van e-health in een actief lerende fase bevindt. De raad van bestuur is
nauw betrokken is bij de e-healthontwikkelingen. Op basis van de constateringen
komt de inspectie tot de volgende deelconclusies:
Er is nog geen uitgekristalliseerde werkwijze rondom e-health-implementaties
Er zijn veel e-health-initiatieven in het ziekenhuis, waarvan een aantal geruime tijd is
doorontwikkeld. In dit stadium is echter nog niet uitgekristalliseerd welke stappen
nodig zijn om de omslag te maken van innovatieve experimenten naar geborgde
‘productie’processen, waardoor het moment van deze overgang niet duidelijk is aan
te wijzen. Dit was bijvoorbeeld het geval bij de telemonitoring van hartfalen, waar
geen risicoanalyse of formele evaluatie was terug te vinden. De inspectie constateert
dat prospectieve risico-analyses niet structureel worden uitgevoerd voor e-
healthdiensten.
Het ziekenhuis betrekt patiënten actief te bij e-health-ontwikkelingen
De inspectie heeft vastgesteld dat het ziekenhuis op verschillende manieren patiënten
actief betrekt bij de e-health-ontwikkelingen. De cliëntenraad wordt geïnformeerd
over belangrijke ontwikkelingen rondom e-health-diensten. Ook zijn patiënten
bijvoorbeeld betrokken bij tevredenheidsonderzoeken voor telemonitoringdiensten.
Elektronische informatie-uitwisseling met partijen in de regio vindt plaats, maar er
is geen overkoepelende visie ontwikkeld op dit thema
Ten tijde van het inspectiebezoek was niet structureel op IT-architectuurniveau in
kaart gebracht welke belangrijke informatiestromen bestaan tussen het ziekenhuis en
de omgeving. Wel zijn enkele informatie-uitwisselingsdiensten geïmplementeerd,
zoals aansluiting op het LSP bij de ziekenhuisapotheek, en krijgen externe
zorgverleners onder voorwaarden toegang tot het ziekenhuis-EPD.
Op het gebied van informatiebeveiliging zijn nog stappen te zetten
Het ziekenhuis heeft weliswaar op operationeel niveau de nodige maatregelen
genomen om het ziekenhuis voor directe problemen te behoeden, maar de aandacht
voor informatiebeveiliging in de organisatie als geheel heeft nog niet voldoende
fundament. De inspectie verwacht dat de voorgenomen versterking van de
governancestructuur voortvarend ter hand wordt genomen.
Daarnaast geeft de inspectie de volgende aandachts- en verbeterpunten mee:
Bevorder de veilige toepassing van e-health-diensten met risicoanalyses
Het uitvoeren van een prospectieve risicoanalyse bleek desgevraagd geen regulier
procesonderdeel te zijn voor e-health-diensten die worden geleverd door het
ziekenhuis. De inspectie verwacht dat dit een onderdeel wordt van een verder
ontwikkeld e-healthimplementatieproces. Ook verwacht de inspectie dat e-
healthdiensten vanuit het perspectief van zorgkwaliteit en veiligheid worden
geëvalueerd. De inspectie verwijst in dit kader naar normelement 4.9 van NTA
8009:2014.
Pagina 7 van 20
Zorg voor een bewerkersovereenkomst met alle externe toeleveranciers die
patiëntgegevens verwerken
Een formele bewerkersovereenkomst voor het bewerken van patiëntgegevens met de
leverancier van het monitoringssysteem bleek ten tijde van het inspectiebezoek nog
niet gerealiseerd te zijn, terwijl in beheer van de leverancier zich wel (tijdelijk)
individuele patiëntgegevens bevinden in de fase voordat dit wordt doorgegeven aan
het ziekenhuis-EPD. Bewerkersovereenkomsten helpen garanderen dat het ziekenhuis
de controle houdt over patiëntgegevens.
Maak aantoonbaar in hoeverre wordt voldaan aan de NEN 7510
Hoewel een externe risicoanalyse is uitgevoerd en aandacht aanwezig is voor
operationele bedreigingen (PENtest) vindt de inspectie op basis van de waarnemingen
tijdens het inspectiebezoek en de verstrekte documentatie onvoldoende aantoonbaar
in hoeverre het ziekenhuis voldoet aan NEN 7510. Aantoonbaar voldoen aan NEN
7510 biedt een waarborg dat sprake is van een lerend managementsysteem op het
gebied van informatiebeveiliging.
Borg dat patiënten toestemming wordt gevraagd voor het beschikbaar maken van
gegevens aan zorgverleners buiten de organisatie
Artikel 15a van de wet aanvullende bepalingen verwerking persoonsgegevens in de
zorg bepaalt dat de zorgaanbieder gegevens van de cliënt slechts beschikbaar stelt via
een elektronisch uitwisselingssysteem, voor zover de zorgaanbieder heeft vastgesteld
dat de cliënt daartoe uitdrukkelijk toestemming heeft gegeven. Indien het EPD wordt
opengesteld buiten de eigen organisatie, moet het worden beschouwd als een
elektronisch uitwisselingssysteem. Het ziekenhuis regelt weliswaar in
overeenkomsten met externe zorgaanbieders dat zij toestemming dienen te vragen,
maar controleert niet dat deze toestemming werkelijk is gevraagd. De inspectie
verwacht dat het ziekenhuis hiervoor aandacht heeft.
Pagina 8 van 20
3 Handhaving
De inspectie constateert dat de raad van bestuur van het ziekenhuis
eindverantwoordelijk is voor de kwaliteit en de veiligheid van de binnen de instelling
geleverde zorg. De inspectie verwacht dan ook dat de raad van bestuur de gegeven
aandachts- en verbeterpunten ter harte zal nemen en maatregelen zal nemen om
deze te implementeren binnen een redelijke termijn.
Ten aanzien van het verbeterpunt om aantoonbaar te maken in welke mate wordt
voldaan aan NEN 7510 verwacht de inspectie uiterlijk 30 april 2018 de resultaten te
ontvangen van een interne audit conform paragraaf 4.5.2 van de NEN 7510 waaruit
de mate van conformiteit met NEN 7510 eenduidig is af te leiden, plus een
verbeterplan om eventuele non-conformiteiten te adresseren. De interne auditor
dient onafhankelijk te zijn van de direct verantwoordelijken voor
informatiebeveiliging.
Ten aanzien van het borgen van toestemming verwacht de inspectie dat uiterlijk 28
februari 2018 door het ziekenhuis wordt beschreven op welke wijze het ziekenhuis
controleert of de partijen die inzage krijgen in het EPD conform de afgesloten
overeenkomsten daadwerkelijk toestemming vragen aan patiënten wiens gegevens zij
inzien.
Pagina 9 van 20
4 Uitvoering van het inspectiebezoek
4.1 Inleiding De inspectie heeft zich tijdens het bezoek op vijf hoofdthema’s geconcentreerd, die
naar haar oordeel relevant zijn voor de veilige en verantwoorde inzet van e-health .
Dit waren de volgende thema’s.
Thema Toelichting
Goed bestuur en
verantwoord
innoveren
De verantwoorde inzet van e-health vereist voldoende
aandacht op verschillende niveaus in de organisatie. Wil de
organisatie ‘in control’ zijn, dan vereist dit bestuurlijke
aandacht voor de toekenning van verantwoordelijkheden bij
toepassen van technische innovaties, zoals e-health. Verder
is aandacht nodig voor de te verwachten risico’s bij
introductie van innovaties, afgewogen tegen de te
verwachten voordelen.
Patiëntparticipatie Veel e-health-toepassingen zijn erop gericht om de patiënt
beter van dienst te zijn, bijvoorbeeld door zorg meer plaats-
en tijdsonafhankelijk aan te bieden of door betere
informatie te verstrekken. Daarbij is het belangrijk dat
aandacht is besteed aan de wijze waarop patiënten in het
innovatieproces worden betrokken, aan de juiste
informatieverstrekking aan de patiënt over de aangeboden
diensten, de gebruiksvriendelijkheid, toegankelijkheid en
veiligheid van toepassingen, de keuzevrijheid van de patiënt
en de ondersteuning en nazorg.
Samenwerken in de
keten
E-health speelt een rol bij het mogelijk maken van andere
vormen van samenwerken tussen zorgverleners onderling,
bijvoorbeeld bij overdracht, of tussen zorgverlener en
patiënt. De aandacht die is besteed aan de samenwerking is
medebepalend voor de verantwoorde inzet van de e-health-
implementatie. Daar horen heldere afspraken bij tussen
zorgaanbieders onderling, maar ook van zorgaanbieders
met hun ICT-leveranciers.
Elektronisch
vastleggen en
uitwisselen van
gegevens
In de meeste organisaties worden medische gegevens
elektronisch vastgelegd. Het uitwisselen van informatie
tussen samenwerkende partijen kan worden ondersteund
door elektronische gegevensuitwisseling. Dat vraagt om het
goed in kaart brengen van de informatiebehoefte en het
voldoen aan geldende randvoorwaarden, bijvoorbeeld op
het gebied van privacy en informatiebeveiliging.
Afhankelijkheid van
technologie
De groeiende afhankelijkheid van technologie vereist dat de
organisatie is voorbereid op de risico’s die voortkomen uit
deze afhankelijkheid, bv. voor wat betreft
informatiebeveiliging en continuïteit van zorg.
Pagina 10 van 20
Elk thema is opgebouwd uit een aantal onderdelen, gebaseerd op onderdelen uit
wetten en veldnormen zoals opgesomd in paragraaf 1.2.
De resultaten worden per onderdeel weergegeven op een vierpuntsschaal: afwezig,
aanwezig, operationeel, geborgd. Zie bijlage 1 voor een toelichting op de definities
van deze scores. Onder de tabellen met de resultaten geeft de inspectie een
toelichting op de scores.
4.2 Methodiek Het bezoek is kort van tevoren aangekondigd om de instelling de mogelijkheid te
geven om de vereiste organisatorische voorbereidingen te treffen om het bezoek
mogelijk te maken en om de inspecteurs in de gelegenheid te stellen om de van te
voren opgevraagde documentatie te bestuderen.
Voorafgaand aan het bezoek is gevraagd een aantal documenten aan de inspectie te
verstrekken. Ook tijdens het bezoek zijn nog aanvullend documenten opgevraagd en
bestudeerd. De aangeleverde en door het inspectieteam bekeken documenten
worden benoemd in bijlage 2 van dit rapport. Daarnaast is gevraagd de dag tevoren
een overzicht te verstrekken van in de zorginstelling beschikbare e-
healthtoepassingen, naar aanleiding waarvan het inspectieteam het
inspectieprogramma nader heeft ingevuld.
Het inspectieprogramma zag er als volgt uit.
Onderdeel Onderwerpen van focus
Gesprek met de raad van bestuur en
sleutelfunctionarissen
THEMA 1 - Governance en verantwoord
innoveren
THEMA 3 – Samenwerking in de keten
THEMA 5 – Afhankelijkheid van technologie
Documentatieonderzoek Onderzoek documentatie (aanschafdossier) van
twee concrete e-health-voorbeelden (1 en 2)
Inspectie e-healthtoepassing 1 THEMA 1 - Governance en verantwoord
innoveren (2: aanschaf en gebruik)
THEMA 2 - Patiëntparticipatie
Inspectie e-healthtoepassing 2 THEMA 1 - Governance en verantwoord
innoveren (2: aanschaf en gebruik)
THEMA 2 - Patiëntparticipatie
Inspectie samenwerking in de keten,
elektronische gegevensuitwisseling,
informatiebeveiliging en
continuïteitsplanning
THEMA 3 – Samenwerking in de keten
THEMA 4 – Elektronisch vastleggen en
uitwisselen van gegevens
THEMA 5 – Afhankelijkheid van technologie
Onderhoud met
patiëntvertegenwoordiger
THEMA 1 - Governance en verantwoord
innoveren
Pagina 11 van 20
Onderdeel Onderwerpen van focus
THEMA 2 - Patiëntparticipatie
Eindgesprek met de raad van
bestuur en sleutelfunctionarissen
Alle bovengenoemde thema’s
Tijdens het bezoek zijn van twee specifieke e-health-toepassingen de
aanschafdossiers opgevraagd en bestudeerd en zijn deze toepassingen nader
besproken en nader onderzocht. De keuze van de toepassingen is niet voorafgaand
aan het bezoek bekend gemaakt. Het gaat om de volgende toepassingen:
1. Het patiëntenportaal MijnIsala 2. Tele-monitoring vanuit het Isala Hartcentrum
Tijdens het bezoek zijn gesprekken gevoerd met de volgende functionarissen.
- Voorzitter van de raad van bestuur - Lid van de raad van bestuur, o.a. verantwoordelijk voor kwaliteit en veiligheid - Kwartiermaker innovatie - Directeur ICT - Teamleider ICT, Staf IT Operations - Concern Information Security Officer - Manager Strategie en Sales - Business consultant ICT - Voorzitter cliëntenraad - Bestuurssecretaris Isala Hartcentrum - Leidinggevende Invasief Hartcentrum - Verpleegkundig specialist van het hartcentrum - Pacemakertechnicus - Leidinggevende Isala Harthuis - Manager HC@Home (externe toeleverancier)
Pagina 12 van 20
5 Resultaten
5.1 Goed bestuur en verantwoord innoveren
Getoetste normen:
- Strategie, implementatie en monitoring: de portefeuille van e-health is belegd bij de raad van bestuur. Er is op het juiste niveau aandacht voor stellen van doelen en planvorming. Verantwoordelijkheden en bevoegdheden zijn belegd in de organisatie. Er is aandacht voor risicomanagement en kwaliteitsborging van e-healthtoepassingen. Het bestuur beschikt over sturingsformatie.
- Aanschaf en gebruik: de relevante disciplines zijn betrokken bij aanschaf. Er worden programma’s van eisen opgesteld. Er worden risico-analyses uitgevoerd. Er is voldoende aandacht voor instructie van gebruikers, formele vrijgave van toepassingen en onderhoud.
Afwezig Aanwezig Operationeel Geborgd
Governance en verantwoord innoveren – strategie, implementatie en monitoring
√
Governance en verantwoord innoveren –
aanschaf en gebruik
√
Toelichting:
Strategie, implementatie en monitoring De strategie rondom e-health is bij het ziekenhuis sterk in ontwikkeling, onder
verantwoordelijkheid van de voorzitter van de raad van bestuur. Er is onder
aansturing van de raad van bestuur een innovatieplatform opgericht met een brede
samenstelling, dat eerst heeft geïnventariseerd wat al gedaan wordt. Voorbeelden die
in studieverband zijn ontwikkeld zijn monitoring van zwangeren thuis, hartrevalidatie
op afstand en monitoring van COPD-patiënten. De raad van bestuur gaf aan dat men
vanuit de visie van ‘connected care’ meer van dergelijke mogelijkheden wil gaan
ontwikkelen, voor vooral chronische patiënten. Het ziekenhuis ziet dit niet alleen als
een kwestie van gemak, maar ook als een bijdrage aan de kwaliteit. Door thuis
interveniëren voorkomt men ziekenhuisopnames en vermindert men complicaties.
De strategie is vastgelegd in het memo ‘Implementeren strategische agenda’ van
januari 2017 van de manager strategie en sales aan de voorzitter van de raad van
bestuur. Centrale punten in dit memo zijn de onderwerpen substitutie en e-health, bij
beide onderdelen zijn concrete plannen benoemd. De raad van bestuur gaf aan dat
ook gekeken wordt of kan worden aangesloten bij ontwikkelingen in de regio, zoals
OZO-verbindzorg, een virtueel overlegplatform rondom patiënten.
Er is een jaarlijkse strategiedag waarbij ook medewerkers, leden van de cliëntenraad
en externe patiëntvertegenwoordigers (‘patiënt experts’) hun bijdrage kunnen
leveren.
Pagina 13 van 20
Het ziekenhuis werkt samen in een innovatienetwerk ‘mProve’ van vijf STZ-
ziekenhuizen, het Maxima, het Rijnstate, het Jeroen Bosch en het Albert Schweitzer
om de krachten te bundelen op het onderwerp innovatie, inclusief e-health. Er wordt
bijvoorbeeld gedacht aan de gezamenlijke ontwikkeling van apps. De ziekenhuizen
hebben het EPD van dezelfde leverancier.
Men gaf aan dat op het gebied van kwaliteitsborging en risicomanagement
verschillend wordt omgegaan met enerzijds medische technologie in formele zin en
anderzijds andere toepassingen, bijvoorbeeld op het gebied van
communicatiemiddelen. Wel ziet men dat deze zaken steeds moeilijker te
onderscheiden zijn. Over eigen app-ontwikkeling geven leidinggevenden in het
ziekenhuis aan zich bewust te zijn van de vereisten op grond van de wet op de
medische hulpmiddelen en hierin in het proces aandacht te besteden.
Alles overziend kan worden gezegd dat het ziekenhuis zich op het gebied van e-health
zich in een actief lerende fase bevindt. De raad van bestuur is nauw betrokken is bij
de e-healthontwikkelingen; in dit stadium kon nog geen ‘dashboard’ op het gebied
van e-health worden getoond; er is nog geen sprake van gestandaardiseerde
stuurinformatie op dit terrein.
Aanschaf en gebruik Tijdens het inspectiebezoek werden twee e-health-toepassingen nader belicht; het patiëntenportaal en het telemonitoringprogramma bij het Hartcentrum, met name het onderdeel hartfalen. Beide zijn min of meer organisch ontstaan, er is geen sprake geweest van een ziekenhuisbreed gestandaardiseerd proces. De inspectie trof geen pakket van eisen of risico-analyse aangetroffen aan. Het patiëntenportaal is gestart als initiatief van een longarts rond 2006. In een latere fase is een professionaliseringsslag gemaakt met een externe leverancier, Vital Health. In het kader van het programma optimalisatie poliklinieken (begin 2016) is de reikwijdte van het portaal sterk verbreed. Voor deze uitbreiding is een formeler proces gevolgd met een ontwerp, statement of work en test scenarios. De medische staf was nauw betrokken bij de uitbreiding, waarbij ook aanvankelijke weerstanden geadresseerd moesten worden. De projectleider heeft belangrijke keuzes met elk afzonderlijk specialisme besproken. Op het moment van het inspectiebezoek was de ontwikkeling van het portaal bevroren in verband met de overgang naar een nieuw ziekenhuisbreed EPD. De hartfalenmonitoring werkt met een externe leverancier voor het monitoringsysteem en de apparatuur die thuis wordt geleverd (HC@Home). De thuisapp is geregistreerd als medisch hulpmiddel. De dienst is rond 2012 geïntroduceerd. Er zijn gemiddeld 120 patiënten in monitoring, in totaal zijn er circa 250 aangesloten. Een formele bewerkersovereenkomst voor het bewerken van patiëntgegevens met de leverancier bleek ten tijde van het inspectiebezoek nog niet gerealiseerd te zijn, terwijl in beheer van de leverancier zich wel (tijdelijk) individuele patiëntgegevens bevinden in de fase voordat dit wordt doorgegeven aan het ziekenhuis-EPD. Dit was wel in voorbereiding, volgens de betrokkenen.
Pagina 14 van 20
Er werd een protocol getoond waarin globaal staat aangegeven welke patiënten in aanmerking komen voor het inzetten van de tele-monitoringdienst bij hartfalen. Patiënten geven dagelijks meetgegevens door, indien geen meetgegevens binnenkomen dan wordt zo nodig contact op genomen met de patiënt om hiervoor een verklaring te vinden (tenzij dit al was afgesproken). Indien aanwijzingen bestaan voor een defect dan wordt de leverancier ingeschakeld. In weekenden en op feestdagen wordt niet gecontroleerd, patiënten zijn hierover wel geïnformeerd (dit gebeurt wel bij de telemonitoringdiensten voor mensen met een ICD). Ondanks dat de tele-monitoringdienst voor hartfalen al enkele jaren operationeel is, is hiervoor geen formele risico-analyse uitgevoerd. Hoewel het personeel betrokken en geïnformeerd overkwam op de inspecteurs, kunnen door het ontbreken van een formele analsye in principe risico’s onderbelicht blijven. Ook is de dienst niet formeel geëvalueerd. Er is wel patiënttevredenheidsonderzoek gedaan. Alles overziend stelt de inspectie vast dat voor innovaties op het gebied van e-
healthdiensten in het algemeen in het ziekenhuis in deze fase nog geen sprake is van
een uitgekristalliseerde werkwijze waarbij aanschaf- en implementatatieprocessen
rondom e-health-innovaties formeel zijn gedocumenteerd, vastgesteld en structureel
worden gevolgd. De bestaande ontwikkelingen zijn op hun eigen wijze tot stand
gekomen. Vooral is niet uitgekristalliseerd welke stappen nodig zijn om de omslag te
maken van innovatieve experimenten naar geborgde ‘productie’processen, waardoor
deze overgang niet goed is aan te wijzen. Dit was bijvoorbeeld het geval bij de
telemonitoring van hartfalen, waar geen risicoanalyse of formele evaluatie was terug
te vinden, terwijl de dienst al geruime tijd in productie is. De inspectie constateert dat
prospectieve risico-analyses die op grond van het convenant medische technologie
zijn aangewezen voor medische hulpmiddelen, niet structureel worden uitgevoerd
voor e-healthdiensten.
Pagina 15 van 20
5.2 Patiëntparticipatie
Getoetste normen:
Patiënten zijn betrokken bij de introductie van voor hen relevante toepassingen.
Risico’s voor patiënten worden onderkend en geadresseerd. Bij het vaststellen van in-
en exclusiecriteria wordt rekening gehouden met de zorgbehoefte van cliënten en de
eigenschappen van de e-healthdienst. Patiënten beschikken over de informatie die
nodig is voor de keuze voor bij hun zorgvraag passend aanbod. Patiënten beschikken
over de juiste kennis en vaardigheden.
Afwezig Aanwezig Operationeel Geborgd
Patiëntparticipatie √
Toelichting:
Patiëntparticipatie De inspectie heeft vastgesteld dat er door het ziekenhuis stappen worden gezet om
patiënten actief te betrekken bij de e-health-ontwikkelingen. De cliëntenraad wordt
actief geïnformeerd over belangrijke ontwikkelingen rondom e-health-diensten. Ook
op de strategiedagen is de cliëntenraad vertegenwoordigd. De cliëntenraad vindt
gebruiksvriendelijkheid van toepassingen vooral voor oudere patiënten een belangrijk
aandachtspunt, denk bijvoorbeeld ook aan aspecten als leesbaarheid.
De cliëntenraad heeft nog geen formele rol in het opgerichte innovatieplatform. Wel
bevat de strategie plannen voor een digitaal platform voor patiënten en het werven
van eigen expert patiënten, om mee te denken over verbetertrajecten.
Er is een samenwerking met de Stichting Ikone, die het ziekenhuis bijstaat in
strategiediscussies via ‘patiënt experts’.
Patiënten zijn betrokken bij tevredenheidsonderzoeken voor telemonitoringdiensten.
Waar dit relevant is, wordt aandacht besteed aan het vaststellen van de geschiktheid
van diensten voor de patiëntenpopulatie, bijvoorbeeld bij de hartfalendienst. Ook
wordt aandacht besteed aan het instrueren van patiënten. Er wordt
patiënteninformatie geleverd bij e-healthdiensten zoals het patiëntenportaal en de
telemonitoringdiensten.
5.3 Samenwerken in de keten en elektronische vastleggen en uitwisselen van gegevens Getoetste normen:
- Samenwerking: De zorgorganisatie heeft duidelijk in beeld met welke andere zorgaanbieders zorginhoudelijk wordt samengewerkt. Bij samenwerking kunnen de betrokken zorgverleners beschikken over relevante gegevens van collega’s en zijn er afspraken gemaakt over de wijze waarop
Pagina 16 van 20
samenwerkingspartners relevante informatie uit een dossier kunnen verkrijgen.
- Uitwisselen van gegevens: de zorgaanbieder maakt samenwerkingsafspraken met medezorgaanbieders voor de informatievoorziening rondom medicatieoverdracht in de regionale situatie en is zich bewust van relevante standaarden. Afspraken met partijen waarmee elektronisch gegevens worden uitgewisseld worden vastgelegd. Er wordt toestemming gevraagd aan patiënten voor het elektronisch beschikbaar maken van patiëntinformatie aan andere zorgaanbieders.
Afwezig Aanwezig Operationeel Geborgd
Samenwerken in de keten √
Elektronisch vastleggen en uitwisselen van gegevens
√
Toelichting:
Samenwerken in de keten De regio kent geen regionale samenwerkingsorganisatie op het gebied van digitale samenwerking, zoals enkele omliggende regio’s die wel kennen (bv. Izit in Twente of Stichting Gerrit in Friesland). Er zijn wel enkele overkoepelende afspraken met organisaties in de regio. Zo zijn er afspraken over samenwerking en verwijzingen met de huisartsen in de regio (Medisch Coördinerend Centrum Klik) en het ziekenhuis biedt het ‘diagnosepunt’ (eerstelijns diagnostisch centrum). Ook zijn er afspraken met Medrie, de overkoepelende huisartsenorganisatie van de regio’s Zwolle, Flevoland en Hardenberg. Verder onderzoekt het ziekenhuis aansluiting bij het OZO-verbindzorg initiatief. Er is de inspectie een document getoond, getiteld “Toegangsbeleid externe zorgverleners” dat regelt onder welke voorwaarden individuele externe zorgverleners gedeeltelijke inzage kunnen krijgen in het EPD van het ziekenhuis. Het toegangsbeleid vereist het bestaan van een formele overeenkomst tussen de zorgpartijen. Met elke individuele zorgverlener die inzage krijgt (bijvoorbeeld huisarts of apotheker), wordt een gebruikersovereenkomst gesloten.
Elektronisch vastleggen en uitwisselen van gegevens Ten tijde van het inspectiebezoekwas niet structureel op IT-architectuurniveau in kaart gebracht welke belangrijke informatiestromen bestaan tussen het ziekenhuis en de omgeving. Men gaf aan wel het referentiedomeinenmodel voor ziekenhuizen te hanteren. Ook zijn enkele informatie-uitwisselingsdiensten geïmplementeerd, zoals aansluiting op het LSP bij de ziekenhuisapotheek. Er zijn binnen het ziekenhuis procedures geïmplementeerd om de medicatiegegevens afkomstig uit het LSP onder de aandacht te brengen van de relevante medewerkers.
Pagina 17 van 20
Tijdens het bezoek werd aangegeven dat op het gebied van beeldinformatie een zogenaamd ‘vendor neutral archive’ wordt ingericht. Dit kan volgens het ziekenhuis een opstap zijn naar het op gestandaardiseerde wijze uitwisselen van beelden met andere partijen in de toekomst. Een belangrijke bron van informatie voor externe zorgverleners in de regio van het ziekenhuis is gedeeltelijke toegang tot het ziekenhuis-EPD. Hiervoor worden gebruikersovereenkomsten gesloten. De verantwoordelijkheid voor het vragen van toestemming aan patiënten voor deze vorm van inzage wordt bij de gebruiker afgedekt, echter, het ziekenhuis heeft hiervoor zelf ook een verantwoordelijkheid op basis van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en de richtlijn EGiZ. Op dit moment wordt aan patiënten van het ziekenhuis hiervoor op grond van de gebruikersovereenkomst toestemming gevraagd door degene die inzage heeft maar niet door het ziekenhuis zelf, dat de gegevens ter beschikking stelt. Het ziekenhuis heeft aangegeven de toestemming wel te gaan inregelen in het nieuwe EPD dat naar verwachting eind 2018 in gebruik wordt genomen.
5.4 Afhankelijkheid van technologie
Getoetste normen:
- Informatiebeveiliging: het bestuur is aantoonbaar betrokken bij het vaststellen, controleren en verbeteren van het informatiebeveiligingssysteem; informatiebeveilingsgebeurtenissen worden op het juiste niveau gerapporteerd.
- Continuïteit: de organisatie heeft een continuïteitsstrategie vastgesteld, ingevoerd en getest.
Afwezig Aanwezig Operationeel Geborgd
Informatiebeveiliging √
Continuïteitsplanning √
Toelichting:
Informatiebeveiliging Er is een conceptdocument getoond, getiteld “strategie en governance
informatiebeveiliging”, versie 0.2 van 1 september 2017. Dit schets onder andere de
beoogde rollen en verantwoordelijkheden voor de informatiebeveiligingsorganisatie,
waarin ook nadrukkelijk verantwoordelijkheden worden belegd bij de lijnorganisatie
van de resultaatverantwoordelijke afdelingen en stafafdelingen. In het document is
aangegeven dat nog discussie bestaat over de inrichting van het
informatiemanagement.
Pagina 18 van 20
De concept strategie volgt op een organisatiebrede risico-analyse van KPMG
opgeleverd in juli 2016. Uit deze analyse volgde dat het ziekenhuis geen concreet en
uitvoerbaar plan van aanpak had voor het beheersen van cyberrisico’s en taken en
verantwoordelijkheden te minimaal belegd waren binnen de organisatie.
Het plan strategie en governance bevindt zich nog in de conceptfase en was ten tijde
van het inspectiebezoek nog niet operationeel. Met name het inrichten van de
benodigde governancestructuren, niet in de laatste plaats binnen de RVE’s, is een
aandachtspunt. Er bestaat bijvoorbeeld een minder duidelijk beeld bij de directeur ICT
van hoe de informatiebeveiligingsaspecten in de praktijk worden geadresseerd in de
resultaatverantwoordelijke afdelingen bij de ontwikkeling van nieuwe innovaties,
bijvoorbeeld op het gebied van telemonitoring. De concern security officer gaf aan
dat certificering op basis van de NEN 7510 is gepland voor eind 2019.
Wel worden volgens de concern information security officer op operationeel niveau
maatregelen genomen om bedreigingen te analyseren. Er wordt aangegeven dat een
jaarlijkse PENtest wordt uitgevoerd en dat maandelijkse controles worden gehouden
op eventuele kwetsbaarheden van het patiëntenportaal. Ook geeft de
verantwoordelijk manager desgevraagd aan dat er een actuele Configuration
Management Database (CMDB) is en dat eventuele verouderde versies van operating
systemen daarmee in beeld zijn.
Op logs van toegang tot patiëntgegevens wordt niet steeksproefgewijs gecontroleerd,
wel op basis van meldingen.
Alles overziend is het beeld dat weliswaar op operationeel niveau de nodige
maatregelen zijn genomen om het ziekenhuis voor directe problemen te behoeden,
maar dat de aandacht voor informatiebeveiliging in de organisatie als geheel nog niet
voldoende fundament heeft en daarom de voorgenomen versterking van de
governancestructuur voortvarend ter hand moet worden genomen. Voor de inspectie
is niet overtuigend aangetoond dat het ziekenhuis voldoet aan de NEN 7510.
Continuïteit De kritische informatiesystemen zijn duaal uitgevoerd in twee datacenters, weliswaar
op beperkte afstand van elkaar gelegen. Er is een continuïteitsplan dat aangeeft hoe
om te gaan met grote verstoringen in de nutsvoorzieningen. Dit is nog niet integraal
getest. Wel worden de noodstroomgeneratoren op regelmatige basis getest. Over de
service level agreements van kritische systemen wordt op regelmatige basis
gerapporteerd.
Pagina 19 van 20
6 Bijlage 1: Algemene toelichting scorekwalificaties
Niveau Toelichting
Afwezig Er wordt niet aantoonbaar aandacht besteed aan het
onderwerp en/of er is geen herkenbaar proces
Aanwezig Er wordt aantoonbaar aandacht besteed aan het
onderwerp, er kan een gedocumenteerd proces zijn,
maar in de praktijk is dit niet bij iedereen bekend en
wordt het niet structureel gevolgd
Operationeel Er is een gedocumenteerd proces dat in de praktijk
bekend is en structureel wordt gevolgd
Geborgd Er is een gedocumenteerd, structureel in de praktijk
gevolgd proces, waarvan de uitkomsten worden
gemeten en dat op basis van de uitkomsten wordt
verbeterd.
Pagina 20 van 20
7 Bijlage 2: Overzicht documenten die zijn ingezien
- Memo Implementeren strategische agenda, 17 januari 2017.
- Strategie en governance informatiebeveiliging, concept 0.2, 1 september 2017.
- Organisatiebrede risicoanalyse Isala Ziekenhuis, KPMG, 21 juli 2016
- Toegangsbeleid externe zorgverleners, versie 1.1 definitief, 13 december 2015.
- Implementatieplan telemonitoring bij Hartfalen patiënten, juni 2008.
- Raamovereenkomst tussen Isala HC@Home van 1 oktober 2016, voor het leveren van telehartrevalidatie en telemonitoring .
- Ondernemingsplan Isala Hartcentrum, Versie 1.4, juli 2015.
- Patiënteninformatie Van HC@home, handleiding hartfalen Versie 1.6.
- Service Level Agreement MijnIsala, versei 1.1, 28 november 2014.
- Testverslag Mijn Isala , versie 1.3.6.a.
- MijnIsala, Het digitale patiëntenportaal (kopie patiëntenfolder).
- Werkafspraken en procedures MijnIsala, Isala en Vital Health Solutions, 2016, versie 4.0, 6 juni 2016.
- Pilot Isala Patients Portal (PIPPO), Conceptual Design, code 1007, Versie 1.0, Status Reworked, 10 augustus 2010.
- Map procedures/ handleidingen en overeenkomst ‘Medtronic CareLink Network Services’ voor de thuismonitoring, thuispatiënten.