De inspectie scherpt de regels voor digitale zorg en informatiebeveiliging aan, kopte Dutch IT Leaders op 15 oktober 2026. Het gaat om het Toetsingskader Digitale Zorg van de Inspectie Gezondheidszorg en Jeugd (IGJ), dat in augustus 2026 in een nieuwe versie verscheen. Wie het document van 35 pagina’s zelf leest, ziet vooral een bijgewerkt kader en geen nieuwe wet. Toch staat er meer in dat je op de afdeling of in de wijk raakt dan de kop doet vermoeden. Hieronder wat er is veranderd en wat dat betekent voor jouw werk met het dossier, de apps en het beeldbellen.
Wat er in de nieuwe versie is veranderd
Een toetsingskader is geen wet. Het is de lijst normen waarop inspecteurs letten als ze een organisatie bezoeken, gebaseerd op wetgeving, veldnormen en richtlijnen van beroepsgroepen. De IGJ noemt in de inleiding van de nieuwe versie zelf vier inhoudelijke wijzigingen naast redactionele aanpassingen.
| Wijziging | Wat het inhoudt |
|---|---|
| Nieuwe NEN 7510 | Het kader verwijst nu naar NEN 7510-1:2024 en NEN 7510-2:2024, de norm voor informatiebeveiliging in de zorg. |
| Leidraad Medische Technologie | De nieuwe leidraad vervangt het Convenant Veilige Toepassing van Medische Technologie en is in het kader opgenomen. |
| Wegiz | Een voetnoot verduidelijkt hoe de inspectie toeziet op de kwaliteitsstandaarden voor elektronische gegevensuitwisseling. |
| Jeugdhulp | Het kader geldt nu ook voor jeugdhulpaanbieders en gecertificeerde instellingen. Op informatiebeveiliging kan de inspectie daar handhaven, op de andere thema’s werkt ze vooral agenderend. |
Het kader blijft opgebouwd uit vijf thema’s, van goed bestuur tot informatiebeveiliging en continuïteit. Bijna elke norm begint met “de organisatie” of “het bestuur”. De verantwoordelijkheid ligt dus bij je werkgever. Maar wat de inspectie bij je werkgever toetst, merk je in de praktijk wel.
Instructie voordat je een nieuw systeem gebruikt
Dit is voor de werkvloer het meest concrete onderdeel. Volgens norm 2.4 zorgt de organisatie voor instructie van gebruikers voordat een digitaal product of een digitale dienst in gebruik gaat. Dat geldt ook na belangrijke wijzigingen en voor nieuwe collega’s die later instromen. Als bron noemt het kader onder meer de telemedicinenorm NEN 8028, met de eis dat zorgverleners aantoonbaar beschikken over de vaardigheden die nodig zijn voor zorg op afstand. Onder digitale zorg vallen volgens het kader ook het elektronisch patiëntendossier, beeldbellen en personenalarmering.
Het nieuwe kader verwijst daarnaast naar het hoofdstuk over bevoegde en bekwame medewerkers in de Leidraad Medische Technologie. Dat is dezelfde gedachte als bij voorbehouden handelingen. Een systeem of hulpmiddel gebruiken waar je niet voor bent getraind, is niet alleen jouw risico. Het is een tekortkoming in de organisatie. Krijg je een nieuwe app, een update van het EPD of een beeldbelplatform zonder uitleg, dan is het dus redelijk om om die training te vragen. De inspectie verwacht dat ze er is.
Inloggen, incidenten en storingen
Hoe je precies inlogt, schrijft het kader niet voor. Dat volgt uit de beveiligingsmaatregelen die je organisatie op basis van NEN 7510 kiest. Wat er landelijk verandert aan inloggen op het dossier, lees je in ons stuk over de Wet DIAZ.
Wel neemt het kader een beheersmaatregel op die jou direct aangaat. De organisatie moet een manier hebben waarop personeel waargenomen of vermoede beveiligingsincidenten tijdig kan melden. Een gedeeld wachtwoord, een phishingmail waar je op klikte of een dossier dat openstaat op een gangcomputer hoort dus via een vaste route gemeld te worden. Weet je niet waar die route is, vraag het na bij je leidinggevende of de functionaris gegevensbescherming.
Verder moet een zorgaanbieder een continuïteitsplan hebben voor grote verstoringen, het ook echt invoeren en de werking testen. Na een incident hoort de organisatie het plan te evalueren. Wat dat in de praktijk vraagt als alles plat ligt, beschreven we bij de storing die ziekenhuissystemen platlegde.
Domotica en dossiers delen
Al sinds de versie van 2024 vraagt het kader aandacht voor digitale zorg die onvrijwillig kan zijn. Een uitluistersysteem, een bedsensor, camera’s of een leefcirkel vallen dan onder de regels van de Wet zorg en dwang of de Wet verplichte ggz, met de rechtspositie van de cliënt die daarbij hoort. Die lijn staat ook in de nieuwe versie.
Voor het delen van gegevens toetst de inspectie of zorgverleners bij een door de Wegiz aangewezen gegevensuitwisseling elektronisch uitwisselen. Het voorbeeld in het kader is het recept dat de huisarts elektronisch naar de apotheek stuurt, samen met afspraken over medicatieoverdracht in de regio.
Wie op de kop afgaat, verwacht strengere regels voor de werkvloer. Die zijn er niet. Wat er wel staat, is waar een zorgverlener zijn werkgever op mag aanspreken, en dat is training voordat je met een nieuw systeem werkt en een duidelijke plek om te melden als het misgaat.