Er zit iemand voor me die zorg nodig heeft en ik werk me door zijn dossier. Losse notities, opgeschreven door zoveel verschillende collegae. Elk jaar merk ik dat ik langer moet zoeken. Want alles wat erbij komt, staat onder elkaar per contactmoment binnen mijn instelling. Daaruit sprokkel ik stukjes waarheid bijeen tot een werkbaar overzicht. Ik hoor mijn collega soms tot laat in de avond nog zuchten achter het scherm. Het is een tijdrovend en gevaarlijk zoekplaatje.
Neem een CT-scan van de longen. Wat de radioloog ziet, komt niet in het beeld terecht, maar in een apart verslag. Een afwijking in de longen wordt een zin in vaktaal: verdachte nodule, acht millimeter, apicodorsaal in de rechterlong. De volgende arts zoekt zelf terug waar het zat. Zo begint iedere zorgprofessional opnieuw.
Voegde ieder teamlid op zijn beurt zijn bevinding direct op de scan toe, dan groeide de kennis vanzelf. Nu copy-pasten we alles bij elkaar, voordat we handelen. Dat kost tijd die nergens over gaat en brengt een onnodig risico mee.
In de radiotherapie, een klein vakgebied met een lange staat van dienst op patiëntveiligheid, werken we al zo. Intekeningen, dosisverdelingen en andere annotaties liggen vast op de scan en het team bouwt daarop voort. Het kan dus.
Veilige digitale infrastructuur als plicht
Gegevens die kloppen, waarvan je ziet wie wat wanneer toevoegde, en die beschikbaar zijn voor precies de juiste mensen: dat noemen we cyberbeveiliging. Iedereen denkt daarbij aan hackers voor de deur, maar cyberbeveiliging speelt al in elk dossier en elke scan, zo gewoon dat we er overheen kijken. Mijn hele werk hangt ervan af. Twee nieuwe wetten moeten dat nu borgen: de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten gelden sinds 15 augustus 2026, met de zorg expliciet in beeld. Beide komen voort uit Europese richtlijnen, NIS2 en CER, die al in oktober 2024 hadden moeten gelden.
En het gaat al mis. Overal worden incidenten gemeld. Systemen liggen eruit, en niemand weet nog wie waar toegang toe heeft. Misschien nog ernstiger: een systeem blijft werken, maar geeft ongemerkt andere antwoorden. En daarop baseren we al onze medische beslissingen. De wet vraagt het minimum en zelfs dat is nog niet rond.
‘Artsen redden zich wel’ hoorde ik op BNR, in een discussie over wat te doen als de zorgsystemen platliggen. Dat wij als artsen onder druk razendsnel het juiste besluit nemen, komt doordat we vooruitdenken en vooraf regelen. Maar dat vooruitdenken is verwaarloosd voor de digitale infrastructuur waarin we werken. Je laat iets ongeregeld en roept dan in de media dat die beroepsgroep het wel opvangt. Dat is geen compliment aan de dokter.
Wij, artsen en patiënten, moeten kunnen rekenen op een digitale infrastructuur waarin veilig werken vanzelf spreekt. Nu kan ik vaak niet eens nagaan of de gegevens waarop ik mijn keuze baseer nog kloppen, of wie ze het laatst aanpaste. Ik leg dat niet bij een ander neer: ook wij artsen moeten het aankaarten en de leiding nemen. Maar het is systemisch en zolang we het niet samen oplossen, raken we verder van huis.
Wie alleen afvinkt, gaat nat
We doen alsof het geregeld is, maar niemand kan zeggen wie waarvoor verantwoordelijk is: voor de gegevens en voor het systeem dat ermee rekent. Versnipperd over afdelingen en leveranciers, terwijl de patiënt ook buiten onze muren zorg krijgt. Er is geen fundament waar ik op kan bouwen.
Met AI wordt het nog lastiger. Tussen de data waarop zo’n systeem is getraind en de patiënt die tegenover me zit, zit een gat. Het World Economic Forum wijst op een tweede: verantwoordelijkheid verdeeld over ontwikkelaar, ziekenhuis en overheid. Geen van beide dicht je met één audit. Een systeem denkt niet, wij denken. Wie waarvoor instaat hoort in het ontwerp, per stap en per rol, en niet in een vinkje achteraf.
Verandert er iets?
Ja. Wat lang aan onze goede wil was overgelaten, kunnen we nu afdwingen. Over de volle juridische breedte schreef ik met jurist Victor de Pous een groot overzicht in dit blad (editie 4, 2026).
Wim Hafkamp, directeur van Z-CERT, waarschuwde bij een recente ECP-bijeenkomst dat we in Nederland onvoldoende zicht houden op de systeemrisico's in de zorg: zo draait zeventig procent van onze ziekenhuizen op dezelfde EPD-leverancier. Hebben we de risico’s hiervan voldoende in beeld? Risico's beheersen, incidenten melden en continuïteit aantoonbaar borgen was altijd al onze beroepsplicht. Nu is het ook wet.
Laten we er nu geld en aandacht in steken, en niet wachten tot een volgend incident. Bestuurder, leverancier of collega: wie hieraan over de eigen discipline heen wil bouwen, ik sta klaar. Onze patiënten moeten erop kunnen vertrouwen dat het klopt, nog voordat ze de spreekkamer binnenkomen.
