Blog: onderschatten beleidsmakers hoe interoperabiliteit echt werkt?

Hoewel we natuurlijk nog volop in de Covidcrisis zitten, zul je in de loop van dit jaar steeds meer gaan lezen over een ander vijfletterig acroniem: Wegiz. Dat is de Wet elektronische gegevensuitwisseling in de zorg die gaat verplichten dat gegevensuitwisseling tussen zorgverleners elektronisch verloopt.

Wegiz is het antwoord om de roep om meer regie door de overheid om daarmee de gebrekkige digitale uitwisseling van zorgdata te verbeteren. De Raad van State heeft vorige week advies uitgebracht over het wetsvoorstel. Nadat VWS het advies verwerkt heeft, wordt het wetsvoorstel via de ministerraad ingediend bij de Tweede Kamer. Als de Tweede en Eerste Kamer het wetsvoorstel goedkeuren, dan beschikt de minister voortaan over instrumenten om digitale gegevensuitwisseling volgens voorgeschreven standaarden verplicht te stellen. Hier gaat VWS volgens demissionair minister Van Ark waarschijnlijk pas in 2026 actief op toezien, en dat alleen voor de eerste set uitwisselingen die verplicht wordt.

Nu de wet er aan lijkt te komen, en zorgbestuurders er dus mee te maken gaan krijgen, zie je steeds meer webinars en blogartikelen over de Wegiz. Het lijkt een beetje op de komst van de AVG destijds: ergens in de aanloop naar een deadline ontstaat een momentum waardoor zorgprofessionals bedenken dat ze er toch iets meer van moeten weten. Wegiz wordt in ieder geval een nieuwe omzetstroom voor consultants en juristen. Immers: het gaat om een nieuwe wettelijke plicht waaraan je moet voldoen. Daar valt dus veel over te adviseren.

Hoog over

Wat mij het meeste opvalt in de webinars en artikelen over Wegiz is dat ze een extreem hoog over gehalte hebben. Je leest een heleboel tekst over borging en organisatie en infrastructuur en interoperabiliteit, en dan staat er ergens ook nog in een alinea iets over het hoe. Op welke manier gaat dat hoe dan werken? Als je sommige artikelen mag geloven is dat een schijnbaar onbenullig uitvoeringsprobleempje. We laten het NEN normen maken voor gestandaardiseerde communicatie. Alleen leveranciers die aan die normen voldoen mogen nog meedoen. Probleem opgelost. In een recent webinar van NEN over de Wegiz werd dat beeld bevestigd. Een NEN-medewerker suggereerde dat een groot deel van de benodigde standaarden eigenlijk al wel klaar is, omdat die nu al in gebruik zijn. Er moet alleen nog een Wegiz stukje bovenop worden gebouwd. Sure.

Interoperabiliteit van producten is iets anders dan kwaliteitsnormen

Ik heb het idee dan veel beleidsmakers een bepaald beeld hebben van NEN-normen. Ze kennen normen en frameworks die voor een groot deel gaan over kwaliteit en organisatie, zoals de NEN7510 voor informatiebeveiliging. Wanneer een auditor een oordeel geeft over de vraag of jouw zorgorganisatie aan die norm voldoet, zit er in dat oordeel een behoorlijke vrijheidsgraad. Dat is ook niet erg. Het idee van zo'n norm is dat je een intentie of principe beschrijft dat niet aan de techniek van vandaag is gebonden. Anders kun je morgen weer een nieuwe norm ontwerpen. De invulling kan dus op verschillende manieren plaatsvinden, zolang je hier een goede uitleg bij hebt.

Technische normen voor interoperabiliteit tussen producten en diensten, zoals die nu voorzien worden in Wegiz, werken wezenlijk anders. Een te grote ruimte voor interpretatie betekent dat twee systemen niet met elkaar praten, dat bits verkeerd terecht komen of dat BSN-nummers worden verwisseld. En dat kun je niet op papier testen, dat moet je uitproberen. In een commerciële markt wordt je gelijk afgestraft als je product niet aan een technische standaard als USB of WIFI voldoet, dan kopen mensen jouw touchpad of headset niet meer.

Gecertificeerd maar toch geen uitwisseling

We hebben in Nederland sinds enige tijd een voorbeeld van een technische norm, namelijk de NEN7516 ‘Eisen voor veilige e-mail & chatapplicaties.’ Een groot deel van deze norm heeft betrekking op kwaliteit van informatiebeveiliging rond e-mail. Er is echter ook een sectie eisen die zou moeten garanderen dat de veilige e-mailsystemen van verschillende aanbieders probleemloos met elkaar moeten kunnen praten (door NEN multikanaal-communicatie genoemd).

En dat is meteen het meest weerbarstige onderdeel (en tegelijk datgene wat er het meest toe doet in de Wegiz context). In 2020 ontstond de rare situatie dat individuele aanbieders de certificering van de NEN norm voor e-mail hadden doorlopen, maar dat ze onderling niet transparant en probleemloos mails konden uitwisselen. Dat gebeurt wanneer de certificering een papieren exercitie is waarbij je vinkjes zet, zonder daadwerkelijk uit te proberen of je wel echt een veilige e-mail van aanbieder A naar aanbieder B kunt sturen.

Het gemak waarmee men op bestuursniveau over de technische implementatie spreekt komt voort uit een groot cultuur- en kennisverschil tussen beleidsmakers en bestuurders (en hun normenmakers) en de ICT-architecten en softwaremakers die dingen aan de praat moeten zien te krijgen. Dit cultuurverschil speelt ook een grote rol bij allerlei andere overheids-ICT problemen, maar juist bij Wegiz zie ik al weer allerlei signalen op rood staan. Gelukkig is er nog tijd genoeg om hier iets aan te doen. Zolang juristen en beleidsmakers maar niet denken dat als je een technische norm dwingend voorschrijft en certificering eist, systemen ook automatisch goed met elkaar communiceren.