Het is een herkenbaar dilemma in de zorg: zorgverleners willen toegang tot alle informatie om de beste zorg te kunnen verlenen, maar privacyregelgeving stelt daar grenzen aan. “Zij willen eigenlijk te allen tijde overal bij kunnen, omdat ze veel van de patiënt willen weten,” vertelt Belinda Kramer, rayonmanager wijkverpleging bij Icare.
Estimated reading time: 10 minuten
Die spanning is dagelijks voelbaar. Het leidt tot frustratie en – vaak onbedoeld – tot risicovol gedrag. Want als systemen niet meewerken, zoeken mensen andere wegen. In die context ervaren veel zorgorganisaties hun Informatiebeveiligingsmanagementsysteem (ISMS) als een rem: een compliance-instrument dat vooral beperkingen oplegt. Maar wat als het ISMS juist helpt om betere zorg te leveren?
De behoefte aan informatie: waarom zorgverleners breed toegang willen
Die behoefte om alles van de cliënt te willen weten, komt niet voort uit nieuwsgierigheid. Het is een directe consequentie van moderne, holistische zorgverlening. Zo moet een verpleegkundige die bij een cliënt komt voor wondverzorging moet weten of er diabetische complicaties zijn. En een fysiotherapeut die revalidatie begeleidt, moet op de hoogte zijn van cardiovasculaire beperkingen.
In acute situaties wordt die behoefte nog urgenter. Snelle beslissingen vereisen context. Samenwerking tussen disciplines vereist gedeeld inzicht. De cliënt centraal stellen betekent: alle relevante informatie centraal beschikbaar hebben.
Maar daar staat de realiteit van privacy-principes tegenover. Het need-to-know principe schrijft voor dat medewerkers alleen toegang hebben tot informatie die noodzakelijk is voor hun specifieke taak. Doelbinding betekent dat gegevens alleen gebruikt mogen worden waarvoor ze zijn verzameld.
“Het is niet dat iedereen altijd overal bij moet kunnen,” zegt Belinda, “maar om je zorg goed te kunnen verlenen wil je dat soms wel. Wat we niet altijd mogen weten.” Die spanning is reëel en voelbaar.
Zonder beleid gaat het mis: workarounds en risico’s
Zonder een goed kader leidt deze spanning tot ongewenste situaties. Belinda beschrijft wat ze in de praktijk ziet: “Mensen kunnen toch ergens niet in een app komen of dingen op een andere manier proberen op te lossen. En dan zie je dat ze toch nog veel werkbriefjes gebruiken om het op te schrijven of eigen workarounds maken.”
Een verpleegkundige die geen toegang heeft tot een systeem, schrijft snel wat informatie op een papiertje. Een team dat niet via het officiële systeem kan communiceren, start een WhatsApp-groep. Een arts die niet in het rooster van een collega kan kijken, belt even voor overleg.
Deze creatieve oplossingen brengen juist grotere risico’s met zich mee. Briefjes kunnen verloren raken of blijven liggen waar anderen ze kunnen zien. WhatsApp-groepen vallen buiten de beveiligde infrastructuur. Informeel overleg gebeurt zonder dat het gedocumenteerd wordt.
Anja Oosting, Privacy en Security Officer bij Icare, wijst op een ander risico: medewerkers krijgen soms te brede toegangsrechten zonder dat de organisatie zich bewust is van de implicaties. Als iemand naast zijn hoofdrol ook nevenfuncties heeft, kan diens toegang veel breder zijn dan nodig.
Dit vraagt om beleid: wie heeft welke informatie nodig voor welke taak? En hoe borg je dat?
Risico’s in kaart brengen en mitigeren
Een goed ISMS begint met het systematisch in kaart brengen van risico’s. Het voorbeeld van beeldzorg bij Icare illustreert dit. Toen de organisatie startte met zorg verlenen via beeldscherm, werd eerst een risico-inventarisatie uitgevoerd.
Een van de conclusies was helder: zorgmedewerkers mogen dit niet vanuit huis doen, want dan kun je de privacy niet borgen. Je weet niet wie er meeluistert tijdens een gesprek waarin zorginhoudelijke informatie wordt besproken. Die maatregel werd vastgelegd in het beleid.
Maar de praktijk blijkt weerbarstig. Anja: “In de loop der tijd blijkt dat er misschien wel allerlei redenen zijn om dat toch in bepaalde situaties wel te kunnen faciliteren. En daar komt dan vanuit de zorg de vraag: op wat voor manier kunnen we dat dan veilig inrichten?”
Risicogestuurd werken betekent: per situatie afwegen wat nodig is én wat verantwoord is. Niet alles toestaan, niet alles verbieden, maar bewust keuzes maken. Technische en organisatorische maatregelen op maat inzetten.
De rol van ISMS: managen en verbeteren
Hier komt de waarde van een goed ISMS naar voren. Het is geen afvinklijstje of statisch document. Het is een levend systeem voor continue verbetering. Bart Claassen, implementatie-specialist: “Je gaat met een ISMS echt een manier van werken introduceren om continu je kwaliteit te verbeteren.” Het is gebaseerd op de Plan-Do-Check-Act cyclus. Een methodiek om als organisatie continu te leren en te verbeteren.
In plaats van star vast te houden aan beleid (“het mag niet”), of de regel maar te schrappen (“dan maar onveilig”), ontstaat een dialoog. Hoe kunnen we dit wél mogelijk maken, op een verantwoorde manier?
Die verschuiving – van “mag niet” naar “hoe kan het wel” – is fundamenteel. Het is het verschil tussen regels die de zorg belemmeren en een systeem dat innovatie faciliteert binnen veilige kaders.
Een fysiotherapeut die structureel met een bepaalde doelgroep werkt, kan wellicht bredere toegang krijgen tot relevante achtergrondinfo. Een stagiair krijgt beperktere rechten. Een locatie met gevoelige cliëntgegevens vraagt om extra waarborgen.
Kundenbeispiel
Icare ist Teil von Espria, einer der größten Gesundheitsorganisationen der Niederlande. Mit FullyInControl stellen sie von einer fragmentierten GRC-Landschaft – in der Prozesse, Risiken und Audits in einer Vielzahl einzelner Systeme und Tabellenkalkulationen verwaltet wurden – auf einen soliden, integrierten Ansatz zur Gewährleistung von Qualität, Informationssicherheit und Compliance um.
Het positieve effect op zorgkwaliteit
Als een ISMS goed is ingericht, gebeurt er iets bijzonders. Anja beschrijft het zo: “Als medewerkers en teammanagers kritische vragen gaan stellen over processen, over systemen, over werkwijzes – klopt het wel dat we dat op die manier doen – dan zie je dat zo’n kwaliteitssysteem zich continu verbetert.”
Die zelfreflectie is precies wat je wilt. Medewerkers die niet alleen hun werk doen, maar ook nadenken over hóe ze hun werk doen. Die zelf met signalen komen: we doen het op die manier, ik zie daar een risico in, als we het aanpassen wordt het veiliger of makkelijker.
De organisatie wordt lerend. Anja is stellig: “Wij zijn er nu wel van overtuigd dat dat toetsingskader ook helpend is om de kwaliteit van zorg te verbeteren en de veiligheid en het vertrouwen in de digitale zorg.”
Betere processen betekenen betere zorg. Duidelijkere afspraken betekenen minder fouten. Bewuste omgang met informatie betekent meer vertrouwen van cliënten. Het is een positieve spiraal.
Het resultaat bij Icare: van papier naar aantoonbaar systeem
Maar hoe zorg je ervoor dat dit niet alleen mooie woorden blijven? Icare’s journey laat zien wat het oplevert als je een ISMS goed inricht. Na een IGJ-bezoek in 2023 kreeg Icare een verbeterpunt: ze konden niet aantonen dat hun ISMS daadwerkelijk werkte in de praktijk. Het beleid was er, de procedures waren opgesteld, maar de implementatie en borging ontbraken. Binnen de afgesproken termijn wisten ze dat om te draaien.
Wat maakte het verschil? Icare realiseerde zich dat je dit niet kunt blijven doen met Excel-sheets, Word-documenten en losse e-mails. “Daar hebben we heel veel effort ingestoken,” vertelt Anja. Die effort zat niet alleen in nieuwe documenten maken, maar in het opzetten van een systeem dat:
- Automatisch signaleert wanneer beleid moet worden herzien
- Overzicht geeft van alle risico’s, maatregelen en hun status
- Aantoonbaar maakt wat er gebeurt en wie waarvoor verantwoordelijk is
- Structuur biedt voor de maandelijkse overleggen over risico’s
Belinda beschrijft die vaste structuur: “Hebben we een moment in de agenda elke maand gepland om met elkaar te kijken: zien we nog ergens risico’s? Zijn er onderwerpen die we moeten oppakken?” Die gesprekken worden nu ondersteund door actuele data en overzichten, in plaats van dat iemand handmatig informatie moet verzamelen uit verschillende bronnen.
Medewerkers gebruiken nu microlearning om hun kennis bij te houden, met een spelelelement dat motiverend werkt. “Dat voelt ook heel goed. Dan denk je: ik heb er ook een beetje verstand van,” zegt Belinda. Maar belangrijker: als de IGJ nu belt, kan Icare binnen enkele klikken aantonen wat ze doen en hoe het werkt.
Van compliance-last naar een systeem dat de organisatie echt helpt beter te worden. Dat is wat het oplevert.
Wat het vraagt van jouw organisatie
Een goed functionerend ISMS ontstaat niet vanzelf. Het vraagt iets van de hele organisatie, en met name van directie en management. Anja is helder: “Het is niet een feestje van alleen een privacy officer of een security officer of een ICT-manager, maar je moet een dedicated team hebben. Die NEN 7510, dat is geen vrijblijvendheid. Iedere organisatie moet daaraan voldoen. Dat is de verantwoordelijkheid van de directie.”
Die verantwoordelijkheid betekent concreet: uitdragen dat het belangrijk is, faciliteren van tijd en middelen, betrokken zijn bij de voortgang. Voor elk proces moet duidelijk zijn wie verantwoordelijk is. Voor elk systeem moet iemand eigenaar zijn. Voor elk risico moet een manager zijn handtekening zetten.
Maar net zo belangrijk: investeer in de juiste ondersteuning. Wat Icare’s verhaal laat zien is dat je op een gegeven moment tooling nodig hebt. Niet als quick fix, maar als versterking van je structuur. Als middel om te borgen wat je met elkaar afspreekt. Als systeem dat je helpt om aantoonbaar te maken wat je doet.
Een ISMS is geen project met een einddatum. Het is een continue manier van werken. Dat kost tijd, aandacht en geld. Maar het alternatief – een organisatie zonder grip op informatiebeveiliging – kost uiteindelijk veel meer. In termen van incidenten, boetes, reputatieschade en verlies van vertrouwen.
Conclusie: Privacy vóór goede zorg
De spanning tussen privacy en zorgkwaliteit verdwijnt niet, en dat hoeft ook niet. Waar het om gaat is hoe je ermee omgaat. Zie je een ISMS als een obstakel? Dan wordt het inderdaad een frustrerende compliance-exercitie. Of zie je een ISMS als het kader waarbinnen je bewuste keuzes kunt maken? Als het systeem dat je helpt om innovatief én veilig te zijn?
Het is niet privacy óf goede zorg. Het is privacy vóór goede zorg. Want alleen als patiënten en cliënten erop kunnen vertrouwen dat hun gegevens veilig zijn, kunnen ze zich volledig open stellen naar zorgverleners. Alleen als processen goed geborgd zijn, kunnen medewerkers zich focussen op zorg in plaats van zorgen te maken over fouten.
Van compliance-last naar kwaliteitsinstrument. Die shift vraagt betrokkenheid van directie, een dedicated team, en de juiste ondersteuning om het te borgen. Niet het afvinklijstje voor de inspectie, maar de manier waarop je continu je zorgprocessen verbetert.
En zoals Belinda het samenvat: “Je moet er gewoon mee beginnen.” Niet wachten tot het perfect is, maar starten. Kleine stappen. Successen vieren. En stap voor stap bouwen aan een organisatie die veilige, kwalitatief hoogstaande zorg levert.
Wil je meer weten over hoe je een ISMS praktisch implementeert in de zorg?
Benieuwd hoe tooling zoals FullyinControl je helpt om van papieren beleid naar een werkend, aantoonbaar systeem te komen?