Een cirkel van vertrouwen is een groep gebruikers van een organisatie (bv. een ziekenhuis) waarvoor die organisatie zelf informatieveiligheidsmaatregelen organiseert en bewaakt, zodat andere organisaties daarop kunnen vertrouwen. Er is één federaal reglement met 13 criteria (IVC-beraadslaging 19/166). In het hub-metahubsysteem laat een cirkel van vertrouwen toe dat medewerkers onder verantwoordelijkheid van een zorgverlener opvragingen doen, met lokale logging. Criterium 11 vraagt dat de organisatie schriftelijk aan de beheerder van haar gegevens in CoBRHA meldt dat ze een cirkel van vertrouwen instelt. In Vlaanderen gebeurt dat met een verklaring op eer bij de erkennende overheid (voor ziekenhuizen het Departement Zorg), controleerbaar in de CoBRHA-viewer; dat die verklaring de uitvoering van criterium 11 is, is een interpretatie. De COT is een voorwaarde om met eigen software Vitalink, Vaccinnet 2026, BelRAI, VSB-toepassingen en Alivia te gebruiken.
", "last_verified": "2026-09-26", "verification_outdated": false, "sections": [ { "id": "vraag-of-patroon", "title": "Vraag of patroon", "kind": "tekst", "html": "Hoe kan een centrale dienst erop vertrouwen dat een ziekenhuis zijn eigen medewerkers correct authenticeert, rechten geeft en logt, zonder die controles zelf per gebruiker uit te voeren? Het federale reglement definieert een cirkel van vertrouwen als een groep gebruikers van een organisatie waarvoor die organisatie zelf informatieveiligheidsmaatregelen organiseert en de naleving bewaakt, zodat andere organisaties daarop kunnen vertrouwen[1]. Het Vlaamse Departement Zorg formuleert het vanuit de toepassing: een organisatie heeft een COT nodig als ze digitaal gezondheidsgegevens verwerkt of uitwisselt en de overheid niet via de gebruikte toepassing zelf alle nodige veiligheidscontroles kan uitvoeren[2].
\nAfbakening. Er is één normatief kader en er zijn twee plaatsen waar het zichtbaar wordt:
\nIn Vlaanderen dient een organisatie haar COT-verklaring op eer in bij de overheid die haar erkent; voor ziekenhuizen is dat het Departement Zorg[2]. Wie door een andere overheidsdienst erkend is, dient de verklaring bij die dienst in[2]. Het resultaat is na te kijken in de CoBRHA-viewer[2]. Volgens het Departement Zorg zijn de 13 COT-criteria vastgelegd in het reglement dat het Beheerscomité en het IVC goedkeurden[2].
\nInterpretatie: de Vlaamse verklaring op eer, met de controle in de CoBRHA-viewer, is de uitvoering van criterium 11 via de erkennende overheid. Het is geen apart Vlaams instrument met eigen criteria. Geen van beide bronnen legt die koppeling letterlijk, maar de onderdelen sluiten op elkaar aan: het reglement vraagt een schriftelijke melding aan de CoBRHA-beheerder, en het departement ontvangt de verklaring als erkennende overheid en toont het resultaat in CoBRHA.
" }, { "id": "vergelijking", "title": "Vergelijking", "kind": "tekst", "html": "De tabel vergelijkt het federale reglement met de Vlaamse uitvoering van de melding.
\n| Dimensie | \nFederaal reglement cirkel van vertrouwen | \nVlaamse uitvoering: verklaring op eer | \n
|---|---|---|
| Aard | \nReglement met 13 criteria[1], IVC-beraadslaging 19/166[3] | \nVerklaring op eer waarmee een organisatie een COT krijgt als ze voldoende garanties biedt voor veilig delen[2] | \n
| Inhoud | \nGroep gebruikers waarvoor de organisatie zelf informatieveiligheid organiseert en bewaakt[1] | \nVerklaring dat de organisatie de 13 criteria van het reglement naleeft[2] | \n
| Gevolg | \nZorgverleners in een organisatie die het reglement naleeft, mogen medewerkers (bv. secretariaat, verpleegkundige) onder hun verantwoordelijkheid toegang laten zoeken tot de uitwisselingssystemen. Het lokale systeem moet loggen welke medewerker de opvraging deed[4] | \nNodig om via eigen software Vlaamse toepassingen te gebruiken: Vaccinnet 2026, BelRAI, de VSB-financieringstoepassingen, Vitalink en Alivia[2] | \n
| Registratie | \nSchriftelijke melding aan de beheerder van de eigen gegevens in CoBRHA (criterium 11)[1]. Het hub-metahubreglement spreekt van organisaties met een Circle of Trust-contract[5] | \nIndienen bij de erkennende overheid[2]; algemene en psychiatrische ziekenhuizen via een webformulier, door een wettelijk vertegenwoordiger van de inrichtende macht, bij het Departement Zorg[2] | \n
| Controle | \nRegelmatig intern toezicht, bij meer dan 15 betrokken personen een formele interne controle (criterium 9)[1]; resultaten 2 jaar bewaren[1]; register, policies en controleresultaten ter beschikking van de toezichtsorganen (criterium 13)[1] | \nDe COT-status van een erkende voorziening is na te kijken in de CoBRHA-viewer[2] | \n
| Versie | \nBeraadslaging 19/166 laatst gewijzigd op 2 september 2025[3]. Het hub-metahubreglement verwijst naar het reglement sinds de wijziging van 5 november 2024 (onder meer een hyperlink naar de 13 criteria)[5]; de wijziging van 2 september 2025 verfijnde de toegang van medewerkers[5] | \nGeen eigen versienummer gevonden | \n
De COT verlegt de verantwoordelijkheid naar de organisatie: die organiseert en bewaakt zelf de informatieveiligheid voor haar gebruikers[1]. Dat werkt alleen als de lokale systemen de vereiste logging per medewerker ondersteunen[4], want de centrale systemen loggen de medewerker niet[4]. Het reglement koppelt de verklaring aan intern toezicht en aan beschikbaarheid voor externe controle[1]. Interpretatie: een verklaring op eer zegt op zich nog niets over de feitelijke naleving; die blijkt pas uit het interne toezicht en uit een eventuele externe controle.
" }, { "id": "onzekerheden-en-tegenstrijdige-informatie", "title": "Onzekerheden en tegenstrijdige informatie", "kind": "tekst", "html": "circle-of-trust. Dat is een alias van deze pagina, geen apart concept.