EHDS-eisen voor EPD-systemen (hoofdstuk III)

Welke eisen stelt de EHDS aan EPD-systemen, wie draagt de verantwoordelijkheid en wat betekent dit voor aankoop en eigen ontwikkeling in een ziekenhuis?

De eisen voor EPD-systemen staan in hoofdstuk III van de EHDS-verordening, van artikel 25 tot en met artikel 49.^[1][1] De EHDS voorziet twee geharmoniseerde softwarecomponenten: interoperabiliteit en logging.^[2] Volgens de uitleg van de Europese Commissie is de EPD-definitie breed: naast systemen die informatie bundelen vallen ook systemen die hen voeden binnen de definitie.^[3] Zelfontwikkelde EPD-systemen binnen een zorginstelling in de Unie en als dienst aangeboden EPD-systemen gelden volgens artikel 26(2) als in gebruik genomen.^[1]

Testen, conformiteit en markttoezicht

Wettelijke verplichting voor de fabrikant: vóór marktintroductie moeten de geharmoniseerde componenten in de digitale testomgevingen worden beoordeeld; de resultaten horen in de technische documentatie.^[1] Het vermoeden van conformiteit geldt voor de elementen waarvoor de beoordeling positief is.^[1] De Commissie beschrijft als stappen onder meer technische documentatie, een informatieblad, een EU-conformiteitsverklaring, CE-markering en registratie in de EU-databank.^[3] Registratie moet vóór het in de handel brengen of in gebruik nemen plaatsvinden.^[1]

Wettelijke verplichting voor de fabrikant (CRA): voor EPD-systemen die ook onder de Cyber Resilience Act vallen, wordt conformiteit met de essentiële CRA-eisen aangetoond via de relevante conformiteitsprocedure van hoofdstuk III van de EHDS.^[1] Voor de cyberbeveiligingsplichten van de zorginstelling zelf, zie NIS2 en cyberbeveiliging in de zorg.

Wettelijke verplichting voor de lidstaat: markttoezichtautoriteiten voor hoofdstuk III aanwijzen en hun identiteit aan de Commissie meedelen, en digitale testomgevingen uitbaten.^[1][1] De markttoezichtautoriteit mag dezelfde instantie zijn als de digitale-gezondheidsautoriteit, mits belangenconflicten worden vermeden.^[1]

Europese en nationale eisen

Lidstaten mogen nationale eisen en conformiteitsbeoordelingen vastleggen voor andere aspecten dan de geharmoniseerde componenten en moeten de Commissie daarover informeren.^[1] Ook nationale regels voor aankoop, financiering of terugbetaling blijven mogelijk, mits verenigbaar met het Unierecht en zonder de werking of conformiteit van de geharmoniseerde componenten aan te tasten.^[1] Voor de Belgische discussie over een nationale registratie of homologatie van EPD's naast de EU-registratie, zie BMUC: herziening 2026-2029 (voorstellen).

De fabrikant draagt de verantwoordelijkheid voor de conformiteit van de geharmoniseerde componenten; positieve testresultaten geven een vermoeden van conformiteit voor de beoordeelde elementen.^[1]

Aanbeveling: beoordeel in aankoopdossiers afzonderlijk de Europese componentvereisten, toepasselijke nationale eisen en financieringsvoorwaarden.

Zie EHDS (European Health Data Space) voor het bredere kader, EEHRxF (European EHR Exchange Format) voor het uitwisselingsformaat, International Patient Summary (IPS) voor de patiëntsamenvatting (eerste prioritaire categorie), BMUC: financiering van het geïntegreerd EPD en BMUC: herziening 2026-2029 (voorstellen) voor de Belgische financieringscontext en NIS2 en cyberbeveiliging in de zorg voor het cyberbeveiligingskader van de zorginstelling.

Volgens de Commissie-FAQ moeten ziekenhuizen EEHRxF-import en -export kunnen verzekeren, via bijvoorbeeld een EPD-upgrade of een vertaalsysteem tussen het interne formaat en het EEHRxF.^[3] Die verplichting volgt de fasering per prioritaire categorie: vanaf 26 maart 2029 voor patiëntsamenvatting, e-voorschrift en e-aflevering, vanaf 26 maart 2031 voor beeldvorming, testresultaten en ontslagverslagen.^[1][1] Een systeem dat legacy-output omzet naar het EEHRxF valt volgens diezelfde uitleg zelf onder de EPD-definitie.^[3] Bij aankoop beschrijft de Commissie CE-markering en de publieke EU-databank als aanknopingspunten om conformiteit na te gaan.^[3]

Aanbeveling: inventariseer eigen ontwikkelingen en vertaalcomponenten, bepaal per systeem wie als fabrikant optreedt en vraag leveranciers naar testresultaten, conformiteitsdocumentatie en hun planning voor de toepasselijke datum.

De verordening is in het algemeen van toepassing vanaf 26 maart 2027; alleen de opgesomde artikelen (onder meer art. 3-15, 25-27 en 47-49) zijn gefaseerd.^[1] Interpretatie: niet-gefaseerde bepalingen van hoofdstuk III, zoals de digitale testomgevingen van de lidstaten (art. 40) en de aanwijzing van markttoezichtautoriteiten (art. 43), volgen dus in beginsel de algemene datum van 2027; of daarvoor eerst uitvoeringshandelingen nodig zijn, is niet nagegaan.^[1][1]

De artikelen 25–27 en 47–49 volgen een fasering: vanaf 26 maart 2029 voor patiëntsamenvatting, e-voorschrift en e-aflevering en de daarvoor bestemde systemen; vanaf 26 maart 2031 voor beeldvorming met verslagen, testresultaten inclusief labo en ontslagverslagen.^[1] Voor de in artikel 26(2) bedoelde zelfontwikkelde en SaaS-systemen bepaalt artikel 105 afzonderlijk dat hoofdstuk III vanaf 26 maart 2031 geldt.^[1]

Geplande uitvoering: de Commissie beschrijft een Europese digitale testomgeving als open-source referentie-implementatie, met uitrol en uitbating door de lidstaten.^[4] De common specifications voor de componenten staan in de vastgelegde bronstand van 26 september 2026 op UPCOMING, zonder gepubliceerd ontwerp ter feedback.^[2]

Open onderzoeksvragen zijn de Belgische aanwijzing van de markttoezichtautoriteit, de uitbater van de testomgeving, de concrete nationale aanvullende eisen en de definitieve registratiedetails voor de EU-databank.

Interpretatievraag: hoe moeten de fasering vanaf 2029 en de afzonderlijke datum 2031 samen worden toegepast op een zelfontwikkeld systeem dat patiëntsamenvattingen verwerkt? Deze pagina geeft daarop geen definitief antwoord.