Elektronische Uitwisseling Zorggegevens
Maatregel Beschrijving
Section titled “Maatregel Beschrijving”YipYip bouwt integraties met zorguitwisselingsstandaarden in opdracht van klanten (zorginstellingen). YipYip is geen deelnemer aan het Landelijk Schakelpunt (LSP); dat is de klant. YipYip ontwikkelt de technische connectoren, API-integraties en beveiligingslaag.
Status: er lopen nog geen projecten met externe zorggegevensuitwisseling; er komt een project aan waarbij dit gaat spelen. Dit document beschrijft de aanpak die YipYip hanteert zodra zo’n integratie wordt gebouwd.
Positie van YipYip
Section titled “Positie van YipYip”| Aspect | Rol van YipYip |
|---|---|
| LSP-deelname | Niet van toepassing; klant is deelnemer |
| FHIR/HL7-implementatie | YipYip bouwt de integratie in opdracht van de klant |
| PKIoverheid-certificaten | Klant is certificaathouder; YipYip beheert technisch |
| Verantwoordelijkheid gegevensuitwisseling | Klant (verwerkingsverantwoordelijke) |
| Technische beveiliging uitwisseling | YipYip (verwerker) |
Wat we bouwen
Section titled “Wat we bouwen”Standaarden
Section titled “Standaarden”| Standaard | Toepassing |
|---|---|
| FHIR R4 (REST) | Primaire standaard voor nieuwe zorgapp-integraties |
| HL7 v2.x | Integratie met oudere zorgsystemen (bijvoorbeeld EPD-koppelingen), op verzoek |
| SMART on FHIR | Authenticatie en autorisatie voor FHIR-clients |
| OpenAPI/REST | Interne API’s tussen YipYip-componenten |
| XDS/XCA | Beelduitwisseling, op verzoek en projectspecifiek |
Aansluiting op LSP of ZORG-AB is klantverantwoordelijkheid; YipYip helpt bij de technische integratie als dat binnen de projectscope valt.
Beveiligingseisen bij gegevensuitwisseling
Section titled “Beveiligingseisen bij gegevensuitwisseling”Vertrouwelijkheid
- API-communicatie via TLS 1.2+ (bij voorkeur TLS 1.3).
- Mutual TLS voor machine-to-machine-koppelingen met zorgsystemen.
- Geen gezondheidsinformatie in URL-parameters of logregels.
- Gecachte zorggegevens versleuteld at rest (GCP-standaard, zie 8.24).
- Hosting bij voorkeur in een EU-regio; een afwijking wordt per project vastgelegd (zie 8.20).
Authenticatie en autorisatie
| Niveau | Methode |
|---|---|
| Eindgebruiker | OAuth 2.0 + OIDC met MFA |
| SMART on FHIR | SMART App Launch Framework |
| Machine-to-machine | mTLS en API-keys (beheerd in GCP Secret Manager, zie 8.24) |
| PKIoverheid | Klant is certificaathouder; YipYip beheert |
Integriteit
- FHIR-resources worden gevalideerd bij ontvangst (schema-validatie).
- Digitale handtekening bij documenten die dit vereisen.
- Audit trail van elke uitwisseling: verzender, ontvanger, tijdstip, type resource (zie Z2).
Toestemming patiënt
Section titled “Toestemming patiënt”Waar relevant biedt de applicatie functionaliteit voor het vastleggen en beheren van patiënttoestemming: opt-in of opt-out zoals de klant vereist, toestemming gelogd met tijdstip en versie van de toestemmingstekst, intrekking direct verwerkt in de uitwisselingslogica.
Beveiliging van API’s
Section titled “Beveiliging van API’s”| Maatregel | Implementatie |
|---|---|
| Authenticatie | OAuth 2.0 / SMART on FHIR |
| Rate limiting | Per endpoint en klant |
| Inputvalidatie | FHIR-schema’s en applicatievalidatie |
| Outputfiltering | Alleen data waartoe de aanroeper is geautoriseerd |
| Logging | Elke API-aanroep met gezondheidsdata gelogd (zie Z2) |
| Dependency scanning | Dependabot (zie 8.08) |
Incident bij uitwisseling
Section titled “Incident bij uitwisseling”- Koppeling blokkeren (API-key intrekken of mTLS-certificaat blokkeren).
- Omvang bepalen: welke gegevens, welke periode, welke patiënten.
- Klant direct informeren; de klant is verantwoordelijk voor de melding aan toezichthouders.
- YipYip ondersteunt de klant als verwerker bij onderzoek en AP-melding (zie 5.24–5.28, Jira IMS).
- Nog geen project met externe uitwisseling; de aanpak is niet in de praktijk toegepast.
- Per zorgproject is nog niet geïnventariseerd welke koppelingen bestaan (ISMS-383); geen centraal register van externe koppelingen.
- Formele risicoanalyse per nieuwe externe koppeling is geen vaste stap; hoort in de kick-off-checklist (zie Z4).
- De NEN 7512-elementen (risicoklasse van de uitwisseling, betrouwbaarheidsniveau authenticatie, onweerlegbaarheid, uitwisselingsovereenkomst) zijn nog niet uitgewerkt.
Bewijs
Section titled “Bewijs”| Type | Beschrijving | Locatie |
|---|---|---|
| API-documentatie | FHIR-eindpunten en authenticatievereisten | Projectdocumentatie per klant (zodra van toepassing) |
| Code | Integratie-implementatie | GitHub repository per project (zodra van toepassing) |
| Contractueel | Verwerkersovereenkomst per klant | Sheet OUD 02.03.c Overzicht van contractuele verplichtingen |
Opmerkingen
Section titled “Opmerkingen”YipYip is geen zorginstelling en niet aangesloten op LSP of ZORG-AB. Wij bouwen de techniek waarmee klant-zorginstellingen veilig gegevens kunnen uitwisselen; deelname aan landelijke uitwisselingsinfrastructuren is de verantwoordelijkheid van de klant.
Laatst gereviewed: 2026-03-26