Elektronisch voorschrift binnen het ziekenhuis

Geachte collega

In het BS van 15/12/2016 verscheen een verordening waardoor elektronische voorschriften in de ziekenhuizen rechtsgeldig zijn.
En dit zowel voor gehospitaliseerde als ambulante patiënten.
Tot hiertoe was dit alleen voor de klinische biologie het geval.
De regeling gaat onmiddellijk in voege.

met collegiale groeten, het ASGB-bestuur

Publicatie: 2016-12-15

RIJKSINSTITUUT VOOR ZIEKTE- EN INVALIDITEITSVERZEKERING

5 DECEMBER 2016. - Verordening betreffende het elektronisch voorschrift binnen het ziekenhuis

Het Comité van de verzekering voor geneeskundige verzorging van het Rijksinstituut voor Ziekte- en Invaliditeitsverzekering,
Gelet op de wet betreffende de verplichte verzekering voor geneeskundige verzorging en uitkeringen, gecoördineerd op 14 juli 1994, artikelen 9bis en 22, 11° ;
Gelet op het advies van de Nationale Commissie tandartsen-ziekenfondsen van 23 november 2016;
Gelet op het advies van de Nationale Commissie artsen-ziekenfondsen van 28 november 2016;
Na erover te hebben beraadslaagd in zijn vergadering van 5 december 2016;
Besluit :
Artikel 1. De elektronische voorschriften opgesteld overeenkomstig het protocol in bijlage kunnen hun papieren equivalent vervangen.
Art. 2. De huidige verordening treedt in werking de dag waarop het in het Belgisch Staatsblad wordt bekend gemaakt.
Brussel, 5 december 2016.
De Leidend Ambtenaar,
H. De Ridder.
De Voorzitter,
J. Verstraeten.

Bijlage bij de verordening van 5 december 2016 betreffende het elektronisch voorschrift binnen het ziekenhuis
Protocol gesloten tussen de verzekeringsinstellingen en de akkoorden- of overeenkomstencommissies betreffende het elektronisch ziekenhuisvoorschrift.
Gelet op de artikelen 9bis en 22, 11°, van de gecoördineerde wet van 14 juli 1994 betreffende de verplichte verzekering voor geneeskundige verzorging en uitkeringen;
Gelet op het artikel 36/1 van de wet van 21 augustus 2008 houdende oprichting en organisatie van het eHealth-platform en diverse bepalingen,
Artikel 1. Het huidig protocol is van toepassing op de ziekenhuisvoorschriften voorzien door of krachtens de gecoördineerde wet van 10 mei 2015 betreffende de uitoefening van de gezondheidszorgberoepen en/of door of krachtens de gecoördineerde wet van 14 juli 1994 betreffende de verplichte verzekering voor geneeskundige verzorging en uitkeringen.
Onder ziekenhuisvoorschrift wordt verstaan een voorschrift van een bevoegde zorgverlener verbonden aan het ziekenhuis met betrekking tot een patiënt van het ziekenhuis (ambulant of gehospitaliseerd) en uitgevoerd in een van de diensten van het ziekenhuis
Artikel 2. Elk elektronische ziekenhuisvoorschrift moet de voorwaarden betreffende de bewijswaarde vastgesteld door het artikel 36/1 van de wet van 21 augustus 2008 houdende oprichting en organisatie van het eHealth-platform en diverse bepalingen respecteren.
Het moet eveneens alle wettelijk of reglementaire vereiste vermeldingen voor het papieren voorschrift dat het vervangt, bevatten.
Artikel 3. Het ziekenhuis legt de nodige procedures vast om een correcte identificatie van de voorschrijver te garanderen. Hierbij wordt voorzien in één van de volgende procedures :
- Authenticatie door middel van gebruikersnaam en paswoord.
De gebruikersnaam en het paswoord zijn strikt persoonlijk en niet overdraagbaar. Het paswoord kan eenmalig of meermaals gebruikt worden. Indien het paswoord meermaals kan worden gebruikt, dient de voorschrijver het paswoord zo snel mogelijk na ontvangst en in elk geval bij het eerste gebruik ervan te wijzigen.
Indien het paswoord meermaals gebruikt kan worden, dient de voorschrijver nadien dit paswoord op regelmatige tijdstippen te wijzigen. De procedures van regelmatig wijzigen van paswoorden moeten verplicht en uitgevoerd worden door het ziekenhuis.
Een veilig paswoord is idealiter samengesteld uit 15 tekens en minstens uit 8 tekens. Een paswoord kan hetzij eenmalig worden gebruikt doordat het bij elk gebruik wordt berekend op basis van een "challenge" (dynamisch paswoord), hetzij meermaals gebruikt worden (statisch paswoord).
Een paswoord dat meermaals gebruikt kan worden, bevat alfanumerieke karakters en symbolen, geplaatst in een volgorde die niet makkelijk kan worden geraden. Elke voorschrijver dient ervoor te zorgen dat het gekozen paswoord voldoet aan deze eisen. Elke voorschrijver is zelf aansprakelijk in de gevallen waarin een paswoord wordt achterhaald en/of misbruikt.
Elke voorschrijver dient zorgvuldig om te gaan met zijn gebruikersnaam en paswoord en is tot geheimhouding ervan gehouden. Elke voorschrijver is aansprakelijk voor elk al dan niet geoorloofd gebruik ervan, met inbegrip van elk gebruik door derden.
Indien een gebruiker kennis heeft van het verlies van zijn gebruikersnaam en/of paswoord of van elk ongeoorloofd gebruik door derden van zijn gebruikersnaam en/of paswoord, of een dergelijk verlies of ongeoorloofd gebruik vermoedt, dient hij onmiddellijk alle nodige maatregelen te treffen en de informatieveiligheidsconsulent binnen het ziekenhuis op de hoogte te brengen.
Zo spoedig mogelijk na de ontvangst van de melding en binnen de grenzen van de redelijkheid, worden alle mogelijke inspanningen geleverd om verder misbruik te voorkomen.
Elke voorschrijver blijft aansprakelijk voor alle rechtmatig gebruik van zijn gebruikersnaam en/of paswoord en alle onrechtmatig gebruik ingevolge van nalatigheid van zijn gebruikersnaam en/of paswoord dat heeft plaatsgevonden voor het tijdstip waarop de gebruikersnaam en het paswoord geïnactiveerd werden.
- Authenticatie door middel van een sterkere authenticatieprocedure dan gebruikersnaam/paswoord, meer bepaald door middel van het authenticatiecertificaat op de elektronische identiteitskaart of een ander certificaat dat voldoet aan de bepalingen van de wet van 9 juli 2001 houdende vaststelling van bepaalde regels in verband met het juridisch kader voor elektronische handtekeningen en certificatiediensten.
- Authenticatie met identificatiebadge (of een gelijkaardig middel) ter beschikking gesteld van de zorgverlener. Deze badge (of een gelijkaardig middel) is strikt persoonlijk en niet overdraagbaar.
Elke voorschrijver is aansprakelijk voor alle gepast of ongepast gebruik van zijn badge (of een gelijkaardig middel), met inbegrip van het gebruik door derden.
Indien een gebruiker kennis heeft van het verlies van zijn badge (of een gelijkaardig middel) of van elk ongeoorloofd gebruik hiervan door derden, of een dergelijk verlies of ongeoorloofd gebruik vermoedt, dient hij onmiddellijk alle nodige maatregelen te treffen en de informatieveiligheidsconsulent binnen het ziekenhuis op de hoogte te brengen.
Zo spoedig mogelijk na de ontvangst van de melding en binnen de grenzen van de redelijkheid, worden alle mogelijke inspanningen geleverd om verder misbruik te voorkomen.
Elke voorschrijver blijft aansprakelijk voor alle rechtmatig gebruik van zijn badge (of een gelijkaardig middel) en alle onrechtmatig gebruik van zijn badge (of een gelijkaardig middel) ingevolge van nalatigheid dat heeft plaatsgevonden voor het tijdstip waarop de gebruikersnaam en het paswoord geïnactiveerd werden.
Artikel 4. Het elektronisch voorschrift wordt binnen een ziekenhuis bewaard op een wijze dat het niet meer mogelijk is om deze te wijzigen of te wissen zonder sporen na te laten. Daartoe wordt de hierna beschreven procedure van hashing, tijdsregistratie, elektronische handtekening en opslag van het resultaat gevolgd.
Er wordt een hashing procedure toegepast op ieder elektronisch voorschrift. Het gebruikte hashalgoritme is minstens een SHA 256.
Het resultaat van de hashing (de hashcode) is berekend op basis van de specifieke inhoud van het gehashte bestand. Er kan met andere woorden op basis van een bepaalde hashing maar één hashcode overeenkomen met een welbepaalde inhoud. Indien de inhoud van een bestand wordt gewijzigd, dan is bij een nieuwe hashing met hetzelfde hashalgoritme de hashcode verschillend. Aan de hand van de originele hashcode kan dan ook worden vastgesteld of het bestand nadien werd gewijzigd.
Het ziekenhuis voorziet in een systeem van veiligheidsloggins waardoor iedere aanmaak, wijziging of vernietiging van het elektronisch voorschrift en de bijhorende hashcode, die onderworpen is aan de tijdsregistratie, wordt gelogd.
Voor tijdsregistratie van de elektronische voorschriften wordt er binnen ieder ziekenhuis een specifieke databank gecreëerd.
Nadat de hashcode aan de procedure van tijdsregistratie zoals beschreven in dit protocol is onderworpen, wordt elk elektronisch voorschrift met de bijhorende hashcode onderworpen aan de tijdsregistratie in deze databank als afzonderlijk bestand opgeslagen.
De elektronische voorschriften worden in de specifieke databank opgenomen in een KMEHR versie 1bis formaat van niveau 1 of 4. Hierbij wordt minstens de identificatiegegevens betreffende de voorschrijver en de patiënt op gestructureerde wijze beschreven.
Artikel 5. De hashcodes berekend op basis van het elektronisch voorschrift worden onderworpen aan een tijdsregistratie door het eHealth-platform.
Teneinde een overbelasting van de tijdsregistratiedienst te voorkomen, wordt niet voorzien in een tijdsregistratie van iedere hashcode van elke individueel elektronisch voorschrift. In plaats hiervan worden een aantal hashcodes gegroepeerd (in een time stamp bag of TSBag) waarvoor vervolgens één tijdsregistratie wordt aangevraagd.
Iedere vijf minuten zal een bij het ziekenhuis geïnstalleerd programma de nieuw aangemaakte elektronische voorschriften uit de voorlopige bewaarplaats selecteren en groeperen in een TSBag. Het ziekenhuis maakt de TSBag over aan de tijdsregistratiedienst van het ehealth-platform en vraag een tijdsregistratie op het niveau van de TSBag.
Het platform kent vervolgens een tijdsregistratie en een elektronische handtekening aan de TSBag toe.
Het maakt dan aan het ziekenhuis de TSBag voorzien van een een tijdsregistratie en een elektronische handtekening over aan het ziekenhuis.
De software van het ziekenhuis slaat de betreffende hashcodes van de elektronische voorschriften, de TSBag, de tijdsregistratie en de handtekening in het archief van het ziekenhuis op.
Het ziekenhuis is gehouden de lezing van de elektronische voorschriften toe te laten tijdens de verplichte bewaringstermijn van toepassing op de papieren voorschriften die zij vervangen.
De tijdsregistratiedienst van het platform archiveert eveneens in een gegevensbank gecreëerd voor dit doel alle ontvangen TSBags en geleverde tijdsregistraties teneinde de betrokken partijen in geval te ondersteunen in geval van geschil.
Artikel 6. Controle en toezicht
De controle en het toezicht van toepassing op de bepalingen van het huidig protocol worden verricht :
1) Op het niveau van het ziekenhuis
Het toezicht in het ziekenhuis op de voorwaarden zoals bedoeld in artikel 3 moet verricht worden door de informatieveiligheidsconsulent.
De ziekenhuizen moeten de naam, voornaam, hoedanigheid, naam werkgever en plaats van tewerkstelling van de informatieveiligheidsconsulent meedelen aan het Sectoraal comité van de sociale zekerheid en van de gezondheid, afdeling gezondheid. Elke wijziging in deze gegevens moet door de ziekenhuizen binnen de 14 kalenderdagen worden medegedeeld.
2) Op het niveau van het RIZIV
Het toezicht op het respecteren van de bepalingen van dit artikel gebeurt door respectievelijk de Dienst voor Geneeskundige Evaluatie en Controle en de Dienst voor Administratieve Controle, elk op vlak van hun bevoegdheden. Daartoe dient de informatieveiligheidsconsulent van het ziekenhuis een dossier bij te houden waarin het geheel van de procedures, het materiaal en de gebruikte programma's in detail worden beschreven, in het bijzonder om de controle-instanties toe te laten om onmiddellijk toegang te hebben tot de elektronische voorschriften, de bijhorende TSBags en de tijdsregistratie. Dit dossier moet regelmatig worden geactualiseerd. Dit dossier moet ter beschikking gehouden worden voor de controlediensten van het RIZIV.
Onverminderd hun eigen specifieke bevoegdheden moeten de controlediensten eventuele tekortkomingen en onregelmatigheden meedelen aan de overeenkomstencommissie tussen de verpleeginrichtingen en verzekeringsinstellingen.
Artikel 7. Het protocol gesloten op 3 september 2009 en 1 december 2009 tussen de representatieve organisaties van de verplegingsinrichtingen en verzekeringsinstellingen, houdende de voorwaarden en de modaliteiten volgens welke een elektronisch document met precisie kan worden geassocieerd aan een referentiedatum en een referentietijdstip en het niet meer onmerkbaar kan worden gewijzigd, wordt vervangen door het huidig protocol.
Gezien om te worden gevoegd bij de verordening van 5 december 2016
De Leidend Ambtenaar,
H. De Ridder.
De Voorzitter,
J. Verstraeten.