Brief regering : Voortgang vervanging UZI-certificaten

Nr. 639
BRIEF VAN DE MINISTER VOOR MEDISCHE ZORG

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 4 oktober 2019

Voor goede zorg is het belangrijk dat patiënten en zorgaanbieders op tijd de juiste
informatie (elektronisch) kunnen uitwisselen. Daarbij moeten mensen er wel op kunnen
vertrouwen dat dit veilig gebeurt. Daarvoor kennen we het UZI-certificaat. UZI staat
voor Unieke Zorgverlener Identificatie. UZI-certificaten worden verstrekt door het
CIBG, een uitvoeringsorganisatie van het Ministerie van VWS.

De UZI-certificaten vallen onder de public key infrastructure (PKI) van de Nederlandse
overheid. Dit is een afsprakenstelsel om digitale certificaten uit te geven en te
beheren, met als doel veilig internetverkeer. Uitvoeringsorganisatie Logius is namens
het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties toezichthouder op het
PKIoverheid-stelsel.

Op woensdag 4 september jl. informeerde ik u, mede namens de Staatssecretaris van
Binnenlandse Zaken en Koninkrijksrelaties, over de noodzakelijke versnelde vervanging
van een set UZI-certificaten.1 Deze certificaten voldeden op niet alle onderdelen aan de basiseisen die browserpartijen,
zoals Apple, Google en Mozilla, aan certificaten stellen. Logius ziet hier als toezichthouder
op toe. Om het vertrouwen van deze browserpartijen in het PKIoverheid-stelsel te waarborgen,
heeft Logius het CIBG opdracht gegeven de betreffende set UZI-certificaten versneld
te vervangen. Het niet vervangen van deze specifieke set zou mogelijk als gevolg hebben
dat deze certificaten niet meer geaccepteerd zouden worden. Daarmee zou elektronische
gegevensuitwisseling gehinderd worden.

Het CIBG is in opdracht van de toezichthouder aan de slag gegaan met het vervangen
en intrekken van de betreffende set UZI-certificaten. De datum waarop deze certificaten
moest zijn vervangen was 1 oktober 2019. Zoals toegezegd stel ik uw Kamer met deze
brief op de hoogte van de voortgang van de versnelde vervanging.

Omvang van de situatie

De versnelde vervanging betrof ongeveer 2.800 UZI-certificaten bij diverse zorgpartijen
zoals ziekenhuizen, apotheken, huisartsenposten en -praktijken, verpleeg- en verzorgingstehuizen
of fysiotherapiepraktijken. Ook betrof het individuele zorgverleners die gebruik maken
van het UZI-certificaat. Het aantal genoemde UZI-certificaten betekent echter niet
dat het ook om een even groot aantal zorgpartijen gaat. Het komt voor dat een zorgpartij
meerdere certificaten in gebruik heeft.

Ondernomen activiteiten

De versnelde vervanging van de set UZI-certificaten was een majeure opgave die goed
moest worden uitgevoerd om de kwaliteit van zorg niet te doen verlagen. Daarom heb
ik besloten de versnelde vervanging als een calamiteit te besturen en dit heeft tot
het gewenste effect geleid.

Het CIBG heeft begin september haar capaciteit opgeschaald om de versnelde vervanging
gericht te kunnen aansturen en zorgaanbieders waar het kan te ondersteunen. Alle zorgaanbieders
die een certificaat moesten vervangen zijn hierover per e-mail, per brief en/of telefonisch
geïnformeerd. VZVZ is vroegtijdig betrokken en heeft actief gecommuniceerd en met
zorgaanbieders contact gelegd. Daarnaast hebben Stichting InEen, LHV en KNMP hun achterban
opgeroepen de UZI-certificaten te vervangen.

Tijdens de vervangingsperiode heb ik de Inspectie voor Gezondheidszorg en Jeugd betrokken.
De IGJ heeft zorgaanbieders die het UZI-certificaat gebruiken voor inhoudelijke gegevensuitwisseling
en die nog geen vervangingsaanvraag hebben gedaan telefonisch benaderd met het verzoek
een vervangingsaanvraag spoedig in te dienen.

Huidige stand van zaken

De geïntensiveerde inspanningen hebben ertoe geleidt dat nagenoeg alle zorgaanbieders
op 1 oktober een versnelde vervangingsaanvraag hebben ingediend bij het CIBG.

Het CIBG heeft op dinsdag 1 oktober de oude UZI-certificaten ingetrokken van zorgpartijen
die een nieuw certificaat hebben ontvangen en van zorgpartijen die bewust hebben aangegeven
geen certificaat meer te willen. Voor zorgpartijen die geen aanvraag hebben ingediend
en van vervangingsaanvragen die onvolledig zijn ingediend is een alternatief intrekkingsplan
opgesteld. De communicatie richting de betreffende zorgpartijen is gebleven en het
CIBG heeft processen ingericht om late melders te kunnen bedienen in het aanvragen
van een nieuw certificaat.

Elektronische gegevensuitwisseling is de afgelopen jaren steeds belangrijker geworden
in de zorg. De omvang van de situatie, het ingezette proces voor de versnelde vervanging
en grootschalige opvolging van zorgaanbieders om een vervangingsaanvraag te doen geven
het belang aan om geverifieerde informatie elektronisch beschikbaar te krijgen. De
versnelde vervanging is, mijns inziens, voorspoedig verlopen en heeft ertoe geleid
dat zorgprocessen en zorgverlening zonder verhoogde hinder kunnen doorgaan zoals voorheen.

De Minister voor Medische Zorg,
B.J. Bruins