Kabinet: St. Antonius-monitoren verzamelen geen patiëntdata

De patiëntmonitoren in het St. Antonius verzamelen geen patiëntgegevens en slaan die ook niet op, antwoordde minister Hermans op 27 oktober op schriftelijke vragen van VVD-Kamerleden.

Voor zorginkopers is dit een concreet maar beperkt gegeven: het zegt iets over één apparaatgroep in één ziekenhuis. Bij andere medische hulpmiddelen hangt gegevensverwerking volgens het kabinet af van het specifieke model en de technische inrichting. De inkoopafweging vraagt daarom per apparaat om zicht op datastroom, toegang en updatebeheer.

Het antwoord blijft bij St. Antonius

Het kabinet bevestigt dat meerdere Nederlandse ziekenhuizen medische technologie van Chinese leveranciers hebben. Het noemt patiëntbewakingssystemen, echoapparatuur en infuuspompen. Of zo’n hulpmiddel patiëntgegevens verwerkt, waar die worden opgeslagen en wie erbij kan, verschilt volgens het antwoord per apparaat en technische inrichting.

Voor de specifieke patiëntmonitoren van het St. Antonius trekt minister Hermans een beperktere conclusie. Het kabinet acht het risico voor patiëntgegevens beperkt: de monitoren verzamelen geen patiëntgegevens en slaan die ook niet op. Andere leveranciers bieden mobiele patiëntmonitoring aan. Of een alternatief past, hangt af van het beoogde gebruik en de technische en organisatorische context van het ziekenhuis.

De VVD stelde die vraag op 1 september al. De Kamerleden vroegen welke gegevens Chinese medische apparatuur verwerkt en wie updates en onderhoud uitvoert. In het nieuwe antwoord noemt de minister geen merk, model of technische inrichting van de monitoren. Het antwoord zegt dus niet of deze apparaten met het netwerk zijn verbonden, wie de software bijwerkt of wat bij andere ziekenhuizen geldt.

De datastroom hangt af van de inrichting

Updates en onderhoud kunnen volgens het kabinet bij de serviceorganisatie van de fabrikant liggen, bij een geautoriseerde servicepartij of bij de technische dienst van het ziekenhuis. De afspraken moeten daarom vastleggen wie storingen onderzoekt en wie wijzigingen uitvoert. Dat maakt updatebeheer onderdeel van de technische beoordeling, naast de vraag welke gegevens het apparaat verwerkt.

Bij netwerkverbonden medische technologie moeten ziekenhuizen ook risico’s voor continuïteit van zorg, cybersecurity en gegevensverwerking beoordelen. Het kabinet noemt kwaliteit, veiligheid, kosten, service, onderhoud en onderdelen als factoren bij de aanschaf. Voor de monitoren in St. Antonius publiceert het antwoord niet hoe die afweging precies is gemaakt.

De uitspraak beperkt zich tot patiëntgegevens en is geen volledige beveiligingstest: het Kamerstuk geeft geen details over netwerkverkeer, firmware of toegang voor onderhoud.

Een andere monitor vroeg om andere maatregelen

Een eerdere casus laat zien waarom datastromen en updatebeheer apart moeten worden beoordeeld. Op 30 januari 2025 publiceerde CISA een factsheet over de Contec CMS8000, een ander model patiëntmonitor. De factsheet noemt FDA-adviezen om alleen lokale bewakingsfuncties te gebruiken en netwerkverbindingen uit te schakelen als externe monitoring niet nodig is. CISA meldde toen dat er voor dit model nog geen softwarepatch beschikbaar was.

Claroty Team82 onderzocht de firmware van de Contec CMS8000 en beschreef het probleem als waarschijnlijk een onveilig updateontwerp, niet als een verborgen achterdeur. De onderzoekers zagen dat de handleiding het vaste IP-adres voor het updatesysteem noemde. Dat maakte de route zichtbaar, terwijl de onveilige inrichting volgens de onderzoekers nog steeds risico opleverde voor patiëntgegevens en het apparaat. Die bevinding zegt niets over de firmware of verbindingen van de monitoren in St. Antonius.

Zorginkopers houden risico en herkomst uit elkaar

Het kabinet legt de verantwoordelijkheid voor medische technologie bij zorgaanbieders. De Europese verordening voor medische hulpmiddelen verplicht fabrikanten medische software die zij op de markt brengen te beschermen tegen ongeoorloofde toegang. De AVG stelt voorwaarden aan verwerking en doorgifte van persoonsgegevens. Als zorgdata bij een buitenlandse aanbieder buiten het AVG-gebied staat, moet volgens het antwoord worden getoetst of de wetgeving daar voldoende bescherming biedt. Het kabinet noemt dat een jurisdictietoets.

In Nederlandse ziekenhuizen is daarnaast een risicoanalyse volgens NEN 7510 vereist; de Autoriteit Persoonsgegevens en de Inspectie Gezondheidszorg en Jeugd houden toezicht. Het antwoord noemt ook versleuteling als aanvullende maatregel en wijst zorginstellingen op hulpmiddelen van de AP, het NCSC en Z-CERT. De RDI opende na de ransomwareaanval bij ChipSoft een onderzoek naar de beveiligingsmaatregelen van de leverancier. Het EPD HiX van ChipSoft wordt in ruim 70 procent van de Nederlandse ziekenhuizen gebruikt. Die controle betreft epd-software en is een andere casus, maar ook daar staat de beveiliging van een zorgtechnologieleverancier centraal.

Het kabinet volgt de mogelijke gevolgen van het groeiende Chinese marktaandeel voor de Europese industrie en strategische afhankelijkheden. Het noemt ook lagere kosten en meer keuze voor zorginstellingen als mogelijke voordelen. De overheid voert geen landenspecifieke aanpak en trekt € 102,5 miljoen uit voor versterking van de Nederlandse MedTech-sector, met de ambitie om in 2035 het sterkste MedTech-ecosysteem van Europa te hebben.

De antwoorden leggen de beoordeling bij de concrete inrichting van elk hulpmiddel. De Contec-casus en het RDI-onderzoek naar ChipSoft raken daarnaast aan updatebeheer en continuïteit. Het kabinet kiest tegelijk voor weerbaarheid en MedTech-investeringen zonder een landenspecifieke inkooplijn. Voor zorginstellingen blijft de technische en organisatorische informatie daardoor de basis van elke aanschaf.