Type: Nieuws
MedMij publiceert nieuwe versie afsprakenstelsel
MedMij publiceerde zaterdag 30 oktober 2021 een nieuwe versie van het afsprakenstelsel: release 1.5.0. Release 1.4.0 wordt daarmee de verplichte versie voor gegevensuitwisseling conform MedMij. Wij zetten de grootste veranderingen op een rij.
MedMij-deelnemers waren betrokken bij de totstandkoming van de nieuwe release en de uitwerking daarvan. Net als de voorgaande release kwam 1.5.0 mede tot stand op basis van requests for change (RFC’s). Deze RFC’s werken we in een openbare omgeving uit (Confluence) zodat MedMij-deelnemers kunnen bijdragen aan (mogelijk) toekomstige ontwikkelingen.
Hiervoor organiseerde MedMij onder meer verschillende expertsessies waarin betrokkenen actief mee konden denken over de nieuwe release van het afsprakenstelsel. Ook dit keer zagen we tijdens de sessies veel betrokkenheid van MedMij-deelnemers waarmee we fundament verder kunnen verstevigen.
Release 1.4.0 nu de verplichte versie
Sinds vorig jaar werkt MedMij met een zogenaamd ‘dakpanmodel’. Release 1.3.0 (de tot 30 oktober 2021 verplichte release) krijgt vanaf 30 oktober de status ‘verouderd’. Dit wil zeggen dat deze release niet meer actief is. Release 1.4.0 wordt nu de verplichte versie. Release 1.5.0 (de nieuw gepubliceerde versie) is ook geldig, met een optionele status. Hiermee geeft MedMij alle deelnemers de tijd om de veranderingen, die een nieuwe release met zich meebrengt, te implementeren. Een ander doel is zorgen dat PGO-gebruikers sneller nieuwe functionaliteiten kunnen gebruiken.
MedMij blijft samen met haar deelnemers het afsprakenstelsel doorontwikkelen. Toekomstige aanpassingen zullen volgen uit onder meer wet- en regelgeving, techniek en standaarden en uiteraard uit wensen en eisen van de deelnemers.
Wijzigingen in release 1.5.0
We voerden onder meer deze wijzigingen door:
Gebruiksvriendelijkheid
Het aantal keer dat de PGO-gebruiker moet inloggen, en toestemming moet geven, wordt verkleind. Iemand kan in één keer toestemming geven voor het verzamelen van gegevens bij alle gegevensdiensten die een aanbieder aanbiedt op het netwerk. Dit is enkel mogelijk voor de gegevensdiensten die een aanbieder via dezelfde leverancier (Dienstverlener aanbieder) worden aangeboden. Voor PGO’s is dit optioneel om in te bouwen, voor DVZA’s verplicht.
Veiligheid
MedMij vereist bij het inloggen op een PGO dat er naast wachtwoord een tweede verificatie plaatsvindt om de identiteit van de gebruikers vast te stellen, dit wordt tweefactor authenticatie genoemd. Als tweede factor wordt SMS gezien als onvoldoende veilig. Daarom worden PGO’s verplicht om ook een veiligere tweede factor te bieden. In een latere versie zal SMS niet meer worden toegestaan.
Het verplicht gebruik van tweefactor authenticatie geldt voortaan op de volledige PGO dat het MedMij-label draagt, niet alleen op het deel waar de MedMij-uitwisseling plaatsvindt.
Machtigen
Optioneel kan vrijwillige vertegenwoordiging worden aangeboden. Hierdoor kan een PGO-gebruiker zich binnen de eigen PGO laten vertegenwoordigen door iemand anders. De vertegenwoordiger maakt gebruikt van het dossier dat al voor de vertegenwoordigde bij de PGO-leverancier bekend is.
Interoperabiliteit
Om interoperabiliteit te bewerkstelligen is het noodzakelijk dat deelnemers dezelfde versie van een gegevensdienst ondersteunen. Om dit te borgen wordt een dakpansgewijze introductie van gegevensdiensten geïntroduceerd waarbij de oudste van de versie van de gegevensdienst verplicht te ondersteunen is.
Het MedMij Afsprakenstelsel
Het MedMij Afsprakenstelsel is een set van afspraken waaraan organisaties (vaak zijn dit leveranciers van PGO’s en zorginformatiesystemen) moeten voldoen om MedMij-deelnemer te kunnen worden. Het stelsel bevat afspraken op juridisch-, technisch- en informatiebeveiligingsgebied. Door deelnemer te worden van het MedMij Afsprakenstelsel verbinden partijen zich aan deze set van afspraken en zijn gebruikers verzekerd van veilige en betrouwbare gegevensuitwisseling.
Voor een totaaloverzicht van de wijzigingen: zie de changelog. Alles over het afsprakenstelsel lees je hier.
Projectleidersbijeenkomst over voortgang implementatie MedMij
MedMij organiseert donderdag 18 november van 14.00 tot 15.30 uur een digitale Projectleiders-bijeenkomst voor projectleiders of andere direct betrokkenen bij de implementatie van MedMij.
De agenda ziet er als volgt uit:
- De voortgang van de VIPP-programma’s, door Bart de Gans
- De praktijktesten VIPP OPEN, door Erik van Klinken
- Verbind.MedMij, uitleg en planning, door Robert Pelleboer
Na afloop hiervan is er ruimte om in kleinere groepjes ervaringen, tips en trics uit te wisselen, maar ook om te netwerken en knelpunten met elkaar te bespreken. De bijeenkomst wordt geleid door Bart de Gans, relatiemanager bij MedMij.
Iedereen die op welke manier dan ook professioneel betrokken is bij de implementatie van MedMij is van harte welkom.
Ben je erbij?
We zien je dus graag op 18 november. Wil je erbij zijn? Meld je dan vóór maandag 15 november a.s. aan per e-mail bij info@medmij.nl aan o.v.v. Projectleidersbijeenkomst 18-11-2021.
Praktische informatie
Voor wie: projectleiders, consultants en andere betrokkenen bij de implementatie van MedMij
Wanneer: donderdag 18 november 2021
Tijd: 14.00 tot 15.30 uur
Waar: online via Teams (uitnodiging volgt na aanmelding)
Is deze bijeenkomst misschien ook relevant voor een collega? Stuur deze uitnodiging dan gerust door!
Eindrapportage PoC Elektronische Toegangsdiensten gepubliceerd
Op 11 oktober 2021 is de eindrapportage van de Proof of Concept (PoC) Elektronische Toegangsdiensten (eTD) vanuit PROVES-MedMij opgeleverd aan Stichting MedMij.
Het eTD Afsprakenstelsel is een set van technische, functionele, juridische en organisatorische afspraken. Binnen het eTD Afsprakenstelsel wordt eHerkenning geleverd, waarmee ondernemers, bedrijven, organisaties en intermediairs veilig en betrouwbaar online zaken kunnen doen met (overheids)organisaties en bedrijven. In deze eindrapportage staan bevindingen opgedaan tijdens de technische beproeving van authenticeren en verzamelen van gegevens met behulp van eHerkenning en een aantal aanbevelingen.
Hier vind je de eindrapportage. Hier vind je de video met de flow PoC eTD.
Doelstellingen
Om het authenticeren en verzamelen van gegevens met behulp van eHerkenning technisch te beproeven werden de volgende doelstellingen gesteld:
- Beproeven van de mogelijkheid om niet opnieuw te hoeven authenticeren bij herhaalde opvraging van gegevens bij dezelfde zorgaanbieder.
- Beproeven van een oplossing die authenticatie op electronic IDentities And Trust Services (eIDAS) niveau Substantieel mogelijk maakt.
- Borgen dat de zorggebruiker die inlogt in de PGO dezelfde is als degene die inlogt bij de zorgaanbieder.
- Generiek technisch koppelvlak definiëren tussen dienstverlener persoon (DVP), dienstverlener zorgaanbieder (DVZA) en eHerkenningsleveranciers.
- Beproeven van een alternatief authenticatiemiddel naast DigiD.
Resultaten en deelnemers
Gedurende 2020 en 2021 realiseerden de leveranciers:
- een succesvolle generieke koppeling tussen eHerkenning (gebaseerd op het eTD-stelsel) en het MedMij-stelsel
- dienstbemiddeling DVP: waarbij een zorggebruiker voorafgaand aan het verzamelen van gegevens kan aangeven bij welke zorgaanbieder de zorggebruiker meerdere gegevensdiensten wil verzamelen
- dienstbemiddeling DVZA (Single Sign On beleving) waarbij de zorggebruiker niet opnieuw hoeft te authenticeren bij herhaaldelijke opvraging van gegevens bij dezelfde zorgaanbieder
- theoretische beproeving van dynamische dienstbemiddeling: waarvoor leveranciers zich verdiepten in het technisch realiseren van de mogelijkheid om bij meerdere zorgaanbieders, meerdere gegevensdiensten te verzamelen.
Bij de toepassing van het stelsel binnen de PoC werkt de DVP met een (versleuteld) pseudoniem en de DVZA met een (versleuteld) BSN die cryptografisch onderling verbonden zijn en daardoor aantoonbaar van dezelfde persoon zijn. Hierdoor kan de DVP met de DVZA betrouwbaar, veilig en privacy-vriendelijk communiceren over een zorggebruiker zonder dat:
- de DVP het BSN en de DVZA het (DVP-specifieke) pseudoniem van de zorggebruiker kent
- de DVP en de DVZA ooit eerder contact hebben gehad over deze zorggebruiker
- ‘MedMij/PGO-specifieke’ onboardingsprocedures van de zorggebruiker bij de (DV)ZA noodzakelijk zijn.
Lees voor meer informatie over de pseudoniemen en identiteiten in de context van de PoC pagina 10 van de rapportage.
Aan de PoC werkten de volgende leveranciers mee:
- DVP: Drimpy en Zorg & Welzijn Connect
- DVZA-rol: VECOZO
- eHerkenningsmakelaar: Signicat
- Authenticatiedienst (eHerkenningsleverancier): UnifiedPost (Z-login)
- BSNk: Logius
Lees voor meer informatie over de invulling van de rollen binnen het eTD Afsprakenstelsel pagina 9 van de rapportage.
Bevindingen
Het authenticeren en verzamelen van gegevens met behulp van eHerkenning binnen het MedMij-netwerk is succesvol beproefd en er werden bevindingen opgedaan. Deze bevindingen worden in de eindrapportage gecategoriseerd als noodzakelijk, ter suggestie of ter overweging en zijn besproken met Stichting MedMij en beheerorganisatie eTD.
Een belangrijke bevinding is dat het aansluiten op eHerkenning binnen het MedMij-netwerk als zeer complex werd ervaren. Voor leveranciers van beide stelsels is het andere stelsel nieuw, waardoor er niet over gebaande paden kan worden gelopen. Het eTD SAML-koppelvlak wordt als zodanig complex ervaren door DVP’s dat ondersteuning door eTD-partijen noodzakelijk is. ETD-leveranciers geven aan dat ze graag meer onderzoek doen naar waar de behoeftes voor ondersteuning van DVP’s en DVZA’s liggen.
Een tweede belangrijke bevinding is dat er meer onderzoek gedaan moet worden naar de wijze van samenbrengen van de twee stelsels, met de daarbij horende consequenties. Leveranciers gaven bijvoorbeeld aan dat zowel het eTD Afsprakenstelsel als het MedMij Afsprakenstelsel een dienstencatalogus hanteert. Bij het samenbrengen van de twee stelsels moet er vooraf onderzocht zijn wat de impact is als beide stelsels alle zorgaanbieders gaan opnemen in hun eigen dienstencatalogus. Daarnaast geven leveranciers aan dat de huidige beproefde oplossingen voor het niet opnieuw authenticeren (dienstbemiddeling DVP & DVZA) nog efficiënter kan, waardoor het samenbrengen van de twee stelsels makkelijker wordt en meer voordelen met zich meebrengt.
Een derde belangrijke bevinding is dat bepaalde aspecten naast de techniek, zoals kosten en beleid, als gevolg van het samenbrengen van de twee stelsels moeten worden onderzocht. Op dit moment is het bijvoorbeeld niet vastgesteld bij wie de kosten voor het gebruik van eHerkenningsmiddelen binnen het burgerdomein landen. De benodigde juridische borging om eHerkenning in de praktijk te kunnen inzetten in het burgerdomein en binnen het MedMij Afsprakenstelsel valt buiten scope van deze technische beproeving.
Stichting MedMij, beheerorganisatie eTD en PROVES (VZVZ) kijken terug op een geslaagde technische beproeving en een prettige samenwerking met leveranciers. De PoC heeft veel waardevolle inzichten opgeleverd op basis waarvan stappen genomen kunnen worden om authenticatie binnen MedMij gebruiksvriendelijker te laten verlopen.