Een zorgorganisatie sluit contracten aan twee kanten. Met zorgverzekeraars, zorgkantoren en gemeenten spreek je af welke zorg je levert. Met leveranciers spreek je af wat jij nodig hebt om die zorg te leveren: een EPD, apparatuur, schoonmaak, personeel. Allebei vragen ze om goed beheer, maar om verschillende redenen.
Daarbovenop komen eisen die je in andere sectoren minder tegenkomt: NEN 7510 voor informatiebeveiliging, de AVG voor gezondheidsgegevens en afspraken over onderhoud van medische apparatuur.
Kort antwoord: houd zorgcontracten met financiers en leverancierscontracten in één register bij, maar met eigen aandachtspunten. Bij financiers: looptijd, afspraken over volume en prijs, en de deadlines in het inkoopproces. Bij leveranciers: beveiligingseisen volgens NEN 7510, een verwerkersovereenkomst als ze gezondheidsgegevens verwerken, en voor apparatuur afspraken over onderhoud en ondersteuning. Leg per contract een eigenaar vast en zorg dat je het aan een auditor kunt laten zien.
Twee soorten contracten
| Contracten met financiers | Contracten met leveranciers | |
|---|---|---|
| Wederpartij | Zorgverzekeraars (Zvw), zorgkantoren (Wlz), gemeenten (Wmo 2015, Jeugdwet) | EPD- en ICT-leveranciers, leveranciers van medische apparatuur, facilitaire diensten, uitzendbureaus |
| Wie stelt de voorwaarden? | Meestal de financier, via zijn inkoopbeleid | Meestal de leverancier, tenzij je zelf inkoopvoorwaarden hanteert |
| Waar het misgaat | Afspraken over volume en prijs die niet aansluiten op wat je levert, gemiste deadlines in het inkooptraject | Stilzwijgende verlengingen, ontbrekende beveiligingsafspraken, onderhoud dat niemand controleert |
| Belangrijkste eigenaar | Bestuur, finance, zorgverkoop | Inkoop, ICT, medische technologie, facilitair |
Contracten met financiers
Zorgverzekeraars, zorgkantoren en gemeenten kopen zorg in volgens hun eigen inkoopbeleid en tijdpad. Voor contractbeheer betekent dat vooral: weet wanneer een contract afloopt, wanneer het nieuwe inkooptraject begint en welke afspraken je in de huidige periode hebt gemaakt.
Leg per contract minimaal vast:
- de financier, de looptijd en of het een jaar- of meerjarencontract is;
- de afspraken over volume, plafonds of budget, en de tarieven;
- voorwaarden over kwaliteit, verantwoording en declaratie;
- de datum waarop het volgende inkooptraject start, als taak met een eigenaar.
Werk je met gemeenten, dan heb je vaak met veel verschillende contracten en voorwaarden te maken. Bundel per gemeente of regio de contracten in een dossier, zodat je bij een vraag niet hoeft te zoeken.
Contracten met leveranciers
Hier geldt hetzelfde als in elke organisatie: opzegtermijnen bewaken, prestaties volgen, op tijd beslissen over verlengen. Een gemist opzegmoment bij een EPD of een groot facilitair contract kost een zorgorganisatie net zo veel als een bedrijf. Zie opzegtermijnen van leverancierscontracten bewaken.
Wat de zorg anders maakt, zijn drie extra lagen.
1. NEN 7510: informatiebeveiliging bij leveranciers
NEN 7510 is de norm voor informatiebeveiliging in de zorg. Hij volgt de opbouw van ISO 27001 en scherpt die aan waar het om patiëntgegevens gaat. Een flink deel gaat over leveranciers: wie toegang heeft tot je systemen of gegevens, moet contractueel aan beveiligingseisen gebonden zijn, en je moet kunnen laten zien dat je dat bewaakt.
In je contractbeheer betekent dat:
- weet welke leveranciers toegang hebben tot patiëntgegevens of kritieke systemen;
- leg per contract vast welke beveiligingsafspraken gelden: toegang, logging, incidentmelding, onderaanneming, exit;
- beoordeel periodiek of de leverancier zich eraan houdt, bijvoorbeeld via certificaten of auditrapporten, en zet die bij het contract;
- regel wie welke contracten mag zien: niet iedereen hoeft alle ICT-contracten te kunnen openen.
Wat de normen precies vragen en wat een auditor komt controleren, lees je in ISO 27001 en NEN 7510 in je contractbeheer. Valt je organisatie ook onder de Cyberbeveiligingswet, dan komen daar eisen aan de toeleveringsketen bij. Zie de Cyberbeveiligingswet en je leverancierscontracten.
2. Verwerkersovereenkomsten voor gezondheidsgegevens
Verwerkt een leverancier namens jou persoonsgegevens, zoals een EPD-leverancier, een hostingpartij of een leverancier van een cliëntportaal, dan schrijft artikel 28 AVG een verwerkersovereenkomst voor. Daarin staan onder meer het doel van de verwerking, de beveiligingsmaatregelen, afspraken over subverwerkers en wat er met de gegevens gebeurt als het contract eindigt.
Gezondheidsgegevens zijn een bijzondere categorie persoonsgegevens (artikel 9 AVG). Dat maakt de beveiligingsafspraken zwaarder en de gevolgen van een datalek groter. Let in de zorg extra op:
- subverwerkers: welke partijen zitten er achter je leverancier, en waar staan de gegevens?
- beëindiging: hoe krijg je de gegevens terug, in welk formaat, en wanneer worden ze verwijderd? Voor een EPD is dat een migratievraag, geen formaliteit.
- samenhang met het hoofdcontract: looptijd en opzegging van de verwerkersovereenkomst horen gelijk te lopen met het contract waar hij bij hoort.
Wat er precies in moet, lees je in verwerkersovereenkomst: wat moet erin volgens de AVG?. Houd daarnaast je verwerkingsregister bij, zodat je weet welke verwerker bij welke verwerking hoort.
3. Medische apparatuur: onderhoud en ondersteuning
Medische hulpmiddelen vallen onder de Europese Medical Device Regulation (MDR, Verordening (EU) 2017/745). Die stelt eisen aan fabrikanten. Als zorginstelling ben je zelf verantwoordelijk voor veilig gebruik en onderhoud in je eigen organisatie. Voor instellingen voor medisch-specialistische zorg is daarvoor in januari 2026 de Leidraad Medische Technologie gepubliceerd, als opvolger van onder meer het Convenant Veilige toepassing van medische technologie uit 2016. Die leidraad beschrijft de hele levensloop van medische technologie, van introductie tot afvoer.
Voor contractbeheer zijn vooral de onderhouds- en servicecontracten belangrijk. Leg per apparaat of groep apparaten vast:
- wie het onderhoud doet, hoe vaak, en wie keuringen uitvoert;
- de responstijd bij storingen, en of er vervangende apparatuur komt;
- tot wanneer de leverancier ondersteuning en software-updates levert (end-of-support);
- hoe lang reserveonderdelen beschikbaar blijven;
- afspraken over cybersecurity van aangesloten apparatuur.
Het risico zit vaak in de samenhang. De aanschaf liep via één contract, het onderhoud via een ander, en de software via een derde. Koppel ze aan elkaar, zodat je bij een storing of een end-of-support-melding direct weet wat er is afgesproken en wanneer je kunt opzeggen.
Zo richt je het in
- Eén register voor alle contracten, waarin je zorgcontracten, leverancierscontracten en verwerkersovereenkomsten uit elkaar houdt, bijvoorbeeld met dossiers. Koppel een verwerkersovereenkomst aan het contract waar hij bij hoort.
- Een eigenaar per contract. Zorgverkoop voor de financiers, ICT voor het EPD, medische technologie voor onderhoud. Zie contracteigenaarschap regelen.
- Rechten per afdeling of locatie, zodat gevoelige contracten niet voor iedereen open staan.
- Meldingen vóór de uiterste opzegdatum, niet vóór de einddatum.
- Bewijs bij het contract: certificaten, auditrapporten, onderhoudsrapportages. Dan heb je het klaar als de auditor komt.
Contractbeheer voor zorgorganisaties in Looop
Looop houdt contracten met financiers en leveranciers bij in één register, met relaties, documenten en dossiers.
- Rechten per vestiging, afdeling, contractsoort en relatie, met de rollen Admin, Editor en Viewer.
- Meldingen op 90, 60, 30 en 7 dagen vóór de uiterste opzegdatum, naar de eigenaar.
- Risicobeheer per contract, met impact, kans, score, eigenaar en status. Handig voor de leveranciersbeoordeling die NEN 7510 vraagt.
- Nora AI leest geüploade contracten uit en stelt wederpartij, looptijd en opzegtermijn voor, met het fragment waar het staat. In de Nora-console toets je een contract aan je eigen contractrichtlijnen, bijvoorbeeld "datalekken worden binnen 24 uur gemeld" of "maximaal 30 dagen om gegevens terug te leveren na einde contract". Dat is een hulpmiddel, geen juridisch advies.
- Security: ISO 27001-gecertificeerde infrastructuur en dataopslag in Europa.
Bronnen
- Algemene verordening gegevensbescherming (Verordening (EU) 2016/679), EUR-Lex, artikelen 9 en 28
- Verordening (EU) 2017/745 betreffende medische hulpmiddelen (MDR), EUR-Lex
- Leidraad Medische Technologie in instellingen voor medisch-specialistische zorg, Richtlijnendatabase
Dit artikel is geen juridisch advies.
Veelgestelde vragen
- Welke contracten heeft een zorgorganisatie?
- Twee soorten. Aan de inkomende kant contracten met financiers, zoals zorgverzekeraars, zorgkantoren en gemeenten, waarin staat welke zorg je levert en tegen welke prijs. Aan de uitgaande kant contracten met leveranciers, zoals het EPD, ICT, medische apparatuur, facilitaire diensten en personeel. Beide vragen om contractbeheer, maar met andere aandachtspunten.
- Wat betekent NEN 7510 voor leverancierscontracten?
- NEN 7510 is de norm voor informatiebeveiliging in de zorg. Leveranciers die toegang hebben tot patiëntgegevens of systemen moeten contractueel gebonden zijn aan beveiligingseisen, en je moet kunnen aantonen dat je bijhoudt welke leveranciers dat zijn en of ze zich aan de afspraken houden. Een auditor vraagt daarom naar je leverancierscontracten.
- Heb ik een verwerkersovereenkomst nodig met een EPD-leverancier?
- Ja, als de leverancier namens jou persoonsgegevens verwerkt, zoals bij een EPD of een hostingpartij. Artikel 28 van de AVG schrijft dan een overeenkomst voor met vaste onderdelen. Gezondheidsgegevens zijn een bijzondere categorie persoonsgegevens (artikel 9 AVG), dus de beveiligingsafspraken moeten daarop zijn afgestemd.
- Wat leg je vast bij contracten voor medische apparatuur?
- Leg per apparaat of groep apparaten vast wie het onderhoud doet, hoe vaak, met welke responstijd bij storingen, tot wanneer de leverancier ondersteuning en software-updates levert en hoe lang reserveonderdelen beschikbaar zijn. Koppel het onderhoudscontract aan het apparaat, zodat je bij een storing direct weet wat is afgesproken.
