Als HiX faalt, faalt de zorg: de ChipSoft‑hack onderstreept dominantie

djgnqja

ChipSoft, een leverancier van software waarmee Nederlandse ziekenhuizen en huisartsen patiëntendossiers opslaan, is slachtoffer geworden van een ransomwareaanval. Dat werd dinsdag duidelijk. Het bedrijf kwam enkele jaren geleden al negatief in het nieuws vanwege zijn machtspositie en 'falende' software. Vier vragen over de hack, ChipSoft en zijn controversiële epd-software HiX.

Wat is er precies gebeurd?

ChipSoft kreeg dinsdag te maken met een ransomwareaanval, zo bevestigde de medischesoftwareleverancier aan Tweakers. Criminelen kregen toegang tot de patiëntendossiersoftware HiX en hebben daarbij mogelijk data gestolen. Er is nog veel onduidelijk over de aanval. Zo is niet duidelijk hoe de criminelen precies binnenkwamen, welke gegevens ze hebben gestolen en of ze bijvoorbeeld om losgeld vragen.

Volgens ChipSoft zijn er direct stappen gezet om eventuele (verdere) toegang tot de systemen te blokkeren. "Op dit moment zet ChipSoft alle redelijke middelen in die technisch en organisatorisch mogelijk zijn om enige nadelige gevolgen te beperken."

Het bedrijf adviseerde ziekenhuizen in eerste instantie om de vpn-verbinding naar ChipSoft (waarmee hun netwerken worden gekoppeld aan de getroffen software) te verbreken. Woensdagavond besloot de leverancier om zijn software 'uit voorzorg' uit de lucht te halen. Vanaf donderdagochtend krijgen klanten nieuwe cryptografische sleutels, die gebruikt worden om de verbinding met systemen van ChipSoft te verifiëren. De hackers hadden mogelijk toegang tot de oude sleutels. Ook raadt ChipSoft zorgorganisaties aan om beheeraccounts te voorzien van nieuwe wachtwoorden. Het bedrijf meldt daarnaast dat klanten geen hotfix moeten installeren.

Volgens Z-Cert, het expertisecentrum voor cybersecurity in de zorg, moeten ziekenhuizen en huisartsenpraktijken de netwerkverbinding de komende dagen blijven monitoren om afwijkend verkeer te detecteren. Verschillende ziekenhuizen die met software van ChipSoft werken, zoals het Antoni van Leeuwenhoek Ziekenhuis en Frisius MC, melden dat ze niet getroffen zijn en dat de gegevens van hun patiënten dus veilig zijn. Wel hebben verschillende ziekenhuizen hun patiëntenportalen uit voorzorg afgesloten. Ook ligt de website van ChipSoft sinds dinsdag plat.

Bronnen rond ChipSoft zeggen tegen de NOS dat er waarschijnlijk geen gegevens van ziekenhuizen zijn gestolen, maar wel van huisartsenpraktijken en apotheken. In die sectoren is ChipSoft veel minder dominant. De kans bestaat dat hackers data van 'een klein aantal' huisartsen hebben gestolen, maar het is onduidelijk om welke gegevens het gaat. Het zou ook kunnen dat er gegevens van ChipSoft-medewerkers zijn buitgemaakt.

Voorbeeld ChipSoft HiX

Om wat voor software gaat het?

ChipSoft ontwikkelt en levert een zogeheten zis-epd-systeem genaamd HiX. Het gaat daarbij om ziekenhuisinformatiesoftware (zis) waarin elektronische patiëntendossiers (epd's) worden opgeslagen. In zo'n dossier staat onder andere welke medicatie een patiënt nodig heeft, de resultaten van medisch onderzoek, de medische voorgeschiedenis en andere informatie vanuit de behandelend arts.

Daarnaast wordt het systeem gebruikt voor de financiële en zorgadministratie, evenals de facturatie. Afhankelijk van de afdeling van de ziekenhuiswerknemer, zoals de SEH, de OK of de IC, verschilt de specifieke functionaliteit en de informatie die diegene in het systeem kan inzien en toevoegen. Klanten kunnen HiX op verschillende manieren draaien: on-premises in hun eigen ict-omgeving, via de cloud (gehost door ChipSoft in Microsoft Azure) of in een hybride vorm.

De software is niet vrij van kritiek. In de 2DOC-documentaire Dodelijke zorg uit 2022 worden tientallen anonieme mensen gesproken die stellen dat de medicatiemodule van de software 'slecht en onhandig' ontworpen is, 'vol programmeerfouten' zit en dat 'essentiële onderdelen ontbreken'. Een anonieme ziekenhuisapotheker suggereerde dat de 'falende software' mogelijk zelfs een sterfgeval heeft veroorzaakt.

Door hoeveel ziekenhuizen wordt HiX gebruikt?

HiX wordt naar schatting door 76 procent van alle ziekenhuizen in Nederland gebruikt en is dus marktleider. In het verleden is er kritiek geweest op de dominante positie van de software. Zo waarschuwde de marktwaakhond ACM in een rapport uit 2021 dat dit tot vendorlock‑in kan leiden, aangezien het overstappen naar een andere leverancier erg tijdrovend en duur is. Gemiddeld duurt zo'n overstap 1,5 tot 2 jaar.

ChipSoft heeft dus een sterke onderhandelingspositie, wat er volgens ziekenhuizen toe leidt dat de leverancier zeer hoge bedragen rekent voor het gebruik van zijn software. Het zou gaan om aanschafkosten van zo'n 20 miljoen euro en nog minimaal een miljoen euro per jaar voor zaken als onderhoud en verplichte updates. Het bedrijf zou jaarlijks winstmarges rapporteren van rond de 40 procent. De ACM stelt wel dat het bedrijf zich volledig houdt aan de Nederlandse wet‑ en regelgeving.

ChipSoft probeerde de publicatie van dit rapport tegen te houden uit vrees voor reputatieschade. Dat lukte aanvankelijk via een kort geding, maar in 2023 werd in de bodemprocedure bepaald dat de ACM het rapport toch mag publiceren.

Ook in de documentaire Dodelijke zorg wordt kritiek geuit op de machtspositie van ChipSoft. HiX zou onder andere lastig te koppelen zijn aan systemen van andere leveranciers. Daardoor moet informatie handmatig worden overgetypt, wat foutgevoelig is en kan leiden tot gevaarlijke situaties.

Overzicht van gebruikte epd-systemen in Nederlandse ziekenhuizen. Bron: M&I/Partners

Welke partijen zijn er naast HiX nog meer?

Naast HiX heeft concurrent Epic het grootste marktaandeel (16 procent). In tegenstelling tot ChipSoft is dit bedrijf niet in Nederlandse handen, maar de software wordt wel gebruikt door twaalf Nederlandse ziekenhuizen. Ook deze software wordt door anonieme bronnen in de 2DOC‑documentaire bekritiseerd omdat het systeem verouderd zou zijn. Een handjevol Nederlandse ziekenhuizen maakt gebruik van epd‑software van Nexus. Voorheen werd software van Cerner/SAP ook nog door enkele ziekenhuizen gebruikt, maar sinds vorig jaar is dat systeem niet meer in Nederland in gebruik.

De systemen van ChipSoft en Epic zijn in grote lijnen hetzelfde, maar dat laatste platform wordt door de ziekenhuizen die de ACM sprak als 'opener' gezien. Zo beschikt Epic in tegenstelling tot HiX over open api's en standaarden, waardoor klanten gemakkelijk patiëntgegevens kunnen uitwisselen met andere systemen. Het is weliswaar mogelijk om gegevens van HiX uit te wisselen met andere epd‑systemen, maar daarvoor moeten klanten een kostbare licentie aanschaffen voor het Zorgplatform van ChipSoft.

_{Redactie: Kevin Krikhaar • Eindredactie: Monique van den Boomen}

Reacties (93)

[caspar M]

Vanuit mijn rol als interface specialist (HL7/XML/FHIR en nog een reeks afkortingen) heb ik ervaring met Chipsoft en Epic omdat ik bij verschillende ziekenhuizen heb gewerkt en/of implementatie projecten heb gedraaid.

Het grote verschil voor mij in mijn dagelijkse werkzaamheden zit hem erin dat bij Epic je actief wordt geholpen met het het uitwisselen van data:

1. Je hebt een idee -> we hebben de volgende opties en voorstellen. 9 van de 10 keer zijn daar helemaal geen kosten voor. (hangt van je licentie model af)
2. Je directe collega's bij andere (Epic) ziekenhuizen hebben iets soortgelijks gemaakt -> we brengen je in contact en indien gewenst wisselen we bouw uit.
3. We hebben een jaarlijkse bijeenkomst waarbij Europese collega's elkaars projecten en leermomenten uitwisselen
4. Je Team Support en andere verwante technici komen graag (kosteloos) op bezoek om te kijken waar je meters kan maken, en je hebt wekelijks een uurtje om te sparren met je TS-er
5. Ieder kwartaal zijn er grote updates waarbij onze tooling weg wordt gemoderniseerd en uit oude systemen wordt gemigreerd (en ja helaas brengt dat ook voor ons veel werk)

Bij Chipsoft merk je in alle interacties dat mensen die aan de backend werken van ondergeschikt belang zijn. En alles wat je zelf maakt wordt actief tegengewerkt, om schaamteloos alsnog achteraf in betaling gebracht en vervolgens wordt je bouw ook bij je collega ziekenhuizen verkocht door Chipsoft. Tenmiste dat was voor de HIX update, tegenwoordig is er maar 1 keuze begreep ik. Wat in ieder geval niet veranderd is, is de "Comez" communicatie server... daar wordt ik soms nog badend in het zweet wakker van.....

[jpfx]

Het ergste is nog wel dat ze bij Chipsoft kosten durven te vragen voor "licentie" om data uit te kunnen wisselen. Met dergelijke belangrijke systemen zouden open standaarden moeten worden vastgelegd, en uitwisseling via die standaarden verplicht moeten zijn.

Daarmee zorg je niet alleen dat overstappen "eenvoudiger" wordt, maar zorg je ook voor een prestatiedrang in het verzorgen van een goed, veilig en vooral bruikbaar systeem om op die manier je klanten aan je te binden omdat ze willen in plaats van dat ze eigenlijk geen keus hebben.

[FreezeXJ]

En in je tweede stukje geef je dus precies aan waarom dit soort grote bedrijven vechten tegen alles wat naar 'open' stinkt, want dan moeten ze opeens iets gaan doen naast geld vangen.

Overstappen zit er niet in, want de concurrentie kan geen compleet pakket bouwen (kost jaren en bakken met geld vanwege de tonnen 'standaarden' en vereiste koppelingen en kennis) dus het is kiezen of delen. En zo lang ChipSoft ook uit het 'kiezen' geld kan trekken doen ze dat.

[Pathogen]

HiX is één groot drama en iedereen die ermee te maken heeft klaagt, 9 van de 10 keer terecht.

Maar er is geen alternatief.

[Bruin Poeper]

<blockquote><div class="quote">HiX is één groot drama en iedereen die ermee te maken heeft klaagt, 9 van de 10 keer terecht.

Maar er is geen alternatief.</div></blockquote>https://nedap-ons.nl/kennisbank/het-elektronisch-patientendossier-epd-wat-is-dat/

[tweebel]

Nedap Ons is op dit moment geen realistische optie voor de medisch specialistische zorg zoals die in ziekenhuizen wordt geleverd. Los daarvan: klanten zijn ook niet onverdeeld positief over hoe Nedap de leverancier-klantrelatie invult.

[Keyb]

Lekker doorgaan dan, want ja zo werken we altijd al hier. /s

[Marcel--]

Nedap is ook niet vrij van ellende: nieuws: Man aangehouden voor stelen tienduizenden patiëntgegevens van zorgplatform

[MornixRS]

Het probleem hier is dat de kop het telkens heeft over patiëntendossier terwijl de het een compleet informatiesysteem is waar het dossier een onderdeel van is. Je kunt het dus niet zomaar vergelijken met Nedap.

[batjes]

Ik lees hier dat huisartsenpraktijken en apotheken dit gebruiken voor patientendossiers e.d.

Daar is een prima alternatief voor, of je blij moet worden van Pharmapartners is een tweede, maar er is zeker een (Nederlands) alternatief.

[nadd]

Haha de Comez server :-)

[rocketno46]

Ik heb een aantal jaren implementaties gedaan bij ziekenhuizen aan de laboratorium kant. Het was echt altijd drama met HIX implementaties, super stroef allemaal. Met Epic was het een verademing en precies hoe je omschrijft.

[Twanekel]

Een tijdje terug heb ik een IAM integratie geimplementeerd voor HIX, echtwaar ik heb nog nóóit zo iets traags meegemaakt als de Comez server, iets met loglevels...

[Puppetmaster]

Helaas is Chipsoft zoals ze is idd, maar het is dan weer wel een Nederlands bedrijf, waar EPIC Amerikaans is.

In het kader van uit Amerikaanse ecosystemen stappen dan niet meteen een handige keuze?

[caspar M]

Eens, maarja dit soort implementaties kost miljoenen...en de meeste ziekenhuizen die op Epic draaien zijn ergens tussen 2014 en 2025 overgestapt. Dus tenzij iemand ze dwingt of een zak geld geeft zit het er voorlopig niet in dat ze weer een migratie traject ingaan.

[Triblade_8472]

Tijd om de wet wat meer aan te scherpen met het verplicht èn gratis beschikbaar stellen van api's.

Uit software wegtrekken moet ook middels deze api's gemakkelijk kunnen, voor landsbelang.

Daarnaast moet een bedrijf, welke belangrijk is voor nationaal belang, nooit meer dan 40% aandeel mogen hebben. Liever zelfs minder dan 33%, voor een gezondere markt. Blijkt dat er geen alternatieven zijn, dan moet de overheid hier financiering voor beschikbaar stellen tot het er wèl is.


Zo zijn er ook maar 2 spelers in de belastingwereld. Je wil niet weten hoe onnodig hoog die kosten zijn en hoe slecht de ontwikkeling hierin.

[CAPSLOCK2000]

We zien het overal aan het gebeuren, in talloze markten zijn er nog maar 1 of 2 grote bedrijven over en wat kleine niche-spelers. Die groten hebben de hele keten in handen, van productie tot verkooop en zijn zo groot en machtig dat ze eenzijdig de voorwaarden bepalen. Als producent van grondstoffen of deel producten kun je niet om zo'n grote marktpartij heen. Andere bedrijven zijn zoveel kleiner dat ze door gebrek aan schaal automatisch veel duurder zijn. Daardoor concentreert zich steeds verder.
Als er dan ook nog oneerlijke handelspraktijken bij komen dan wordt het helemaal onmogelijk om nog in zo'n markt in te stappen.

Op zich is dat verschijnsel niet nieuw, het is een bijna automatisch gevolg van onze vrije martkeconomie dat concurrerende bedrijven elkaar van de markt drijven. Een "vrije" economie heeft altijd regels gehad (net zoals ieder vorm van vrijheid). Daarvoor heb je wel een regering nodig die sterk genoeg is om die megabedrijven aan te kunnen. Daar schort het een beetje. Bedrijven zijn niet alleen stinkrijk waardoor ze de meeste en beste juristen kunnen aantrekken, maar ze opereren ook nog eens internationaal en spelen over de hele wereld landen tegen elkaar uit door handig gebruik te maken van verschillen in wetten. En door hun enorme diepe zakken kunnen ze overal wel aandacht en hulp krijgen.

Dat aanpakken zal op dezelfde schaal moeten, internationaal dus. NL alleen gaat niks gedaan krijgen, de EU zie ik er wel toe in staat maar om echt meters te maken hebben we ook de VS nodig, zeker als het om IT gaat. De komende jaren zie ik dat echter niet gebeuren. De politiek in de VS lijkt steeds verder verweven met de economie en volgt dezelfde patronen. Twee grote partijen die elkaar bestrijden met alle mogelijke middelen en meer bezig zijn met elkaar een hak te zetten dan te zorgen voor de burgers waar ze voor werken.

Ik vind ook dat er een grens moeten komen aan hoe groot bedrijven zijn, zowel horizontaal als vertikaal (binnen één markt of verdeeld over vele markten). De concurrentie door de overheid laten financieren vind ik echter geen goed idee. Ik vrees dat het niet efficient is en een subsidiepomp wordt. Als je eenmaal door de overheid wordt gefinancierd hoef je zelf geen moeite meer te doen, het geld komt toch wel. (beetje kort door de bocht, maar ok). Ik zelf kies voor meer extreme oplossingen: opsplitsen of nationaliseren. Eerst die laatste.

Als een bedrijf zó groot is dat de meerderheid van de bevolking ervan afhankelijk is (bv >80%) dan kan de vrije markt niet werken en begint zo'n bedrijf meer op een overheid te lijken. Dan is er iets voor te zeggen om het bedrijf te nationaliseren en echt als overheidsdienst te runnen. Al dan niet op enige afstand zoals we ook met het spoor en snelwegen doen.

Zo ver zou het echter niet moeten komen. Als een bedrijf 40% marktaandeel bereikt zou het wat mij betreft opgesplitst moeten worden in twee nieuwe bedrijven. Die beginnen dan met 20% marktaandeel, dat zou in vrijwel iedere markt genoeg moeten zijn om te overleven. Zoiets is lastig voor bedrijven die veel fysieke eigendommen hebben, je kan een fabriek niet in twee helften zagen en twee kleinere werkende fabrieken overhouden, en medewerkers al helemaal niet. Maar als het gaat om software is het vrij eenvoudig, die kun je kopieren en beide dochtersbedrijven een kopie geven. Contracten met anderen (klanten, onderleveranciers) opsplitsen zal ook niet makkelijk zijn maar is imho wel uitvoerbaar. We hebben het immers altijd over een succesvol bedrijf dat groeit (anders waren we niet in deze situatie gekomen). Als er groei is dan is er ook geld en dus goodwill bij leveranciers om nieuwe contracten te sluiten.

[sweetdude]

...De concurrentie door de overheid laten financieren vind ik echter geen goed idee. Ik vrees dat het niet efficient is en een subsidiepomp wordt. Als je eenmaal door de overheid wordt gefinancierd hoef je zelf geen moeite meer te doen, het geld komt toch wel. (beetje kort door de bocht, maar ok). Ik zelf kies voor meer extreme oplossingen: opsplitsen of nationaliseren. Eerst die laatste....

in de gewone open markt heb je gelijk, maar in dit specifieke geval (ziekenhuiswereld) zit je al met alleen publieks geld te werken. De inkomsten voor een ziekenhuis zijn puur uit de zorgverzekeringen bekostigd. Voor de academsche ziekenhuizen ook nog aangevuld uit onderzoeken en subsidies.

Zoals ook in de genoemde documentaire naar voor komt. Een nieuw product ontwikkelen kost ook miljarden die de ziekenhuizen in Nederland niet kunnen ophoesten en de verzekeringen niet gaan betalen omdat die juist weer geen commercieel belang erbij hebben.

[Reactie gewijzigd door sweetdude op 9 april 2026 13:13]

[FreezeXJ]

Ziekenhuizen zitten misschien wel vol publiek geld, maar de contracten die ze hebben met leveranciers zijn gewoon commercieel, en moeten ook zo behandeld worden. Die scheiding is prima, en zorgt dat je overheid klein genoeg blijft om behapbaar te zijn. Diezelfde overheid moet dan uiteraard wel reguleren, maar dat moet ie toch.

Helaas is de instapprijs voor deze markt heel hoog, en is er daarom geen commercieel plan op te zetten om een 4e partij te starten. Waar er dus aan gewerkt moet worden door zowel ziekenhuizen als wetgeving is dat in elk geval interfaces publiek en gedocumenteerd moeten zijn, zodat er losse blokjes verkocht kunnen worden.

[Xbeek]

Ik ben het eens met jouw analyse: Marktwerking zal vaak leiden tot 1 of 2 dominante spelers. Je ziet dit van Globale OS leveranciers tot onderwijs systemen in de klas.

Verplichte opsplitsing bij 40% marktaandeel lijkt me erg lastig. Het mechanisme is inherent aan ons kapitalistisch systeem en het is een achilleshiel van het model...

Ik hoop dat we hier globaal ooit nog eens een oplossing voor gaan vinden, Trump heeft in ieder geval indirect de awareness vergroot en de dialoog gestart, met zijn gedrag, nu kijken waar het toe zal leiden.

[tweebel]

Daar wordt aan gewerkt (https://www.nictiz.nl/standaarden/generieke-standaarden/apis-in-de-zorg/), maar het lastige is om hier een verplichtend karakter aan te hangen. VWS lijkt zijn handen daar niet aan te durven branden.

Onze zuiderburen hebben het al beter voor elkaar: https://nieuwsbriefzorgeninnovatie.nl/leren-van-het-belgische-model-databeschikbaarheid-hoeft-geen-miljarden-te-kosten/

In Nederland is wel gekozen voor het Twiin-afsprakenstelsel om allerlei afspraken rond databeschikbaarheid en uitwisseling vast te gaan leggen, maar ook dat berust vooralsnog niet op wet- en regelgeving.

In de praktijk zie je dat CS (en in mindere mate sommige andere leveranciers) echte open systemen vaak frustreren/vertragen/beperken/barrieres opwerpen. Dat heeft deels te maken met financiele belangen (als data en functie los staan, kan een klant iets anders gebruiken), deels met zoveel legacy in het "datamodel" dat data nauwelijks gestructureerd en op hoge kwaliteit beschikbaar zijn, maar middels ETL uit allerlei plekken in de DB opgevist moeten worden. Terugschrijven is al helemaal onmogelijk.

[locke960]

Misschien zie ik iets over het hoofd, maar dit lijkt me nou net iets dat Europees geregeld moet worden. 'Ieder land voor zich' draagt alleen maar bij aan markt versnippering en dat lijkt in het geval van ChipSoft een deel van het probleem te zijn.

[tweebel]

De derde pijler onder de EHDS moet deels gaan zorgen voor een open markt: https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space-regulation-ehds_nl (een eengemaakte markt voor systemen voor elektronische patiëntendossiers (EPD’s) ter ondersteuning van zowel primair als secundair gebruik bevorderen).

Doorlooptijd daarvan is echter fors. Lastige bij de gezondheidszorg blijft dat elk land een totaal ander model heeft voor de financiering en levering van zorg. Dat blijft lokaal (landelijk) maatwerk vereisen.

CS is zeker een deel van het probleem. Een ander deel zijn zorgbestuurders, die ondanks dat echt breed bekend is wat voor partij CS is, keer op keer hun hoofd in de strop steken en helpen zelf de galg te bouwen. Ja, het is lastig een goed alternatief te vinden. Maar men heeft deze situatie mede zelf gecreeerd, o.a. door mee te gaan in de zogenaamde "All you can HiX"-contracten. Zorgbestuurders zijn vaak zeer risico-avers en als je voor CS kiest en tekent bij het kruisje, houd je als bestuurder je baan.

[Shift]

Chipsoft is anti API. Ze weigeren alles. Ze willen voor nieuwe koppelingen veel geld.

[Bitfreakie]

Waarna andere ziekenhuizen diezelfde koppeling weer voor veel geld kunnen kopen en er jaarlijks ook voor mogen betalen.

[3d-pint]

Dat is voor Epic niet anders, echt een drama.

[_Richie_]

Lekker gefundeerde stelling, zeker in vergelijking met de ervaring die Caspar net gedeeld heeft.

Kracht van Epic is dat je veel meer in de inhoud kan customizen waardoor je efficiënter kan werken (let wel op: dit is er niet zomaar, dit kost serieus tijd om te bouwen). Epic is welwillend in oplossingen bedenken hierin. Hier zit ook wel een verdienmodel, je hebt allerlei certificaten nodig voor bepaalde modules. De training hiervoor kost allemaal geld. Vroeger moest je naar de VS maar nu hoeft dat geloof ik niet meer.

ChipSoft is echt one size fits all. Ze vinden dat ze de best practice hebben, pas je maar aan. Door deze aanpak ben je erg beperkt maar het is echt geen rommel wat ze leverend het grote voordeel is dat er voor de inhoud niemand aangenomen hoeft te worden om dit te beheren. Dat scheelt voor veel ziekenhuizen aanzienlijke personeelskosten. Daarom doen ze natuurlijk ook moeilijk over de koppelingen, bij elke nieuwe versie of update kan dit kapot gaan…

[MrDrako]

Ik snap niet hoe je hier een +1 voor krijgt, een compleet ongefundeerde opmerking die wel duidelijk maakt dat je niet met Epic werkt.

[bzuidgeest]

Ik weet niet of een groot marktaandeel perse slecht is. In 70% is best nog wel ruimte voor andere spelers.

Wat ik wel belangrijk vind is dat dit soort kritieke software voorzien is van open API's voor communicatie met andere systemen en dat de prijs gereguleerd word. Zodat de prijs kwaliteit in orde blijft. Maar als overstappen makkelijker gemaakt moet worden en zonder dure extra licenties voor communicatie tussen systemen dan zou de markt hopelijk prijs/kwaliteit af kunnen dwingen.

Ik denk ook dat de overheid wel wat eisen mag stellen als "alles in EU" en redundantie, beschikbaarheid etc en bij voorkeur met onafhankelijke test rapportage om te bevestigen. Dat is moeilijk voor klanten die weinig keuze hebben om te eisen. Maar een overheid kan het gewoon in de wet vastleggen.

Blijkt dat er geen alternatieven zijn, dan moet de overheid hier financiering voor beschikbaar stellen tot het er wèl is.

Tegenover buitenlandse, niet EU producten als die van Microsoft, google, ali (amerika/china) etc geef ik je helemaal gelijk. Het is moeilijk starten tegen een wereldwijde monopolist....
Maar ik vraag mij af of het binnenlands zin heeft. Een alternatief produceren zonder meerwaarde om maar een alternatief te hebben klinkt als weggegooid geld. Als iedereen dan tevreden is met keuze A een keuze B maken is een beetje vreemd. Ik zie wel een beetje in sponsoring, maar dan moet de nieuwe jongen wel met een plan komen met een meerwaarde. Iets bieden dat de ander niet heeft om de keuze waardevol te maken. Anders heb je kans dat het net word als met firefox. 100% google gesponserd om te kunnen zeggen dat ze geen monopolist zijn in browsers.... Sure..

[RogerWilco2]

Soms zie je in een markt één dominante speler omdat de rest geen gelijkwaardig aanbod heeft. Denk aan het hier welbekende voorbeeld Steam.

Voor zoiets als de zorg zou je meer diversiteit en vooral uitwisselbaarheid willen zien.

Het is voor de uitwisselbaarheid wel lastig om goede secure APIs af te spreken, anders wordt dat juist een makkelijke toegang voor hackers. Je wilt niet dat bekende vulnerabilities in open APIs moeilijk te patchen zijn omdat mensen afhankelijk zijn van een oudere versie bijvoorbeeld.

[3d-pint]

Is die screenshot zelf geen datalek?
Het lijkt een beeld uit de productie-omgeving van een ziekenhuis, waarschijnlijk Saxenburgh gezien de titelbalk. En bij de recente resultaten staan patiëntnamen en bij hen verrichte onderzoeken.
In het ziekenhuis waar ik werk zou dit niet gewaardeerd worden, om het zacht uit te drukken.

edit:
Het betreft blijkbaar de namen van aanvragend specialisten uit het ziekenhuis, dus niet van patiënten.

[Reactie gewijzigd door 3d-pint op 9 april 2026 11:24]

[jip_86]

Ja als meneer Test Man-Partner zou ik er zeker niet blij mee zijn dat men weet dat ik in 1800 een kruisbandruptuur heb gehad

[roystokvis]

De namen zijn gelukkig niet van patiënten. Ben wel benieuwd waar dit screenshot vandaan komt, aangezien ik deze ooit eens zelf heb gemaakt...

[3d-pint]

Ook die onder recente resultaten niet? Jouw naam in de titel is in ieder geval niet nep.

Na wat googelen zie ik dat het namen van specialisten uit je ziekenhuis zijn, dus geen patiënten. Dat scheelt een boel.

[Reactie gewijzigd door 3d-pint op 9 april 2026 11:23]

[bigtree]

Mogelijk is het een still uit deze screencast: https://vimeo.com/329139007?fl=pl&fe=vl

[3d-pint]

Maar als je mijn opmerking goed leest, zie je rechts in beeld patiëntgevens staan die niet overduidelijk nep zijn.

[roystokvis]

Dat zijn gelukkig geen patiënten, maar namen van de arts

[Jeroen73]

Ik wilde eerst grappig reageren dat het om meneer Test Man-Partner gaat die overduidelijk geen echt persoon zal zijn, maar ik zie nu ook namen van de behandelend artsen en die zien er toch al een heel stuk minder testelijk uit.

[ZesBarkiePK]

Ik denk eerder uit de test of acceptatie omgeving. Het is een test patiënt, geen echt persoon.

Oh nee het is een test patiënt uit de productie omgeving. Niet zo handig van Roy Stokvis om dit direct te delen.

[Reactie gewijzigd door ZesBarkiePK op 9 april 2026 10:54]

[roystokvis]

Dit is een screenshot die ergens uit een handleiding is getrokken van ongeveer 5 jaar geleden. Er staan geen patiëntgegevens in, dus ik vind dat het onhandige nog wel meevalt.

[3d-pint]

In de titel van de screenshot staat toch duidelijk : Roy Stokvis - Productie

[kaas-schaaf]

Reverse image search laat zien dat dit het voorbeeld image is dat op meer plekken gebruikt word. Mijn vermoeden is dat dit door de leverancier gemaakt is (neemt niet weg dat dit mogelijk nog steeds fout kan zijn)

edit: het is dus zeer onwaarschijnlijk dat tweakers de gene is die dit als eerste in de openbaarheid brengt, maar goed...

[Reactie gewijzigd door kaas-schaaf op 9 april 2026 10:57]

[3d-pint]

Zie dit exacte beeld zelf niet, maar helaas dwingt mijn ziekenhuis Bing af, dus zoeken is beperkt.

[kaas-schaaf]

Ik kwam het tegen in een video en meerdere pdfs (via Googler reverse image search). Vandaar het vermoeden van een voorbeeld applicatie. Neemt niet weg dat de secundaire data echt kan zijn. Het zal niet de eerste keer zijn dat een productie database gebruikt wordt voor zulke doeleinden.
Ik heb in het verleden als student (lang geleden) eens met echte zorgdata mogen werken om een model te testen op niet voorgeselecteerde data en daar zat er iemand live naast me waar ik iedere stap moest uitleggen en verklaren waar het heen ging. Helaas kon mij die ook vertellen dat dat niet de standaard was. Dus ik houd een slag om de arm.

[Reactie gewijzigd door kaas-schaaf op 9 april 2026 11:08]

[EmbeddedPower]

Telefoonnummer van de patient is ook het contactnummer van Saxenburgh.

[Vishari Beduk]

In dit artikel wordt de indruk gewekt dat Epic beter zou zijn dan Chipsoft, dat zit wat subtieler. Epic is ook een enge firma met wurgcontracten en extreem dure migratie projecten.
Voor de techneuten is het ook interessant om te weten dat Epic gebaseerd is op de programmeertaal MUMPS en dat ze gebruik maken van de InterSystems Caché database. En dat zijn allemaal extreem verouderde technologien. Zowel Epic als InterSystems hebben moeite om nog software developers te vinden die nog kunnen/willen werken in deze software. Vergelijk het met Cobol maar dan nog erger.

[Martinez-]

Verschil zit er wel in dat Epic over gaat naar een modernere programmeertaal die binnen afzienbare tijd gepushed gaat worden, als deze niet weer uitgesteld wordt.

Dat zie ik bij ChipSoft nog lang niet gebeuren.

edit:
Ik bedoel bij CS overigens niet de programmeertaal, maar meer de legacy/code-debt die er bestaat. Bron: diverse oud-medewerkers van CS.

[Reactie gewijzigd door Martinez- op 9 april 2026 13:35]

[eddie010]

Aangezien alle developer vacatures die ze op dit moment open hebben staan allemaal vragen om .NET developers (bron: LinkedIn, want hun site ligt nog plat), zie ik dat als moderne programmeertaal. Wat is hier volgens jou precies verouderd aan?

[Martinez-]

Je hebt gelijk - ik bedoel meer hun codebase dan dat ik de taal bedoel. Zover ik weet (heb niet bij ChipSoft gewerkt, maar wel veel contact gehad met oud-CS-medewerkers) hebben ze een flinke code-debt en durven ze daar ook weinig tot niet aan te toornen.

[tweebel]

Aanvullend: Er zit in de data(base)-architectuur ontzettend veel legacy.

Met name de dossierdata zijn niet gebaseerd op (inter)nationale informatiestandaarden, maar zijn een organisch gegroeide brei waarin zelfs de meest standaard informatie zoals lengte, gewicht, bloeddruk et cetera op meerdere plaatsen (tabellen) in verschillende formats kan worden opgeslagen. Dat betekent dat er niet 1 waarheid is. Zelfs als binnen het ene specialisme bepaalde basis (medische) patiëntgegevens worden vastgelegd, wil dat niet zeggen dat het andere specialisme hierover kan beschikken.

Dit maakt het binnen ziekenhuizen in sommige gevallen al lastig om op basis van de juiste data samen te werken, maar over de eigen muren heen wordt het bijna onmogelijk. Een heel groot deel van de medische data kan niet, nauwelijks of pas na aanzienlijke nabewerking beschikbaar komen op gestructureerde wijze.

Dit heeft allerlei consequenties, waarvan de meestgehoorde ongetwijfeld de registratielast is. Informatie is immers nauwelijks herbruikbaar of terugvindbaar, waardoor constant opnieuw wordt uitgevraagd en geregistreerd.

[Vishari Beduk]

Geef is een bron waarop je dit baseert? Voor zover ik weet is het praktisch onmogelijk voor Epic om van hun InterSystems basis af te komen; het is nagenoeg een geheel. Wel hebben zo door de jaren heen heel veel lagen om hun core gebouwd in diverse talen en technologieen.
ChipSoft daarentegen zit op modern .NET
Disclaimer; ik heb ooit een InterSystems certificering gehaald en werk niet bij ChipSoft

[Martinez-]

[Verwijderd]

Dit zijn teveel details en herleidbaar naar mij als persoon. Toch maar weggehaald :-).

[Reactie gewijzigd door Martinez- op 9 april 2026 13:34]

[W99]

Caché iets met pipes, "world fastest database" met de mumps laag op je database vaak met ingebakken business logica. Daarbij betaal je ook nog dure licentie kosten om er gebruik te kunnen van maken. Ik snap wel dat er weinig mensen te vinden zijn die hiermee willen werken.

[Stukfruit]

Ik vind wel dat dit soort partijen, samen met bijvoorbeeld Odido, een stuk makkelijker aangepakt moeten kunnen worden.

Dat ze moderne technologie gebruiken zou geen reden moeten zijn om dat niet te doen. Tegenwoordig is bijna ieder bedrijf een "techbedrijf".

Overigens heb ik wel medelijden met de heer Man-Partner.

[Twanekel]

Het moeilijke van het aanpakken van dit soort partijen is de grote afhankelijkheid ervan. En de prijs zal uiteindelijk toch wel weer bij de ziekenhuizen eindigen, ofwel, de belastingbetaler. Dus ja, wat doe je met een partij als ChipSoft. Een voorbeeld daarvan is dat wanneer Hix eruit ligt bij een ziekenhuis de spoedeisende hulp dicht gaat en de IC's hun patienten kunnen gaan overplaatsen naar een ander ziekenhuis.

[ronaldvr]

Net als met alle cloud/SaaS oplossingen hebben we dus door het creëren van een 'single point of failure' ons *kwetsbaarder* gemaakt in plaats van robuuster. Wat ik eerder zei: Directies van bedrijven zien IT als een *kostenpost* en vergeten dat de I voor de Informatie staat die het levensbloed van een bedrijf is dat je dus niet zomaar uit handen moet geven aan een derde partij.

[Willem30]

GUI stamt ook nog uit de jaren 90 zo te zien.

[platte_plank]

En het is mega traag, mijn broer klaagt er iedere dag over. Hij werkt op de hartafdeling in Den Haag en HIX zit soms echt mensenlevens in de weg.

[BrennuS]

Chipsoft dominant, dat is niet nieuw. Wie kent deze nog: Chipsoft weigerde bij de introductie van de AVG verwerkingsovereenkomsten te tekenen, ken er weinig die dit toen al durfde.

https://www.zorgvisie.nl/...-inspectie-over-chipsoft/
https://zorgictzorgen.nl/...oor-zorg-ict-leverancier/
Afspraken over veiligheid patiëntengegevens: niet voor ons? | medischcontact

[Reactie gewijzigd door BrennuS op 9 april 2026 13:28]

[armageddon_2k1]

Die testpatient heeft wel pech zeg. Amputatie _en_ cholera

[Skit3000]

En dat terwijl die screenshot is genomen van een productieomgeving. Ongeacht of het een dummy-productie instantie is of niet, je wilt toch nooit dat je medewerkers dat direct toegang tot hebben?

[Beta]

Wat is er mis met een dummy patient in een productie omgeving?

[Skit3000]

Dan krijg je uiteindelijk dat iemand het een keer gebruikt tijdens een training of demonstratie en per ongeluk een handeling uitvoert bij een dossier van een echte patiënt. Het zou niet de eerste keer zijn, er zijn genoeg voorbeelden te vinden waar dit mis ging en mensen bijvoorbeeld werden doodverklaard door de gemeente.

[FreezeXJ]

Het alternatief is niet testen in een productie-omgeving (en hopen dat je test-omgeving exact gelijk is aan productie... hint: dat is ie niet), of testen op echte patienten, wat ook geen keuze mag zijn.

Sowieso, waar mensen werken worden fouten gemaakt, het gaat erom dat je ze heel snel vindt, en herstelt.

[Meauses]

En zoals het menig huisarts betaamt alleen paracetamol voorgeschreven

[Tormbo]

Ben heel hard op zoek naar de gele A

[Tc99m]

Het is sowieso een hele bijzondere patiënt: in 2009 opgenomen tijdens diens eerste zwangerschap (op 73-jarige leeftijd), maar in 2017 óók behandeld voor een gedraaide teelbal.

[Heroic_Nonsense]

En hij heeft een abortus gehad.

[Kroesss]

En bij dat alles heeft hij dus alleen maar paracetamol gekregen, waar hij ook nog bijwerkingen van heeft.

[pumpidumpi]

En nog wel meer, maar wat wil je? In 1800 had ie al last van zn kruisband, vervolgens in 1936 geboren. Vrij recent ook nog een abortus gehad die mislukt is, maar dat zal wel vaker mislukken bij mannen.

[Stukfruit]

Laat ook zien dat het niet echt een net systeem is trouwens.

Als zelfs je testdata in de basis niet klopt, of nog erger: op die manier in de UI doorkomt...

Je zou verwachten dat een systeem dat dit soort zaken automatiseert ook enige hoeveelheid aan checks bevat.

[vanengelandt]

Mislukte abortus bij een man

[Icefellow]

Wat dacht je van die kruisbandruptuur uit 1800 die hij blijkbaar dus al ongeveer 190 jaar voor zijn geboorte had?

Best bijzonder dat je diagnoses met een jaartal voor de geboorte kan toevoegen

[pumpidumpi]

Ik zou ook wachten tot dat over is voordat je jezelf geboren laat worden.

[koppie]

Ik heb al een tijdje niet zo hard gelachen om alle reacties.

En ik heb medelijden wat dhr Samuel Test Man-Partner allemaal heeft meegemaakt. Dat gun je niemand.

[Havvie]

Vind de kruisbandruptuur in 1800 ook wel een interessante casus...

[Heroic_Nonsense]

Deze man (zie logo naast patientennaam), heeft ook een abortus ondergaan.

[HellBeast]

Met 1 miljoen per jaar per ziekenhuis voor updates mag je wel verwachten dat de security op een bijzonder hoog niveau had moeten liggen. Dan kun je het kostenaspect niet de schuld geven. Waarschijnlijk zullen we niet te horen krijgen hoe ze precies zijn gehackt. Het kan natuurlijk ook een menselijke factor (onbedoeld of nog erger sabotage) zijn geweest.