Het overheidsadvies aan zorgaanbieders om hun browser niet te updaten is gegeven omdat de software in de zorg nog steeds van Java gebruikmaakt. Browserupdates die de ondersteuning van Java uitschakelen kunnen er dan ook voor zorgen dat de software van zorgaanbieders niet meer werkt.

Dat heeft minister Schippers van Volksgezondheid op Kamervragen van D66 laten weten. Vorige maand werd er een e-mail gestuurd aan zorgaanbieders die van het UZI-register gebruikmaken. Het Unieke Zorgverlener Identificatie Register (UZI-register) is het door de minister van Volksgezondheid aangewezen register van zorgaanbieders. Het wordt beheerd door het CIBG, een uitvoeringsorganisatie van het ministerie van Volksgezondheid. Het UZI-register is de certificatiedienstverlener die certificaten uitgeeft voor de unieke identificatie en authenticatie van zorgaanbieders in de zorg.

Voor het laten inloggen van zorgaanbieders wordt er van Java- en ActiveX-onderdelen gebruik gemaakt. In de betreffende e-mail aan zorgaanbieders waarschuwde het CIBG om browsers op de computer niet te updaten, aangezien die vanaf oktober de vereiste Java- en ActiveX-onderdelen niet meer ondersteunen. D66-Kamerleden Verhoeven en Dijkstra wilden weten waarom er niet eerder stappen genomen zijn om de huidige situatie te vermijden, aangezien het al sinds januari bekend is dat browsers hun Java-ondersteuning stoppen.

"Ik ben op de hoogte dat het stoppen van de ondersteuning al sinds januari 2016 bekend is. Het probleem speelt tussen de leveranciers van softwarepakketten en de afnemers van deze pakketten (zorgaanbieders). Omdat er signalen waren dat de softwareleveranciers dit probleem niet overal onderkend en opgelost zouden hebben, is besloten actie te ondernemen", aldus Schippers.

Eigen verantwoordelijkheid

Volgens de minister hebben zorgverleners een eigen verantwoordelijkheid als het gaat om het beveiligen van de eigen ict-omgeving. "Het is belangrijk dat zorgverleners zelf de afweging maken tussen beveiliging en mogelijke beperking in functionaliteit. Om deze afweging te kunnen maken heeft het CIBG besloten via de betreffende de mail de zorgverleners te informeren", schrijft Shippers. "Ik ben mij bewust van het belang van beveiligingsupdates en zal in beginsel altijd adviseren beschikbare beveiligingsupdates van browsers en bijhorende plug-ins te installeren."

In de e-mail die het CIBG verstuurde wordt geadviseerd om automatische updates niet meer te laten plaatsvinden. Dit betekent volgens Schippers dat deze updates alleen kunnen plaatsvinden in een gecontroleerd proces waarbij ook getest wordt of het pakket waar de zorgaanbieder mee werkt, ook na de update blijft werken. "Op basis van een eigen risico inventarisatie dient de aangeschreven zorgverlener te beoordelen op welke wijze hij het advies van het CIBG implementeert", laat de minister verder weten (pdf).

Schipper meldt ook dat het Nationaal Cyber Security Center (NCSC) van de overheid niet bij het advies van het CIBG was betrokken, maar zich nu wel met het dossier bezighoudt. De verplichting om Java te gebruiken zou voor het einde van dit jaar moeten zijn opgelost.