Mag mijn EPD-leverancier kosten rekenen als ik overstap?

Tot 12 januari 2027 mag de leverancier alleen de werkelijk gemaakte, directe overstapkosten in rekening brengen, zonder winstmarge. Vanaf 12 januari 2027 zijn overstapkosten onder de Europese Data Act volledig verboden, inclusief kosten voor data-extractie en technische migratieondersteuning. Een proportionele beëindigingsvergoeding bij voortijdig opzeggen van een lopend contract blijft wel toegestaan.

Hoe lang mag de opzegtermijn van mijn EPD-contract zijn?

Onder de Data Act is de opzegtermijn wettelijk gemaximeerd op twee maanden. Daarna geldt een overgangsperiode van maximaal 30 kalenderdagen waarin de leverancier de dienst in stand houdt. Is een overstap technisch onhaalbaar binnen die termijn, dan kan de transitieperiode worden verlengd tot maximaal zeven maanden, waarbij de leverancier moet blijven leveren.

Wat gebeurt er met mijn patiëntendossiers als mijn EPD-leverancier failliet gaat?

Zonder afspraken vooraf loop je het risico dat een cloudgebaseerd EPD abrupt onbereikbaar wordt. Regel daarom data-escrow of SaaS-escrow, waarbij een actuele kopie van de database bij een onafhankelijke partij staat en bij faillissement aan jou wordt vrijgegeven. Combineer dat met step-in rechten bij de hostingprovider en controleer waar de intellectuele eigendomsrechten op de software liggen.

Wat moet ik regelen om lock-in te voorkomen als ik nu ga tekenen?

Leg contractueel vast dat je data eigendom van de praktijk blijft en exporteerbaar is in een open, machineleesbaar formaat met data dictionary. Beding een opzegtermijn van maximaal twee maanden, verbied opschorting van de dienst bij betalingsgeschillen en regel escrow met step-in rechten. Vraag ten slotte om bewijs van een geldig XIS Keurmerk en, waar van toepassing, de zelfbeoordeling conform NCS 7560.

Vendor lock-in bij EPD's: let hierop in je contract

Je EPD (in de huisartsenzorg het HIS) is de operationele en medisch-inhoudelijke spil van je praktijk. Die afhankelijkheid maakt je kwetsbaar voor vendor lock-in: de situatie waarin overstappen naar een andere leverancier zo moeilijk, duur of technisch onhaalbaar wordt dat je feitelijk vastzit. Lock-in ontstaat zelden door één oorzaak. Het is een optelsom van gesloten systemen, gebrek aan interoperabiliteit en contractvoorwaarden die je onderhandelingspositie aan het einde van de looptijd uithollen. De belangrijkste bescherming regel je niet achteraf, maar in het contract dat je tekent.

Wat vendor lock-in bij een EPD is

Lock-in betekent dat je bij een overstap wordt geconfronteerd met operationele discontinuïteit, hoge migratiekosten en juridische barrières. Concreet: je data zit opgesloten in een propriëtair formaat, de leverancier vraagt geld voor data-extractie, of de opzegtermijn is zo lang dat overstappen praktisch onmogelijk wordt. Het risico raakt niet alleen je portemonnee, maar ook de continuïteit van zorg en de patiëntveiligheid. Hoe meer je vooraf vastlegt, hoe kleiner de kans dat je later klemzit.

Contractuele aandachtspunten: opzegtermijn, export en kosten

Er zijn vier punten die je in elke EPD-overeenkomst expliciet moet borgen:

Opzegtermijn: onder de Data Act is deze wettelijk gemaximeerd op twee maanden. Leg dat vast, gevolgd door een gegarandeerde overgangsperiode van minstens 30 kalenderdagen waarin de leverancier de dienst in stand houdt.
Export-clausules: eis dat de leverancier al je patiëntdata en metadata aanlevert in een gestructureerd, machineleesbaar en open formaat, inclusief een data dictionary. Zonder die eis krijg je data in een onleesbaar formaat, wat herimport onmogelijk maakt.
Exit-kosten: tot 12 januari 2027 mag een leverancier alleen de werkelijk gemaakte, directe overstapkosten in rekening brengen, zonder winstmarge. Vanaf 12 januari 2027 zijn overstapkosten volledig verboden.
Data-eigendom: leg vast dat alle patiëntdata, metadata en configuratiebestanden exclusief eigendom van de praktijk blijven en dat de leverancier zijn verplichtingen nooit mag opschorten, ook niet bij een betalingsgeschil.

Wat zegt de wet: Data Act, EHDS en Wegiz

Drie wettelijke kaders verschuiven de macht richting jou als afnemer. De Europese Data Act (Verordening (EU) 2023/2854) is op 12 september 2025 in werking getreden, heeft rechtstreekse werking en geldt ook voor bestaande contracten. De verordening dwingt overstap- en dataportabiliteitsrechten af: een opzegtermijn van maximaal twee maanden, een overgangsperiode van 30 kalenderdagen (bij technische onhaalbaarheid te verlengen tot maximaal zeven maanden) en het verbod op overstapkosten vanaf 12 januari 2027.

De European Health Data Space (EHDS) is op 26 maart 2025 van kracht geworden en verplicht EPD-systemen tot open, interoperabele architectuur. De Nederlandse invulling loopt via de Wet elektronische gegevensuitwisseling in de zorg (Wegiz), in werking getreden op 1 juli 2023, die nu wordt opgevolgd door de Wet op het gezondheidsinformatiestelsel (Wet GIS). De EHDS-bepalingen worden vanaf 26 maart 2027 van toepassing. Waar de Wegiz uitging van certificering door een onafhankelijke derde partij, schrijft de EHDS zelfbeoordeling door de fabrikant voor. Ter ondersteuning daarvan is op 18 juni 2026 de norm NCS 7560 gepubliceerd voor de zelfbeoordeling van EPD-systemen.

Wat er gebeurt bij overname of faillissement van je leverancier

Een cloudgebaseerd EPD kan abrupt onbereikbaar worden als de leverancier failliet gaat of zijn hostingpartij niet meer betaalt. Klassieke software-escrow (alleen de broncode bij een notaris) helpt dan niet: zonder actuele database en draaiende infrastructuur heb je aan losse broncode niets. Let daarom vooraf op waar de intellectuele eigendomsrechten liggen. Vaak liggen die bij een moedermaatschappij en niet bij de werkmaatschappij waarmee je het contract sluit; is dat niet goed vastgelegd, dan kan de curator het gebruik van de software blokkeren.

Dek dit risico af met concrete continuïteitsafspraken:

Data-escrow: een actuele, versleutelde kopie van de database wordt dagelijks of wekelijks weggeschreven naar een onafhankelijke escrow-agent en bij een trigger event (faillissement, staking van de dienst) direct aan jou vrijgegeven.
SaaS- of cloud-escrow: houdt de hele cloud-infrastructuur (configuraties, databases en applicatie-images) operationeel bij een onafhankelijke partij, zodat de dienst in de lucht blijft terwijl je een migratie voorbereidt.
Step-in rechten: een meerpartijenafspraak met de hostingprovider waarin is vastgelegd dat jij bij faillissement van de leverancier de hostingcontracten rechtstreeks kunt voortzetten, zodat servers niet wegens wanbetaling worden uitgeschakeld.

Let op geforceerde consolidatie in de markt

De EPD-markt consolideert sterk, wat je keuzevrijheid onder druk zet. Een voorbeeld is HealthConnected, dat in de zomer van 2025 werd overgenomen door de Noorse ICT-partij Visma. Zorgverzekeraars en regionale huisartsenorganisaties oefenden druk uit op huisartsen om over te stappen naar dit systeem als preferent HIS. Overgestapte praktijken meldden falende basisfuncties en dataverlies door gecorrumpeerde dossiers bij de conversie, terwijl het platform niet over het verplichte XIS Keurmerk beschikte. De les: laat regionale druk of een overnameverhaal je niet dwingen te tekenen zonder dat certificering en exitvoorwaarden op orde zijn.

Checklist vóór je tekent

Opzegtermijn van maximaal 2 maanden, gevolgd door een overgangsperiode van minstens 30 dagen met gegarandeerde dienstverlening.
Geen overstapkosten vanaf 12 januari 2027, inclusief data-extractie en technische overdracht.
Data-export in een gestructureerd, machineleesbaar en open formaat, inclusief data dictionary.
Alle patiëntdata, metadata en configuratie blijven exclusief eigendom van de praktijk.
Een clausule die opschorting van de dienst of dossiertoegang bij betalingsgeschillen verbiedt.
SaaS- of data-escrow plus step-in rechten met de hostingprovider voor het geval van faillissement.
Verificatie van waar de intellectuele eigendomsrechten op de software liggen.
Bewijs van een geldig XIS Keurmerk en, waar van toepassing, de zelfbeoordeling conform NCS 7560.

Concrete vragen aan je leverancier

Stel deze vragen voordat je tekent, en leg de antwoorden schriftelijk vast:

In welk formaat lever je mijn volledige data aan bij een overstap, en wat kost dat vóór en na 12 januari 2027?
Wat is de opzegtermijn en hoe lang blijft de dienst na opzegging beschikbaar zodat ik mijn data kan ophalen?
Hoe is de continuïteit van mijn gegevens geborgd bij een storing, overname of faillissement, en is er een SaaS- of data-escrow?
Bij welke entiteit liggen de intellectuele eigendomsrechten op de software, en beschikt het systeem over een geldig XIS Keurmerk?

Vendor lock-in bij EPD's: waar let je op in je contract