In dit deel voeren we een analyse uit op de onderwerpen van het koppelvlak en de onderliggende infrastructuur.
Alle regio’s hebben gekozen voor HINQ als platform, die de generieke functies ‘op eigen wijze’ faciliteert. Met KPN is geëxperimenteerd als platform, echter kon deze niet de diensten leveren zoals HINQ dit doet.
AIG werkt vanuit een node model conform de DIZRA-principes: De node vangt databevraging af en de data blijft bij de bron achter die node.
AIG heeft enkele onderdelen van de eisen aan de IT-infrastructuur hergebruikt die volgen uit het MedMij Afsprakenstelsel. De eisen die volgen uit het MedMij Afsprakenstelsel zullen blijven gelden voor zover sprake is van uitwisseling met de cliënt. Immers blijft vooralsnog het MedMij Afsprakenstelsel bestaan naast het Twiin Afsprakenstelsel. De Stichting MedMij houdt toezicht op de naleving van die eisen als het gaat om uitwisseling met de cliënt. Zodoende is er geen noodzaak om voor deze onderdelen ook nog via AIG eisen te stellen aan de IT-infrastructuur.
Twiin noemt NEN7512 als voorwaarde en ook twee lagen van beveiliging, namelijk veilig netwerk en mutual TLS. De technische eisen die nu gesteld worden zijn het onderdeel IT- infrastructuur van AIG zeer beperkt uitgewerkt. Er zijn zeven eisen waarvan er drie zien op TLS. Deze zeven eisen komen overeen met de eisen van het Twiin Afsprakenstelsel. Ook het Twiin Afsprakenstelsel verplicht de toepassing van mutual TLS als kanaalbeveiliging en stelt daarnaast de eisen voor een veilig netwerk.
Vanuit de vorige Fit-gap is geconstateerd dat PKI-overheid-certificaten onvoldoende zijn voor identificatie (van leveranciers). Hiervoor zou een register van vertrouwde gevalideerde/gekwalificeerde leveranciers en applicaties opgesteld moeten worden. In Twiin Afsprakenstelsel is hiervoor nog niets vastgesteld. Nuts heeft een combinatie van Decentralized Identifiers (DID’s) in combinatie met het Nuts-register. Authenticatie vindt op verschillende wijzen plaats.
Twiin authentiseert zorgaanbieders op basis van PKI-certificaten. Nuts authentiseert zorgaanbieders alleen ten behoeve van het opzetten van een versleutelde verbinding op basis van PKI-certificaten. Nuts authentiseert zorgaanbieders ten behoeve van generieke functies op basis van DID's en Verifiable Credentials (VC's).
Aan de lokalisatie-functie binnen Nuts ligt een expliciete toestemming ten grondslag. Twiin beschrijft in de huidige release het gebruik van Mitz voor lokalisatie, ten tijde van de Fit-Gap uit 2022 was de beschrijving gericht op geïndexeerde bevragingen waarbij een lokaal/regionaal register voorhanden is voor lokalisatie. Daarnaast registreert Nuts (expliciete) toestemming in het bronsysteem.
Aandachtspunt: Nuts is bezig met een actualisatie naar versie 6, waaraan ook HINQ zich conformeert. Het vraagt opvolgende verkenning om te bekijken hoe de infrastructuur en invulling van de generieke functies vanuit technisch oogpunt in lijn (te brengen) zijn.