Bredere regelgeving voor healthtech startups in Nederland

De MDR krijgt in healthtech de meeste aandacht, maar is maar één van de regels waar je mee te maken krijgt. Zodra je software gezondheidsgegevens verwerkt, met zorgprofessionals samenwerkt of AI inzet, komen er andere wetten bij. Veel founders ontdekken die pas als een zorginstelling in de inkoopfase om een DPIA, een NEN 7510-verklaring of een verwerkersovereenkomst vraagt.

In dit artikel krijg je per wet een kort overzicht: wat het is en wanneer het jou raakt. Onderaan staat een tabel die je als checklist kunt gebruiken. Dit artikel is een oriëntatie en geen juridisch advies; welke regels precies gelden hangt af van je product, je rol en je klanten.

Wat is healthtech-regelgeving?

Healthtech-regelgeving (ook zorgwetgeving voor e-health of regelgeving voor digitale zorg genoemd) is het geheel van Europese en Nederlandse regels dat bepaalt hoe je gezondheidsgegevens verwerkt, hoe veilig je systemen moeten zijn, wie zorg mag verlenen en hoe zorg wordt gefinancierd. Voor een startup gaat het om drie vragen: verwerk ik gezondheidsgegevens, ben ik zelf zorgaanbieder of leverancier van een zorgaanbieder, en is mijn product een medisch hulpmiddel of AI-systeem?

Het antwoord op de laatste vraag lees je in MDR voor healthtech founders. Hieronder gaat het over de rest.

Privacy: AVG, gezondheidsgegevens en de DPIA

Gezondheidsgegevens zijn onder de AVG bijzondere persoonsgegevens. De Autoriteit Persoonsgegevens (AP) is daar duidelijk over: er geldt een algemeen verbod op het verwerken ervan, tenzij een wettelijke uitzondering van toepassing is, zoals uitdrukkelijke toestemming of noodzaak voor goede zorg. Ook gegevens die je zelf misschien niet als medisch ziet, zoals stemming, slaap of stressniveau, kunnen gezondheidsgegevens zijn.

Wat dat voor jou betekent:

• Grondslag en uitzondering. Leg vast op welke grondslag je verwerkt en welke uitzondering op het verbod je gebruikt.
• DPIA. Bij verwerkingen met een hoog privacyrisico is een data protection impact assessment verplicht. Gevoelige gegevens zijn een van de criteria voor hoog risico. Zorginstellingen vragen bij inkoop vaak naar je DPIA of naar input voor die van hen.
• Rolverdeling. Ben je verwerker voor een zorgaanbieder, dan sluit je een verwerkersovereenkomst. Bepaal je zelf doel en middelen, dan ben je verwerkingsverantwoordelijke.
• Functionaris gegevensbescherming. Bij grootschalige verwerking van bijzondere persoonsgegevens is een FG verplicht.

Informatiebeveiliging: NEN 7510, 7512 en 7513

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. NEN 7512 gaat over de vertrouwensbasis bij gegevensuitwisseling (wie is wie, en hoe stel je dat vast) en NEN 7513 over logging: vastleggen wie wanneer welk dossier heeft ingezien. Zorgaanbieders moeten op grond van het Besluit elektronische gegevensverwerking door zorgaanbieders met deze normen werken.

Certificering is volgens de AP op grond van de AVG niet verplicht, maar de norm geldt wel als erkende standaard. In de praktijk vragen zorginstellingen hun leveranciers vaak om aantoonbaar volgens NEN 7510 te werken of gecertificeerd te zijn. Neem dat mee in je planning en je budget, want een certificeringstraject kost tijd.

Gegevensuitwisseling: Wegiz en EHDS

De Wegiz (Wet elektronische gegevensuitwisseling in de zorg) is sinds 1 juli 2023 van kracht. De wet verplicht zorgverleners om bij aangewezen uitwisselingen gegevens elektronisch te delen volgens vaste afspraken over taal en techniek. De eerste vier uitwisselingen zijn onder meer medicatieoverdracht, beeldbeschikbaarheid, eOverdracht en de basisgegevensset zorg tussen medisch-specialistische instellingen. Bouw je software die in een van die stromen meedraait, dan moet je aansluiten op de bijbehorende standaarden.

De EHDS (European Health Data Space, Verordening (EU) 2025/327) is op 26 maart 2025 in werking getreden. De meeste verplichtingen gelden pas later: vanaf maart 2029 moeten de eerste groep gegevens, zoals patiëntsamenvattingen en e-recepten, uitgewisseld worden en gaan regels voor secundair gebruik van gezondheidsdata gelden; in maart 2031 volgt een tweede groep. Fabrikanten van EPD-systemen krijgen eisen voor interoperabiliteit en beveiliging. Voor jou kan de EHDS ook een kans zijn: betere toegang tot gezondheidsdata voor innovatie.

Zorgwetten: WGBO, Wet BIG, Wkkgz en Wtza

Deze wetten gaan over zorgverlening zelf. Ze raken je vooral als jouw startup zorg levert, bijvoorbeeld via eigen psychologen, coaches met een zorgtitel of verpleegkundigen.

• WGBO (Wet op de geneeskundige behandelingsovereenkomst, in Boek 7 van het Burgerlijk Wetboek): regelt de rechten en plichten bij een behandeling, zoals informed consent, het medisch dossier en het beroepsgeheim.
• Wet BIG: beschermt titels zoals arts en verpleegkundige en bepaalt welke handelingen alleen bevoegde professionals mogen uitvoeren. Laat je software iets doen wat onder een voorbehouden handeling valt, dan moet een bevoegde professional betrokken zijn.
• Wkkgz (Wet kwaliteit, klachten en geschillen zorg): verplicht zorgaanbieders onder meer tot een klachtenfunctionaris, aansluiting bij een erkende geschilleninstantie en een systeem om incidenten veilig te melden.
• Wtza (Wet toetreding zorgaanbieders): nieuwe zorgaanbieders die onder de Wkkgz vallen moeten zich melden voordat ze zorg verlenen; voor sommige aanbieders geldt een vergunningplicht.

Lever je alleen software aan zorgaanbieders, dan gelden deze wetten vooral voor je klant. Je klant zal wel verwachten dat je product hem helpt eraan te voldoen, bijvoorbeeld met goede dossiervorming en logging.

AI Act voor zorg-AI

De Europese AI Act deelt AI-systemen in naar risico. AI die onderdeel is van een medisch hulpmiddel waarvoor een notified body nodig is, geldt als hoog-risico AI. Na de Digital Omnibus, die in juli 2026 werd gepubliceerd, gelden de hoog-risicoverplichtingen voor dit soort productgebonden AI vanaf 2 augustus 2028. Daarnaast ligt er sinds december 2025 een voorstel van de Europese Commissie om AI in medische hulpmiddelen vooral via de MDR te regelen. Dat is nog een voorstel; controleer de actuele stand voordat je erop plant. Bouw je AI zonder medisch doel, check dan of je toepassing in een andere hoog-risicocategorie valt of transparantieverplichtingen heeft.

Bekostiging: NZa, zorgverzekeraars en andere betalers

Bekostiging is geen wet die je overtreedt, maar wel een regelset die bepaalt of je product verkoopbaar is. Zorg uit de basisverzekering wordt gecontracteerd door zorgverzekeraars; de Nederlandse Zorgautoriteit (NZa) stelt de prestaties en regels vast waarbinnen zorgaanbieders declareren. Langdurige zorg loopt via zorgkantoren, en zorg en ondersteuning via de Wmo en Jeugdwet via gemeenten. De NZa gaf in 2026 aan dat passende bekostiging nodig is om digitale zorg op te schalen, maar dat ook duidelijk moet zijn wanneer een toepassing zelfzorg is en wanneer formele zorg. Zoek daarom uit in welke stroom jouw product past voordat je je prijs bepaalt en je go-to-market uitwerkt.

Overzicht: welke wet raakt jou?

Een praktische volgorde: begin met de AVG en je rol (verwerker of verantwoordelijke), bepaal dan of je onder de MDR valt en of je zelf zorgaanbieder bent, en kijk pas daarna naar Wegiz en EHDS. Neem regelgeving mee in je validatie, want het bepaalt je kosten en je tijdlijn. Kies ook je rechtsvorm met aansprakelijkheid in het achterhoofd.

Waar wij staan

Gezondheid en welzijn is een van de focusdomeinen van Achmea Impact Ventures. We bouwen en versnellen digitale, schaalbare proposities, geen ventures die afhankelijk zijn van medisch-wetenschappelijk onderzoek of lange goedkeuringstrajecten. Regelgeving nemen we daarom vroeg mee bij het toetsen van een idee: als een propositie pas na jaren op de markt kan, past ze niet in ons model. Hoe we breder naar het domein kijken lees je in een startup bouwen in healthtech en wellbeing, en wat een corporate partner daarbij toevoegt in wat een corporate-backed venture studio oplevert.

Veelgestelde vragen

Zijn gezondheidsgegevens bijzondere persoonsgegevens?

Ja. Onder de AVG zijn gezondheidsgegevens bijzondere persoonsgegevens, waarvoor een algemeen verbod op verwerking geldt tenzij een wettelijke uitzondering van toepassing is. Denk aan uitdrukkelijke toestemming of noodzaak voor goede zorg. Bij een hoog privacyrisico is daarnaast een DPIA verplicht.

Is NEN 7510-certificering verplicht voor een healthtech-startup?

Certificering is volgens de Autoriteit Persoonsgegevens niet verplicht op grond van de AVG. Zorgaanbieders moeten wel met NEN 7510 werken en vragen hun leveranciers daarom vaak om aantoonbare naleving of certificering. In de praktijk is het daardoor vaak een verkoopvoorwaarde.

Wat is de Wegiz?

De Wegiz is de Wet elektronische gegevensuitwisseling in de zorg en geldt sinds 1 juli 2023. De wet verplicht zorgverleners om bij aangewezen uitwisselingen, zoals medicatieoverdracht, gegevens elektronisch te delen volgens vaste standaarden. Leveranciers van software in die stromen moeten daarop aansluiten.

Wanneer moet ik me melden als zorgaanbieder?

Nieuwe zorgaanbieders die onder de Wkkgz vallen moeten zich op grond van de Wtza melden voordat ze zorg verlenen. Je mag pas starten nadat je je hebt gemeld. Voor sommige aanbieders geldt daarnaast een vergunningplicht.

Valt AI in de zorg onder de AI Act?

Ja, AI die deel uitmaakt van een medisch hulpmiddel waarvoor een notified body nodig is, geldt als hoog-risico AI. Na de Digital Omnibus van 2026 gelden die verplichtingen vanaf 2 augustus 2028. Controleer de actuele stand, want er ligt ook een voorstel om dit vooral via de MDR te regelen.