Nuts x MedMij: PoC-voorstellen Status: gevraagd, nog niet belegd Waar: #kring-gezamenlijk-belang Wat het is MedMij en Nuts hebben een kwartaaloverleg. Daaruit zijn twee PoC-voorstellen gekomen, opgesteld door Bouke de Boer (product owner MedMij) en op 3 april 2026 gedeeld. PoC 1: Gedeeld vertrouwen MedMij heeft een eigen vertrouwensregister en eigen OAuth-profielen. Een Nuts-node die al ZIB's ontsluit werkt daar niet mee samen, terwijl die het vertrouwensmodel van MedMij technisch prima zou kunnen ondersteunen. In de sectoren waar Nuts groot is wordt nog weinig data via MedMij ontsloten. Onder de EHDS wordt dat naar verwachting verplicht. Nuts-nodes ontsluiten via het MedMij-netwerk voorkomt dan onnodige implementatielast. Onderzoeksvragen: Kan de DVA een verifiable credential uitgeven die gebruikt kan worden voor autorisatie op een Nuts-node? Op welke wijze kunnen de nieuwe databronnen zichtbaar worden gemaakt in het MedMij-netwerk? Welke aanpassingen moeten door Nuts gedaan worden? Past het in het vertrouwensmodel van MedMij? Welke risico's ontstaan door deze twee netwerken met elkaar te verbinden? Rollen in de PoC. In MedMij-termen is de DVA de dienstverlener van de zorgaanbieder en de DVP die van de persoon. Rol Wat die doet Autorisatiedienst van de DVA Geeft een autorisatiebewijs af, bijvoorbeeld een verifiable credential, dat een PGO namens een persoon toegang geeft tot bepaalde resources Nuts-node Accepteert het door de DVA afgegeven autorisatiebewijs en biedt API's aan MedMij Stelselnode Neemt de endpoints en gegevensdiensten op in het MedMij-register en publiceert ze DVP Maakt gebruik van de aangeboden Nuts-gegevensdiensten Hoe die rollen samenwerken staat niet in het voorstel. Wij lezen het zo: de autorisatiedienst van de DVA geeft een credential uit over het mandaat van de patiënt aan het PGO om namens hem te handelen. Met die credential authenticeert het PGO zich vervolgens direct bij de Nuts-node van een zorginstelling en vraagt daar een access token op. De DVA is na uitgifte uit de loop. Dit is onze aanname en nog niet bevestigd door MedMij. Resultaat: een rapportage met de antwoorden op de onderzoeksvragen, inclusief risicoanalyse, en een werkende PoC-omgeving met alle betrokken rollen. Twee punten die het voorstel zelf openlaat: of we ook willen kijken of MedMij-DVA's ontsloten kunnen worden op Nuts, en dat de nieuwe gegevensdiensten waarschijnlijk niet voldoen aan de toelatingscriteria van de MedMij-catalogus. PoC 2: Hybride netwerkzorg-chat Onder de vlag van Nuts is eerder een PoC voor hybride netwerkzorgcommunicatie uitgevoerd, op basis van de standaard Matrix. Daarmee kon een chat worden opgezet tussen zorgverleners van verschillende organisaties, patiënten en mantelzorgers. Zorgverleners uitnodigen kan veilig, op basis van het vertrouwen dat Nuts biedt in combinatie met een adresseringsvoorziening. Hoe een burger wordt toegevoegd is niet gestandaardiseerd, en betrouwbare identificatie is daar de open vraag. De hypothese is dat het MedMij-stelsel dat kan invullen, bijvoorbeeld door de uitnodiging via een MedMij-gegevensdienst te laten lopen en de DVP of PGO als chatclient in te zetten. Onderzoeksvragen: Hoe kan een matrix-ID van een burger via het MedMij-afsprakenstelsel worden geverifieerd op een betrouwbaarheidsniveau dat in een zorgcontext bruikbaar is? Levert dit voor de gebruiker een goede ervaring op? Welke wijzigingen in het MedMij-afsprakenstelsel en de gegevensdiensten zijn nodig? Welke functionaliteit moet een DVA daarvoor bieden? Welke afspraken zijn nodig tussen de DVA en een XIS? Rollen: twee XIS'en, bijvoorbeeld OZOverbindzorg, waarvan de ene de chat opzet en de andere deelneemt; een DVA die de uitnodiging voor de burger klaarzet en de identificatie doet; en een DVP die een Matrix-client en -server implementeert. Resultaat: een rapportage met de antwoorden, bevindingen en de resultaten van het gebruikersonderzoek, plus een werkende PoC-omgeving met alle rollen. Relevantie voor Nuts PoC 1 raakt ons rechtstreeks: de Nuts-node moet een door een MedMij-DVA uitgegeven credential accepteren, en onderzoeksvraag 3 gaat expliciet over wat wij daarvoor moeten aanpassen. Het vertrouwensmodel lijkt op dat van LSP x Nuts , dus daar valt werk te hergebruiken. Er is geen landelijk programma waar deze koppeling onder valt. Dat is een gat in de roadmaps en tegelijk de reden dat het initiatief bij MedMij en Nuts zelf ligt. Het is bovendien een kans om meer data voor de burger te ontsluiten, en om te toetsen of ons vertrouwensmodel ook in het burgerdomein bruikbaar is. Belegging PoC 1 hoort bij de kring Techniek: het accepteren van een DVA-credential op de node, hergebruik uit LSP x Nuts, en wat dit vraagt van onze specificaties. PoC 2 hoort bij de kring Toepassingen. Wat er nu speelt De twee voorstellen liggen er sinds 3 april 2026. Ze zijn besproken in het kwartaaloverleg van 7 april en zouden worden aangescherpt met de ontvangen feedback. In het kwartaaloverleg van 25 augustus is afgesproken dat Steven van der Vegt feedback geeft op de voorstellen, en dat Bouke de Boer binnen MedMij bespreekt hoe dit verder kan. Beiden zoeken elkaar tussendoor op om dit uit te werken; Sergej van Middendorp brengt de uitkomst daarvan in bij het gezamenlijk belang. Het is nu een afspraak tussen personen, niet een opdracht van een kring. Er is geen scope, geen tijdsbeslag en geen termijn vastgelegd. Naast de PoC's lopen er uit hetzelfde overleg twee kleinere technische lijnen: PRS, VAD en NVI. Bouke en Steven nemen de sequence samen door. De VAD is voor Nuts zelf niet relevant maar werkt vergelijkbaar met de NVI, en beide hebben pseudonimisering van het BSN nodig. De PRS gebruikt het OIN als identifier, wat verder reikt dan zorgaanbieders maar nu nog niet aantoonbaar is. TA Notified Pull. Het notificatiemechanisme op basis van FHIR en de eisen aan identifiers in notificaties zijn mogelijk ook voor MedMij relevant. Zie Harmonisatie TA Notified Pull . Te besluiten Wil de kring Techniek PoC 1 als opdracht beleggen, en zo ja bij wie en met welk tijdsbeslag? Wie brengt PoC 2 in bij de kring Toepassingen? Nemen we de door MedMij opengelaten vraag mee of ook MedMij-DVA's ontsloten kunnen worden op Nuts, of houden we de PoC eenrichtingsverkeer? Samenhang met andere trajecten LSP x Nuts . Vergelijkbaar vertrouwensmodel; het autorisatiemodel en de credentials zijn grotendeels herbruikbaar. Generieke Functies . Adressering en lokalisatie raken beide stelsels. Reactie op de VWS-memo A&A . Gaat over hetzelfde vraagstuk: hoe vertrouwen wordt aangetoond en welke rol credentials daarin spelen. Harmonisatie TA Notified Pull . Het notificatiemechanisme en de identifier-eisen zijn mogelijk ook voor MedMij bruikbaar. Bronnen Wat Waar Voorstel "Proof of Concept: Nuts x MedMij: Gedeeld vertrouwen", 3 april 2026 mail van Bouke de Boer Voorstel "Proof of Concept: Nuts x MedMij: Hybride netwerkzorg-Chat", 3 april 2026 mail van Bouke de Boer Samenvatting kwartaaloverleg 7 april 2026, AI-gegenereerd en niet gecontroleerd mail van Bouke de Boer Aantekeningen kwartaaloverleg 25 augustus 2026 mail van Sergej van Middendorp Wie erbij betrokken zijn Rol Wie Opsteller van de PoC-voorstellen Bouke de Boer (MedMij) Technische feedback vanuit Nuts Steven van der Vegt Gezamenlijk belang en relatie met MedMij Sergej van Middendorp Vanuit MedMij verder betrokken Carlos Villa Baars Vanuit de leveranciers Daan Verbree (Topicus) Het kwartaaloverleg MedMij en Nuts is het gremium waarin dit loopt. Hoe haak je aan Voor de technische kant: #kring-techniek-aanspreekpunt . Voor de samenwerking met MedMij: #kring-gezamenlijk-belang .