Geldt NEN 7510 voor ICT-leveranciers in de zorg?

Ja, NEN 7510 kan zeker gelden voor ICT-leveranciers in de zorg, ook als zij geen zorginstelling zijn. De norm is van toepassing op elke organisatie die patiëntgegevens verwerkt, beheert of toegang heeft tot zorginformatiesystemen. In de praktijk betekent dit dat softwareleveranciers, hostingpartijen en andere ICT-dienstverleners die werken voor zorgorganisaties steeds vaker aan NEN 7510 moeten voldoen. In dit artikel beantwoorden we de meest gestelde vragen over wat dit precies inhoudt.

Wanneer valt een ICT-leverancier onder NEN 7510?

Een ICT-leverancier valt onder NEN 7510 zodra hij patiëntgegevens verwerkt of beheert, of toegang heeft tot systemen waarin dergelijke gegevens zijn opgeslagen. De norm richt zich op informatiebeveiliging in de zorg en is niet beperkt tot zorginstellingen zelf. Elke partij in de keten die met zorgdata in aanraking komt, valt binnen de reikwijdte van de norm.

Concreet gaat het om ICT-leveranciers die:

• elektronische patiëntendossiers (EPD’s) of andere zorgsoftware leveren of hosten
• clouddiensten aanbieden aan zorgorganisaties waarbij patiëntdata wordt opgeslagen
• netwerk- of infrastructuurdiensten verzorgen voor zorginstellingen
• toegang hebben tot systemen met bijzondere persoonsgegevens in de zorg

Of een leverancier formeel verplicht is tot certificering, hangt af van de contractuele eisen van de zorginstelling waarvoor hij werkt. Steeds meer zorginstellingen stellen NEN 7510-certificering als harde eis aan hun ICT-leveranciers. Daarnaast kan de toezichthouder of een aanbestedende partij hier ook eisen aan stellen. Het is dus zaak om vroegtijdig te inventariseren of jouw dienstverlening onder de norm valt en welke verwachtingen opdrachtgevers hebben.

Wat is het verschil tussen NEN 7510 en ISO 27001 voor ICT-leveranciers?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en is specifiek toegesneden op de zorgsector. ISO 27001 is de internationale norm voor informatiebeveiliging die van toepassing is op alle sectoren. Het belangrijkste verschil is dat NEN 7510 aanvullende eisen stelt bovenop ISO 27001, specifiek gericht op de bescherming van patiëntgegevens en de bijzondere risico’s binnen de zorgketen.

Voor ICT-leveranciers die zowel zorgklanten als klanten buiten de zorg bedienen, is het goed om te weten dat de twee normen elkaar niet uitsluiten. Sterker nog: wie al ISO 27001-gecertificeerd is, heeft een stevige basis voor NEN 7510. De aanvullende eisen van NEN 7510 bouwen voort op het Information Security Management System (ISMS) dat ook voor ISO 27001-certificering vereist is.

Een praktisch voordeel: organisaties die zowel een NEN 7510-certificaat als een ISO 27001-certificaat nastreven, worden niet geconfronteerd met dubbele auditlasten. Het certificatieschema voor NEN 7510 voorziet hierin, waardoor een gecombineerd traject efficiënter en kostenbesparender is dan twee volledig aparte trajecten.

Welke verplichtingen legt NEN 7510 op aan ICT-leveranciers?

NEN 7510 verplicht ICT-leveranciers in de zorg tot het inrichten en onderhouden van een Information Security Management System (ISMS) dat specifiek rekening houdt met de risico’s rondom patiëntgegevens. Dit omvat onder meer een risicoanalyse, een risicobehandelplan, aantoonbaar beleid en procedures, en een systeem voor incidentbeheer.

Meer concreet omvatten de verplichtingen:

• Risicoanalyse en risicobehandeling: systematisch in kaart brengen welke risico’s jouw dienstverlening met zich meebrengt voor de vertrouwelijkheid, integriteit en beschikbaarheid van patiëntgegevens
• Beheersmaatregelen: implementeren van technische en organisatorische maatregelen op basis van de risicoanalyse, vastgelegd in een Verklaring van Toepasselijkheid
• Beleid en procedures: actueel houden van informatiebeveiligingsbeleid, toegangsbeheerprocedures en incidentresponsplannen
• Training en bewustwording: medewerkers informeren over hun verantwoordelijkheden en de geldende procedures rondom informatiebeveiliging
• Interne audits en management review: periodiek toetsen of het ISMS effectief werkt en verbeteracties documenteren op directieniveau
• Leveranciersmanagement: ook de eigen toeleveranciers en subverwerkers screenen op informatiebeveiliging

De meest recente versie van de norm is NEN 7510:2024. Organisaties die gecertificeerd zijn op basis van een oudere versie moeten vóór 20 februari 2027 de overgang naar de nieuwe versie hebben afgerond. Meer achtergrond over de NEN 7510-certificering vind je op onze expertisepagina.

Hoe kunnen ICT-leveranciers aantonen dat ze NEN 7510-compliant zijn?

ICT-leveranciers kunnen NEN 7510-compliance aantonen door een formeel certificaat te behalen via een erkende certificerende instelling. Dit certificaat is het sterkste bewijs richting opdrachtgevers en toezichthouders dat de informatiebeveiliging aantoonbaar voldoet aan de norm. Zonder certificaat is het veel moeilijker om compliance geloofwaardig te onderbouwen.

Het certificeringstraject verloopt globaal langs de volgende stappen:

1. Uitvoeren van een gap-analyse om vast te stellen waar de huidige situatie afwijkt van de normeisen
2. Actualiseren of opzetten van het ISMS, inclusief beleid, procedures, risicoanalyse en Verklaring van Toepasselijkheid
3. Implementeren van de benodigde beheersmaatregelen en toetsen via interne audits
4. Uitvoeren van een management review op basis van NEN 7510:2024
5. Plannen en uitvoeren van de certificeringsaudit met een erkende instelling

De kosten van een certificeringstraject hangen af van de omvang van de organisatie, de complexiteit van de processen en of er al andere managementsystemen gecertificeerd zijn. Prijsopgaven zijn op te vragen bij de bij NEN aangesloten conformiteitsbeoordelende instellingen.

Voor organisaties die nog niet eerder met NEN 7510 hebben gewerkt, biedt NEN ook praktische hulpmiddelen: de normen NEN 7510-1 en NEN 7510-2 zijn kosteloos beschikbaar via het NEN Connect-platform, dankzij een overeenkomst tussen het ministerie van VWS en NEN. Hetzelfde geldt voor NEN 7512 en NEN 7513. Via NEN Connect zijn ook een compliance tool, een risicotool en een e-learning als introductie beschikbaar.

Wat zijn de gevolgen als een ICT-leverancier niet voldoet aan NEN 7510?

Als een ICT-leverancier niet voldoet aan NEN 7510, loopt hij het risico contracten te verliezen, uitgesloten te worden van aanbestedingen in de zorg en aansprakelijk gesteld te worden bij een datalek. Zorgorganisaties zijn zelf verantwoordelijk voor de beveiliging van patiëntgegevens en zullen leveranciers die niet aantoonbaar compliant zijn, steeds vaker weren.

De gevolgen zijn op meerdere vlakken voelbaar:

• Commercieel: zorginstellingen stellen NEN 7510-certificering steeds vaker als contracteis. Zonder certificaat val je buiten de selectie, ook bij Europese aanbestedingen in de zorg.
• Juridisch: bij een datalek waarbij patiëntgegevens zijn gelekt, kan worden aangetoond dat de leverancier onvoldoende maatregelen heeft getroffen. Dit vergroot de kans op aansprakelijkheid en boetes vanuit de Autoriteit Persoonsgegevens.
• Reputatie: een beveiligingsincident in de zorgsector trekt altijd aandacht. Leveranciers zonder aantoonbare informatiebeveiliging riskeren blijvende reputatieschade.
• Operationeel: zonder een goed ISMS ontbreekt het aan structuur voor incidentbeheer, waardoor de schade bij een incident groter en de herstelperiode langer is.

Daarnaast speelt de NIS2-richtlijn een steeds grotere rol. NIS2 stelt aanvullende eisen aan digitale dienstverleners die actief zijn in vitale sectoren, waaronder de zorg. NEN 7510 en NIS2 overlappen op meerdere punten, waardoor een NEN 7510-traject ook bijdraagt aan NIS2-compliance. Meer informatie over de samenhang vind je op onze pagina over NIS2.

Hoe wij helpen met NEN 7510 voor ICT-leveranciers

Wij begeleiden ICT-leveranciers in de zorg van de eerste gap-analyse tot en met een succesvol certificeringstraject. We werken niet voor je, maar met je, zodat de kennis en het systeem echt in jouw organisatie landen en beklijven.

Wat wij voor jou doen:

• Uitvoeren van een heldere gap-analyse op basis van NEN 7510:2024
• Opzetten of actualiseren van je ISMS, inclusief beleid, procedures en Verklaring van Toepasselijkheid
• Begeleiden van de risicoanalyse en het risicobehandelplan
• Ondersteunen bij training en bewustwording van medewerkers
• Uitvoeren of begeleiden van interne audits en management reviews
• Coördineren van de overgangsaudit of eerste certificeringsaudit met de certificerende instelling
• Combinatietrajecten mogelijk maken voor organisaties die ook ISO 27001 nastreven

Wil je weten wat NEN 7510 precies betekent voor jouw organisatie als ICT-leverancier in de zorg? Neem contact op en we denken graag vrijblijvend met je mee.

Gerelateerde artikelen

• Is ISO 27001 relevant voor logistieke bedrijven?
• Wat kost NEN 7510 certificering?
• Wat zijn de gevolgen van SCL certificaat verlies?
• Wat zijn de nieuwste wijzigingen in ISO 9001?
• Wat verwacht een SCL auditor tijdens een certificeringsbezoek?
• Hoe betrek je alle lagen van de organisatie bij SCL?
• Wat betekent SCL voor onderaannemers in de bouw?
• Voor welke sectoren is ISO 27001 belangrijk?
• Wat doet een ISO 27001-consultant?
• Hoe zorg ik voor continuïteit na een interim KAM opdracht?