Wat is een ISMS in de zorg?

Een ISMS, ofwel een Informatiebeveiligingsmanagementsysteem, is in de zorg een gestructureerd geheel van beleid, processen en maatregelen waarmee een zorgorganisatie de vertrouwelijkheid, integriteit en beschikbaarheid van persoonlijke gezondheidsinformatie borgt. In de zorg is dit systeem niet vrijblijvend: de Nederlandse norm NEN 7510 schrijft voor hoe zorgorganisaties een ISMS moeten inrichten en onderhouden. Dit artikel beantwoordt de meest gestelde vragen over een ISMS in de zorg, van de wettelijke verplichtingen tot de praktische implementatie.

Waarom is informatiebeveiliging zo kritisch in de zorg?

Informatiebeveiliging is in de zorg kritisch omdat zorgorganisaties werken met uiterst gevoelige persoonlijke gezondheidsinformatie, terwijl tegelijkertijd een breed netwerk van aanbieders, verzekeraars, patiënten en overheidsinstanties deze informatie voortdurend uitwisselt. Een datalek of systeemstoring raakt niet alleen de privacy van patiënten, maar kan ook directe gevolgen hebben voor de kwaliteit en continuïteit van de zorgverlening.

Zorgverleners moeten op ieder moment kunnen beschikken over betrouwbare en actuele patiëntinformatie. Denk aan medicatieoverzichten, diagnoses of behandelhistorie. Als die informatie onbetrouwbaar, onbeschikbaar of in verkeerde handen terechtkomt, zijn de gevolgen direct voelbaar voor patiënten. Dat maakt de druk op informatiebeveiliging in de zorg groter dan in veel andere sectoren.

Daar komt bij dat de zorgsector steeds digitaler wordt. Elektronische patiëntdossiers, zorginformatiesystemen en digitale gegevensuitwisseling tussen ketenpartners vergroten de aanvalsoppervlakte voor cyberdreigingen. Ransomware-aanvallen op ziekenhuizen en zorginstellingen laten zien dat dit geen theoretisch risico is. Een goed functionerend ISMS helpt zorgorganisaties om risico’s structureel te beheersen in plaats van er ad hoc op te reageren.

Wat zijn de kernonderdelen van een ISMS in de zorg?

Een ISMS in de zorg bestaat uit een samenhangend geheel van beleid, risicobeheersing, beheersmaatregelen, interne audits en managementreviews, allemaal gericht op het beschermen van persoonlijke gezondheidsinformatie. De basis is vastgelegd in NEN 7510-1, dat de normatieve voorschriften bevat voor het ISMS, gebaseerd op ISO/IEC 27001.

NEN 7510 bestaat uit twee delen die samen het fundament vormen:

• NEN 7510-1 bevat de normatieve eisen voor het ISMS zelf, vergelijkbaar met ISO 27001. Hier staan de eisen waarop een organisatie gecertificeerd kan worden.
• NEN 7510-2 is de Nederlandse vertaling van ISO/IEC 27002 én ISO/IEC 27799, aangevuld met zorgspecifieke beheersmaatregelen die de unieke context van de gezondheidszorg weerspiegelen.

Naast deze twee kerndelen zijn er twee aanverwante normen die het ISMS in de zorg verder invullen. NEN 7512 richt zich op de vertrouwensbasis voor elektronische gegevensuitwisseling tussen zorgverleners, patiënten en verzekeraars. NEN 7513 regelt de logging van acties op elektronische patiëntdossiers: wie heeft toegang gehad, op basis van welke regels, en welke handelingen zijn verricht. Certificering is alleen mogelijk tegen NEN 7510-1; NEN 7512 en NEN 7513 zijn uitwerkingen die geen eigen certificatieschema kennen.

Een belangrijk onderdeel van het ISMS is de Verklaring van Toepasselijkheid (VvT). Hierin documenteert de organisatie per beheersmaatregel of deze van toepassing is, en zo niet, waarom niet. Dit is de zogenoemde ‘comply or explain’-clausule uit NEN 7510-1. Als een organisatie afwijkt van een zorgspecifieke richtlijn, moet zij onderbouwen hoe de doelstelling alsnog wordt bereikt.

Welke wet- en regelgeving verplicht een ISMS in de zorg?

Het voldoen aan NEN 7510 is wettelijk verplicht voor zorgorganisaties in Nederland. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verwijst via het Besluit elektronische gegevensverwerking door zorgaanbieders expliciet naar NEN 7510. Zorgorganisaties zijn daarmee verplicht de norm toe te passen bij het beheer, de beveiliging en het gebruik van zorginformatiesystemen.

Certificering zelf is niet wettelijk verplicht, maar organisaties moeten wel aantoonbaar kunnen maken dat zij aan de norm voldoen. De Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht dat zorgaanbieders beschikken over een functionerend ISMS, een continuïteitsplan hebben en dit regelmatig testen. Een NEN 7510-certificaat is een erkende manier om die naleving aan te tonen.

Naast de Wabvpz speelt ook de Wet elektronische gegevensuitwisseling in de zorg (Wegiz) een rol. NEN 7510:2024 ondersteunt organisaties bij het voldoen aan beide wetten. Verder bevat de herziene norm een mapping naar de eisen van de Europese NIS2-richtlijn, die naar verwachting in het tweede kwartaal van 2026 in de Nederlandse wetgeving wordt geïmplementeerd als de Cyberbeveiligingswet (Cbw). Organisaties die werken volgens NEN 7510 voldoen daarmee al aan een groot deel van de NIS2-eisen.

Het is belangrijk om te weten dat voldoen aan NEN 7510 niet automatisch volledige naleving van de AVG of de WGBO betekent. NEN 7510 dekt een deel van de AVG-eisen af, maar voor volledige compliance zijn aanvullende stappen nodig.

Wat is het verschil tussen NEN 7510 en ISO 27001 in de zorg?

Het belangrijkste verschil tussen NEN 7510 en ISO 27001 is dat NEN 7510 specifiek is ontwikkeld voor de Nederlandse zorg- en welzijnssector, terwijl ISO 27001 een generieke internationale norm is voor informatiebeveiliging die in elke sector toepasbaar is. NEN 7510 bouwt voort op ISO 27001, maar voegt zorgspecifieke eisen en beheersmaatregelen toe die in ISO 27001 ontbreken.

Concreet geldt het volgende:

• NEN 7510-1 is het equivalent van ISO 27001, maar dan met zorgspecifieke aanpassingen.
• NEN 7510-2 combineert de inhoud van ISO 27002 en ISO 27799, inclusief aanvullende beheersmaatregelen voor de gezondheidszorg.
• Er bestaan geen officiële Engelse versies van NEN 7510, NEN 7512 of NEN 7513, omdat dit uitsluitend Nederlandse normen zijn.

Voor zorgorganisaties die zowel een NEN 7510-certificaat als een ISO 27001-certificaat willen behalen, is er goed nieuws: het certificatieschema NCS 7510 voorkomt dubbele auditlasten. Beide certificeringen kunnen efficiënt gecombineerd worden, omdat de normen grotendeels overlappen. Organisaties die al gecertificeerd zijn voor ISO 27001 hebben daarmee een voorsprong bij het implementeren van NEN 7510.

Hoe implementeer je een ISMS stap voor stap in een zorgorganisatie?

Een ISMS implementeer je in een zorgorganisatie via een gestructureerd stappenplan dat begint met een analyse van de huidige situatie en eindigt met certificering. De herziene NEN 7510:2024, gepubliceerd op 16 december 2024, biedt hiervoor een actueel kader. Organisaties met een bestaand certificaat moeten uiterlijk 20 februari 2027 zijn overgegaan naar deze nieuwe versie.

De zes stappen voor een succesvolle implementatie of transitie zijn:

1. GAP-analyse: Identificeer gewijzigde of nieuwe eisen en breng hiaten in het huidige ISMS in kaart. Dit geeft prioriteiten voor de vervolgstappen.
2. ISMS en VvT actualiseren: Herzie beleid, procedures, risicobeoordeling en het risicobehandelplan. Pas ook de Verklaring van Toepasselijkheid aan op de nieuwe eisen.
3. Implementatie en toetsing: Voer nieuwe of aangepaste beheersmaatregelen in en toets deze via interne audits.
4. Training en bewustwording: Informeer medewerkers over de wijzigingen, verduidelijk rollen en actualiseer incidentprocedures.
5. Interne audit en management review: Voer een interne audit uit op basis van NEN 7510:2024 en bespreek bevindingen op directieniveau. Leg verbeteracties vast.
6. Overgangsaudit plannen: Plan tijdig een overgangsaudit met de certificerende instelling zodat certificering vóór 20 februari 2027 is afgerond.

Het is goed om te weten dat NEN 7510-1 en NEN 7510-2 kosteloos beschikbaar zijn via het NEN Connect-platform, dankzij een overeenkomst tussen het ministerie van VWS en NEN. Hetzelfde geldt voor NEN 7512 en NEN 7513. NEN biedt daarnaast gratis tools aan voor compliance en risicoanalyse, evenals een redliningmodule waarmee de verschillen tussen de nieuwe en de vorige versie direct zichtbaar zijn.

Wie is verantwoordelijk voor het ISMS binnen een zorginstelling?

De eindverantwoordelijkheid voor het ISMS ligt bij het management van de zorginstelling. NEN 7510 benadrukt expliciet de managementverantwoordelijkheid: het topmanagement moet informatiebeveiliging actief sturen, middelen beschikbaar stellen en de effectiviteit van het ISMS bewaken via periodieke managementreviews.

In de praktijk zijn er meerdere rollen betrokken:

• Directie/management: Stelt het informatiebeveiligingsbeleid vast, draagt eindverantwoordelijkheid en bespreekt bevindingen uit audits en reviews.
• Informatiebeveiligingsfunctionaris (CISO of security officer): Coördineert de dagelijkse uitvoering van het ISMS, bewaakt naleving en rapporteert aan het management.
• Proceseigenaren: Zijn verantwoordelijk voor de beheersmaatregelen binnen hun eigen processen en dragen zorg voor naleving op de werkvloer.
• Medewerkers: Voeren beveiligingsmaatregelen uit in de dagelijkse praktijk en melden incidenten via de vastgestelde procedures.

De herziene NEN 7510:2024 legt governance en managementverantwoordelijkheid duidelijker vast dan de vorige versie. Informatiebeveiliging wordt nadrukkelijker organisatiebreed ingericht en aantoonbaar geborgd. Dat betekent dat het niet langer alleen een IT-aangelegenheid is, maar een onderwerp dat op directieniveau thuishoort. Tijdens een audit kunnen non-conformiteiten uitsluitend worden geschreven op de eisen uit NEN 7510-1 hoofdstukken 4 tot en met 10 en de maatregelen uit Annex A, wat de scope van verantwoordelijkheid concreet afbakent.

Hoe Diks Process Support helpt met NEN 7510 in de zorg

Wij begrijpen dat het implementeren of actualiseren van een ISMS in een zorgorganisatie veel vraagt. De combinatie van technische eisen, wettelijke verplichtingen en organisatorische uitdagingen maakt het een complex traject. Wij ontzorgen zorgorganisaties van begin tot eind, van de eerste analyse tot de uiteindelijke certificering.

Wat wij voor jouw organisatie kunnen doen:

• Een grondige GAP-analyse uitvoeren om de huidige situatie te toetsen aan NEN 7510:2024
• Het ISMS en de Verklaring van Toepasselijkheid opzetten of actualiseren
• Beheersmaatregelen implementeren die aansluiten op de specifieke context van jouw zorgorganisatie
• Interne audits begeleiden en uitvoeren op basis van de actuele norm
• Het management voorbereiden op de management review en de overgangsaudit
• Ondersteuning bieden bij de relatie tussen NEN 7510, NIS2 en andere relevante wet- en regelgeving

Wij werken niet vóór je, maar met je samen. Met inhoudelijke kennis van informatiebeveiliging in de zorg en een hands-on aanpak zorgen wij ervoor dat jouw organisatie aantoonbaar voldoet aan NEN 7510. Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem dan contact met ons op voor een vrijblijvend gesprek.

Gerelateerde artikelen

• Kan ISO 27001 tegen een vaste prijs?
• Wat kost ISO 45001 voor een mkb-bedrijf?
• Wat is het verband tussen NEN 7510 en de AVG?
• Hoe verlaag je de kosten van fouten en herstelwerk?
• Hoe voorkom je miscommunicatie tussen afdelingen over kwaliteitseisen?
• Hoe bewijs je aan een klant dat je processen op orde zijn?
• Wat is het verschil tussen ISO 9001 en GMP+?
• Hoe weet je of jouw veiligheidsaanpak écht werkt?
• Wat doe je als medewerkers veiligheidsregels negeren?
• Wanneer moet je ISO 27001 implementeren?