Wat zijn de eisen van NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector. De norm beschrijft welke maatregelen zorgorganisaties moeten treffen om patiëntgegevens en andere gevoelige informatie adequaat te beschermen. NEN 7510 is gebaseerd op de internationale ISO 27001-norm, maar bevat aanvullende eisen die specifiek zijn afgestemd op de zorg. In dit artikel beantwoorden we de meest gestelde vragen over de eisen, de certificering en de gevolgen van niet-naleving.

Voor welke organisaties geldt NEN 7510?

NEN 7510 geldt voor alle organisaties die in de Nederlandse zorgsector werken en daarbij persoonsgegevens van patiënten verwerken of beheren. Denk aan ziekenhuizen, huisartsenpraktijken, apotheken, GGZ-instellingen, thuiszorgorganisaties en laboratoria. Ook ICT-leveranciers en andere partijen die gegevens verwerken namens zorgorganisaties vallen onder de reikwijdte van de norm.

De verplichting om aan NEN 7510 te voldoen vloeit voort uit meerdere bronnen. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verplicht zorgaanbieders om passende technische en organisatorische maatregelen te treffen voor de beveiliging van medische gegevens. NEN 7510 geldt daarbij als de erkende invulling van die beveiligingsplicht. Zorgverzekeraars, toezichthouders zoals de Inspectie Gezondheidszorg en Jeugd (IGJ) en aanbestedende partijen stellen in de praktijk steeds vaker NEN 7510-certificering als voorwaarde.

Ook organisaties die niet direct zorg verlenen, maar wel toegang hebben tot patiëntgegevens, zoals softwareleveranciers of beheerders van elektronische patiëntendossiers, doen er verstandig aan de norm te volgen. Zij worden immers steeds vaker contractueel verplicht om aantoonbaar aan de eisen te voldoen.

Wat zijn de belangrijkste eisen van NEN 7510?

De belangrijkste eisen van NEN 7510 richten zich op het opzetten, implementeren, bewaken en continu verbeteren van een managementsysteem voor informatiebeveiliging, specifiek toegespitst op de zorg. De norm omvat beheersmaatregelen op het gebied van toegangsbeheer, risicoanalyse, incidentbeheer, fysieke beveiliging en bewustwording van medewerkers.

NEN 7510 bestaat uit twee delen. Het eerste deel, NEN 7510-1, beschrijft de eisen voor het managementsysteem zelf. Het tweede deel, NEN 7510-2, bevat uitgebreide richtlijnen en beheersmaatregelen die organisaties kunnen implementeren om aan de eisen te voldoen. Samen vormen ze een compleet raamwerk voor informatiebeveiliging in de zorg.

De norm stelt onder meer eisen aan de volgende onderwerpen:

• Risicoanalyse en risicobehandeling: organisaties moeten risico’s voor de vertrouwelijkheid, integriteit en beschikbaarheid van informatie systematisch in kaart brengen en beheersen.
• Toegangsbeheer: alleen geautoriseerde personen mogen toegang krijgen tot patiëntgegevens, en die toegang moet worden beheerd en gelogd.
• Incidentbeheer: beveiligingsincidenten moeten worden gedetecteerd, geregistreerd, geanalyseerd en opgevolgd.
• Continuïteit: organisaties moeten maatregelen treffen om de beschikbaarheid van informatiesystemen te waarborgen, ook bij calamiteiten.
• Bewustwording en training: medewerkers moeten worden getraind en bewust gemaakt van hun rol in informatiebeveiliging.
• Leveranciersbeveiliging: ook de beveiliging van externe partijen die toegang hebben tot gegevens moet worden geborgd.

Daarnaast vereist de norm dat het management actief betrokken is bij informatiebeveiliging en dat er een duidelijk informatiebeveiligingsbeleid wordt vastgesteld en onderhouden.

Hoe verschilt NEN 7510 van ISO 27001?

NEN 7510 en ISO 27001-certificering zijn nauw verwant: NEN 7510 is gebaseerd op ISO 27001 en hanteert dezelfde structuur en aanpak voor informatiebeveiliging. Het belangrijkste verschil is dat NEN 7510 aanvullende, zorgsectorspecifieke eisen bevat die in ISO 27001 niet voorkomen.

Waar ISO 27001 een generieke norm is die voor elke sector toepasbaar is, richt NEN 7510 zich specifiek op de bescherming van medische en persoonlijke gezondheidsinformatie. De norm bevat extra beheersmaatregelen die aansluiten op de specifieke risico’s en wetgeving in de Nederlandse zorg, zoals de Wabvpz en de AVG.

Een organisatie die al gecertificeerd is voor ISO 27001 heeft daarmee een stevige basis voor NEN 7510. Toch is een aanvullend traject nodig om de zorgsectorspecifieke eisen aantoonbaar in te vullen. Omgekeerd geldt dat een NEN 7510-certificering de ISO 27001-eisen in grote mate dekt, waardoor een combinatietraject efficiënt kan zijn.

Hoe behaal je een NEN 7510-certificering?

Een NEN 7510-certificering behaal je door een managementsysteem voor informatiebeveiliging op te zetten dat voldoet aan de eisen van de norm, dit aantoonbaar te implementeren en vervolgens een externe audit te doorlopen bij een geaccrediteerde certificeringsinstelling.

Het traject verloopt doorgaans in de volgende stappen:

1. Nulmeting en gap-analyse: breng in kaart waar de organisatie nu staat ten opzichte van de NEN 7510-eisen en waar verbeteringen nodig zijn.
2. Risicoanalyse: voer een systematische risicoanalyse uit voor de informatiebeveiliging binnen de organisatie.
3. Beleid en maatregelen opstellen: stel een informatiebeveiligingsbeleid op en implementeer de benodigde technische en organisatorische maatregelen.
4. Training en bewustwording: zorg dat medewerkers op de hoogte zijn van hun verantwoordelijkheden en de geldende procedures.
5. Interne audit: voer een interne audit uit om te controleren of het systeem werkt en aan de eisen voldoet.
6. Directiebeoordeling: het management beoordeelt het managementsysteem en stelt verbeteringen vast.
7. Externe certificeringsaudit: een onafhankelijke certificeringsinstelling voert een audit uit en beoordeelt of de organisatie voldoet aan NEN 7510.

Na het behalen van de certificering moet de organisatie jaarlijkse surveillance-audits doorlopen en elke drie jaar een hercertificering uitvoeren. Informatiebeveiliging is daarmee geen eenmalig project, maar een doorlopend proces van bewaking en verbetering.

Wat zijn de gevolgen van niet voldoen aan NEN 7510?

Niet voldoen aan NEN 7510 kan leiden tot juridische, financiële en reputatieschade. Zorgorganisaties die niet aantoonbaar voldoen aan de informatiebeveiligingseisen riskeren sancties van toezichthouders, verlies van contracten met zorgverzekeraars en ernstige gevolgen bij een datalek.

De Autoriteit Persoonsgegevens (AP) kan bij datalekken of onvoldoende beveiliging van patiëntgegevens boetes opleggen op grond van de AVG. Die boetes kunnen oplopen tot tientallen miljoenen euro’s of een percentage van de jaarlijkse omzet. Naast financiële sancties kan de IGJ ingrijpen als de informatiebeveiliging de kwaliteit of continuïteit van zorg in gevaar brengt.

Praktische gevolgen zijn onder meer:

• Uitsluiting van aanbestedingen waarbij NEN 7510-certificering verplicht is gesteld.
• Verlies van vertrouwen bij patiënten, medewerkers en samenwerkingspartners.
• Contractuele aansprakelijkheid richting opdrachtgevers of ICT-leveranciers.
• Verhoogd risico op datalekken met alle operationele en juridische gevolgen van dien.

Niet voldoen aan NEN 7510 is dus niet alleen een compliance-risico, maar ook een direct bedrijfsrisico. Zorgorganisaties die de norm serieus nemen, bouwen tegelijkertijd aan een betrouwbare en weerbare informatiehuishouding.

Hoe Diks Process Support helpt met NEN 7510

Wij begeleiden zorgorganisaties van begin tot eind bij het voldoen aan NEN 7510 en het behalen van de certificering. Daarbij werken we niet voor je, maar samen met je: praktisch, stapsgewijs en met oog voor de mensen in jouw organisatie.

Wat we voor je doen:

• Gap-analyse en nulmeting: we brengen snel in kaart wat er al goed gaat en wat er nog moet worden ingericht.
• Opzetten van het managementsysteem: we helpen je beleid, procedures en beheersmaatregelen te ontwikkelen die passen bij jouw organisatie.
• Risicoanalyse: we begeleiden je bij het systematisch in kaart brengen en beheersen van informatiebeveiligingsrisico’s.
• Training en bewustwording: we zorgen dat jouw medewerkers weten wat er van hen wordt verwacht.
• Voorbereiding op de externe audit: we voeren interne audits uit en zorgen dat je goed voorbereid de certificeringsaudit ingaat.
• Interim ondersteuning: via onze interim security officer kunnen we ook tijdelijk de uitvoering overnemen als dat nodig is.

Wil je weten hoe Diks Process Support jouw organisatie kan helpen met NEN 7510? Neem contact met ons op en we kijken samen wat de beste aanpak is voor jouw situatie.

Gerelateerde artikelen

• Hoe betrek je medewerkers bij meerdere normen?
• Mijn softwareleverancier heeft geen certificering, is dat een probleem?
• Hoe herstel ik vertrouwen na een datalek in mijn zorgorganisatie?
• Hoe combineer ik NEN 7510 en NIS2 zonder dubbel werk?
• Wat zijn de gevolgen van SCL certificaat verlies?
• Hoe bewijs je aan een klant dat je processen op orde zijn?
• Hoe zorg je dat kennis niet verdwijnt als een medewerker vertrekt?
• Waarom eisen opdrachtgevers steeds vaker ISO 9001?
• Hoe werkt ISO 9001 in de zorgsector?
• Wat kost een interim HSE manager per maand?