Welke certificerende instanties erkennen NEN 7510?

Een NEN 7510-certificaat mag alleen officieel worden uitgegeven door een certificerende instantie die daarvoor geaccrediteerd is door de Raad voor Accreditatie (RvA). In Nederland zijn meerdere instanties bevoegd om NEN 7510-audits uit te voeren en certificaten te verstrekken, maar ze moeten allemaal voldoen aan dezelfde accreditatie-eisen. In dit artikel beantwoorden we de meest gestelde vragen over certificerende instanties, het keuzeproces en wat je kunt verwachten tijdens een NEN 7510-traject.

Wie mag een NEN 7510-certificaat officieel uitgeven?

Een NEN 7510-certificaat mag alleen worden uitgegeven door een certificerende instantie die door de Raad voor Accreditatie (RvA) is geaccrediteerd voor het uitvoeren van audits op basis van NEN 7510. De RvA is de nationale accreditatie-instantie in Nederland en bewaakt de onafhankelijkheid en betrouwbaarheid van certificerende instanties. Zonder deze accreditatie heeft een certificaat geen officiële status.

De accreditatie van een certificerende instantie wordt vastgelegd in een zogenaamd accreditatiebesluit. Hierin staat precies voor welke normen de instantie bevoegd is om te certificeren. Voor NEN 7510 betekent dit dat de instantie aantoonbaar deskundig is op het gebied van informatiebeveiliging in de zorgsector. Je kunt de lijst van geaccrediteerde instanties raadplegen via de website van de RvA, zodat je zeker weet dat je met een erkende partij werkt.

Voor organisaties in de zorg is het cruciaal om uitsluitend met een geaccrediteerde certificerende instantie in zee te gaan. Een certificaat van een niet-geaccrediteerde instantie wordt door opdrachtgevers, zorgverzekeraars en toezichthouders niet erkend en heeft juridisch geen waarde.

Wat is het verschil tussen een accreditatie en een erkenning?

Accreditatie is de formele bevoegdheid die een certificerende instantie van de Raad voor Accreditatie ontvangt om audits en certificeringen uit te voeren. Een erkenning is een breder begrip en kan ook komen van brancheorganisaties, opdrachtgevers of sectorale toezichthouders. Voor NEN 7510 is accreditatie door de RvA de doorslaggevende vereiste, niet een informele erkenning.

In de praktijk worden de termen soms door elkaar gebruikt, maar het onderscheid is belangrijk. Accreditatie is een objectief, onafhankelijk getoetst kwaliteitskeurmerk voor de certificerende instantie zelf. Het zegt iets over de competentie en onpartijdigheid van de instantie die jouw organisatie beoordeelt. Een erkenning kan ook worden verleend door een branchevereniging of inkooporganisatie, maar dat is aanvullend en nooit een vervanging voor RvA-accreditatie.

Voor de NEN 7510-certificering geldt dus: vraag altijd naar het RvA-accreditatienummer van de certificerende instantie die je overweegt. Dat is de enige objectieve garantie dat het certificaat dat je ontvangt, breed erkend wordt binnen de zorgsector en door relevante toezichthouders.

 

 

Hoe kies je de juiste certificerende instantie voor NEN 7510?

De juiste certificerende instantie voor NEN 7510 kies je op basis van vier criteria: RvA-accreditatie voor NEN 7510, aantoonbare ervaring in de zorgsector, een transparante auditaanpak en een eerlijke prijsopbouw. Alle geaccrediteerde instanties werken met dezelfde norm, maar ze verschillen in werkwijze, communicatiestijl en branchekennis.

Let bij je keuze op de volgende punten:

• Accreditatiestatus: Controleer of de instantie een geldig RvA-accreditatiebesluit heeft voor NEN 7510. Dit is niet onderhandelbaar.
• Sectorkennis: Kies een instantie met aantoonbare ervaring in de zorg, omdat NEN 7510 specifiek op deze sector is toegespitst.
• Auditaanpak: Vraag hoe de instantie audits uitvoert, welke documenten vooraf nodig zijn en hoe bevindingen worden teruggekoppeld.
• Communicatie: Een goede certificerende instantie is helder over wat er van jou wordt verwacht en wat je kunt verwachten van het proces.
• Kosten en doorlooptijd: Vergelijk offertes op basis van het totale traject, niet alleen de auditkosten.

Het is ook verstandig om te kijken of de instantie ervaring heeft met organisaties van vergelijkbare omvang en complexiteit als die van jou. Een grote zorginstelling heeft andere behoeften dan een kleine huisartsenpraktijk of een ICT-leverancier in de zorg.

Wat controleert een certificerende instantie tijdens een NEN 7510-audit?

Tijdens een NEN 7510-audit controleert de certificerende instantie of jouw informatiebeheersysteem voldoet aan alle eisen van de norm. Dit omvat zowel de documentatie en het beleid als de daadwerkelijke implementatie en borging in de dagelijkse praktijk. De audit bestaat doorgaans uit een documentatiereview gevolgd door een locatieaudit.

De certificerende instantie kijkt specifiek naar:

• Het informatiebeveiligingsbeleid en de risicoanalyse
• De vastgelegde verantwoordelijkheden en bevoegdheden binnen de organisatie
• Technische en organisatorische beveiligingsmaatregelen (zoals toegangsbeheer, encryptie en incidentbeheer)
• Bewustwording en training van medewerkers op het gebied van informatiebeveiliging
• Het proces voor het melden en afhandelen van beveiligingsincidenten
• Interne audits en managementreviews
• Naleving van relevante wet- en regelgeving, waaronder de AVG

Een NEN 7510-audit is geen papieren exercitie. Auditors spreken met medewerkers op verschillende niveaus, bekijken systemen en vragen naar concrete voorbeelden van hoe beleid in de praktijk wordt toegepast. Organisaties die alleen op papier voldoen maar de norm niet daadwerkelijk leven, zullen tijdens de audit tegen bevindingen aanlopen.

NEN 7510 is nauw verwant aan ISO 27001, de internationale norm voor informatiebeveiliging. Wie al een ISO 27001-systeem heeft ingericht, heeft een sterke basis voor NEN 7510, al zijn er specifieke zorgeisen die aanvullende aandacht vragen.

Hoe lang is een NEN 7510-certificaat geldig?

Een NEN 7510-certificaat is doorgaans drie jaar geldig. Tijdens deze periode voert de certificerende instantie jaarlijkse surveillanceaudits uit om te controleren of de organisatie blijft voldoen aan de norm. Na drie jaar volgt een hercertificeringsaudit waarbij het volledige managementsysteem opnieuw wordt beoordeeld.

De driejarige cyclus ziet er in de praktijk als volgt uit:

1. Jaar 1: Initiële certificeringsaudit (fase 1 documentatiereview en fase 2 locatieaudit). Bij goedkeuring wordt het certificaat afgegeven.
2. Jaar 2: Eerste surveillanceaudit. Steekproefsgewijs worden onderdelen van het systeem beoordeeld.
3. Jaar 3: Tweede surveillanceaudit. Opnieuw een steekproef, met extra aandacht voor verbeterpunten uit eerdere audits.
4. Jaar 4: Hercertificeringsaudit. Het volledige systeem wordt opnieuw beoordeeld en bij goedkeuring start een nieuwe driejarige cyclus.

Het is belangrijk om te weten dat een certificaat tussentijds kan worden ingetrokken als de organisatie niet langer aan de eisen voldoet of als ernstige tekortkomingen niet tijdig worden opgelost. Certificering is dus geen eenmalige prestatie maar een doorlopend proces van verbetering en borging.

Hoe wij helpen met NEN 7510-certificering

Wij begeleiden organisaties in de zorgsector van begin tot eind door het NEN 7510-traject. Of je nu net begint met informatiebeveiliging of al een basis hebt liggen, wij zorgen ervoor dat jouw organisatie goed voorbereid de auditruimte instapt.

Wat wij voor je doen:

• Een nulmeting uitvoeren om te bepalen waar je nu staat ten opzichte van de NEN 7510-eisen
• Het informatiebeveiligingsbeleid en de benodigde documentatie opstellen of verbeteren
• Risicoanalyses begeleiden en vertalen naar concrete beheersmaatregelen
• Medewerkers bewust maken van hun rol in informatiebeveiliging
• Interne audits uitvoeren als voorbereiding op de externe certificeringsaudit
• Jou begeleiden bij de keuze voor een geschikte, geaccrediteerde certificerende instantie
• Ondersteunen bij het oplossen van bevindingen na een audit

Wij werken niet voor je maar met je. Dat betekent dat we naast je staan tijdens het hele traject, schakelen met alle lagen in jouw organisatie en praktische oplossingen bieden die daadwerkelijk werken. Wil je weten hoe wij jouw organisatie kunnen helpen met NEN 7510? Neem dan contact op voor een vrijblijvend gesprek.

 

 

Gerelateerde artikelen

• Wat verandert er in NEN 7510:2024?
• Zorgopdrachtgevers vragen om een certificaat, welke heb ik nodig?
• Welke documenten heb je nodig voor SCL?
• Hoe voorkom je miscommunicatie tussen afdelingen over kwaliteitseisen?
• Hoe maak je je bedrijfsprocessen schaalbaar bij groei?
• Welke bedrijven hebben ISO 9001 nodig?
• Wat zijn de juridische aspecten van ISO 9001?
• Wat is het verschil tussen ISO 9001 en ISO 22301?
• Wanneer heb ik een interim HSE officer nodig?
• Wat doet een interim KAM coördinator bij ons in de praktijk?