Informatie veilig, klanten gerust

In een informatiebeveiligingsbeleid staat hoe je informatie beschermt, welke risico’s spelen, welke maatregelen je neemt, wie verantwoordelijk is en welke acties ondernomen worden bij een beveiligingsincident. Het beleid is verplicht bij een ISO/IEC 27001-certificering of kan een eis zijn van opdrachtgevers. Zonder die eisen verplicht de AVG wel goede beveiliging, maar niet altijd een apart beleidsdocument. Sommige sectoren hebben extra regels.

Zowel ISO 27001 als NEN 7510 kunnen relevant zijn voor een zorg-ICT-leverancier. ISO 27001 richt zich breed op informatiebeveiliging, terwijl NEN 7510 specifiek is afgestemd op informatiebeveiliging in de zorg. Welke norm je nodig hebt, hangt af van je dienstverlening, de gegevens die je verwerkt en de eisen van klanten of opdrachtgevers. Soms volstaat één norm; soms zijn beide nodig. Breng daarom in kaart welke eisen op jouw organisatie van toepassing zijn en wat de certificering moet omvatten.

ISO 27001 bevat de eisen voor een managementsysteem voor informatiebeveiliging, terwijl ISO 27002 praktische richtlijnen geeft voor het toepassen van beveiligingsmaatregelen. Organisaties kunnen hun managementsysteem laten certificeren volgens ISO 27001 als het aan de eisen van deze norm voldoet. ISO 27002 is niet certificeerbaar, maar helpt bij de praktische invulling van informatiebeveiliging en ondersteunt daarmee de toepassing van ISO 27001.

ISO 27001 en NEN 7510 zijn beide normen voor informatiebeveiliging. ISO 27001 biedt een internationaal kader voor het opzetten en verbeteren van een managementsysteem voor informatiebeveiliging. NEN 7510 richt zich op de Nederlandse zorgsector en bouwt voort op ISO 27001 met eisen die aansluiten bij de verwerking van gezondheidsinformatie. Welke norm passend is, hangt af van je sector, de gegevens die je verwerkt en de eisen van klanten of opdrachtgevers.

ISO 27001 is een internationale norm waarmee organisaties hun informatiebeveiliging stap voor stap organiseren, terwijl NIS2 Europese wetgeving is die bepaalde organisaties verplicht hun digitale veiligheid op orde te hebben en incidenten te melden. Organisaties kunnen zich voor ISO 27001 laten certificeren. NIS2 bevat wettelijke verplichtingen en toezicht. Een ISO 27001-certificaat betekent niet automatisch dat een organisatie aan NIS2 voldoet, maar biedt wel een sterke basis voor naleving.

ISO 27001 is een internationale norm voor informatiebeveiliging, terwijl SOC 2 een Amerikaans rapport is dat laat zien hoe een dienstverlener met beveiliging omgaat. Een organisatie kan voor ISO 27001 een certificaat behalen na een externe audit. Bij SOC 2 beoordeelt een onafhankelijke accountant de beveiligingsmaatregelen en legt de resultaten vast in een rapport. ISO 27001 wordt wereldwijd gebruikt; SOC 2 vooral door organisaties met Amerikaanse klanten.

Het NIS2-SC-keurmerk laat zien dat een leverancier passende maatregelen neemt voor digitale veiligheid, terwijl een ISO 27001-certificaat laat zien dat een organisatie informatiebeveiliging volgens een internationale norm heeft geregeld. NIS2-SC is speciaal ontwikkeld voor leveranciers van organisaties die onder NIS2 vallen en kent drie niveaus. ISO 27001 is breder en wordt wereldwijd gebruikt. Een ISO 27001-certificaat betekent daarom niet automatisch dat een organisatie aan alle eisen van NIS2-SC voldoet.

ISO 27001 is een internationale norm voor alle sectoren, NEN 7510 is de zorgspecifieke norm en NIS2 is wetgeving voor vooral middelgrote en grote organisaties in sectoren zoals energie, vervoer, zorg, digitale diensten en overheid. ISO 27001 helpt informatiebeveiliging structureel te organiseren. NEN 7510 is bedoeld voor het beveiligen van persoonlijke gezondheidsinformatie. NIS2 stelt eisen aan cyberveiligheid en incidentmelding. Kies op basis van je sector, wettelijke verplichtingen en klantvragen; Diks Process Support helpt je bepalen welke aanpak het best past.

ISO 42001 en ISO 27001 zijn verschillende normen die elkaar goed aanvullen: ISO 42001 gaat over verantwoord gebruik en beheer van AI, terwijl ISO 27001 draait om informatiebeveiliging. Organisaties die AI ontwikkelen of gebruiken, kunnen ISO 42001 naast ISO 27001 toepassen. De normen hebben ieder een eigen doel, maar kunnen binnen één managementsysteem worden gecombineerd.

Informatiebeveiliging omvat alle organisatorische, technische en fysieke maatregelen waarmee een bedrijf informatie beschermt. Hierbij kun je denken aan toegangsbeheer, sterke wachtwoorden, veilige systemen, back-ups, bewustwording, incidentafhandeling en afspraken met leveranciers. Informatiebeveiliging voorkomt dat gegevens ongewenst worden ingezien, gewijzigd, verloren of onbereikbaar raken. De maatregelen gelden voor het management, medewerkers, tijdelijke krachten en externe partijen die met bedrijfsinformatie werken.

AVG-compliance betekent dat jouw organisatie voldoet aan de privacyregels rondom persoonsgegevens, terwijl een informatiebeveiligingscertificaat aantoont dat jouw beveiligingsmaatregelen voldoen aan een gekozen norm. AVG-compliance is bedoeld om persoonsgegevens rechtmatig, zorgvuldig en veilig te verwerken. Een certificaat, zoals ISO 27001, laat na een onafhankelijke audit zien dat informatiebeveiliging structureel is georganiseerd. AVG-compliance is wettelijk verplicht als jouw bedrijf persoonsgegevens verwerkt; een certificaat is aanvullend en past wanneer je jouw beveiliging aantoonbaar wilt maken.