IT voor de zorg

Wat is NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is afgeleid van de internationale ISO 27001- en 27002-standaarden, maar vertaald naar de zorgpraktijk: waar de algemene norm over 'informatie' spreekt, gaat het in NEN 7510 specifiek over persoonlijke gezondheidsinformatie en de systemen waarin die wordt verwerkt. De norm bestaat uit twee delen. NEN 7510-1 beschrijft het managementsysteem (ISMS): beleid, risicobeoordeling, directieverantwoordelijkheid en een verbetercyclus. NEN 7510-2 bevat de concrete beheersmaatregelen — van toegangsbeheer en logging tot back-up, fysieke beveiliging en leveranciersmanagement. Aanvullend bestaan NEN 7512 (veilige gegevensuitwisseling tussen zorgpartijen) en NEN 7513 (logging: wie heeft wanneer welk dossier ingezien).

Voor wie is NEN 7510 verplicht?

De norm geldt voor iedere organisatie die persoonlijke gezondheidsinformatie verwerkt. Dat zijn ziekenhuizen en GGZ-instellingen, maar net zo goed huisartsen-, tandarts- en fysiotherapiepraktijken, apotheken, verloskundigen, thuiszorgorganisaties én de ICT-leveranciers die voor hen werken. De verplichting is niet vrijblijvend: het Besluit elektronische gegevensverwerking door zorgaanbieders (Begz) wijst NEN 7510, NEN 7512 en NEN 7513 expliciet aan als de te hanteren normen, en de AVG eist 'passende technische en organisatorische maatregelen' — in de Nederlandse zorg toetsen de Autoriteit Persoonsgegevens en de Inspectie Gezondheidszorg en Jeugd die eis in de praktijk aan NEN 7510. Ook zorgverzekeraars en regionale samenwerkingsverbanden vragen bij contractering steeds vaker om aantoonbare naleving. Belangrijk: de norm raakt ook je leveranciers. Wie als IT-partij zorgdata host of beheert, moet zélf aan NEN 7510 voldoen — een praktijk die met een niet-gecertificeerde IT-leverancier werkt, heeft daarmee een gat in haar eigen aantoonbaarheid.

Hoe voldoe je aantoonbaar?

Aantoonbaar voldoen is meer dan de techniek op orde hebben; de kern is een werkend managementsysteem dat je kunt laten zien. In de praktijk komt dat neer op vijf stappen. 1. Risicobeoordeling: breng in kaart waar gezondheidsgegevens staan (EPD/praktijksoftware, mail, werkplekken, back-ups) en welke risico's daarop spelen. 2. Beleid en verantwoordelijkheden: leg vast wie verantwoordelijk is voor informatiebeveiliging, hoe autorisaties worden toegekend en ingetrokken, en hoe je met incidenten omgaat. 3. Maatregelen implementeren: multifactor-authenticatie, versleuteling, rolgebaseerd toegangsbeheer, logging conform NEN 7513 en dagelijks geteste back-ups. 4. Vastleggen en oefenen: verwerkersovereenkomsten met alle leveranciers, een datalekprocedure die je periodiek doorloopt, en bewustwordingstraining voor medewerkers — de meeste incidenten beginnen bij een phishingmail, niet bij techniek. 5. Toetsen: een onafhankelijke audit door een certificerende instelling maakt de naleving extern aantoonbaar; voor kleinere praktijken kan een zelfverklaring met onderliggend bewijs een tussenstap zijn, maar bij toezicht of contractering weegt een certificaat aanzienlijk zwaarder.

Wat betekent dit voor je werkplek?

De werkplek is in de praktijk de plek waar informatiebeveiliging slaagt of faalt: daar wordt ingelogd, gemaild en in het patiëntendossier gewerkt. Door de werkplek af te nemen bij een NEN 7510-gecertificeerde partner erf je een groot deel van de technische maatregelen — versleuteling, MFA, logging, back-ups, patchbeleid en datacenter-beveiliging zijn dan al geregeld en gedocumenteerd. De organisatorische kant (beleid, autorisaties, training) blijft je eigen verantwoordelijkheid, maar je hoeft niet zelf een gecertificeerde infrastructuur op te bouwen. Zo wordt aantoonbaarheid een kwestie van aanwijzen in plaats van optuigen.