IT voor de zorg

Onze online werkplek is ideaal voor de zorgsector. Medewerkers krijgen overal veilig toegang tot hun applicaties en patientgegevens — op de praktijk, thuis of onderweg. EPD/ECD hosting — Wij hosten je elektronisch patiënten- of cliëntendossier in onze eigen datacenters. Snel, veilig en altijd beschikbaar. Exquise, Visiquick, OASE, Simplex en Novadent draaien al bij collega-praktijken. Tandartssoftware — Gespecialiseerde hosting van Exquise en andere tandartssoftware. Optimaal gepresteerd en volledig beheerd. Fysiotherapeuten — Hosting van EPD-pakketten voor fysiotherapeuten. Zie software voor fysiotherapeuten voor specifieke ondersteuning. AVG/GDPR-compliant — Alle patiëntdata blijft in Nederland, in onze eigen datacenters. Versleuteld opgeslagen en verstuurd. Managed cybersecurity — 24/7 monitoring, MFA en endpoint-beveiliging bovenop onze ISO 27001-basis. Standaard inbegrepen in onze zorg-pakketten. 24/7 beschikbaarheid — Zorgsystemen mogen niet uitvallen. Onze twin datacenters en redundante systemen garanderen maximale uptime, en onze disaster recovery is getest voor de zorgsector.

Wat is NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is afgeleid van de internationale ISO 27001- en 27002-standaarden, maar vertaald naar de zorgpraktijk: waar de algemene norm over 'informatie' spreekt, gaat het in NEN 7510 specifiek over persoonlijke gezondheidsinformatie en de systemen waarin die wordt verwerkt. De norm bestaat uit twee delen. NEN 7510-1 beschrijft het managementsysteem (ISMS): beleid, risicobeoordeling, directieverantwoordelijkheid en een verbetercyclus. NEN 7510-2 bevat de concrete beheersmaatregelen — van toegangsbeheer en logging tot back-up, fysieke beveiliging en leveranciersmanagement. Aanvullend bestaan NEN 7512 (veilige gegevensuitwisseling tussen zorgpartijen) en NEN 7513 (logging: wie heeft wanneer welk dossier ingezien).

Voor wie is NEN 7510 verplicht?

De norm geldt voor iedere organisatie die persoonlijke gezondheidsinformatie verwerkt. Dat zijn ziekenhuizen en GGZ-instellingen, maar net zo goed huisartsen-, tandarts- en fysiotherapiepraktijken, apotheken, verloskundigen, thuiszorgorganisaties. De norm is geschreven voor de zorgaanbieder zelf; ICT-leveranciers vallen onder het leveranciersbeleid van die zorgaanbieder. De verplichting is niet vrijblijvend: het Besluit elektronische gegevensverwerking door zorgaanbieders (Begz) wijst NEN 7510, NEN 7512 en NEN 7513 expliciet aan als de te hanteren normen, en de AVG eist 'passende technische en organisatorische maatregelen' — in de Nederlandse zorg toetsen de Autoriteit Persoonsgegevens en de Inspectie Gezondheidszorg en Jeugd die eis in de praktijk aan NEN 7510. Ook zorgverzekeraars en regionale samenwerkingsverbanden vragen bij contractering steeds vaker om aantoonbare naleving. Belangrijk: de norm raakt ook je leveranciers. NEN 7510 vraagt dat je als zorgaanbieder kunt aantonen dat een IT-partij die zorgdata host of beheert passende maatregelen neemt, met een verwerkersovereenkomst en afspraken over beveiliging. Een ISO 27001-certificaat van de leverancier maakt dat aantoonbaar; kan je leverancier dat niet laten zien, dan heb je een gat in je eigen aantoonbaarheid.

Hoe voldoe je aantoonbaar?

Aantoonbaar voldoen is meer dan de techniek op orde hebben; de kern is een werkend managementsysteem dat je kunt laten zien. In de praktijk komt dat neer op vijf stappen. 1. Risicobeoordeling: breng in kaart waar gezondheidsgegevens staan (EPD/praktijksoftware, mail, werkplekken, back-ups) en welke risico's daarop spelen. 2. Beleid en verantwoordelijkheden: leg vast wie verantwoordelijk is voor informatiebeveiliging, hoe autorisaties worden toegekend en ingetrokken, en hoe je met incidenten omgaat. 3. Maatregelen implementeren: multifactor-authenticatie, versleuteling, rolgebaseerd toegangsbeheer, logging conform NEN 7513 en dagelijks geteste back-ups. 4. Vastleggen en oefenen: verwerkersovereenkomsten met alle leveranciers, een datalekprocedure die je periodiek doorloopt, en bewustwordingstraining voor medewerkers — de meeste incidenten beginnen bij een phishingmail, niet bij techniek. 5. Toetsen: controleer periodiek of je maatregelen werken, met een interne audit of een onafhankelijke toets. De regelgeving vraagt dat je aan de norm voldoet, niet dat je gecertificeerd bent: veel kleinere praktijken leggen hun naleving vast in een zelfverklaring met onderliggend bewijs, en een certificaat is een keuze die vooral speelt als een zorgverzekeraar of samenwerkingsverband erom vraagt.

Wat betekent dit voor je werkplek?

De werkplek is in de praktijk de plek waar informatiebeveiliging slaagt of faalt: daar wordt ingelogd, gemaild en in het patiëntendossier gewerkt. Door de werkplek af te nemen bij een ISO 27001-gecertificeerde partner, erf je een groot deel van de technische maatregelen — versleuteling, MFA, logging, back-ups, patchbeleid en datacenter-beveiliging zijn dan al geregeld en gedocumenteerd. De organisatorische kant (beleid, autorisaties, training) blijft je eigen verantwoordelijkheid, maar je hoeft niet zelf een gecertificeerde infrastructuur op te bouwen. Zo wordt aantoonbaarheid een kwestie van aanwijzen in plaats van optuigen.