Verschillen ISO 27001 en NEN 7510

In Nederland zijn ISO 27001 en NEN 7510 belangrijke normen voor informatiebeveiliging. Uw organisatie verwerkt dagelijks informatie die niet voor iedereen toegankelijk mag zijn. Daarom is informatiebeveiliging essentieel. Het gaat erom informatie goed te beschermen, risico’s te beheersen en passende maatregelen te nemen om verlies, misbruik of ongeautoriseerde toegang te voorkomen.

Om uw informatiebeveiliging structureel en aantoonbaar te organiseren, kunt u kiezen voor certificering.

ISO 27001 en NEN 7510 bieden beiden een praktisch kader om informatiebeveiliging in te richten, te beheersen en continu te verbeteren.

We leggen uit wat ISO 27001 en NEN 7510 inhouden, wat de belangrijkste verschillen zijn en wanneer organisaties ervoor kiezen om beide normen te combineren.

Wat is ISO 27001?

ISO 27001 is een norm voor informatiebeveiliging ontwikkeld door ISO. De norm wordt wereldwijd toegepast door organisaties in verschillende sectoren, van technologiebedrijven tot financiële instellingen en overheidsorganisaties.

De norm beschrijft hoe een organisatie een Information Security Management System (ISMS) kan inrichten. Een ISMS is een managementsysteem waarmee een organisatie informatiebeveiliging structureel organiseert en blijft verbeteren.

Een managementsysteem voor informatiebeveiliging bestaat onder andere uit:

• beleid en doelstellingen voor informatiebeveiliging
• processen en procedures
• beveiligingsmaatregelen
• controles en evaluaties van het systeem

De norm werkt volgens een risicogebaseerde aanpak. Dat betekent dat een organisatie eerst de risico’s voor informatie bepaalt en vervolgens maatregelen neemt om deze risico’s te beheersen.

Wilt u meer weten over het traject richting certificering? Lees meer over ISO 27001-certificering.

Wat is NEN 7510?

NEN 7510 is ook een norm voor informatiebeveiliging maar dan specifiek voor de zorg. Het is een Nederlandse norm ontwikkeld door de NEN.
Net als ISO 27001 is het een managementsysteemnorm gericht op het beveiligen van informatie. NEN 7510 gaat echter specifiek om persoonlijke gezondheidsinformatie, zoals patiëntgegevens en medische dossiers.

De norm bestaat uit twee delen:

• NEN 7510-1
  Dit deel beschrijft het managementsysteem voor informatiebeveiliging. De structuur is grotendeels gebaseerd op ISO 27001.
• NEN 7510-2
  Deel twee bevat aanvullende maatregelen die specifiek gericht zijn op organisaties in de zorgsector.

Hierdoor sluit NEN 7510 beter aan op de risico’s en wettelijke verplichtingen rondom medische gegevens.

Wilt u meer weten over het traject richting certificering? Lees meer over NEN 7510-certificering.

ISO 27001 vs NEN 7510: de belangrijkste verschillen

Hoewel de normen veel overeenkomsten hebben, zijn er enkele duidelijke verschillen.

Overeenkomsten tussen ISO 27001 en NEN 7510

Ondanks de verschillen delen beide normen een groot deel van hun structuur.

Beide normen:

• gebruiken een managementsysteem voor informatiebeveiliging;
• zijn gebaseerd op risicomanagement;
• werken volgens de PDCA-cyclus (Plan-Do-Check-Act);
• vereisen interne audits en een directiebeoordeling;
• kunnen worden gecertificeerd door een onafhankelijke certificerende instelling.

Door deze overeenkomsten is het voor organisaties vaak mogelijk om beide normen binnen één managementsysteem toe te passen.

Wanneer kiezen organisaties voor ISO 27001 of NEN 7510?

De keuze tussen beide normen hangt vaak samen met de sector waarin een organisatie actief is.

Organisaties buiten de zorg
Voor organisaties buiten de zorgsector is ISO 27001 meestal de meest logische keuze. De norm is internationaal toepasbaar en richt zich op alle soorten bedrijfsinformatie.

Zorginstellingen
Zorginstellingen kiezen vaak voor NEN 7510, omdat deze norm specifiek is ontwikkeld voor het beschermen van persoonlijke gezondheidsinformatie.

De IGJ geeft aan dat zorgaanbieders hun informatiebeveiliging volgens NEN 7510 moeten inrichten en dat zij daarop toezicht houdt. Een NEN 7510-certificaat is een manier om aan te tonen dat uw organisatie volgens de norm werkt.

Leveranciers in de zorgketen
Organisaties die diensten leveren aan zorginstellingen (bijvoorbeeld softwareleveranciers of IT-dienstverleners) krijgen regelmatig te maken met beide normen. In zulke gevallen kan een combinatie van ISO 27001 en NEN 7510 passend zijn.

ISO 27001 en NEN 7510 combineren

Omdat NEN 7510 grotendeels gebaseerd is op ISO 27001, kunnen organisaties beide normen vaak goed combineren. Wanneer een organisatie al een ISO 27001 managementsysteem heeft ingericht, zijn veel onderdelen van NEN 7510 al aanwezig. In dat geval kan de organisatie uitbreiden met NEN 7510. Deze wordt dan toegevoegd via een aanvullende audit waarbij de zorgspecifieke eisen worden beoordeeld.

Het combineren van normen kan voordelen hebben:

• één geïntegreerd managementsysteem;
• minder dubbele documentatie en processen;
• efficiëntere audits;
• lagere kosten dan twee afzonderlijke trajecten.

In de praktijk kiezen daarom veel organisaties voor een geïntegreerde aanpak.

Meer weten over ISO 27001 en NEN 7510-certificering?
Wilt u bespreken welke aanpak voor uw organisatie het meest logisch is? Neem gerust contact met ons op.

Geen kennisartikelen missen?

Vul uw gegevens in en u ontvangt regelmatig een update met onze nieuwste artikelen.