NEN 7510
In de zorgsector draait alles om vertrouwen. Patiënten delen medische informatie met zorgverleners
omdat zij ervan uitgaan dat deze gegevens veilig worden verwerkt. Tegelijkertijd groeit de hoeveelheid
digitale zorginformatie. Elektronische patiëntendossiers, online consulten en gegevensuitwisseling
tussen zorgorganisaties maken informatiebeveiliging belangrijker dan ooit.
NEN 7510 beschrijft hoe zorginstellingen en organisaties die persoonlijke gezondheidsinformatie
beheren of verwerken, hun informatiebeveiliging structureel kunnen organiseren en beheersen.
Op deze pagina leest u wat de norm inhoudt, hoe deze wordt toegepast binnen de zorgsector
en waarom veel organisaties de norm gebruiken om hun informatiebeveiliging aantoonbaar te maken.
Wat is NEN 7510?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is ontwikkeld door het Nederlands Normalisatie Instituut (NEN) en richt zich op organisaties die werken met medische en persoonlijke gezondheidsinformatie.
Het uitgangspunt van de norm is dat patiëntgegevens gedurende hun hele levenscyclus beschermd moeten worden. Dat geldt voor opslag, verwerking, toegang en uitwisseling van informatie.
De norm richt zich daarbij op drie fundamentele principes van informatiebeveiliging:
- Beschikbaarheid
Zorgverleners moeten toegang hebben tot medische informatie wanneer deze nodig is voor diagnose of behandeling. - Integriteit
Medische gegevens moeten correct en volledig blijven. Ongeautoriseerde wijzigingen of beschadiging van informatie moeten worden voorkomen. - Vertrouwelijkheid
Alleen bevoegde personen mogen toegang hebben tot patiëntgegevens.
De principes worden structureel geborgd in een Information Security Management System (ISMS). Dit managementsysteem helpt organisaties risico’s te identificeren, beveiligingsmaatregelen te implementeren en informatiebeveiliging continu te verbeteren. Binnen de zorg is dit extra belangrijk vanwege mogelijke gevolgen voor patiëntveiligheid.
De systematische aanpak zorgt ervoor dat informatiebeveiliging geen eenmalige maatregel is, maar een doorlopend proces.
Met een NEN 7510-certificering kan uw organisatie aantonen volgens deze systematiek te werken en daarmee zorgvuldig met patiëntgegevens om te gaan.
Hoe werkt de norm?
Hoewel specifiek ontwikkeld voor de zorgsector, sluit de norm nauw aan bij internationale standaarden voor informatiebeveiliging. Met name ISO 27001 vormt een belangrijk fundament.
Het verschil is dat NEN 7510 aanvullende eisen bevat die zijn afgestemd op het verwerken van gezondheidsinformatie. Wilt u meer weten over de verschillen? Lees dan ons artikel ISO 27001 vs NEN 7510.
De norm bestaat uit twee delen:
- NEN 7510-1
Dit deel bevat de eisen voor het managementsysteem voor informatiebeveiliging. Hierin staat beschreven hoe organisaties beleid opstellen, verantwoordelijkheden vastleggen en risico’s beheren. - NEN 7510-2
Dit deel bevat een uitgebreide set beveiligingsmaatregelen. Deze maatregelen zijn specifiek bedoeld voor organisaties die werken met gezondheidsinformatie. Door deze combinatie van managementsysteem en beveiligingsmaatregelen ontstaat een gestructureerde aanpak voor informatiebeveiliging.
In de praktijk betekent dit dat organisaties onder andere:
- risico’s voor patiëntgegevens analyseren;
- beveiligingsmaatregelen implementeren;
- verantwoordelijkheden vastleggen;
- incidenten registreren en evalueren;
- informatiebeveiliging continu verbeteren.
Voor welke organisaties geldt NEN 7510?
De norm is relevant voor vrijwel alle organisaties die werken met gezondheidsinformatie. Dat betekent dat de norm niet alleen van toepassing is op zorginstellingen, maar ook op organisaties die systemen of diensten leveren voor de zorgsector of persoonlijke gezondheidsinformatie beheren of verwerken.
Voorbeelden van organisaties zijn:
- ziekenhuizen en klinieken
- huisartsenpraktijken
- GGZ-instellingen
- laboratoria en diagnostische centra
- apotheken
- zorgverzekeraars
- ICT-dienstverleners in de zorg
- leveranciers van elektronische patiëntendossiers
Waarom geldt de norm voor zo’n brede groep organisaties?
In moderne zorgomgevingen worden patiëntgegevens vaak gedeeld tussen meerdere partijen. Denk bijvoorbeeld aan digitale verwijzingen, medische beelddata en uitwisseling van gegevens tussen zorginstellingen.
Wanneer één organisatie in deze keten onvoldoende beveiligingsmaatregelen heeft getroffen, kan dat gevolgen hebben voor de bescherming van gegevens in de hele zorgketen.
Daarom wordt de norm steeds vaker gebruikt als gemeenschappelijk kader voor informatiebeveiliging binnen de zorg.
Is NEN 7510 verplicht?
Veel organisaties vragen zich af: is NEN 7510 verplicht?
De norm zelf is geen wet. Toch speelt de norm een belangrijke rol in de manier waarop informatiebeveiliging in de zorg wordt ingericht.
In verschillende wetten en richtlijnen wordt namelijk verwezen naar passende beveiligingsmaatregelen voor medische gegevens. Denk bijvoorbeeld aan regelgeving rond elektronische gegevensuitwisseling en de bescherming van persoonsgegevens.
In de praktijk verwachten toezichthouders, samenwerkingspartners en zorgverzekeraars vaak dat organisaties hun informatiebeveiliging baseren op de NEN 7510-norm. Daarom kiezen veel zorgorganisaties ervoor hun managementsysteem voor informatiebeveiliging volgens deze norm in te richten.
NEN 7510 in de praktijk
Het toepassen van NEN 7510 betekent dat organisaties informatiebeveiliging op een gestructureerde manier organiseren.
Onderwerpen die in de norm een belangrijke rol spelen zijn onder andere:
- informatiebeveiligingsbeleid;
- risicomanagement;
- toegangsbeheer;
- logging en monitoring van systemen;
- incidentmanagement;
- continuïteitsbeheer;
- bewustwording van medewerkers.
Een belangrijk uitgangspunt van de norm is risicogebaseerd werken. Organisaties analyseren eerst welke risico’s bestaan voor patiëntgegevens en bepalen vervolgens welke maatregelen nodig zijn om deze risico’s te beheersen.
Zo ontstaat een beveiligingsniveau dat aansluit bij de aard van de organisatie en de informatie die wordt verwerkt.
NEN 7510 certificering en audits
Organisaties die willen aantonen dat hun informatiebeveiliging voldoet aan de norm kunnen kiezen voor NEN 7510-certificering. Tijdens een certificeringsaudit beoordeelt een onafhankelijke certificerende instelling of het managementsysteem voor informatiebeveiliging voldoet aan de eisen van de norm.
Auditoren kijken daarbij onder andere naar:
- het informatiebeveiligingsbeleid;
- uitgevoerde risicoanalyses;
- implementatie van beveiligingsmaatregelen;
- interne controles;
- managementreviews.
Wanneer een organisatie voldoet aan de eisen van de norm kan een certificaat worden afgegeven.
Meer weten over NEN 7510-certificering?
Bent u benieuwd hoe ver uw organisatie op weg is naar NEN 7510-certificering? Neem contact met ons op voor een vrijblijvend gesprek!