NEN 7510 certificering

De NEN 7510 is de norm voor informatiebeveiliging in de zorg. De norm geeft richtlijnen en uitgangspunten voor het bepalen, instellen en handhaven van maatregelen die zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie moeten treffen ter beveiliging van de informatievoorziening. Hiervoor geeft de norm een normatief raamwerk in de vorm van een managementsysteem voor informatiebeveiliging (NEN7510 deel 1) inclusief de beheersmaatregelen bij elk van de beheersdoelstellingen (NEN7510 deel 2). De norm geeft daarmee aanwijzingen voor het organisatorisch en technisch inrichten van de informatiebeveiliging en biedt zo een basis voor vertrouwen in de zorgvuldige informatievoorziening bij en tussen de verschillende organisaties in de zorg.

De norm is bedoeld voor zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie die richtlijnen zoeken over dit onderwerp, evenals hun beveiligingsadviseurs, -consultants, -auditoren, -aanbieders en externe dienstverleners. Zij moeten kunnen aantonen dat zij over de juiste informatiebeveiliging beschikken en dienen zich daarbij te houden aan de eisen uit de NEN7510.

De norm is verplicht voor zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie. Toeleveranciers in de zorg zijn niet verplicht om met de norm te werken. Vaak wordt er toch wel verwacht van toeleveranciers dat ook zij met NEN 7510 werken. De zorginstelling stelt dan een pakket aan eisen op en leveranciers dienen hier dan aan te voldoen.

Certificering is alleen verplicht voor zogenaamde gegevensuitwisselingssystemen. De Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht inmiddels wel dat zorginstellingen door middel van een onafhankelijke beoordeling kunnen aantonen dat zij voldoen aan de eisen uit de NEN 7510. Met certificering is dit eenvoudig aan te tonen.

De NEN7510 is gratis te verkrijgen bij de NEN evenals de aan de NEN7510 verbonden normen NEN7512, NEN7513 en NTA7516. De kosten van certificering verschillen per scope van een project. Meer informatie hierover kun je bij ons opvragen door contact met ons op te nemen.  

De NEN 7510 kan gezien worden als een handboek voor het op een goede manier inrichten van informatiebeveiliging in de zorg. De NEN 7510 maakt het mogelijk om informatiebeveiliging op consequente wijze binnen zorggerelateerde omgevingen te implementeren, met specifiek aandacht voor de unieke uitdagingen die de zorg stelt. Door deze normen te volgen zorgen zorginstellingen ervoor dat de vertrouwelijkheid en integriteit van gegevens waarvoor zij verantwoordelijk zijn, gehandhaafd worden, dat kritische zorginformatiesystemen beschikbaar blijven en dat er rekenschap voor gezondheidsinformatie wordt afgelegd.

Zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie kunnen zich certificeren tegen NEN 7510 deel 1 (het managementsysteem), waarvan het certificatieschema (NTA 7515) onder accreditatie is goedgekeurd. Hiermee staat het certificatieproces onder toezicht van de Raad voor Accreditatie (RvA), die zowel eisen stelt aan het certificatieproces als aan de certificerende organisatie.

Om een NEN 7510 certificering soepel en efficiënt te laten verlopen, hebben we een aantal tips.

• Besteed aandacht aan de menselijke kant. Informatiebeveiliging wordt grotendeels met technische oplossingen gewaarborgd, maar een druk op de verkeerde knop door een medewerker kan een bedrijf platleggen. Houd hier rekening mee bij het minimaliseren van risico’s.
• Beschrijf niet alleen de procedures, maar zorg ook voor goede controlemechanismen om te voorkomen dat procedures fout gaan.
• Voorkom handmatige controles en automatiseer technische beheersmaatregelen, zoals wachtwoordbeheer en patchmanagement.
• Zorg voor een goed calamiteitenplan en een back-up/terugval locatie om de informatie te beveiligen tegen bedreigingen van buitenaf.
• Probeer niet alles zelf te doen. Een externe verantwoordelijke voor informatiebeveiliging heeft vaak meer kennis en impact dan iemand die intern verantwoordelijk wordt gemaakt.
• Vertrouw niet blind op ICT-leveranciers, maar maak goede afspraken en zorg dat deze worden vastgelegd in een Service Level Agreement (SLA).

Je kunt bij QVOX terecht voor een NEN 7510 beoordeling, die voldoet aan de eisen van IGJ. Maar je kunt bij QVOX ook terecht voor maatwerk advies om de volledige NEN 7510-certificering te behalen, afgestemd op jouw situatie en wensen. Daarvoor doorloop je de volgende stappen om de NEN 7510 certificering te behalen:

• GAP-analyse: snel zicht in de acties die je moet nemen;
• Risico analyse: de risico's op het gebied van IT, fysieke beveiliging, mens én organisatie inzichtelijk 
• ISMS opzetten: een praktisch ISMS dat aan de certificeringseisen voldoet;
• Beveiligingsmaatregelen implementeren: acties nemen met awareness en instructie op maat. Live of via e-learning;
• Interne audit NEN 7510: een controle op alle normeisen van NEN 7510, zodat je weet waar je staat en goed voorbereid bent op de externe audit;
• Directiebeoordeling: verplichte jaarlijkse evaluatie van het ISMS; 
• Externe audit: de officiële certificeringsaudit