Informatiebeveiliging blijft liggen in mijn organisatie, hoe pak ik dit aan?

Informatiebeveiliging blijft liggen omdat het abstract aanvoelt, geen directe urgentie lijkt te hebben en er altijd wel iets anders voorrang krijgt. Toch is dat uitstel riskant: datalekken, boetes en reputatieschade wachten niet tot je er klaar voor bent. Dit artikel beantwoordt de meest gestelde vragen over hoe je informatiebeveiliging wél van de grond krijgt, inclusief de rol van normen zoals NEN 7510 en ISO 27001.

Waarom komt informatiebeveiliging zo vaak op de lange baan?

Informatiebeveiliging wordt uitgesteld omdat het geen tastbaar probleem is totdat er iets misgaat. Het ontbreekt aan een duidelijke eigenaar, de materie voelt technisch en complex aan, en de dagelijkse operatie trekt altijd harder. Zonder een concreet incident of externe druk verdwijnt het onderwerp naar de bodem van de prioriteitenlijst.

Herkenbaar? De meeste organisaties kampen met dezelfde patronen. Informatiebeveiliging wordt gezien als een IT-verantwoordelijkheid, terwijl het in werkelijkheid een organisatiebrede opgave is. Niemand voelt zich volledig eigenaar, waardoor beslissingen blijven hangen in overleggen zonder uitkomst.

Daarnaast speelt complexiteit een grote rol. Normen, wetgeving, risicoanalyses en technische maatregelen kunnen overweldigend aanvoelen, zeker voor organisaties zonder dedicated beveiligingsspecialist. Het gevolg: men wacht op het perfecte moment om te beginnen, en dat moment komt nooit vanzelf.

Tot slot onderschatten veel organisaties de externe druk die eraan komt. Wetgeving zoals de NIS2-richtlijn, die in 2026 naar verwachting wordt omgezet in de Nederlandse Cyberbeveiligingswet, maakt informatiebeveiliging steeds minder vrijblijvend. Voor organisaties in de zorg geldt al langer dat NEN 7510 wettelijk verankerd is via de Wabvpz.

Wat zijn de risico’s als informatiebeveiliging niet op orde is?

Als informatiebeveiliging niet op orde is, loop je als organisatie risico op datalekken, boetes, operationele verstoringen en reputatieschade. Voor zorginstellingen en ketenpartners die persoonsgegevens verwerken, geldt bovendien dat toezichthouders zoals de Inspectie Gezondheidszorg en Jeugd (IGJ) actief toezien op een functionerend informatiebeveiligingsmanagementsysteem.

De risico’s zijn concreet en verstrekkend:

• Datalekken: Ongeautoriseerde toegang tot gevoelige informatie, zoals medische gegevens of klantdata, kan grote schade aanrichten bij betrokkenen en leidt tot een meldplicht bij de Autoriteit Persoonsgegevens.
• Boetes en juridische gevolgen: De AVG kent boetes tot tientallen miljoenen euro’s bij ernstige overtredingen. Organisaties in de zorg riskeren daarnaast sancties vanuit de IGJ.
• Operationele stilstand: Ransomware-aanvallen en andere cyberdreigingen kunnen systemen platleggen, met directe gevolgen voor bedrijfscontinuïteit en dienstverlening.
• Reputatieschade: Een beveiligingsincident dat naar buiten komt, tast het vertrouwen van klanten, patiënten en partners aan, soms blijvend.
• Contractuele risico’s: Steeds meer opdrachtgevers eisen aantoonbare informatiebeveiliging als voorwaarde voor samenwerking.

Voor organisaties in de zorgsector is het risico extra groot. Persoonlijke gezondheidsinformatie, van registratiegegevens tot betalingsinformatie en medische dossiers, is bijzonder gevoelig. NEN 7510 stelt specifiek eisen aan hoe dit soort informatie wordt beheerd, beveiligd en uitgewisseld, juist omdat het netwerk van zorgaanbieders, patiënten en verzekeraars zo breed en kwetsbaar is.

Hoe pak je informatiebeveiliging stap voor stap aan?

Informatiebeveiliging pak je aan door te beginnen met een GAP-analyse, gevolgd door het opzetten of actualiseren van een informatiebeveiligingsmanagementsysteem (ISMS), het implementeren van beheersmaatregelen, het trainen van medewerkers en het uitvoeren van interne audits. Wie dit gestructureerd aanpakt, bouwt aan een systeem dat werkt en aantoonbaar is.

Een bewezen aanpak bestaat uit de volgende stappen:

1. GAP-analyse: Breng in kaart waar je nu staat ten opzichte van de eisen van de norm. Welke processen, systemen en maatregelen ontbreken of zijn onvoldoende? Dit geeft prioriteit aan je vervolgacties.
2. ISMS opzetten of actualiseren: Stel beleid, procedures, een risicobeoordeling en een risicobehandelplan op. Zorg dat de Verklaring van Toepasselijkheid up-to-date is en per maatregel documenteert of deze van toepassing is.
3. Beheersmaatregelen implementeren: Voer nieuwe of aangepaste maatregelen door en toets ze via interne audits. Denk aan toegangsbeheer, incidentprocedures, noodcommunicatie en cloudbeveiligingsbeleid.
4. Training en bewustwording: Informeer medewerkers over hun rol, de wijzigingen in beleid en hoe ze incidenten herkennen en melden. Informatiebeveiliging is geen IT-feestje, het vraagt om betrokkenheid van de hele organisatie.
5. Interne audit en management review: Toets het systeem intern, bespreek bevindingen op directieniveau en leg verbeteracties vast.
6. Certificering plannen: Wil je een certificaat behalen of verlengen, plan dan tijdig een overgangsaudit met een geaccrediteerde certificerende instelling.

Voor organisaties in de zorg is dit pad ook van toepassing op de overgang naar NEN 7510:2024. De herziene norm is in december 2024 gepubliceerd en sluit nauw aan op ISO/IEC 27001:2022. Organisaties met een bestaand NEN 7510-certificaat moeten uiterlijk 20 februari 2027 gecertificeerd zijn tegen de nieuwe versie.

Wat is ISO 27001 en helpt het jouw organisatie?

ISO 27001 is de internationale norm voor informatiebeveiligingsmanagement. De norm biedt een gestructureerd raamwerk voor het opzetten, implementeren, onderhouden en continu verbeteren van een ISMS. Certificering toont extern aan dat jouw organisatie informatiebeveiliging serieus neemt en aantoonbaar beheerst.

ISO 27001 helpt organisaties op meerdere vlakken:

• Structuur en houvast: De norm beschrijft precies welke eisen gelden voor beleid, risicobeheer, toegangscontrole, incidentbeheer en meer. Dat geeft richting aan een onderwerp dat anders snel vaag blijft.
• Vertrouwen bij klanten en partners: Een ISO 27001-certificaat is een erkend bewijs van betrouwbaarheid, steeds vaker gevraagd in aanbestedingen en inkooptrajecten.
• Aansluiting op andere normen: ISO 27001 vormt de basis voor NEN 7510 (zorg), en sluit aan op wetgeving zoals de AVG en de aankomende Cyberbeveiligingswet. Organisaties die zowel ISO 27001 als NEN 7510 nastreven, worden niet geconfronteerd met dubbele auditlasten.

Voor zorginstellingen en hun ketenpartners geldt dat NEN 7510 de zorgspecifieke uitbreiding is op ISO 27001. NEN 7510-1 is inhoudelijk gelijkwaardig aan ISO 27001, terwijl NEN 7510-2 de Nederlandse vertaling van ISO 27002 combineert met aanvullende zorgspecifieke beheersmaatregelen. Wie in de zorg werkt en serieus met informatiebeveiliging aan de slag wil, kan via ISO 27001 certificering of NEN 7510 een stevige basis leggen.

Wanneer schakel je een externe adviseur in voor informatiebeveiliging?

Je schakelt een externe adviseur in voor informatiebeveiliging wanneer interne kennis ontbreekt, capaciteit tekortschiet of wanneer je een objectieve blik nodig hebt op je huidige situatie. Zeker bij trajecten richting certificering of bij een overgang naar een nieuwe normversie is externe begeleiding een verstandige keuze.

Concrete signalen dat externe ondersteuning zinvol is:

• Je weet niet goed waar je staat ten opzichte van de eisen van ISO 27001 of NEN 7510.
• Er is geen interne eigenaar voor informatiebeveiliging, of de verantwoordelijkheid is onduidelijk verdeeld.
• Eerdere pogingen om een ISMS op te zetten zijn gestrand door drukte of gebrek aan expertise.
• Je staat voor een certificeringsaudit en wil zeker weten dat je er klaar voor bent.
• De norm is herzien (zoals NEN 7510:2024) en je weet niet wat de impact is op jouw huidige systeem.
• Klanten of opdrachtgevers stellen eisen aan informatiebeveiliging die je nu niet kunt aantonen.

Een goede adviseur werkt niet voor je, maar met je. Ze kennen de normen, begrijpen jouw sector en helpen je van GAP-analyse tot certificering zonder dat je het wiel opnieuw hoeft uit te vinden.

Hoe Diks Process Support helpt met informatiebeveiliging

Wij begeleiden organisaties van begin tot eind bij het opzetten en borgen van informatiebeveiliging, of het nu gaat om een eerste implementatie of een overgang naar een herziene normversie. Onze aanpak is praktisch, stapsgewijs en altijd afgestemd op jouw organisatie.

Wat wij voor je doen:

• Uitvoeren van een GAP-analyse om te bepalen waar je staat en wat er nodig is
• Opzetten of actualiseren van een ISMS inclusief beleid, procedures en Verklaring van Toepasselijkheid
• Begeleiden bij de implementatie van beheersmaatregelen conform NEN 7510 of ISO 27001
• Ondersteunen bij interne audits en management reviews
• Begeleiden van het volledige certificeringstraject tot en met de externe audit
• Interim inzet als interim security officer wanneer je tijdelijk expertise nodig hebt

We schakelen moeiteloos tussen de directietafel en de werkvloer, zodat informatiebeveiliging niet alleen op papier klopt maar ook in de praktijk werkt. Klaar om de eerste stap te zetten? Neem contact op en we kijken samen wat jouw organisatie nodig heeft.

Gerelateerde artikelen

• Hoe train ik medewerkers op het gebied van informatiebeveiliging in de zorg?
• Wat zijn de zwakke plekken in de informatiebeveiliging van zorginstellingen?
• Wat doe je als je steeds dezelfde klachten krijgt?
• Hoe identificeer je processen voor ISO 9001?
• Welke bedrijven hebben ISO 9001 nodig?
• Waarom melden medewerkers onveilige situaties niet?
• Waarom eisen opdrachtgevers in de bouw een veiligheidscertificaat?
• Wat zijn de voordelen van ISO 27001 voor klanten?
• Wat zijn de 3 basisprincipes van informatiebeveiliging?
• Welke training is nodig voor ISO 27001?