Wat is NEN 7510? Uitleg, betekenis en voorbeelden

In de zorg wordt dagelijks gewerkt met gevoelige informatie. Medische dossiers, behandelgegevens en persoonsgegevens moeten beschikbaar zijn voor zorgverleners, maar tegelijkertijd goed worden beschermd tegen misbruik, fouten en datalekken. Een beveiligingsincident kan niet alleen de privacy van patiënten schaden, maar ook de continuïteit en kwaliteit van de zorgverlening raken.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm helpt organisaties om zorginformatie structureel en aantoonbaar te beveiligen. Maar wat houdt NEN 7510 precies in, voor wie geldt de norm en wat vraagt deze in de praktijk?

Wat is NEN 7510?

NEN 7510 beschrijft hoe organisaties in de zorg hun informatiebeveiliging moeten organiseren. Centraal staat het opzetten en onderhouden van een Information Security Management System (ISMS): een samenhangend systeem van beleid, processen, verantwoordelijkheden en beveiligingsmaatregelen.

Het doel is om drie belangrijke eigenschappen van zorginformatie te waarborgen:

• Vertrouwelijkheid: alleen bevoegde personen hebben toegang tot de informatie.
• Integriteit: gegevens worden niet ongewenst of onjuist gewijzigd.
• Beschikbaarheid: informatie is toegankelijk wanneer deze nodig is voor de zorgverlening.

De actuele versie, NEN 7510:2024, sluit aan op ISO 27001 en bevat aanvullende eisen en maatregelen voor de zorgsector. Daarmee richt de norm zich specifiek op de risico’s die horen bij persoonlijke gezondheidsinformatie. Meer informatie over de actuele norm is te vinden bij NEN.

Wat betekent NEN 7510 in de praktijk?

Werken volgens NEN 7510 betekent dat informatiebeveiliging een structureel onderdeel wordt van de organisatie. Het gaat dus niet alleen om technische maatregelen, zoals sterke wachtwoorden, versleuteling en beveiligde systemen. Ook beleid, werkprocessen en het gedrag van medewerkers spelen een belangrijke rol.

Een organisatie moet onder andere weten:

• welke zorginformatie zij verwerkt;
• waar deze informatie wordt opgeslagen en uitgewisseld;
• wie toegang heeft tot de gegevens;
• welke beveiligingsrisico’s aanwezig zijn;
• welke maatregelen nodig zijn om deze risico’s te beheersen;
• hoe wordt gehandeld bij incidenten en datalekken.

Daarnaast moeten verantwoordelijkheden duidelijk zijn vastgelegd en medewerkers regelmatig bewust worden gemaakt van veilig werken met zorginformatie. Tijdens een audit wordt niet alleen gekeken naar de documentatie, maar ook naar de manier waarop maatregelen in de dagelijkse praktijk worden toegepast.

Voor wie is NEN 7510 van toepassing?

NEN 7510 is relevant voor organisaties die persoonlijke gezondheidsinformatie verwerken. Hieronder vallen onder andere:

• ziekenhuizen en zelfstandige behandelcentra;
• huisartsenpraktijken en apotheken;
• GGZ-instellingen;
• verpleeg- en verzorgingshuizen;
• thuiszorgorganisaties;
• laboratoria en zorgverzekeraars;
• ICT- en hostingbedrijven die zorginformatie verwerken;
• leveranciers van EPD- en cliëntsystemen.

Voor leveranciers hangt de toepasselijkheid onder meer af van de gegevens die zij verwerken en de rol die zij binnen de zorgketen vervullen. Ook kunnen zorginstellingen naleving of certificering als voorwaarde opnemen in contracten, verwerkersovereenkomsten en aanbestedingen.

Onze klanten aan het woord

“De investering is het echt wel driedubbel waard geweest.”

Voor Joshua Bax begon certificering als een manier om zich te onderscheiden in een markt [...]

ARQ Intelligence zet volgende stap met VCA*-certificering

ARQ Intelligence is een jong en snelgroeiend bedrijf binnen de infrastructuur. De organisatie helpt netbeheerders [...]

George Pisa & Zn. Tailleurs behaalde ISO 9001 en ISO 14001: “Super efficiënt en snel”

Voor George Pisa & Zn. Tailleurs waren ISO 9001 en ISO 14001 geen doel op zich, maar [...]

Is NEN 7510 verplicht?

Voor zorgaanbieders is het aantoonbaar voldoen aan NEN 7510 verplicht. De Inspectie Gezondheidszorg en Jeugd ziet hierop toe en gebruikt de norm bij de beoordeling van informatiebeveiliging in de zorg. De verplichting om zorgvuldig met elektronische patiëntgegevens om te gaan, volgt onder meer uit de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg.

Een NEN 7510-certificaat is niet voor iedere organisatie wettelijk verplicht. Certificering is wel een betrouwbare manier om aan opdrachtgevers, toezichthouders en samenwerkingspartners te laten zien dat de organisatie volgens de norm werkt. De IGJ licht het onderscheid tussen voldoen aan de norm en certificering verder toe.

Voorbeelden van NEN 7510 in de praktijk

Toegangsbeheer

Medewerkers krijgen alleen toegang tot de informatie die zij voor hun functie nodig hebben. Een arts kan bijvoorbeeld relevante patiëntdossiers inzien, terwijl een administratief medewerker slechts toegang heeft tot een beperkt deel van de gegevens.

Logging en controle

Een zorgorganisatie registreert wie een patiëntdossier opent of wijzigt. Ongebruikelijke inzage, bijvoorbeeld zonder behandelrelatie of buiten normale werktijden, kan hierdoor worden gesignaleerd en onderzocht.

Incident- en datalekprocedure

Wanneer een laptop wordt gestolen of patiëntgegevens naar de verkeerde ontvanger worden gestuurd, moet duidelijk zijn wie het incident onderzoekt, welke maatregelen nodig zijn en of melding bij de Autoriteit Persoonsgegevens vereist is.

Continuïteit van zorgsystemen

Zorgorganisaties maken back-ups en stellen noodprocedures op voor storingen en cyberincidenten. Zo blijft essentiële informatie zo veel mogelijk beschikbaar en kan de zorgverlening doorgaan.

Wat is het verschil tussen NEN 7510 en ISO 27001?

ISO 27001 is een internationale norm voor informatiebeveiliging die in iedere sector kan worden toegepast. NEN 7510 sluit hierop aan, maar bevat aanvullende eisen en maatregelen voor de verwerking van persoonlijke gezondheidsinformatie.

NEN 7510 besteedt daardoor specifiek aandacht aan onderwerpen zoals patiëntveiligheid, autorisaties, logging, gegevensuitwisseling en de beschikbaarheid van zorginformatie. Een ISO 27001-certificering kan een goede basis vormen, maar toont niet automatisch aan dat een organisatie ook aan alle zorgspecifieke eisen van NEN 7510 voldoet.

Wat levert NEN 7510 op?

Een goed ingericht ISMS maakt beveiligingsrisico’s inzichtelijk en helpt incidenten te voorkomen of de gevolgen ervan te beperken. Medewerkers weten beter wat er van hen wordt verwacht en de organisatie kan aantonen dat informatiebeveiliging structureel wordt beheerd.

Hulp nodig bij NEN 7510?

Wil je weten welke eisen van NEN 7510 binnen jouw organisatie al zijn geregeld en waar nog aandachtspunten liggen? Wij helpen je om dit inzichtelijk te maken en ondersteunen waar nodig bij de praktische implementatie en voorbereiding op certificering.

Benieuwd waar jouw organisatie staat en hoe wij jou kunnen helpen? Neem gerust contact met ons op. Vraag een vrijblijvend adviesgesprek aan of bel ons direct!