NEN 7510 voor ICT- en softwareleveranciers in de zorg

Ja, NEN 7510 kan zeker gelden voor ICT-leveranciers in de zorg, ook als zij geen zorginstelling zijn. In de praktijk betekent dit dat softwareleveranciers, hostingpartijen en andere ICT-dienstverleners die werken voor zorgorganisaties steeds vaker aan NEN 7510 moeten voldoen.

Geldt NEN 7510 voor ICT- en softwareleveranciers?

Een ICT-leverancier valt onder NEN 7510 zodra hij patiëntgegevens verwerkt of beheert, of toegang heeft tot systemen waarin dergelijke gegevens zijn opgeslagen. De norm richt zich op informatiebeveiliging in de zorg en is niet beperkt tot zorginstellingen zelf. Elke partij in de keten die met zorgdata in aanraking komt, valt binnen de reikwijdte van de norm.

Concreet gaat het om ICT-leveranciers die:

• elektronische patiëntendossiers (EPD’s) of andere zorgsoftware leveren of hosten
• clouddiensten aanbieden aan zorgorganisaties waarbij patiëntdata wordt opgeslagen
• netwerk- of infrastructuurdiensten verzorgen voor zorginstellingen
• toegang hebben tot systemen met bijzondere persoonsgegevens in de zorg

Of een leverancier formeel verplicht is tot certificering, hangt af van de contractuele eisen van de zorginstelling waarvoor hij werkt. Steeds meer zorginstellingen stellen NEN 7510-certificering als harde eis aan hun ICT-leveranciers. Daarnaast kan de toezichthouder of een aanbestedende partij hier ook eisen aan stellen. Het is dus zaak om vroegtijdig te inventariseren of jouw dienstverlening onder de norm valt en welke verwachtingen opdrachtgevers hebben.

Een voorbeeld uit de praktijk maakt dit concreet: een EPD-leverancier met 20 medewerkers levert een elektronisch patiëntendossier aan meerdere huisartsenpraktijken. Bij een aanbestedingsprocedure voor een grotere zorginstelling stuit het bedrijf op een harde eis: NEN 7510-certificering is verplicht voor alle ICT-leveranciers die toegang hebben tot patiëntgegevens. Omdat het certificaat ontbreekt, wordt de leverancier uitgesloten van de aanbesteding. Dit is voor veel vergelijkbare organisaties de directe aanleiding om het certificeringstraject alsnog te starten.

Wat ziekenhuizen en zorginstellingen van leveranciers verwachten

Ziekenhuizen verwachten van leveranciers dat zij aantoonbaar voldoen aan informatiebeveiliging conform NEN 7510, een werkende verwerkersovereenkomst kunnen overleggen en beschikken over beleid voor toegangsbeheer, incidentrespons en continuïteit. Deze eisen gelden voor iedere leverancier die persoonlijke gezondheidsinformatie verwerkt of toegang heeft tot zorgsystemen.

Concreet vragen ziekenhuizen leveranciers doorgaans om:

• Een informatiebeveiligingsbeleid dat aansluit op NEN 7510
• Een actueel risicobeheerproces met gedocumenteerde risicobehandeling
• Technische maatregelen zoals versleuteling, toegangscontrole en logging
• Procedures voor het melden en afhandelen van beveiligingsincidenten
• Een continuïteitsplan dat regelmatig wordt getest
• Aantoonbare bewustwording en training van medewerkers

Ziekenhuizen beoordelen de beveiliging van een leverancier op basis van documentatie, audits en certificaten. Ze kijken of een leverancier beschikt over een aantoonbaar werkend informatiebeveiligingsmanagementsysteem (ISMS), een actuele Verklaring van Toepasselijkheid (VvT) en gedocumenteerde procedures voor risicobeheer en incidentafhandeling. Een NEN 7510-certificaat geldt daarbij als sterk bewijs van naleving.

In de praktijk verloopt de beoordeling vaak in meerdere stappen. Tijdens de aanbesteding of contractonderhandeling vraagt een ziekenhuis om een vragenlijst of beveiligingsscan. Daarna kan een leveranciersaudit volgen waarbij een interne of externe auditor de beveiligingsmaatregelen ter plaatse toetst. De Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht van zorgaanbieders dat zij dit soort controles uitvoeren bij partijen die toegang hebben tot patiëntgegevens.

Wat je als leverancier moet kunnen aantonen

Een ICT-leverancier die actief is in de zorg moet minimaal kunnen aantonen dat hij werkt conform NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg. Certificering is niet wettelijk verplicht, maar een leverancier moet wel aantoonbaar kunnen maken dat hij aan de norm voldoet. Een NEN 7510-certificaat van een door de Raad voor Accreditatie (RvA) geaccrediteerde instelling is de meest erkende manier om dit te bewijzen.

Naast NEN 7510 zijn er aanverwante normen die relevant zijn voor ICT-leveranciers in de zorg:

• NEN 7512 richt zich op de vertrouwensbasis voor elektronische gegevensuitwisseling tussen zorgverleners, patiënten en andere betrokken partijen.
• NEN 7513 regelt de logging van acties op elektronische patiëntdossiers, zodat altijd inzichtelijk is wie toegang heeft gehad tot welk dossier.
• ISO 27001 is het internationale equivalent van NEN 7510-1 en geeft extra zekerheid over het informatiebeveiligingsmanagementsysteem (ISMS) van een leverancier.

Houd er rekening mee dat een individuele applicatie of softwareoplossing zelf niet NEN 7510-compliant kan zijn. De norm richt zich op organisaties, niet op producten.

Een betrouwbare ICT-leverancier in de zorg heeft concrete maatregelen getroffen om persoonlijke gezondheidsinformatie te beschermen op het gebied van vertrouwelijkheid, integriteit en beschikbaarheid. Dit omvat technische beveiligingsmaatregelen, maar ook organisatorische processen zoals toegangsbeheer, incidentbeheer en risicobeoordelingen.

Een ICT-leverancier is niet geschikt voor de zorg als hij geen aantoonbare maatregelen heeft getroffen voor informatiebeveiliging conform NEN 7510 en niet bereid is hierover transparantie te bieden. Het ontbreken van een ISMS, geen continuïteitsplan en geen duidelijk incidentproces zijn directe uitsluitingsgronden.

Geen certificaat: is dat een probleem?

Een ontbrekende certificering zegt niet per definitie dat een softwareleverancier onbetrouwbaar is, maar het betekent wel dat er geen onafhankelijke toetsing heeft plaatsgevonden. Certificeringen zoals ISO 27001 of NEN 7510 zijn een bewijs dat een externe, geaccrediteerde partij heeft vastgesteld dat de leverancier voldoet aan erkende normen voor informatiebeveiliging. Zonder certificering ontbreekt die bevestiging.

Dat kan verschillende oorzaken hebben. Sommige leveranciers zijn te klein om een volledig certificeringstraject te doorlopen. Anderen zijn nog bezig met de implementatie of hebben bewust gekozen voor een andere manier om naleving aan te tonen.

Het ontbreken van een certificaat hoeft geen dealbreaker te zijn, mits de leverancier transparant en onderbouwd kan aantonen dat hij voldoet aan de relevante eisen. Concrete vragen die je kunt stellen zijn:

• Heeft de leverancier een gedocumenteerd informatiebeveiligingsbeleid?
• Voert hij periodieke risicobeoordelingen uit?
• Zijn er aantoonbare procedures voor incidentbeheer en datalekken?
• Is er een continuïteitsplan en wordt dit regelmatig getest?
• Hoe wordt toegang tot gegevens gelogd en gecontroleerd?
• Is de leverancier bereid om een auditrecht of inzagerecht contractueel vast te leggen?

Een leverancier die serieus bezig is met informatiebeveiliging, ook zonder formele certificering, kan deze vragen concreet beantwoorden en documentatie overleggen. Als een leverancier vaag blijft of deze vragen niet kan beantwoorden, is dat een duidelijk waarschuwingssignaal.