Wat is het verschil tussen ISO 27001 en NEN 7510?

NEN 7510 en ISO 27001 zijn beide normen voor informatiebeveiliging, maar ze zijn niet hetzelfde.

Het verschil in het kort

Het grootste inhoudelijke verschil is dat NEN 7510 aanvullende eisen stelt bovenop ISO 27001, specifiek gericht op de bescherming van medische en gezondheidsgegevens. ISO 27001 biedt een generiek raamwerk voor informatiebeveiliging dat breed toepasbaar is, terwijl NEN 7510 dat raamwerk vertaalt naar de specifieke context en risico’s van de zorgsector.

NEN 7510 gaat een stap verder voor de zorgsector. De norm erkent dat zorgorganisaties werken binnen een complex netwerk van patiënten, zorgverleners, zorgverzekeraars, ICT-leveranciers en overheidsinstanties. Al deze partijen wisselen gevoelige gezondheidsinformatie uit, en dat vraagt om specifieke standaarden op het gebied van informatiebeveiliging, communicatieprotocollen en toegangsbeheer. NEN 7510 stelt daarom aanvullende maatregelen verplicht die je binnen ISO 27001 niet automatisch tegenkomt.

Kort gezegd: ISO 27001 is de basis, NEN 7510 is de sectorspecifieke uitbreiding voor de zorg.

Wat ISO 27001 en NEN 7510 gemeen hebben

NEN 7510 is gebaseerd op de structuur en eisen van ISO 27001, wat betekent dat een organisatie die voldoet aan NEN 7510 grotendeels ook voldoet aan ISO 27001. De eisen van ISO 27001 zijn als het ware de basis, en NEN 7510 voegt daar zorgspecifieke beheersmaatregelen aan toe die voortkomen uit de unieke risico’s van het werken met medische gegevens.

ISO 27001 biedt een generiek raamwerk: het helpt organisaties risico’s rond informatie te identificeren, te beheren en te beheersen. De norm is breed toepasbaar en richt zich op vertrouwelijkheid, integriteit en beschikbaarheid van informatie in het algemeen. De norm legt de basis voor een Information Security Management System (ISMS) dat je vervolgens met NEN 7510 uitbreidt voor de zorgsector.

Beide normen vereisen een gedocumenteerd ISMS, een risicobeoordeling, een risicobehandelplan en een Verklaring van Toepasselijkheid.

De belangrijkste verschillen

• NEN 7510 is een Nederlandse norm die specifiek is ontwikkeld voor de zorgsector en voortbouwt op de structuur van ISO 27001. ISO 27001 is een internationale norm die van toepassing is op alle soorten organisaties.
• Concreet bevat NEN 7510 extra beheersmaatregelen die niet in ISO 27001 staan, zoals specifieke eisen rondom toegangsbeheer tot patiëntdossiers, de uitwisseling van medische gegevens tussen zorgverleners en de continuïteit van zorgprocessen bij verstoringen. De norm houdt ook rekening met de bijzondere gevoeligheid van gezondheidsgegevens en de juridische verplichtingen die daarmee samenhangen, zoals de Wet op de geneeskundige behandelingsovereenkomst (WGBO) en de AVG.
• ISO 27001 is geschreven voor een breed publiek en vereist dat organisaties zelf bepalen welke maatregelen relevant zijn. NEN 7510 geeft veel meer richting door al in te spelen op de typische processen, systemen en risico’s binnen de zorg. Dat maakt de norm concreter, maar ook specifieker en minder flexibel buiten de zorgsector.
• NEN 7510 bestaat uit twee delen. Het eerste deel bevat de eisen die vergelijkbaar zijn met ISO 27001, maar dan toegespitst op de zorgsector. Het tweede deel bevat aanvullende beheersdoelstellingen en maatregelen die specifiek zijn voor de zorg.

Heb je ISO 27001 al? Dan is NEN 7510 een kleine stap

Als je al ISO 27001 gecertificeerd bent, heb je een aanzienlijk voordeel bij het behalen van NEN 7510. De meeste fundamentele elementen, zoals risicoanalyse, beleidsdocumentatie en interne audits, zijn al aanwezig. De extra inspanning zit vooral in de zorgspecifieke aanvullingen die NEN 7510 vereist.

Die aanvullende maatregelen richten zich op zaken als:

• Toegangsbeheer tot patiëntgegevens en medische dossiers
• Specifieke eisen rondom logging en monitoring van toegang tot gezondheidsinformatie
• Beveiligingseisen voor het uitwisselen van medische gegevens tussen ketenpartners
• Aanvullende maatregelen voor mobiele apparaten en thuiswerksituaties in de zorg

In de praktijk betekent dit dat je bestaande ISO 27001 managementsysteem als vertrekpunt dient. Je hoeft het wiel niet opnieuw uit te vinden, maar je moet wel een gapanalyse uitvoeren om te bepalen welke zorgspecifieke eisen nog ontbreken. Afhankelijk van hoe volwassen je huidige systeem is, is dit een behapbaar traject.

ISO 27001 en NEN 7510 in één traject

Een gecombineerde implementatie van NEN 7510 en ISO 27001 bespaart tijd, kosten en inspanning. Omdat de normen sterk overlappen, hoef je het ISMS, de documentatie en de interne auditcyclus maar één keer op te zetten in plaats van twee keer. Dit maakt het traject aanzienlijk efficiënter dan twee losse implementaties.

Veel certificerende instellingen bieden gecombineerde audits aan waarbij beide normen in één traject worden getoetst. Bij een gecombineerde certificeringsaudit beoordeelt de auditor het ISMS op de eisen van beide normen tegelijk. De auditor controleert de gedeelde elementen eenmalig en toetst de NEN 7510-specifieke beheersmaatregelen apart.

Belangrijk om te weten: beide certificaten hebben een eigen geldigheidsduur en hercertificeringscyclus. Zorg dat je de planningen op elkaar afstemt, zodat hercertificeringsaudits eveneens gecombineerd kunnen worden. Dit bespaart structureel tijd en kosten op de lange termijn. Meer informatie over combinatietrajecten kan helpen bij het plannen van een geïntegreerde aanpak.

Welke norm past bij jouw organisatie?

Je kiest voor ISO 27001 als je een breed toepasbaar informatiebeveiligingssysteem wilt opzetten dat niet specifiek aan één sector gebonden is. Voor NEN 7510 kies je als je actief bent in de zorgsector of als opdrachtgever of leverancier werkt met gezondheidsgegevens.

ISO 27001 is voldoende als jouw organisatie geen persoonlijke gezondheidsinformatie verwerkt, beheert of uitwisselt. Concreet is ISO 27001 afdoende voor organisaties zoals:

• Technologiebedrijven en softwareleveranciers buiten de zorgsector
• Financiële dienstverleners zonder directe zorgactiviteiten
• Productiebedrijven, logistieke partijen en andere industriële organisaties
• Professionele dienstverleners zoals advocatenkantoren of accountantsbureaus

Werkt jouw organisatie wél met zorgdata, maar ben je bijvoorbeeld een ICT-leverancier die systemen levert aan zorginstellingen? Dan val je alsnog onder de reikwijdte van NEN 7510, ook al beschouw je jezelf niet als een zorgorganisatie. De sleutelvraag is altijd: heb je toegang tot of verwerk je persoonlijke gezondheidsinformatie? Als het antwoord ja is, dan is NEN 7510 van toepassing.

Een praktische vuistregel: als jouw organisatie patiëntgegevens verwerkt of als je wettelijk verplicht bent te voldoen aan NEN 7510, dan is die norm leidend. Wil je daarnaast ook een internationale certificering die buiten de zorg herkenbaar is, dan voeg je ISO 27001 toe. Heb je geen binding met de zorgsector, dan volstaat ISO 27001 in de meeste gevallen.