Bij een NEN 7510-audit controleert de auditor aanvullend op ISO 27001 specifiek de beheersing van gezondheidsgegevens, de naleving van zorgsectorwetgeving zoals de WGBO en de AVG, en de risico’s die horen bij medische systemen en patiëntenzorg. NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en bouwt voort op ISO 27001, maar voegt sectorspecifieke eisen toe die de unieke kwetsbaarheid van patiëntinformatie adresseren. In dit artikel beantwoorden we de meest gestelde vragen over wat een auditor extra beoordeelt bij een zorgorganisatie met NEN 7510. Wil je alvast weten wat dit voor jouw organisatie betekent? Neem gerust contact op en wij helpen je graag verder.
Welke zorgsector-specifieke risico’s beoordeelt een auditor bij NEN 7510?
Een auditor beoordeelt bij NEN 7510 de risico’s die direct voortvloeien uit het werken met patiëntgegevens en medische systemen. Denk aan de beschikbaarheid van elektronische patiëntendossiers (EPD’s), de toegangsbeveiliging van medische apparatuur en de continuïteit van zorgprocessen bij een beveiligingsincident. Deze risico’s zijn in de zorg acuter dan in andere sectoren, omdat verstoringen direct gevolgen kunnen hebben voor patiëntveiligheid.
Concreet kijkt de auditor naar de volgende zorgsector-specifieke risico’s:
- Ongeautoriseerde toegang tot patiëntendossiers, inclusief toegang door medewerkers zonder directe behandelrelatie
- Beschikbaarheidsrisico’s van kritieke systemen zoals EPD’s, PACS-systemen voor medische beeldvorming en medicatiesystemen
- Risico’s rondom medische apparatuur die verbonden is met het netwerk (IoMT), zoals infuuspompen of bewakingsapparatuur
- Ketenveiligheid: de informatiebeveiliging van leveranciers, verwijzers en andere zorgpartners waarmee gegevens worden uitgewisseld
- Menselijke fouten in omgevingen waar de tijdsdruk hoog is en medewerkers snel moeten kunnen handelen
Het bijzondere aan een NEN 7510-audit is dat de auditor deze risico’s beoordeelt in de context van de zorgpraktijk. Een maatregel die technisch correct is, kan in een zorgomgeving onwerkbaar zijn. Wij beoordelen daarom altijd of beveiligingsmaatregelen ook daadwerkelijk uitvoerbaar zijn voor zorgprofessionals.
Hoe verschilt de scope van NEN 7510 van die van ISO 27001 in de praktijk?
Het belangrijkste praktische verschil is dat NEN 7510 de scope van informatiebeveiliging expliciet koppelt aan de zorgprocessen en de daarin verwerkte gezondheidsgegevens, terwijl ISO 27001 een generieke norm is die van toepassing is op alle soorten organisaties en informatietypen. NEN 7510 dwingt zorgorganisaties om hun ISMS specifiek in te richten rondom de verwerking van bijzondere persoonsgegevens in een zorgcontext.
In de praktijk betekent dit dat de scope bij NEN 7510 verder reikt dan alleen de IT-afdeling. Medische apparatuur, zorglogistieke processen en de uitwisseling van gegevens via zorginfrastructuren zoals het Landelijk Schakelpunt (LSP) vallen binnen de scopebepaling. Bij ISO 27001 bepaalt de organisatie zelf de grenzen van het ISMS; bij NEN 7510 worden die grenzen mede bepaald door de aard van de zorgverlening.
Een ander verschil zit in de normstructuur zelf. NEN 7510 bestaat uit meerdere delen: NEN 7510-1 beschrijft de managementsysteemeisen (vergelijkbaar met ISO 27001) en NEN 7510-2 bevat aanvullende beheersmaatregelen specifiek voor de zorg. Een auditor toetst beide delen, waarbij de aanvullende maatregelen uit deel 2 niet terugkomen in een standaard ISO 27001-audit.
Wat controleert de auditor specifiek rondom patiëntgegevens en AVG?
De auditor controleert bij NEN 7510 of de organisatie patiëntgegevens verwerkt conform zowel de AVG als de aanvullende zorgwetgeving, met name de WGBO en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Gezondheidsgegevens zijn bijzondere persoonsgegevens en vereisen een strenger beschermingsniveau dan gewone persoonsgegevens.
Specifiek kijkt de auditor naar:
- Doelbinding en toegangsrechten: hebben medewerkers alleen toegang tot de patiëntgegevens die zij nodig hebben voor hun behandeltaak?
- Logging en audittrails: wordt bijgehouden wie welk dossier heeft ingezien en worden deze logs regelmatig gecontroleerd?
- Datalekprocedures: heeft de organisatie een werkende procedure voor het detecteren, melden en afhandelen van datalekken binnen de wettelijke termijn van 72 uur?
- Verwerkersovereenkomsten: zijn er geldige overeenkomsten met alle externe partijen die patiëntgegevens verwerken, zoals EPD-leveranciers en cloudproviders?
- Rechten van patiënten: kan de organisatie aantonen dat zij verzoeken van patiënten rondom inzage, correctie en verwijdering van gegevens correct afhandelt?
De combinatie van NEN 7510 en AVG-compliance is geen toevallige overlap. NEN 7510 is mede ontworpen om zorgorganisaties te helpen aan hun wettelijke verplichtingen te voldoen. Een sterke NEN 7510-certificering biedt daardoor ook aantoonbare ondersteuning bij AVG-verantwoording richting de Autoriteit Persoonsgegevens.
Welke aanvullende beheersmaatregelen uit NEN 7510 komen niet voor in ISO 27001?
NEN 7510-2 bevat beheersmaatregelen die specifiek zijn ontwikkeld voor de gezondheidszorg en die geen directe tegenhanger hebben in ISO 27001. Deze maatregelen richten zich op de unieke combinatie van patiëntveiligheid, medische apparatuur en gegevensuitwisseling in de zorgketen.
De meest relevante aanvullende maatregelen zijn:
- Identificatie en authenticatie in zorgprocessen: eisen rondom het gebruik van UZI-passen en andere zorgspecifieke authenticatiemiddelen voor toegang tot patiëntgegevens
- Beveiliging van medische apparatuur: eisen voor het beheer van netwerkverbonden medische apparatuur, inclusief patchbeleid en netwerksegmentatie
- Gegevensuitwisseling in de zorgketen: specifieke eisen voor veilige uitwisseling via zorginfrastructuren, waaronder versleuteling en authenticatie van ontvangende partijen
- Continuïteit van zorgverlening: aanvullende eisen voor bedrijfscontinuïteitsplannen die rekening houden met de impact op patiëntveiligheid bij uitval
- Bewustwording voor zorgpersoneel: trainingseisen die zijn afgestemd op de specifieke risico’s en werkwijzen in de zorg
Voor organisaties die al ISO 27001-gecertificeerd zijn, vormen deze aanvullende maatregelen het grootste deel van de extra inspanning bij een NEN 7510-traject. Meer informatie over hoe certificering voor jouw organisatie werkt, vind je op onze certificeringspagina.
Hoe bereidt een zorgorganisatie zich voor op een gecombineerde audit?
Een zorgorganisatie bereidt zich voor op een gecombineerde NEN 7510- en ISO 27001-audit door eerst de gemeenschappelijke basis te leggen via het ISMS, en vervolgens de zorgsector-specifieke aanvullingen systematisch in te richten. De meeste inspanning zit in het aantoonbaar maken van de zorgspecifieke maatregelen en het trainen van medewerkers op de specifieke risico’s in hun werkomgeving.
Een praktische voorbereiding verloopt langs de volgende stappen:
- Gapanalyse uitvoeren: breng in kaart welke eisen uit NEN 7510-2 nog niet gedekt zijn door het bestaande ISMS op basis van ISO 27001
- Scope afstemmen: zorg dat de scopedocumentatie expliciet de zorgprocessen en gezondheidsgegevens beschrijft die onder de norm vallen
- Risicoanalyse actualiseren: voeg zorgsector-specifieke dreigingen en kwetsbaarheden toe aan de risicoregistratie
- Beleid en procedures aanpassen: update toegangsbeleid, incidentprocedures en continuïteitsplannen op de zorgspecifieke eisen
- Bewustwording organiseren: zorg voor trainingen die aansluiten bij de dagelijkse werkpraktijk van zorgprofessionals
- Interne audit uitvoeren: toets vooraf of alle maatregelen aantoonbaar zijn geïmplementeerd
Een gecombineerde audit is efficiënter dan twee afzonderlijke audits. De auditor beoordeelt het ISMS eenmalig en toetst vervolgens de aanvullende NEN 7510-eisen als verdieping. Dit bespaart tijd en voorkomt dubbele documentatie-inspanning. Wij begeleiden zorgorganisaties door dit proces met een aanpak die past bij de schaal en het type van de organisatie. Meer over onze werkwijze rondom informatiebeveiliging in de zorg lees je op onze website. Klaar om de volgende stap te zetten? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat maakt NEN 7510 specifiek geschikt voor zorgorganisaties ten opzichte van ISO 27001?
NEN 7510 bouwt voort op ISO 27001, maar voegt sectorspecifieke eisen toe die zijn afgestemd op de unieke risico’s van patiëntgegevens en medische systemen. De norm dwingt zorgorganisaties om informatiebeveiliging direct te koppelen aan zorgprocessen, medische apparatuur en wetgeving zoals de WGBO en AVG, wat bij ISO 27001 niet verplicht is.
Hoe lang duurt een gecombineerde NEN 7510- en ISO 27001-audit gemiddeld?
De doorlooptijd van een gecombineerde audit hangt af van de omvang en complexiteit van de zorgorganisatie, maar is doorgaans korter dan twee afzonderlijke audits omdat het ISMS slechts eenmalig wordt beoordeeld. Een goede voorbereiding via een gapanalyse en interne audit verkort de doorlooptijd aanzienlijk en voorkomt onnodige vertragingen.
Waarom is logging en toegangscontrole zo belangrijk bij een NEN 7510-audit?
Patiëntgegevens zijn bijzondere persoonsgegevens die extra bescherming vereisen, en de auditor controleert daarom nauwkeurig of alleen bevoegde medewerkers toegang hebben en of alle raadplegingen worden geregistreerd. Zonder aantoonbare logging en toegangsbeveiliging kan een zorgorganisatie niet voldoen aan de eisen van zowel NEN 7510 als de AVG, wat kan leiden tot sancties van de Autoriteit Persoonsgegevens.
Wat is de eerste stap die een zorgorganisatie moet zetten om klaar te zijn voor een NEN 7510-certificering?
De eerste en meest praktische stap is het uitvoeren van een gapanalyse, waarbij in kaart wordt gebracht welke eisen uit NEN 7510-2 nog niet zijn gedekt door het bestaande beleid en de bestaande maatregelen. Op basis van deze analyse kan een realistisch plan worden opgesteld om de ontbrekende maatregelen systematisch te implementeren en aantoonbaar te maken.
Gerelateerde artikelen
- Hoeveel tijd krijg je om een afwijking op te lossen na een ISO 27001 audit?
- Hoeveel tijd zit er tussen het afronden van de fase 2 audit en de uitgifte van het certificaat?
- Wat is een beveiligingsaudit en wat levert het op?
- Waarom eisen steeds meer zorgverzekeraars een NEN 7510 certificering?
- Welke competenties zijn nodig voor ISO 27001?
