Een gecombineerde audit voor ISO 27001 en NEN 7510 betekent dat beide normen tijdens één geïntegreerd audittraject worden beoordeeld, in plaats van als twee aparte processen. Omdat NEN 7510 grotendeels is gebaseerd op ISO 27001 en specifiek is uitgebreid voor de zorgsector, overlappen de eisen aanzienlijk. Dit maakt een gecombineerde aanpak niet alleen mogelijk, maar voor veel zorgorganisaties ook de meest efficiënte keuze. In de secties hieronder beantwoorden we de meest gestelde vragen over hoe zo’n gecombineerde audit werkt. Heb je al een concreet traject in gedachten? Neem gerust contact op en we denken graag met je mee.
Wat zijn de overeenkomsten tussen ISO 27001 en NEN 7510?
ISO 27001 en NEN 7510 delen een gemeenschappelijke structuur en overlappende beheersmaatregelen. NEN 7510 is feitelijk opgebouwd op basis van ISO 27001, aangevuld met specifieke eisen voor de beveiliging van patiëntgegevens in de zorgsector. Wie voldoet aan ISO 27001, heeft daarmee al een groot deel van de NEN 7510-eisen ingevuld.
Beide normen vereisen een Information Security Management System (ISMS), een risicobeoordelingsproces, beleidsdocumentatie en interne audits. De beheersmaatregelen uit bijlage A van ISO 27001 zijn ook terug te vinden in NEN 7510, zij het met aanvullende zorgspecifieke invulling. Denk aan toegangsbeheer voor patiëntendossiers, logging van raadplegingen en de omgang met medische gegevens onder de AVG en de Wet op de geneeskundige behandelingsovereenkomst (WGBO).
Dit betekent dat organisaties die al gecertificeerd zijn voor ISO 27001, of die beide certificeringen tegelijk willen behalen, een aanzienlijk deel van het bewijs- en documentatiemateriaal kunnen hergebruiken. Dat is precies de basis waarop een gecombineerde audit zijn meerwaarde bewijst.
Hoe verloopt een gecombineerde audit in de praktijk?
Bij een gecombineerde audit worden de ISO 27001- en NEN 7510-eisen parallel beoordeeld door auditors die beide normen beheersen. Het auditproces volgt dezelfde fasen als een reguliere certificeringsaudit, maar de overlappende onderdelen worden slechts eenmaal beoordeeld. Dit bespaart tijd en voorkomt herhaling.
In de praktijk verloopt een gecombineerde audit globaal als volgt:
- Voorbereiding: De organisatie levert documentatie aan die voor beide normen relevant is, zoals het ISMS, risicobeoordelingen en beleidsplannen.
- Fase 1-audit (documentbeoordeling): De auditor beoordeelt of de documentatie voldoende volwassen is voor beide normen tegelijk.
- Fase 2-audit (implementatiebeoordeling): Op locatie wordt getoetst of de maatregelen daadwerkelijk zijn ingevoerd en werken. Zorgspecifieke onderdelen van NEN 7510 krijgen hierbij extra aandacht.
- Rapportage en certificeringsbeslissing: De bevindingen worden samengevoegd in één rapport. Bij een positief oordeel worden beide certificaten uitgereikt.
Onze auditors bij DigiTrust hebben zowel kennis van de technische aspecten van ISO 27001 als van de sectorspecifieke context van de zorg. Daardoor kunnen ze tijdens één auditdag meerdere normdomeinen beoordelen zonder dat de diepgang verloren gaat.
Hoeveel tijd scheelt een gecombineerde audit ten opzichte van twee losse audits?
Een gecombineerde audit bespaart doorgaans tussen de 20 en 40 procent aan auditdagen ten opzichte van twee afzonderlijke audits. De exacte tijdsbesparing hangt af van de omvang van de organisatie, het aantal medewerkers en de complexiteit van de systemen, maar de efficiëntiewinst is in vrijwel alle gevallen significant.
De besparing zit in het feit dat overlappende onderdelen, zoals de beoordeling van het ISMS, het risicobeoordelingsproces en de algemene beheersmaatregelen, slechts eenmaal worden doorlopen. Alleen de zorgspecifieke aanvullingen van NEN 7510 vereisen extra auditaandacht. Dat scheelt niet alleen tijd voor de auditor, maar ook voor de interne contactpersonen binnen de organisatie die tijdens de audit beschikbaar moeten zijn.
Naast tijdswinst is er ook een kostenvoordeel. Minder auditdagen betekent lagere kosten, terwijl het resultaat hetzelfde is: twee volwaardige certificeringen. Voor organisaties in de zorg die zowel aan aanbestedingseisen als aan sectorale normen moeten voldoen, is dit een concrete reden om voor een gecombineerde aanpak te kiezen.
Welke documenten en bewijsstukken zijn nodig voor beide normen?
Voor een gecombineerde audit zijn documenten nodig die de inrichting en werking van het ISMS aantonen, aangevuld met zorgspecifieke bewijsstukken voor NEN 7510. Een groot deel van de documentatie is voor beide normen identiek en hoeft dus maar eenmaal te worden opgesteld.
De kernbescheiden die voor beide normen vereist zijn, omvatten:
- ISMS-beleid en informatiebeveiligingsbeleid
- Risicobeoordelingen en risicobehandelingsplan
- Verklaring van toepasselijkheid (Statement of Applicability)
- Interne auditrapportages en directiebeoordeling
- Bewijs van bewustwordingstrainingen voor medewerkers
- Incidentregistraties en procedures voor incidentbeheer
Specifiek voor NEN 7510 zijn aanvullende bewijsstukken nodig, zoals:
- Beleid voor toegang tot patiëntgegevens en logging van raadplegingen
- Procedures rondom medisch beroepsgeheim en gegevensuitwisseling
- Vastlegging van verwerkersovereenkomsten met zorgspecifieke partijen
- Documentatie over continuïteit van zorgprocessen bij verstoringen
Een goede voorbereiding begint met het in kaart brengen welke documenten al aanwezig zijn en waar nog hiaten zitten. Op onze pagina over informatiebeveiliging vind je meer achtergrond over de beheersmaatregelen die beide normen vereisen.
Wanneer is een gecombineerde audit de juiste keuze?
Een gecombineerde audit is de juiste keuze wanneer een organisatie zowel ISO 27001 als NEN 7510 wil certificeren, en de bedrijfsprocessen voldoende overlap vertonen om beide normen in één geïntegreerd ISMS onder te brengen. Dit is vrijwel altijd het geval voor zorginstellingen die ook aan externe opdrachtgevers of aanbestedingen moeten voldoen.
Concreet is een gecombineerde audit geschikt als:
- De organisatie actief is in de zorgsector en patiëntgegevens verwerkt
- Er al een ISMS aanwezig is of tegelijk wordt opgezet voor beide normen
- De organisatie tijd en kosten wil besparen zonder in te leveren op certificeringskwaliteit
- Klanten of opdrachtgevers vragen om zowel ISO 27001 als NEN 7510
Een gecombineerde audit is minder geschikt als de scope van beide normen sterk verschilt, bijvoorbeeld als ISO 27001 betrekking heeft op een IT-afdeling en NEN 7510 op een volledig andere bedrijfsunit. In dat geval is het verstandig om de scopeafbakening eerst zorgvuldig te bepalen voordat je kiest voor een gecombineerde aanpak. Meer informatie over de mogelijkheden van informatiebeveiliging certificeren vind je op onze website.
Wat zijn veelgemaakte fouten bij een gecombineerde audit?
De meest voorkomende fout bij een gecombineerde audit is ervan uitgaan dat de overlap tussen ISO 27001 en NEN 7510 zo groot is dat de zorgspecifieke aanvullingen weinig extra aandacht nodig hebben. Organisaties onderschatten regelmatig de diepgang die NEN 7510 vereist op het gebied van patiëntgegevens, logging en continuïteit van zorgprocessen.
Andere veelgemaakte fouten zijn:
- Onvoldoende zorgspecifieke documentatie: Algemene ISO 27001-documenten zijn niet automatisch voldoende voor NEN 7510. Denk aan ontbrekende loggingprocedures of onvolledige verwerkersovereenkomsten met zorgpartijen.
- Scope te breed of te smal definiëren: Een te brede scope leidt tot een onbeheersbaar audittraject; een te smalle scope dekt niet de systemen en processen die daadwerkelijk patiëntgegevens verwerken.
- Interne audits verwaarlozen: Beide normen vereisen bewijs van interne audits. Organisaties die dit uitstellen of oppervlakkig uitvoeren, lopen tijdens de externe audit tegen bevindingen aan.
- Medewerkers onvoldoende betrekken: Informatiebeveiliging is geen papieren exercitie. Auditors toetsen of medewerkers op de hoogte zijn van beleid en procedures. Ontbrekende bewustwordingstraining is een veelvoorkomende tekortkoming.
- Te laat beginnen met voorbereiding: Een gecombineerde audit vraagt om een goed ingerichte organisatie. Wie pas vlak voor de audit begint met documenteren, heeft onvoldoende tijd om hiaten te dichten.
Door deze valkuilen tijdig te herkennen en aan te pakken, vergroot je de kans op een soepel verlopende audit aanzienlijk. Wil je weten hoe jouw organisatie er nu voor staat en wat er nodig is voor een gecombineerde audit? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat is het grootste voordeel van een gecombineerde audit voor ISO 27001 en NEN 7510?
V: Wat is het grootste voordeel van een gecombineerde audit voor ISO 27001 en NEN 7510?nA: Een gecombineerde audit bespaart tussen de 20 en 40 procent aan auditdagen doordat overlappende onderdelen, zoals het ISMS en de risicobeoordeling, slechts eenmaal worden beoordeeld. Dit levert niet alleen tijdswinst op, maar ook lagere kosten, terwijl je aan het einde van het traject twee volwaardige certificeringen ontvangt.
Hoe bereid ik mijn organisatie voor op een gecombineerde audit?
V: Hoe bereid ik mijn organisatie voor op een gecombineerde audit?nA: Begin met het in kaart brengen welke documenten al aanwezig zijn, zoals het ISMS-beleid, risicobeoordelingen en interne auditrapportages, en bepaal waar nog hiaten zitten. Zorg daarnaast voor zorgspecifieke aanvullingen zoals loggingprocedures voor patiëntgegevens en verwerkersovereenkomsten, en betrek medewerkers tijdig bij bewustwordingstraining.
Wanneer is een gecombineerde audit niet de juiste keuze voor mijn organisatie?
V: Wanneer is een gecombineerde audit niet de juiste keuze voor mijn organisatie?nA: Een gecombineerde audit is minder geschikt als de scope van ISO 27001 en NEN 7510 sterk van elkaar verschilt, bijvoorbeeld wanneer beide normen betrekking hebben op volledig verschillende bedrijfsonderdelen. In dat geval is het verstandig om eerst de scopeafbakening zorgvuldig te bepalen voordat je kiest voor een gecombineerde aanpak.
Waarom onderschatten organisaties de zorgspecifieke eisen van NEN 7510?
V: Waarom onderschatten organisaties de zorgspecifieke eisen van NEN 7510?nA: Veel organisaties gaan ervan uit dat de grote overlap met ISO 27001 betekent dat de zorgspecifieke aanvullingen weinig extra inspanning vragen, maar NEN 7510 stelt aanvullende eisen op het gebied van toegang tot patiëntgegevens, logging en continuïteit van zorgprocessen die aparte aandacht en documentatie vereisen.
