Moet een ICT leverancier aan de zorg gecertificeerd zijn?

Een ICT leverancier die werkt voor zorginstellingen hoeft niet altijd wettelijk verplicht gecertificeerd te zijn, maar in de praktijk is een certificering zoals ISO 27001 of NEN 7510 vrijwel onmisbaar. Zorginstellingen verwerken gevoelige patiëntgegevens en stellen steeds vaker harde eisen aan de informatiebeveiliging van hun leveranciers. Als je als ICT leverancier actief bent of wilt worden in de zorg, dan lees je in dit artikel precies wat er van je verwacht wordt en wat de gevolgen zijn als je daar niet aan voldoet. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.

Welke normen gelden voor ICT leveranciers in de zorg?

Voor ICT leveranciers die werken met of voor zorginstellingen zijn twee normen het meest relevant: NEN 7510 en ISO 27001. NEN 7510 is specifiek ontwikkeld voor de Nederlandse zorgsector en richt zich op de beveiliging van patiëntgegevens. ISO 27001 is een internationale norm voor informatiebeveiliging die breder toepasbaar is en door veel sectoren wordt erkend.

Naast deze twee normen speelt ook de BIO (Baseline Informatiebeveiliging Overheid) een rol voor leveranciers die diensten leveren aan overheidsgerelateerde zorginstellingen. Verder zijn de AVG en de NIS2-richtlijn van belang, omdat zorginstellingen tot de kritieke sectoren worden gerekend. Als ICT leverancier ben je onderdeel van de keten en daarmee indirect verantwoordelijk voor de naleving van deze regelgeving.

In de praktijk geldt: hoe meer toegang jij als leverancier hebt tot patiëntgegevens of kritieke systemen, hoe zwaarder de eisen zijn die aan jouw beveiliging worden gesteld.

Wanneer is een certificering verplicht voor een ICT leverancier?

Een wettelijke verplichting tot certificering bestaat voor ICT leveranciers in de zorg niet altijd, maar contractuele verplichtingen vanuit zorginstellingen maken het in veel gevallen alsnog een harde eis. Wanneer je als leverancier patiëntgegevens verwerkt, toegang hebt tot zorgsystemen of elektronische patiëntendossiers (EPD’s) beheert, is certificering doorgaans vereist.

Concreet geldt een certificeringsvereiste in de volgende situaties:

• Je verwerkt of beheert persoonsgegevens van patiënten als verwerker in de zin van de AVG.
• De zorginstelling valt onder de NIS2-richtlijn en stelt beveiligingseisen aan haar toeleveringsketen.
• Je neemt deel aan een aanbesteding waarbij een certificaat als selectiecriterium wordt gehanteerd.
• Je levert software of diensten die direct gekoppeld zijn aan zorgprocessen of medische apparatuur.

Zelfs als er geen formele verplichting is, werkt een certificering als een krachtig signaal van betrouwbaarheid. Steeds meer zorginstellingen nemen het op als minimumeis in hun leveranciersbeleid.

Wat eisen zorginstellingen van hun ICT leveranciers?

Zorginstellingen eisen van hun ICT leveranciers dat zij aantoonbaar voldoen aan de geldende informatiebeveiligingsnormen, met name NEN 7510 en ISO 27001. Dit betekent niet alleen dat je een certificaat kunt tonen, maar ook dat je processen, documentatie en technische maatregelen structureel op orde zijn.

Typische eisen die zorginstellingen stellen zijn onder andere:

• Een geldig ISO 27001 of NEN 7510 certificaat, afgegeven door een geaccrediteerde certificerende instelling.
• Een verwerkersovereenkomst conform de AVG.
• Aantoonbaar beleid voor incidentbeheer, toegangsbeheer en continuïteit.
• Periodieke risicoanalyses en rapportages over beveiligingsincidenten.
• Transparantie over het gebruik van subverwerkers en hun beveiligingsniveau.

Grotere zorginstellingen zoals ziekenhuizen voeren steeds vaker ook eigen leveranciersaudits uit of vragen om inzage in auditrapportages. Wie als ICT leverancier structureel wil werken in de zorg, doet er goed aan om deze eisen niet als last te zien, maar als fundament voor een duurzame samenwerking.

Wat is het verschil tussen ISO 27001 en NEN 7510 voor ICT leveranciers?

Het belangrijkste verschil is de reikwijdte: ISO 27001 is een internationale norm voor informatiebeveiliging die toepasbaar is in elke sector, terwijl NEN 7510 specifiek is ontwikkeld voor de Nederlandse gezondheidszorg. NEN 7510 bouwt voort op ISO 27001, maar voegt zorgsectorspecifieke beheersmaatregelen toe die betrekking hebben op patiëntgegevens en zorgprocessen.

ISO 27001 voor ICT leveranciers

ISO 27001 is breed erkend en geeft aan dat een organisatie een volledig ingericht Information Security Management System (ISMS) heeft. Voor ICT leveranciers die in meerdere sectoren actief zijn, is dit certificaat de meest veelzijdige keuze. Het toont aan dat informatiebeveiliging structureel geborgd is in de organisatie, ongeacht de branche van de klant.

NEN 7510 voor ICT leveranciers

NEN 7510 is specifiek gericht op de zorg en bevat aanvullende eisen rondom de vertrouwelijkheid, integriteit en beschikbaarheid van patiëntinformatie. Als ICT leverancier die uitsluitend of hoofdzakelijk in de zorg actief is, verwacht je klant vaak expliciet dit certificaat. Sommige zorginstellingen accepteren ISO 27001 als gelijkwaardig, maar bij twijfel geldt NEN 7510 als de sectorstandaard. Meer informatie over informatiebeveiliging in de zorg vind je op onze website.

Hoe lang duurt een certificeringstraject voor een ICT leverancier?

Een certificeringstraject voor ISO 27001 of NEN 7510 duurt voor een ICT leverancier gemiddeld tussen de zes en twaalf maanden, afhankelijk van de omvang van de organisatie, de volwassenheid van de bestaande beveiligingsmaatregelen en de snelheid waarmee interne processen worden ingericht.

Het traject bestaat globaal uit de volgende fases:

1. Voorbereiding en gap-analyse: Inzicht krijgen in wat er al goed gaat en wat nog ontbreekt ten opzichte van de norm.
2. Implementatie: Inrichten van beleid, procedures, technische maatregelen en documentatie.
3. Interne audit: Toetsen of het systeem werkt zoals bedoeld, voor de officiële audit.
4. Certificeringsaudit (fase 1 en fase 2): De externe audit door een geaccrediteerde instelling, waarbij eerst de documentatie en daarna de praktijk worden beoordeeld.
5. Certificaatverlening: Bij een positief oordeel ontvang je het certificaat, dat drie jaar geldig is met jaarlijkse tussentijdse audits.

Organisaties die al beschikken over een volwassen beveiligingsbeleid kunnen dit traject soms in vier tot zes maanden doorlopen. Wie helemaal vanaf nul begint, rekent beter op een jaar.

Wat zijn de gevolgen als een ICT leverancier niet gecertificeerd is?

Als een ICT leverancier niet gecertificeerd is, loopt die leverancier het risico om uitgesloten te worden van aanbestedingen, contracten niet verlengd te krijgen en in een nadeliger positie te komen ten opzichte van gecertificeerde concurrenten. In sectoren zoals de zorg, waar patiëntgegevens op het spel staan, zijn de gevolgen van onvoldoende beveiliging bovendien niet alleen commercieel maar ook juridisch en reputatiematig.

Concreet kan het ontbreken van een certificering leiden tot:

• Uitsluiting bij aanbestedingen waarbij een certificaat als selectieeis geldt.
• Beëindiging van bestaande contracten als een zorginstelling haar leveranciersbeleid aanscherpt.
• Aansprakelijkheid bij een datalek, omdat aantoonbare nalatigheid op het gebied van beveiliging zwaar meeweegt bij de beoordeling door de Autoriteit Persoonsgegevens.
• Reputatieschade als een beveiligingsincident herleid kan worden naar een leverancier zonder aantoonbare beveiligingsmaatregelen.

De zorgsector digitaliseert in hoog tempo en de lat voor leveranciers wordt elk jaar hoger gelegd. Wie nu investeert in certificering, bouwt aan een stevige positie voor de lange termijn. Wil je weten welke stappen jouw organisatie moet zetten? Neem contact op en we vertellen je precies wat er nodig is.

Gerelateerde artikelen

• Wat moet een interne audit opleveren voordat je de externe auditor uitnodigt?
• Hoe kies je de juiste certificerende instelling voor ISO 27001?
• Wat zegt een ISO 27001 certificaat over een organisatie?
• Hoe lang is een certificaat geldig en wat gebeurt er daarna?
• Hoe voorkom je ISO 27001 certificeringsproblemen?