Een zorgpartner vertrouwt meer op een onafhankelijke certificering dan op een eigen verklaring, omdat een certificering door een geaccrediteerde auditinstelling wordt gevalideerd door een externe, onafhankelijke partij. Een eigen verklaring is een zelfbeoordeling zonder externe controle, wat betekent dat de betrouwbaarheid ervan niet objectief vastgesteld kan worden. In dit artikel beantwoorden we de meest gestelde vragen over certificering in de zorg, van het verschil met een eigen verklaring tot de kosten en het proces. Wil je direct weten wat dit voor jouw organisatie betekent? Neem gerust contact op en we helpen je verder.
Wat verschil maakt een onafhankelijke audit ten opzichte van een eigen verklaring?
Een onafhankelijke audit levert objectief, extern geverifieerd bewijs dat een organisatie aan een norm voldoet. Een eigen verklaring is een zelfbeoordeling: de organisatie beoordeelt zichzelf en legt dat schriftelijk vast. Het fundamentele verschil is dat bij een audit een geaccrediteerde derde partij de maatregelen daadwerkelijk toetst, terwijl een eigen verklaring geen externe verificatie kent en daarmee veel minder zeggingskracht heeft.
Bij een onafhankelijke audit worden processen, technische maatregelen en documentatie getoetst aan een erkende norm zoals ISO 27001 of NEN 7510. De auditor bezoekt de organisatie, voert gesprekken met medewerkers en beoordeelt bewijsmateriaal. Als alles klopt, volgt een certificaat dat door een geaccrediteerde certificeringsinstelling wordt afgegeven.
Een eigen verklaring kan waardevol zijn als eerste stap of voor intern gebruik, maar het ontbreekt aan de objectiviteit die een externe partij meebrengt. In sectoren waar privacy en beveiliging van gevoelige gegevens cruciaal zijn, zoals de zorg, is die objectiviteit geen luxe maar een noodzaak. Meer over de brede betekenis van informatiebeveiliging lees je op onze informatiepagina.
Waarom accepteren zorgpartners geen eigen verklaring als bewijs?
Zorgpartners accepteren geen eigen verklaring als bewijs voor informatiebeveiliging omdat ze wettelijk en contractueel verplicht zijn de beveiliging van patiëntgegevens te waarborgen. Een eigen verklaring biedt onvoldoende zekerheid dat de benodigde maatregelen daadwerkelijk zijn getroffen en worden nageleefd. Alleen een extern gecertificeerde organisatie levert aantoonbaar bewijs dat onafhankelijk is getoetst.
Zorginstellingen verwerken bijzonder gevoelige persoonsgegevens. De AVG en specifieke zorgregelgeving leggen zware verantwoordelijkheden op bij het delen van die gegevens met leveranciers en partners. Als een zorginstelling samenwerkt met een leverancier die zijn eigen beveiliging niet aantoonbaar op orde heeft, loopt de zorginstelling zelf risico op boetes, reputatieschade en ernstige datalekken.
Daar komt bij dat aanbestedingen in de zorg steeds vaker expliciet vragen om een geldige certificering als kwalificatie-eis. Een eigen verklaring voldoet simpelweg niet aan die eis, hoe zorgvuldig ze ook is opgesteld. Zorgpartners willen zekerheid, en die zekerheid komt alleen van een onafhankelijke audit met bijbehorend certificaat.
Welke certificeringen worden in de zorg het meest gevraagd?
In de Nederlandse zorgsector worden NEN 7510 en ISO 27001 het meest gevraagd als bewijs van informatiebeveiliging. NEN 7510 is specifiek ontwikkeld voor de zorg en sluit direct aan op de wettelijke verplichtingen rondom medische gegevens. ISO 27001 is de internationale standaard voor informatiebeveiliging en wordt breed erkend, ook buiten de zorg.
NEN 7510: de zorgnorm voor informatiebeveiliging
NEN 7510 is gebaseerd op ISO 27001 maar vertaald naar de specifieke context van de Nederlandse gezondheidszorg. De norm beschrijft hoe zorginstellingen en hun leveranciers moeten omgaan met de beveiliging van patiëntgegevens. Voor organisaties die direct in de zorgketen opereren, is NEN 7510 vaak de meest relevante en gevraagde norm.
ISO 27001: de internationale standaard
ISO 27001 is breed toepasbaar en wordt gevraagd door zorgpartners die ook internationaal of sectoroverstijgend werken. Voor ICT-leveranciers, SaaS-aanbieders en andere technologiepartners van zorginstellingen is ISO 27001 dikwijls de norm die in contracten en aanbestedingen wordt vereist. Beide normen kunnen ook gecombineerd worden nagestreefd, wat de dekking van je certificering versterkt.
Hoe werkt het certificeringsproces voor een zorgtoeleverancier?
Het certificeringsproces voor een zorgtoeleverancier bestaat uit een aantal vaste stappen: een voorbereiding en gap-analyse, het inrichten of verbeteren van het informatiebeveiligingsbeleid, gevolgd door een initiële audit in twee fasen, en uiteindelijk de afgifte van het certificaat. Het gehele traject duurt gemiddeld enkele maanden, afhankelijk van de volwassenheid van de organisatie.
In de eerste fase van de audit beoordeelt de auditor de documentatie: het informatiebeveiligingsbeleid, risicoanalyses en procedures. Dit is de zogenaamde documentaudit of fase 1-audit. Als de documentatie op orde is, volgt de fase 2-audit waarbij de implementatie in de praktijk wordt getoetst. Medewerkers worden bevraagd, systemen worden bekeken en bewijsmateriaal wordt gecontroleerd.
Na een succesvolle audit ontvangt de organisatie het certificaat, dat doorgaans drie jaar geldig is. Jaarlijks vinden tussentijdse surveillance-audits plaats om te controleren of de organisatie het niveau blijft handhaven. Na drie jaar volgt een hercertificeringsaudit. Meer informatie over hoe certificeren bij ons werkt, vind je op onze certificeringspagina.
Wat kost een ISO 27001- of NEN 7510-certificering voor een zorgorganisatie?
De kosten voor een ISO 27001- of NEN 7510-certificering voor een zorgorganisatie variëren sterk en hangen af van de omvang van de organisatie, de complexiteit van de IT-omgeving en de huidige volwassenheid van het informatiebeveiligingsbeleid. Voor kleinere organisaties liggen de auditkosten lager dan voor grote instellingen met complexe processen.
De totale investering bestaat uit meerdere componenten. De auditkosten zelf worden bepaald door het aantal auditdagen dat nodig is. Daarnaast zijn er mogelijke kosten voor begeleiding bij de voorbereiding, het aanpassen van processen en documentatie, en eventuele technische maatregelen die nog getroffen moeten worden.
Het is belangrijk om de kosten af te wegen tegen de voordelen: toegang tot zorgaanbestedingen, versterkt vertrouwen van klanten en partners, en een aantoonbaar lagere kans op datalekken. Voor veel organisaties betaalt een certificering zich terug via nieuwe contracten of verlengingen van bestaande samenwerkingen. Neem contact op voor een transparante indicatie van wat een traject voor jouw organisatie zou kosten.
Wanneer is een certificering verplicht en wanneer is het een strategische keuze?
Een certificering voor informatiebeveiliging in de zorg is verplicht wanneer wet- en regelgeving, aanbestedingseisen of contractuele verplichtingen dit expliciet vereisen. In alle andere gevallen is certificering een strategische keuze die organisaties helpt hun positie in de markt te versterken en het vertrouwen van zorgpartners te winnen.
Concrete situaties waarbij certificering verplicht is of sterk wordt afgedwongen, zijn onder andere:
- Deelname aan Europese of nationale aanbestedingen in de zorg waarbij een geldige NEN 7510- of ISO 27001-certificering als eis is opgenomen
- Contracten met grote zorginstellingen of zorgverzekeraars die een certificaat eisen als voorwaarde voor samenwerking
- Leveranciers van kritieke zorgsystemen die vallen onder specifieke toezichtkaders
Buiten deze verplichte situaties kiezen steeds meer organisaties vrijwillig voor certificering als strategisch signaal. Een certificaat laat zien dat informatiebeveiliging serieus wordt genomen, nog voordat een zorgpartner ernaar vraagt. Dat vergroot de kans op nieuwe samenwerkingen en versterkt de reputatie als betrouwbare partner in de zorgketen.
Of jouw organisatie nu voor het eerst nadenkt over certificering of al midden in een traject zit, wij denken graag met je mee. Neem contact op en plan een vrijblijvend gesprek om te bespreken welke stappen het beste passen bij jouw situatie.
Veelgestelde vragen
Wat is het verschil tussen een NEN 7510- en een ISO 27001-certificering voor zorgorganisaties?
NEN 7510 is specifiek ontwikkeld voor de Nederlandse gezondheidszorg en sluit direct aan op de wettelijke verplichtingen rondom medische gegevens, terwijl ISO 27001 een internationale standaard is die breed toepasbaar is. Voor organisaties die direct in de zorgketen opereren, is NEN 7510 vaak de meest relevante keuze, maar beide certificeringen kunnen ook gecombineerd worden nagestreefd.
Hoe lang duurt het certificeringsproces gemiddeld voor een zorgtoeleverancier?
Het certificeringsproces duurt gemiddeld enkele maanden, afhankelijk van de volwassenheid van de organisatie en de complexiteit van de IT-omgeving. Het traject bestaat uit een voorbereiding en gap-analyse, het inrichten van het informatiebeveiligingsbeleid en een initiële audit in twee fasen, gevolgd door de afgifte van het certificaat.
Wanneer is een certificering verplicht en wanneer is het een eigen keuze?
Een certificering is verplicht wanneer wet- en regelgeving, aanbestedingseisen of contractuele verplichtingen dit expliciet vereisen, zoals bij deelname aan Europese aanbestedingen of samenwerking met grote zorginstellingen. In alle andere gevallen is certificering een strategische keuze die helpt om het vertrouwen van zorgpartners te winnen en de marktpositie te versterken.
Waarom wegen de kosten van een certificering op tegen de voordelen voor mijn organisatie?
Een certificering geeft toegang tot zorgaanbestedingen, versterkt het vertrouwen van klanten en partners en verkleint aantoonbaar de kans op datalekken. Voor veel organisaties betaalt een certificering zich terug via nieuwe contracten of verlengingen van bestaande samenwerkingen, waardoor de investering zich op de lange termijn ruimschoots terugverdient.
