Wat doe je als een ziekenhuis eist dat leveranciers ISO 27001 gecertificeerd zijn?

Als een ziekenhuis eist dat leveranciers ISO 27001-gecertificeerd zijn, heb je als leverancier twee opties: je start een certificeringstraject om zo snel mogelijk aan die eis te voldoen, of je overlegt met de opdrachtgever over een overgangstermijn terwijl je al aantoonbaar werkt aan je informatiebeveiliging. In de praktijk is de eerste optie vrijwel altijd noodzakelijk, omdat zorginstellingen steeds minder bereid zijn om uitzonderingen te maken. In dit artikel beantwoorden we de meestgestelde vragen over ISO 27001 als leverancier in de zorg. Heb je een directe vraag? Neem gerust contact op en we helpen je verder.

Waarom stellen ziekenhuizen ISO 27001 als eis aan leveranciers?

Ziekenhuizen stellen de ISO 27001-eis aan leveranciers omdat zij wettelijk verplicht zijn om patiëntgegevens te beschermen en aansprakelijk zijn voor datalekken die via externe partijen ontstaan. Een leverancier met toegang tot systemen, netwerken of patiëntdata vormt een risico in de beveiligingsketen van het ziekenhuis. ISO 27001-certificering is het bewijs dat jij als leverancier informatiebeveiliging serieus neemt.

De druk op zorginstellingen om hun leveranciersketen te beveiligen neemt toe. De NEN 7510-norm, die specifiek voor de zorg geldt, vereist dat zorginstellingen aantoonbaar grip hebben op de beveiliging van hun ketenpartners. ISO 27001 is daarvoor de meest erkende internationale standaard. Ziekenhuizen gebruiken certificering als een objectief selectiecriterium bij aanbestedingen en contractverlenging.

Daarnaast spelen incidenten een rol. Ransomware-aanvallen op zorgorganisaties zijn de afgelopen jaren sterk toegenomen, en in veel gevallen was een externe leverancier het zwakste punt. Ziekenhuizen willen dit risico uitsluiten door alleen samen te werken met partijen die hun informatiebeveiliging aantoonbaar op orde hebben.

Wat houdt zo’n ISO 27001-eis van een ziekenhuis concreet in?

Concreet betekent een ISO 27001-eis dat jij als leverancier een geldig ISO 27001-certificaat moet kunnen overleggen, afgegeven door een geaccrediteerde certificeringsinstelling. Het certificaat toont aan dat jouw organisatie een Information Security Management System (ISMS) heeft ingericht, gedocumenteerd en laat controleren via periodieke audits.

In de praktijk stelt een ziekenhuis deze eis op verschillende momenten:

• Bij een aanbesteding of offerteproces als knock-outcriterium
• Bij contractverlenging als nieuwe voorwaarde
• Als onderdeel van een leveranciersrisicobeoordeling (vendor risk management)
• Als vereiste bij het tekenen van een verwerkersovereenkomst

Sommige ziekenhuizen accepteren ook een informatiebeveiligingsaudit of een ingevulde vragenlijst als tijdelijke maatstaf, maar een volledig certificaat blijft de gouden standaard. Houd er rekening mee dat het certificaat ook een geldig toepassingsgebied (scope) moet hebben dat jouw dienstverlening aan het ziekenhuis dekt.

Hoe snel kun je als leverancier ISO 27001-certificering behalen?

Als leverancier kun je ISO 27001-certificering gemiddeld behalen in zes tot twaalf maanden, afhankelijk van de volwassenheid van je huidige beveiliging, de omvang van je organisatie en de beschikbare interne capaciteit. Een kleinere organisatie met een beperkte scope kan soms al binnen vier tot zes maanden gecertificeerd zijn.

Het traject bestaat globaal uit drie fases:

1. Voorbereiding en implementatie: Je richt je ISMS in, stelt beleid op, voert een risicoanalyse uit en implementeert de benodigde maatregelen. Dit is de langste fase en duurt gemiddeld drie tot negen maanden.
2. Interne audit en directiebeoordeling: Je toetst intern of het systeem werkt en documenteert de bevindingen. Dit duurt doorgaans een tot twee maanden.
3. Externe certificeringsaudit: Een geaccrediteerde auditinstelling voert een fase 1-audit (documentatiebeoordeling) en een fase 2-audit (implementatietoets) uit. Bij een positief resultaat ontvang je het certificaat.

De snelheid hangt sterk af van je startpositie. Organisaties die al werken met gestructureerde IT-processen of andere normen zoals ISO 9001 hebben een voorsprong. Laat je ondersteunen door een ervaren adviseur om het traject efficiënt te doorlopen.

Wat kost een ISO 27001-certificering voor een leverancier?

De kosten voor ISO 27001-certificering als leverancier liggen voor een gemiddeld MKB-bedrijf tussen de vijf- en vijftienduizend euro voor de eerste certificering, exclusief eventuele implementatiebegeleiding. De totale investering hangt af van de organisatiegrootte, de scope, de complexiteit van de IT-omgeving en of je externe hulp inschakelt.

De kosten zijn globaal op te splitsen in:

• Auditkosten: De kosten van de fase 1- en fase 2-audit bij een geaccrediteerde certificeringsinstelling. Dit is afhankelijk van de omvang en scope van je organisatie.
• Implementatiekosten: Als je een externe consultant of adviseur inschakelt om je ISMS op te zetten, komen daar kosten bij. Dit kan variëren van een paar duizend tot tienduizenden euro’s.
• Jaarlijkse surveillance-audits: Na certificering voer je elk jaar een tussentijdse audit uit. Na drie jaar volgt een hercertificeringsaudit. Reken op terugkerende auditkosten.
• Interne tijdsinvestering: Medewerkers moeten tijd vrijmaken voor implementatie, documentatie en audits. Dit is een indirecte maar reële kostenpost.

Voor veel leveranciers is de investering snel terugverdiend als de certificering de toegang tot zorgcontracten opent of verlengd houdt.

Wat als je nog niet gecertificeerd bent maar de opdracht al loopt?

Als je nog niet gecertificeerd bent terwijl de opdracht al loopt, is openheid en actie de beste strategie. Communiceer proactief met het ziekenhuis dat je een certificeringstraject hebt gestart, toon een concreet tijdpad en bied tussentijdse maatregelen aan als bewijs van je inzet. Veel zorginstellingen zijn bereid een overgangstermijn te accepteren als je aantoonbaar bezig bent.

Wat je in die periode concreet kunt doen:

• Start zo snel mogelijk met een gap-analyse om te zien hoe ver je van certificering verwijderd bent
• Stel een projectplan op met een realistische einddatum voor certificering
• Deel dit plan met de contactpersoon bij het ziekenhuis
• Implementeer alvast de meest kritieke beveiligingsmaatregelen
• Overweeg een voorlopige zelfevaluatie of interne audit als tussentijds bewijs

Wacht niet af. Zorginstellingen waarderen leveranciers die het initiatief nemen. Wie niets doet, riskeert contractbeëindiging zodra de eis formeel wordt gehandhaafd.

Welke auditinstelling kiezen voor ISO 27001-certificering in de zorg?

Voor ISO 27001-certificering in de zorg kies je een auditinstelling die geaccrediteerd is door de Raad voor Accreditatie (RvA) en aantoonbare ervaring heeft met zorgleveranciers en sectorspecifieke regelgeving. Accreditatie is geen detail: alleen een RvA-geaccrediteerde instelling mag een geldig ISO 27001-certificaat afgeven dat door ziekenhuizen en andere zorginstellingen wordt erkend.

Naast accreditatie zijn er een aantal praktische criteria waarop je een auditinstelling kunt beoordelen:

• Sectorkennis: Heeft de instelling ervaring met leveranciers in de zorg? Kennis van NEN 7510, AVG en zorgspecifieke IT-omgevingen maakt de audit relevanter en waardevoller.
• Communicatie en begeleiding: Een goede auditinstelling legt helder uit wat er verwacht wordt, communiceert transparant over bevindingen en benadert de audit niet als een afvinklijst maar als een professioneel proces.
• Bereikbaarheid en planning: Zeker als je snel gecertificeerd wilt zijn, is een instelling met korte doorlooptijden en goede bereikbaarheid een praktisch voordeel.

Wij zijn RvA-geaccrediteerd (C618), lid van Cyberveilig Nederland en hebben ruime ervaring met het certificeren van leveranciers in de zorgsector. Onze auditors combineren technische kennis met begrip voor de sectorcontext, zodat de audit niet alleen aan de norm voldoet maar ook echte waarde toevoegt voor jouw organisatie. Neem contact op en plan een vrijblijvend kennismakingsgesprek.

Gerelateerde artikelen

• Eén locatie of meerdere vestigingen certificeren voor ISO 27001: hoe werkt dat in een audit?
• Hoe bepaalt de auditor of je cloudomgeving binnen de ISO 27001 scope valt?
• Waar moet een directiebeoordeling bij een ISO 27001 certificering aan voldoen?
• Wat moet je doen als een organisatie sterk veranderd is tijdens de certificaatperiode?
• Wat is een behandelingsplan volgens NEN 7510?