Een NEN 7510-certificaat is drie jaar geldig. Na die drie jaar moet je organisatie een hercertificering NEN 7510 doorlopen om het certificaat te verlengen en aan te tonen dat het informatiebeveiligingsmanagementsysteem (ISMS) nog steeds voldoet aan de norm. Hercertificering is daarmee een vast onderdeel van de certificeringscyclus voor iedere gecertificeerde zorgorganisatie. In dit artikel beantwoorden we de meest gestelde vragen over het NEN 7510-certificaat verlengen, van de frequentie tot de voorbereiding en de gevolgen van te laat zijn. Heb je alvast een vraag? Neem gerust contact op en wij helpen je verder.
Hoe vaak moet je een NEN 7510-certificaat vernieuwen?
Een NEN 7510-certificaat heeft een geldigheidsduur van drie jaar. Na deze periode moet je organisatie een volledige hercertificeringsaudit ondergaan om het certificaat opnieuw te laten uitreiken. Zonder succesvolle hercertificering vervalt de geldigheid van het certificaat.
Binnen die driejarige cyclus vinden ook jaarlijkse surveillanceaudits plaats. Dit zijn kortere tussentijdse audits die controleren of het ISMS nog steeds functioneert en of de organisatie de normeisen blijft naleven. De hercertificering aan het einde van de cyclus is uitgebreider en grondiger dan deze tussentijdse controles.
De driejarige cyclus begint op de datum waarop het certificaat voor het eerst is uitgegeven of na de vorige hercertificering. Het is belangrijk om deze datum goed bij te houden, zodat je niet voor verrassingen komt te staan.
Wat is het verschil tussen een hercertificeringsaudit en een surveillanceaudit?
Een hercertificeringsaudit is een volledige herbeoordeling van het gehele ISMS en vindt eens per drie jaar plaats. Een surveillanceaudit is een jaarlijkse tussentijdse controle die een selectie van de normeisen beoordeelt en nagaat of het systeem nog steeds effectief werkt. De hercertificeringsaudit is daarmee aanzienlijk uitgebreider in scope en diepgang.
Wat houdt een surveillanceaudit in?
Tijdens een surveillanceaudit kijkt de auditor naar een gerichte selectie van normelementen, interne audits, managementreviews en eventuele verbeteracties die zijn doorgevoerd. Het doel is te bevestigen dat de organisatie actief werkt aan het onderhouden en verbeteren van het ISMS. Een surveillanceaudit duurt doorgaans korter dan een hercertificeringsaudit.
Wat maakt een hercertificeringsaudit anders?
Bij een hercertificeringsaudit wordt het volledige ISMS opnieuw beoordeeld, inclusief alle normeisen uit de NEN 7510. De auditor kijkt niet alleen naar de werking van het systeem, maar ook naar de ontwikkeling ervan over de afgelopen drie jaar. Zijn er verbeteringen doorgevoerd? Zijn eerder geconstateerde tekortkomingen opgelost? Is het systeem nog passend bij de huidige organisatie en risico’s? Dit maakt de hercertificering een diepgaandere beoordeling.
Wat wordt er beoordeeld tijdens een hercertificeringsaudit?
Tijdens een NEN 7510-hercertificeringsaudit wordt het volledige informatiebeveiligingsmanagementsysteem beoordeeld op conformiteit met de NEN 7510-norm. Dit omvat zowel de opzet en het bestaan als de werking van alle relevante beheersmaatregelen en processen.
Concreet kijkt de auditor onder andere naar de volgende onderdelen:
- De risicoanalyse en het risicobeheerproces
- Het informatiebeveiligingsbeleid en de bijbehorende procedures
- Interne auditresultaten en managementreviews uit de afgelopen periode
- Opvolging van eerder vastgestelde non-conformiteiten en verbeteracties
- Bewustzijn en training van medewerkers
- Incidentbeheer en de afhandeling van beveiligingsincidenten
- Technische en organisatorische beveiligingsmaatregelen passend bij de zorgcontext
De NEN 7510 is specifiek gericht op informatiebeveiliging in de zorg en houdt rekening met de bijzondere eisen rondom patiëntgegevens en medische systemen. Tijdens de hercertificering wordt ook beoordeeld of de organisatie deze sectorspecifieke context voldoende heeft meegenomen in haar aanpak.
Wanneer moet je beginnen met de voorbereiding op hercertificering?
Begin bij voorkeur zes tot twaalf maanden voor het verlopen van je certificaat met de voorbereiding op de hercertificering NEN 7510. Dit geeft je voldoende tijd om eventuele tekortkomingen te identificeren en op te lossen voordat de externe audit plaatsvindt.
Een goede voorbereiding bestaat uit een aantal concrete stappen:
- Interne audit uitvoeren: Beoordeel zelf of het ISMS nog volledig voldoet aan de NEN 7510-eisen.
- Managementreview houden: Bespreek de resultaten met het management en stel verbeterdoelstellingen vast.
- Non-conformiteiten oplossen: Zorg dat openstaande verbeterpunten zijn afgehandeld.
- Documentatie actualiseren: Controleer of beleid, procedures en registraties up-to-date zijn.
- Auditor inplannen: Neem tijdig contact op met een gecertificeerde auditinstelling om de hercertificeringsaudit in te plannen.
Organisaties die gedurende de hele driejarige cyclus actief aan hun ISMS werken, ervaren de hercertificering doorgaans als een bevestiging van wat al goed gaat, in plaats van een stressvolle eindspurt.
Wat gebeurt er als je te laat bent met hercertificering?
Als je niet tijdig een hercertificeringsaudit laat uitvoeren, vervalt de geldigheid van je NEN 7510-certificaat op de verloopdatum. Dit betekent dat je organisatie op dat moment niet meer aantoonbaar voldoet aan de norm, wat directe gevolgen kan hebben voor lopende contracten, aanbestedingen of wettelijke verplichtingen in de zorg.
In de praktijk kan het verlopen van een certificaat leiden tot:
- Verlies van vertrouwen bij opdrachtgevers, partners of toezichthouders
- Uitsluiting van aanbestedingen waarbij NEN 7510-certificering een vereiste is
- Verplichte herstart van het certificeringstraject, wat meer tijd en kosten met zich meebrengt dan een tijdige hercertificering
Als het certificaat toch is verlopen, is het niet altijd noodzakelijk om helemaal opnieuw te beginnen. Afhankelijk van de situatie en de tijdspanne kan een auditinstelling beoordelen welke stappen nodig zijn om het certificaat opnieuw te behalen. Hoe korter de onderbreking, hoe beperkter de extra inspanning doorgaans is.
Wil je zeker weten dat jouw organisatie op tijd is voor de volgende hercertificering, of wil je weten wat er nodig is om je NEN 7510-certificaat te verlengen? Neem contact op en wij denken graag met je mee over de beste aanpak.
Veelgestelde vragen
Hoe lang van tevoren moet ik beginnen met de voorbereiding op de hercertificering NEN 7510?
V: Hoe lang van tevoren moet ik beginnen met de voorbereiding op de hercertificering NEN 7510?nA: Begin bij voorkeur zes tot twaalf maanden voor het verlopen van je certificaat, zodat je voldoende tijd hebt om interne audits uit te voeren, non-conformiteiten op te lossen en documentatie bij te werken voordat de externe auditor langskomt.
Wat zijn de gevolgen als mijn NEN 7510-certificaat verloopt zonder tijdige hercertificering?
V: Wat zijn de gevolgen als mijn NEN 7510-certificaat verloopt zonder tijdige hercertificering?nA: Als je certificaat verloopt, kan je organisatie worden uitgesloten van aanbestedingen, verlies je het vertrouwen van opdrachtgevers en toezichthouders, en moet je mogelijk een volledig nieuw certificeringstraject doorlopen, wat aanzienlijk meer tijd en kosten met zich meebrengt dan een tijdige verlenging.
Waarom is een hercertificeringsaudit uitgebreider dan een jaarlijkse surveillanceaudit?
V: Waarom is een hercertificeringsaudit uitgebreider dan een jaarlijkse surveillanceaudit?nA: Bij een hercertificeringsaudit wordt het volledige ISMS opnieuw beoordeeld op alle normeisen, inclusief de ontwikkeling over drie jaar, terwijl een surveillanceaudit slechts een gerichte selectie van normelementen controleert om te bevestigen dat het systeem nog effectief werkt.
Wanneer begint de driejarige hercertificeringscyclus van mijn NEN 7510-certificaat?
V: Wanneer begint de driejarige hercertificeringscyclus van mijn NEN 7510-certificaat?nA: De driejarige cyclus start op de datum waarop je certificaat voor het eerst is uitgegeven of direct na de vorige hercertificering, dus het is belangrijk om deze datum goed bij te houden zodat je de hercertificeringsaudit tijdig kunt inplannen en het certificaat niet onverwacht verloopt.
Gerelateerde artikelen
- Wat gebeurt er als je scope wijzigt na een ISO 27001 certificering?
- Wat is het verschil tussen een certificaat en een auditrapport?
- Wat betekent het als een consultant zegt dat je klaar bent voor certificering?
- Moet een ICT leverancier aan de zorg gecertificeerd zijn?
- Hoe kies je de juiste certificerende instelling voor jouw sector?
