Om te certificeren voor NEN 7510 doorloop je een gestructureerd traject van voorbereiding, implementatie en externe audit. Het proces omvat het opzetten van een informatiebeveiligingsmanagementsysteem (ISMS), het aantonen van naleving van de norm en het ondergaan van een onafhankelijke certificeringsaudit. Heb je vragen over hoe dit traject eruitziet voor jouw organisatie, neem dan gerust contact op met ons. In dit artikel beantwoorden we de meest gestelde vragen over NEN 7510-certificering, van de eerste stappen tot de kosten.
Welke stappen zijn er in een NEN 7510-certificeringstraject?
Een NEN 7510-certificeringstraject bestaat uit vier hoofdfasen: voorbereiding en gap-analyse, implementatie van beveiligingsmaatregelen, interne audit en managementbeoordeling, en tot slot de externe certificeringsaudit. Elke fase bouwt voort op de vorige en samen vormen ze het pad naar een geldig certificaat.
- Gap-analyse: Je brengt in kaart waar je organisatie staat ten opzichte van de NEN 7510-vereisten. Wat is al op orde en waar zijn er nog tekortkomingen?
- ISMS opzetten: Je richt een informatiebeveiligingsmanagementsysteem in. Dit omvat beleid, procedures, risicoanalyse en verantwoordelijkheden.
- Implementatie: De beveiligingsmaatregelen worden doorgevoerd in de organisatie. Medewerkers worden getraind en processen worden aangepast.
- Interne audit: Voordat de externe auditor komt, controleer je intern of alles klopt en goed gedocumenteerd is.
- Fase 1-audit (documentbeoordeling): De externe auditor beoordeelt je documentatie en stelt vast of je klaar bent voor de volgende stap.
- Fase 2-audit (implementatiebeoordeling): De auditor toetst of de maatregelen ook daadwerkelijk in de praktijk worden toegepast.
- Certificaatverlening: Als er geen kritieke bevindingen zijn, ontvang je het NEN 7510-certificaat, dat drie jaar geldig is met jaarlijkse surveillanceaudits.
Een goede voorbereiding is bepalend voor het succes van het traject. Organisaties die de gap-analyse serieus nemen en voldoende tijd inplannen voor implementatie, doorlopen de audit doorgaans soepeler.
Voor welke organisaties is NEN 7510 verplicht?
NEN 7510 is verplicht voor organisaties die patiëntgegevens verwerken binnen de Nederlandse gezondheidszorg. Denk aan ziekenhuizen, klinieken, huisartsenpraktijken, GGZ-instellingen, thuiszorgorganisaties en andere zorgaanbieders die vallen onder de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz).
Naast directe zorgverleners geldt de norm ook voor ICT-leveranciers en softwareontwikkelaars die systemen leveren aan zorginstellingen en daarbij toegang hebben tot of omgaan met medische gegevens. Denk aan leveranciers van elektronische patiëntendossiers (EPD’s) of zorgportalen.
Organisaties buiten de zorg kunnen NEN 7510 ook vrijwillig toepassen als ze aantoonbaar willen voldoen aan een hoog niveau van informatiebeveiliging. In aanbestedingen of samenwerkingsverbanden met zorginstellingen wordt het certificaat steeds vaker als eis gesteld, ook aan niet-zorgpartijen.
Wat zijn de belangrijkste vereisten van NEN 7510?
De belangrijkste vereisten van NEN 7510 draaien om het opzetten en onderhouden van een managementsysteem voor informatiebeveiliging dat specifiek is afgestemd op de zorgsector. De norm is grotendeels gebaseerd op ISO 27001, maar bevat aanvullende eisen die specifiek gelden voor de bescherming van patiëntgegevens.
Organisatorische vereisten
- Een gedocumenteerd informatiebeveiligingsbeleid dat door het management is vastgesteld
- Duidelijke rollen en verantwoordelijkheden voor informatiebeveiliging
- Een risicoanalyse en risicobehandeling die regelmatig worden bijgewerkt
- Een intern auditprogramma en periodieke managementbeoordeling
Technische en operationele vereisten
- Toegangsbeveiliging: alleen bevoegde personen mogen bij patiëntgegevens
- Logging en monitoring van toegang tot systemen met medische informatie
- Beveiligde communicatie en opslag van gevoelige gegevens
- Procedures voor incidentbeheer en herstel na beveiligingsincidenten
- Bewustzijnstraining voor medewerkers over informatiebeveiliging
De norm verwacht niet dat alles perfect is, maar wel dat je een aantoonbaar en continu verbeterend systeem hebt. Dat is precies waar de audit op toetst.
Hoe lang duurt een NEN 7510-certificeringstraject?
Een NEN 7510-certificeringstraject duurt gemiddeld zes tot twaalf maanden, afhankelijk van de omvang van de organisatie en de volwassenheid van de bestaande beveiligingsmaatregelen. Organisaties die al werken met een ISMS of een eerdere ISO 27001-certificering hebben, kunnen het traject soms binnen zes maanden afronden.
De voorbereiding en implementatiefase nemen doorgaans de meeste tijd in beslag. Het daadwerkelijk opzetten van beleid, procedures en technische maatregelen, gevolgd door een aantoonbare periode van werking, kost tijd. De norm vereist namelijk dat je kunt aantonen dat het ISMS niet alleen op papier bestaat, maar ook daadwerkelijk functioneert in de praktijk.
Na certificering volgen jaarlijkse surveillanceaudits om te controleren of het systeem actueel blijft. Na drie jaar vindt een hercertificeringsaudit plaats.
Wat zijn veelgemaakte fouten bij NEN 7510-audits?
De meest voorkomende fouten bij NEN 7510-audits zijn onvolledige documentatie, een risicoanalyse die niet aansluit bij de praktijk, en onvoldoende bewijs van werking van het ISMS. Veel organisaties onderschatten hoeveel aandacht de auditor besteedt aan de uitvoering in de dagelijkse praktijk, niet alleen aan papieren beleid.
Andere veelgemaakte fouten zijn:
- Onvoldoende betrokkenheid van het management: De norm vereist aantoonbaar leiderschap. Als het management niet actief betrokken is, is dat direct zichtbaar in de audit.
- Risicoanalyse als eenmalige oefening: Risicobeheer moet een doorlopend proces zijn, geen document dat eenmalig is opgesteld en sindsdien niet meer is bijgewerkt.
- Medewerkers niet meegenomen: Informatiebeveiliging is mensenwerk. Als medewerkers niet weten wat de procedures zijn of waarom ze bestaan, valt dat op tijdens interviews in de audit.
- Te weinig aandacht voor logging en monitoring: Technische maatregelen moeten aantoonbaar werken. Ontbrekende logs of niet-geconfigureerde monitoring zijn veelgehoorde bevindingen.
- Te laat beginnen met de interne audit: Een interne audit kort voor de externe audit geeft onvoldoende tijd om bevindingen op te lossen.
Wie deze valkuilen kent, kan ze tijdig vermijden. Een goede voorbereiding, inclusief een grondige interne audit en certificeringsbegeleiding, verkleint de kans op verrassingen tijdens de externe audit aanzienlijk.
Wat kost een NEN 7510-certificering?
De kosten voor een NEN 7510-certificering variëren en zijn afhankelijk van de omvang van je organisatie, het aantal medewerkers, de complexiteit van de systemen en de scope van het certificaat. Reken voor kleine organisaties op een paar duizend euro voor de auditkosten alleen, terwijl grotere zorginstellingen aanzienlijk hogere kosten kunnen verwachten.
De totale investering bestaat uit meerdere onderdelen:
- Voorbereidingskosten: Interne uren voor het opzetten van het ISMS, het schrijven van beleid en het uitvoeren van de risicoanalyse. Eventueel externe begeleiding of consultancy.
- Auditkosten: De kosten van de certificeringsinstelling voor de fase 1-audit, fase 2-audit en jaarlijkse surveillanceaudits.
- Opleidingskosten: Training van medewerkers en bewustwordingsprogramma’s.
- Technische maatregelen: Investeringen in tools, software of infrastructuurverbeteringen die nodig zijn om aan de norm te voldoen.
Transparantie over kosten is belangrijk bij het kiezen van een auditpartner. Vraag altijd om een duidelijke offerte die alle onderdelen van het traject omvat, zodat je niet voor verrassingen komt te staan.
Wil je weten wat een NEN 7510-certificeringstraject voor jouw organisatie inhoudt en wat het kost? Neem contact op met ons team voor een vrijblijvend gesprek. Wij denken graag met je mee over de aanpak die past bij jouw organisatie en sector.
Veelgestelde vragen
Wat is het verschil tussen NEN 7510 en ISO 27001?
NEN 7510 is gebaseerd op ISO 27001, maar bevat aanvullende eisen die specifiek gelden voor de bescherming van patiëntgegevens in de Nederlandse gezondheidszorg. Als je organisatie al ISO 27001-gecertificeerd is, kun je dit als basis gebruiken en het NEN 7510-traject aanzienlijk verkorten, omdat veel vereisten al zijn ingevuld.
Hoe weet ik of mijn organisatie verplicht is om NEN 7510 te certificeren?
Je organisatie is verplicht NEN 7510 te certificeren als je patiëntgegevens verwerkt binnen de Nederlandse gezondheidszorg, of als je als ICT-leverancier systemen levert aan zorginstellingen met toegang tot medische gegevens. Twijfel je of de norm op jouw organisatie van toepassing is, dan is een vrijblijvend gesprek met een specialist de snelste manier om duidelijkheid te krijgen.
Wanneer is het verstandig om externe begeleiding in te schakelen voor het certificeringstraject?
Externe begeleiding is verstandig zodra je merkt dat de interne kennis of capaciteit ontbreekt om het ISMS op te zetten, de risicoanalyse uit te voeren of de documentatie op orde te krijgen. Een ervaren begeleider helpt je valkuilen te vermijden, bespaart tijd en vergroot de kans dat je de externe audit in één keer succesvol doorloopt.
Wat gebeurt er als mijn organisatie de NEN 7510-audit niet haalt?
Als de auditor kritieke bevindingen constateert, ontvang je geen certificaat maar krijg je doorgaans de kans om de tekortkomingen binnen een afgesproken termijn te herstellen en een heraudit te ondergaan. Niet-kritieke bevindingen worden vastgelegd als verbeterpunten die je in de surveillanceaudit moet hebben opgelost, zonder dat dit de certificaatverlening direct in de weg staat.
Gerelateerde artikelen
- Wat zijn de risico's van vertrouwen op een certificaat zonder verificatie bij een leverancier?
- Wat is een readiness assessment en wat controleert de ISO 27001 auditor daarbij?
- Wat zijn kritieke afwijkingen bij een ISO 27001 certificering?
- Wat gebeurt er als je ISO 27001 certificaat verloopt?
- Welke KPI's gebruik je voor ISMS monitoring?
