Wat zijn kritieke afwijkingen bij een NEN 7510 certificering?

Bij een NEN 7510-certificering zijn kritieke afwijkingen ernstige tekortkomingen in het informatiebeveiligingsmanagementsysteem die direct de geldigheid van de certificering in gevaar brengen. Het gaat om situaties waarbij een essentiële eis uit de norm volledig ontbreekt of structureel niet wordt nageleefd. In dit artikel beantwoorden we de meest gestelde vragen over NEN 7510-afwijkingen: van het onderscheid tussen groot en klein tot de stappen die je kunt zetten om ze te voorkomen. Heb je direct een vraag? Neem gerust contact op met ons team.

Wat onderscheidt een kritieke afwijking van een kleine tekortkoming?

Een kritieke afwijking, ook wel een major nonconformity genoemd, is een tekortkoming waarbij een volledige eis uit de NEN 7510-norm ontbreekt of stelselmatig wordt geschonden. Een kleine tekortkoming, ook wel een minor nonconformity, is een geïsoleerde fout of onvolkomenheid die de werking van het managementsysteem als geheel niet ondergraaft.

Het verschil zit hem in de impact op het systeem. Bij een major nonconformity is er sprake van een fundamenteel probleem: een vereiste beheersmaatregel ontbreekt volledig, er is geen aantoonbaar beleid aanwezig, of meerdere gerelateerde tekortkomingen samen wijzen op een structureel falen. Denk aan het volledig ontbreken van een risicobeoordelingsproces of het niet documenteren van toegangsrechten voor kritieke systemen.

Een minor nonconformity gaat over een afwijking op een specifiek punt, zoals een procedure die niet volledig up-to-date is of een registratie die ontbreekt in een incidenteel geval. De norm wordt in principe wel gevolgd, maar op een enkel onderdeel schiet de uitvoering tekort. Bij een major nonconformity is certificering niet mogelijk totdat de afwijking is opgelost. Bij een minor mag certificering in veel gevallen wel worden verleend, mits de tekortkoming binnen een afgesproken termijn wordt hersteld.

Welke afwijkingen komen het vaakst voor bij NEN 7510-audits?

De meest voorkomende kritieke afwijkingen bij NEN 7510-audits hebben betrekking op risicobeheer, toegangsbeheer, incidentbeheer en het ontbreken van aantoonbaar leiderschap vanuit het management. Dit zijn gebieden die in de zorg extra aandacht vereisen vanwege de gevoeligheid van patiëntgegevens.

Op basis van auditervaring in de zorgsector zien we de volgende tekortkomingen het vaakst terugkomen:

• Onvolledig of niet-uitgevoerd risicobeoordelingsproces: de norm vereist een systematische aanpak, maar in de praktijk ontbreekt documentatie of is de beoordeling nooit formeel uitgevoerd.
• Gebrekkig toegangsbeheer: medewerkers hebben toegang tot systemen of gegevens die niet noodzakelijk zijn voor hun functie, en er is geen aantoonbaar autorisatiebeleid.
• Geen of onvoldoende incidentregistratie: beveiligingsincidenten worden niet systematisch vastgelegd of geanalyseerd, waardoor verbetermaatregelen uitblijven.
• Ontbrekende managementbetrokkenheid: de norm vereist aantoonbare betrokkenheid van het topmanagement, maar dit is niet gedocumenteerd in notulen, beleidsstukken of beslissingen.
• Verouderd of ontbrekend informatiebeveiligingsbeleid: het beleid sluit niet aan bij de huidige situatie van de organisatie of is nooit formeel vastgesteld.

Veel van deze afwijkingen ontstaan niet door onwil, maar door onbekendheid met de eisen van de norm of door een gebrek aan structurele borging in de dagelijkse werkprocessen. Meer achtergrond over de norm vind je op onze pagina over informatiebeveiliging.

Wat gebeurt er als een kritieke afwijking wordt vastgesteld?

Als een auditor tijdens een NEN 7510-audit een kritieke afwijking vaststelt, wordt de certificering niet verleend of niet verlengd totdat de afwijking aantoonbaar is opgelost. De auditor documenteert de bevinding formeel en de organisatie ontvangt een schriftelijk rapport met een duidelijke omschrijving van de tekortkoming.

Het proces na een major nonconformity verloopt doorgaans als volgt. De organisatie ontvangt de auditbevinding en moet een correctief actieplan opstellen. Daarin beschrijft ze wat er mis is gegaan, wat de oorzaak is, welke maatregelen worden genomen en wanneer die zijn afgerond. De auditor beoordeelt vervolgens of de aangedragen maatregelen voldoende zijn en of de uitvoering aantoonbaar heeft plaatsgevonden.

Afhankelijk van de ernst van de afwijking kan een aanvullende audit of documentatiebeoordeling noodzakelijk zijn voordat de certificering alsnog wordt verleend. Het is belangrijk te weten dat een kritieke afwijking niet automatisch het einde van het certificeringstraject betekent. Het is een signaal dat er werk te doen is, en een goede auditpartner begeleidt je daarin constructief.

Hoe lang heb je om een kritieke afwijking op te lossen?

Voor het oplossen van een kritieke afwijking bij een NEN 7510-audit geldt doorgaans een termijn van maximaal 90 dagen. Binnen die periode moet de organisatie aantoonbaar correctieve maatregelen hebben genomen en dit kunnen onderbouwen met documentatie of bewijs van implementatie.

De exacte termijn wordt vastgelegd in het auditrapport en is afhankelijk van de aard en omvang van de afwijking. Bij een afwijking die relatief snel op te lossen is, zoals het opstellen van een ontbrekend beleidsdocument, kan de termijn korter zijn. Bij structurele tekortkomingen die een organisatiebrede aanpak vereisen, wordt meer ruimte geboden.

Wordt de termijn overschreden of zijn de maatregelen onvoldoende, dan kan de certificeringsprocedure worden stopgezet of moet het auditproces opnieuw worden doorlopen. Het is dus van belang om direct na de audit actie te ondernemen en de voortgang goed bij te houden. Transparante communicatie met de auditinstelling gedurende dit proces maakt een groot verschil.

Hoe voorkom je kritieke afwijkingen bij een NEN 7510-audit?

Kritieke afwijkingen bij een NEN 7510-audit voorkom je door het informatiebeveiligingsmanagementsysteem structureel op orde te hebben, de normeisen goed te begrijpen en tijdig interne audits uit te voeren. Voorbereiding is de sterkste verdediging tegen major nonconformities.

Concrete stappen die organisaties kunnen nemen:

1. Voer een grondige gap-analyse uit voordat de certificeringsaudit plaatsvindt. Breng in kaart welke normeisen nog niet volledig zijn geïmplementeerd en prioriteer de kritieke onderdelen.
2. Documenteer alles aantoonbaar. De NEN 7510-norm legt grote nadruk op bewijs. Zorg dat beleid, procedures, risicobeoordelingen en incidentregistraties actueel en vindbaar zijn.
3. Betrek het management actief. Managementbetrokkenheid is een expliciete norm-eis. Zorg dat beslissingen over informatiebeveiliging worden gedocumenteerd en dat het management aantoonbaar betrokken is bij het beleid.
4. Voer interne audits uit. Regelmatige interne controles helpen tekortkomingen te identificeren voordat een externe auditor ze ziet. Zo kun je bijsturen zonder tijdsdruk.
5. Train medewerkers structureel. Menselijk gedrag is een van de grootste risicofactoren in informatiebeveiliging. Medewerkers moeten weten wat de procedures zijn en waarom ze bestaan.

Wil je weten hoe een goed voorbereide organisatie eruitziet? Bekijk dan onze aanpak op de pagina over certificeren. Een goede voorbereiding bespaart tijd, kosten en stress. Wij helpen organisaties in de zorg en andere sectoren om goed beslagen ten ijs te komen bij hun NEN 7510-certificering. Neem contact op en we kijken samen naar de beste aanpak voor jouw situatie.

Gerelateerde artikelen

• Wat moet je doen om te certificeren voor ISO 27001?
• Wat zijn de gevolgen als je niet voldoet aan de NIS2?
• Wat is het verschil tussen een ISO 27001 certificaat en een eigen verklaring?
• Wat is de volgende stap als je al met een beveiligingsconsultant werkt?
• Welke acceptatiecriteria gebruik je voor risico's?