In de zorgsector gelden meerdere informatiebeveiligingsnormen tegelijk. De belangrijkste zijn NEN 7510, ISO 27001 en de AVG, aangevuld met sectorspecifieke regelgeving zoals de BIO voor overheidsorganisaties in de zorg. Welke normen voor jouw organisatie van toepassing zijn, hangt af van je type instelling, de gegevens die je verwerkt en je opdrachtgevers of financiers. In dit artikel beantwoorden we de meest gestelde vragen over informatiebeveiliging in de zorg, zodat je precies weet waar je aan toe bent. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.
Welke normen zijn specifiek ontwikkeld voor de zorgsector?
De norm die specifiek voor de Nederlandse zorgsector is ontwikkeld, is NEN 7510. Deze norm richt zich op de bescherming van patiëntgegevens en is opgesteld met de zorgsector als vertrekpunt. Daarnaast bestaat NEN 7512, die gaat over elektronische gegevensuitwisseling in de zorg, en NEN 7513, die betrekking heeft op het loggen van toegang tot patiëntdossiers.
Naast de NEN-normen spelen ook ISO 27001 en de AVG een rol in de zorg, hoewel die niet exclusief voor de sector zijn ontwikkeld. Zorginstellingen die samenwerken met overheidspartijen kunnen bovendien te maken krijgen met de Baseline Informatiebeveiliging Overheid (BIO). Samen vormen deze normen het informatiebeveiligingslandschap voor de zorg.
Wat is NEN 7510 en voor wie geldt het?
NEN 7510 is een Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe zorginstellingen patiëntgegevens moeten beschermen en is gebaseerd op ISO 27001, maar uitgebreid met zorgspecifieke eisen. NEN 7510 geldt voor alle organisaties die patiëntgegevens verwerken, van ziekenhuizen en huisartsenpraktijken tot GGZ-instellingen, thuiszorgorganisaties en laboratoria.
De norm is opgebouwd rond een informatiebeveiligingsmanagementsysteem (ISMS), vergelijkbaar met ISO 27001. Organisaties moeten risico’s identificeren, maatregelen treffen en aantoonbaar in control zijn over de beveiliging van medische gegevens. NEN 7510 bestaat uit twee delen: deel 1 bevat de eisen voor een certificeerbaar managementsysteem, deel 2 geeft richtlijnen en beheersmaatregelen.
Steeds meer zorginstellingen kiezen voor een formele NEN 7510 certificering om aan opdrachtgevers, zorgverzekeraars en toezichthouders te kunnen aantonen dat zij informatiebeveiliging serieus nemen.
Wat is het verschil tussen NEN 7510 en ISO 27001?
Het belangrijkste verschil is dat NEN 7510 een sectorspecifieke uitwerking is van ISO 27001 voor de zorgsector. ISO 27001 is een generieke internationale norm voor informatiebeveiliging, toepasbaar in elke sector. NEN 7510 bouwt voort op dezelfde structuur en eisen, maar voegt zorgspecifieke beheersmaatregelen toe die gericht zijn op de bescherming van patiëntgegevens.
Wanneer kies je voor ISO 27001?
ISO 27001 is de juiste keuze voor organisaties die internationaal opereren of die buiten de zorgsector werken. IT-leveranciers, softwarebedrijven en andere zakelijke dienstverleners kiezen vaak voor ISO 27001 omdat het breed erkend wordt en aansluit bij de eisen van hun klanten wereldwijd.
Wanneer kies je voor NEN 7510?
NEN 7510 is de aangewezen norm voor organisaties die patiëntgegevens verwerken in de Nederlandse zorgmarkt. Zorgverzekeraars, gemeenten en andere zorgfinanciers vragen steeds vaker specifiek om een NEN 7510 certificering. Sommige zorginstellingen kiezen ook voor een gecombineerde certificering, waarbij NEN 7510 en ISO 27001 samen worden geauditeerd. Dat is efficiënt en toont brede volwassenheid op het gebied van informatiebeveiliging aan.
Geldt de AVG ook als informatiebeveiligingsnorm in de zorg?
De AVG (Algemene Verordening Gegevensbescherming) is geen informatiebeveiligingsnorm in de traditionele zin, maar legt wel concrete beveiligingsverplichtingen op aan zorginstellingen. De AVG vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens, waaronder medische gegevens, te beschermen. In de zorg gaat het daarbij om bijzondere categorieën persoonsgegevens, waarvoor strengere regels gelden.
Medische gegevens vallen onder de zwaarste beschermingscategorie van de AVG. Zorginstellingen zijn verplicht een verwerkersregister bij te houden, datalekken te melden bij de Autoriteit Persoonsgegevens en in veel gevallen een Data Protection Impact Assessment (DPIA) uit te voeren. Een NEN 7510 of ISO 27001 certificering helpt aantoonbaar te maken dat aan de beveiligingseisen van de AVG is voldaan, maar vervangt de AVG-verplichtingen niet volledig.
Wanneer is een certificering verplicht voor zorginstellingen?
Een wettelijke certificeringsplicht voor NEN 7510 of ISO 27001 bestaat in Nederland niet voor alle zorginstellingen. Maar in de praktijk is certificering in veel gevallen feitelijk verplicht, omdat opdrachtgevers, zorgverzekeraars of aanbestedende partijen het als harde eis stellen. Wie niet gecertificeerd is, komt simpelweg niet in aanmerking voor bepaalde contracten of subsidies.
Concreet zijn er situaties waarin certificering sterk wordt verwacht of vereist:
- Zorgaanbieders die contracten afsluiten met grote zorgverzekeraars
- Instellingen die deelnemen aan aanbestedingen van gemeenten of het Rijk
- ICT-leveranciers die systemen leveren aan ziekenhuizen of andere zorginstellingen
- Organisaties die aansluiten op landelijke zorginfrastructuur zoals het LSP
Toezichthouders zoals de IGJ (Inspectie Gezondheidszorg en Jeugd) kijken ook steeds meer naar aantoonbare informatiebeveiliging. Een certificering geeft structuur en biedt houvast bij toezicht en verantwoording.
Hoe verhoudt BIO zich tot de normen in de zorg?
De BIO (Baseline Informatiebeveiliging Overheid) is van toepassing op overheidsorganisaties, niet op zorginstellingen in het algemeen. Maar zorginstellingen die werken voor of met overheidsorganisaties, zoals gemeentelijke gezondheidsdiensten (GGD’s), jeugdzorgorganisaties of instellingen die gefinancierd worden door gemeenten, kunnen indirect met de BIO te maken krijgen.
De BIO is gebaseerd op ISO 27001 en NEN 7510, en hanteert een vergelijkbare structuur. Organisaties die al gecertificeerd zijn voor NEN 7510 of ISO 27001 hebben een sterke basis om ook aan de BIO-eisen te voldoen. Het is wel belangrijk om te controleren welke specifieke eisen een overheidsopdrachtgever stelt, omdat de BIO op sommige punten verdergaat dan de generieke normen.
Twijfel je welke normen voor jouw zorgorganisatie van toepassing zijn, of wil je weten wat een certificeringstraject inhoudt? Neem contact op met ons team en we denken graag met je mee over de juiste aanpak.
Veelgestelde vragen
Wat is het verschil tussen NEN 7510 en ISO 27001?
NEN 7510 is een sectorspecifieke uitwerking van ISO 27001 voor de Nederlandse zorgsector, met aanvullende eisen rondom de bescherming van patiëntgegevens. ISO 27001 is een generieke internationale norm die in elke sector toepasbaar is en vooral geschikt is voor organisaties die buiten of naast de zorg opereren.
Wanneer is een NEN 7510-certificering in de praktijk verplicht voor mijn organisatie?
Een wettelijke certificeringsplicht bestaat niet voor alle zorginstellingen, maar in de praktijk stellen zorgverzekeraars, gemeenten en aanbestedende partijen een NEN 7510-certificering steeds vaker als harde contracteis. Zonder certificering kom je dan simpelweg niet in aanmerking voor bepaalde contracten, subsidies of aansluitingen op landelijke zorginfrastructuur.
Hoe verhoudt de AVG zich tot NEN 7510 en ISO 27001 in de zorg?
De AVG legt concrete beveiligingsverplichtingen op, zoals het bijhouden van een verwerkersregister en het uitvoeren van een DPIA, maar is geen informatiebeveiligingsnorm in de traditionele zin. Een NEN 7510- of ISO 27001-certificering helpt aantonen dat je aan de beveiligingseisen van de AVG voldoet, maar vervangt de AVG-verplichtingen niet volledig.
Wanneer krijgt mijn zorgorganisatie te maken met de BIO?
De BIO is van toepassing op overheidsorganisaties, maar als jouw zorgorganisatie samenwerkt met of gefinancierd wordt door gemeenten of andere overheden, zoals bij GGD’s of jeugdzorg, kun je indirect met BIO-eisen te maken krijgen. Organisaties die al gecertificeerd zijn voor NEN 7510 of ISO 27001 hebben daarvoor al een sterke basis.
Gerelateerde artikelen
- Hoe wordt je scope beoordeeld bij een ISO 27001 hercertificering?
- Wat zijn signalen dat een organisatie nog niet klaar is voor een ISO 27001 audit?
- Wat is een beveiligingsaudit en wat levert het op?
- Hoe gaat een auditor te werk tijdens een fase 2 audit?
- Is een risicoanalyse verplicht onder de NIS2 of CBW?
