NEN 7510:2017 Checklist

Stap 1: de norm doorgronden

De NEN 7510 norm bestaat uit twee delen. Deel 1 van de norm gaat over het managementsysteem, terwijl deel 2 gaat over de beheersmaatregelen die u kunt nemen om de risico’s te beperken en te voldoen aan de eisen.

Een NEN 7510 certificering is over het algemeen niet verplicht, maar het kan wel zo zijn dat een belanghebbende in de zorg alleen samen werkt met organisaties die een NEN 7510 certificering hebben. Om een certificering te behalen is er eerst een NEN 7510 audit nodig. Hier kan DigiTrust u bij helpen

Stap 2: Bepaal uw scope

Bepaal wat de scope gaat worden van uw managementsysteem voor informatiebeveiliging. Voor een NEN7510 certificering is het verplicht om het primaire zorgproces in scope te hebben

Stap 3: Risico’s beoordelen

Zodra u een goed beeld heeft van de scope en de eisen voor de NEN 7510 is het belangrijk om de risico’s binnen uw (zorg)organisatie in kaart te brengen. Er vindt een risk assessment plaats, waaruit duidelijk wordt welke bedreigingen er zijn en hoe groot de kans is dat die zich voor zullen doen. Maar ook wat de impact is op uw zorgorganisatie als deze onverhoopt toch gaan optreden. Dit samen geeft u een goed beeld van de informatiebeveiliging / Cyber risico’s.

Stap 4: Risico’s aanpakken

Na het beoordelen van de risico’s is het belangrijk om die aan te pakken. Het risk treatment plan biedt de mogelijkheid om de maatregelen vast te leggen en te bepalen wat u gaat doen om het risico te verkleinen. Mogelijk heeft u al verschillende maatregelen genomen, waardoor het restrisico geaccepteerd kan worden. Maar mogelijk moet u op bepaalde risico’s nog extra maatregelen nemen om op een acceptabel restrisico te komen. Het is per risico belangrijk om aan te geven hoe ‘zwaar’ het risico weegt en welke passende maatregel daarvoor wordt genomen. Vergelijk al je zelf bepaalde maatregelen met de bijlage A maatregelen. Om te beoordelen of je niets bent vergeten. Deze maatregelen zijn verder uitgewerkt in de NEN7510-2.

Tip: de te nemen maatregelen zijn veelal preventief, om problemen te voorkomen.

Stap 5: Verklaring van Toepasselijkheid (VVT)

De Verklaring van toepasselijkheid is een belangrijk document binnen de NEN 7510. Het helpt u per onderdeel te beargumenteren welke onderdelen uit bijlage A van de norm wel of niet binnen uw zorgorganisatie van toepassing zijn.

Let op: zet eerst de stappen 1 tot en met 3, voordat u aan de slag gaat met het VVT. Dat helpt rekening te houden met de risicogevoelige situaties voor uw organisatie en de juiste scope.

Stap 6: Balans opmaken

Nadat u ook het VVT heeft opgesteld is het tijd om de balans op te maken, omdat u al een groot aantal stappen binnen de NEN 7510 checklist heeft gezet. Het is de bedoeling om het volledige proces nog eens na te lopen. Heeft u niets over het hoofd gezien? En wat doet u als de aangegeven maatregelen niet het gewenste effect hebben en de risico’s blijven bestaan? Het alvast uitvoeren van een interne audit geeft u een goed beeld van uw managementsysteem voor informatiebeveiliging.

Stap 7: Beleid opstellen

Uiteindelijk kunt u aan de slag met informatiebeveiligingsbeleid. Het moet richting en ondersteuning bieden voor de informatiebeveiliging binnen uw zorgorganisatie. Uiteraard handelt u op basis van het beleid in lijn met de eisen, de relevante wetten en natuurlijk de voorschriften uit de NEN 5710-norm.