De eisen van NEN 7510

U legt vast welke zorgprocessen, locaties, systemen en gegevensstromen binnen het managementsysteem vallen, en welke verwachtingen patiënten, ketenpartners, verzekeraars en toezichthouders hebben. De scope bepaalt waarover u later iets kunt aantonen: alles wat erbuiten valt, valt ook buiten uw bewijs.

Het beleid legt vast wat de organisatie wil bereiken met informatiebeveiliging, welke uitgangspunten gelden en hoe wordt omgegaan met afwijkingen. Het is vastgesteld door de bestuurder, bekend bij medewerkers en wordt periodiek herzien. Onderliggende regelingen, zoals een toegangsbeleid of afspraken over mobiele apparatuur, sluiten erop aan.

De directie is eigenaar van het systeem, stelt middelen beschikbaar en stuurt op resultaten. Rollen zijn expliciet belegd: security officer, functionaris gegevensbescherming, systeemeigenaren en proceseigenaren. Ook is duidelijk wie beslist bij een incident en wie restrisico's aanvaardt.

U identificeert risico's voor vertrouwelijkheid, integriteit en beschikbaarheid en beoordeelt ze op kans en gevolg, vanuit het perspectief van de zorgverlening. Per risico kiest u: verminderen, vermijden, delen of accepteren. Het resultaat is een behandelplan met eigenaren, termijnen en expliciet vastgelegde restrisico's.

In de Verklaring van Toepasselijkheid onderbouwt u per beheersmaatregel of die van toepassing is en hoe u eraan voldoet. Het document verbindt uw risicoanalyse met de maatregelen uit NEN 7510-2 en is voor auditors het startpunt van elke toets.

Screening bij indiensttreding, geheimhouding, introductie, training en zorgvuldige afhandeling bij functiewissel of vertrek. Training sluit aan op het werk: een verpleegkundige heeft andere vragen dan een applicatiebeheerder. Een cultuur waarin fouten worden gemeld telt zwaarder dan het aantal afgeronde e-learnings.

Toegang tot dossiers is beperkt tot wie een behandelrelatie of andere grondslag heeft, met passende authenticatie en periodieke herbeoordeling van rechten. Logging van dossierinzage is in Nederland uitgewerkt in NEN 7513, zodat achteraf herleidbaar is wie welke gegevens heeft ingezien.

Leveranciers van zorgsystemen, hosting, beheer en medische apparatuur krijgen contractuele beveiligingseisen, en u toetst of die worden nagekomen. Verwerkersovereenkomsten, afspraken over kwetsbaarhedenbeheer, meldtermijnen bij incidenten en exit-afspraken horen hierbij.

Patch- en kwetsbaarhedenbeheer, hardening, netwerksegmentatie, versleuteling, back-up en herstel, monitoring, veilige inrichting van werkplekken en beveiligd ontwikkelen. Medische apparatuur met verouderde besturingssystemen vraagt om compenserende maatregelen zoals segmentatie en strak toegangsbeheer.

Een proces om beveiligingsincidenten te melden, te classificeren, op te lossen en te evalueren, gekoppeld aan de beoordeling of sprake is van een datalek en of melding bij de Autoriteit Persoonsgegevens nodig is. Waar de Cyberbeveiligingswet geldt, komen daar meldtermijnen richting het bevoegd gezag bij.

Continuïteitsplannen beschrijven hoe zorg doorgaat als systemen uitvallen: uitwijk, herstelvolgorde, communicatie en werken op papier. Ze worden geoefend, zodat medewerkers weten wat ze doen wanneer het dossier niet beschikbaar is.

Meetbare doelstellingen, interne audits, technische toetsing en een directiebeoordeling sluiten de cyclus. Bevindingen krijgen een eigenaar en een termijn, en de opvolging wordt aantoonbaar gevolgd. Zonder deze stap blijft een managementsysteem een verzameling documenten.