Een praktische route in vier fasen: de huidige situatie begrijpen, risico's bepalen, maatregelen implementeren en tot slot controleren, testen en verbeteren. Per fase staat wat u concreet oplevert.
Een implementatietraject is geen documentatieproject. Het doel is dat de organisatie grip krijgt op haar informatierisico's en dat kan laten zien. De volgorde is daarbij belangrijker dan het tempo: zonder heldere scope en risicobeoordeling wordt elke maatregel een aanname.
Onderstaande fasering werkt voor de meeste zorgorganisaties. De doorlooptijd hangt af van omvang, de complexiteit van de ICT-omgeving en hoeveel er al staat.
Breng in kaart welke zorgprocessen er zijn, welke systemen en koppelingen die ondersteunen, waar gegevens staan en wie erbij kan. Bepaal de scope, inventariseer leveranciers en verzamel wat er al ligt aan beleid en afspraken. Sluit af met een gap-analyse tegen NEN 7510-1:2024.
Voer de risicobeoordeling uit met zorgverleners en systeemeigenaren aan tafel, want zij kennen de gevolgen van uitval of onjuiste gegevens. Bepaal per risico de behandeling, stel de Verklaring van Toepasselijkheid op en laat de directie de restrisico's expliciet aanvaarden.
Voer de maatregelen door in beleid, processen en techniek. Denk aan autorisatiebeheer en herbeoordeling van rechten, logging en het beoordelen daarvan, patch- en kwetsbaarhedenbeheer, back-up en herstel, leveranciersafspraken en gerichte training per doelgroep.
Toets of het werkt: interne audit, oefening van incidentrespons en continuïteit, en technische toetsing van de omgevingen die gezondheidsgegevens verwerken. Bespreek de uitkomsten in de directiebeoordeling, herstel bevindingen en ga daarna pas de externe audit in.
Er bestaat geen tarief voor NEN 7510. De verdeling van de kosten is bij vrijwel elke organisatie wel hetzelfde.
Certificering verloopt in twee fasen. In fase 1 beoordeelt de auditor de documentatie: scope, beleid, risicobeoordeling en Verklaring van Toepasselijkheid. Zo wordt duidelijk of het systeem klaar is om in de praktijk te worden getoetst.
In fase 2 wordt op locatie gekeken of het systeem werkt. De auditor spreekt medewerkers, neemt steekproeven op autorisaties en logging, en vraagt bewijs dat incidenten en bevindingen worden opgevolgd.
Daarna volgt jaarlijks een controleaudit en na drie jaar een hercertificering. Kies een instelling die is geaccrediteerd door de Raad voor Accreditatie: zonder accreditatie heeft een certificaat in aanbestedingen weinig waarde.
In fase 4 hoort ook technische toetsing. Welke vormen daarvoor bestaan en wat een onderzoek moet opleveren, staat in hoofdstuk 06. De onderliggende eisen vindt u in hoofdstuk 02.
Hoofdstuk 06 behandelt technische security testing: het verschil tussen een scan, een assessment, een pentest en red teaming, wat een onderzoek moet opleveren en welke rol AI daarbij speelt.
Een test vervangt de norm niet, maar toetst een deel ervan.