Veelgestelde vragen

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe organisaties die persoonlijke gezondheidsinformatie verwerken hun informatiebeveiliging inrichten, beoordelen en verbeteren. Deel 1 stelt eisen aan het managementsysteem, deel 2 beschrijft de beheersmaatregelen. De opzet is gebaseerd op ISO/IEC 27001 en ISO/IEC 27002, met aanvullingen voor de zorg.

Voor zorgaanbieders en voor organisaties die namens hen gezondheidsgegevens verwerken. Denk aan ziekenhuizen, huisartsen- en tandartspraktijken, GGZ-instellingen, langdurige zorg, apotheken en laboratoria, maar ook aan zorg-ICT-leveranciers, hostingpartijen en beheerorganisaties. De omvang van de organisatie bepaalt niet of de norm relevant is, wel hoe zwaar de invulling uitpakt.

Zorgaanbieders die elektronisch gegevens uitwisselen moeten aantoonbaar werken volgens NEN 7510, NEN 7512 en NEN 7513. Dat volgt uit de Wabvpz en het onderliggende besluit. Certificering zelf is geen algemene wettelijke verplichting: die wordt meestal gevraagd door ketenpartners, zorgverzekeraars of aanbestedingen. Voldoen aan de norm en gecertificeerd zijn is dus niet hetzelfde.

ISO/IEC 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging en geldt voor elke sector. NEN 7510 neemt die structuur over en voegt eisen en richtlijnen toe die specifiek gelden voor gezondheidsinformatie, zoals toegang op basis van een behandelrelatie, logging van dossierinzage en uitwisseling in de zorgketen. Een organisatie met ISO 27001 heeft een groot deel van het werk gedaan, maar voldoet daarmee niet automatisch aan NEN 7510.

NEN 7510-1:2024 en NEN 7510-2:2024, gepubliceerd op 16 december 2024. Organisaties met een certificaat op basis van NEN 7510:2017 inclusief wijzigingsblad A1:2020 stappen binnen de overgangstermijn over; certificerende instellingen noemen daarvoor doorgaans 20 februari 2027. Stem de exacte planning af met uw eigen certificerende instelling.

De norm sluit aan op ISO/IEC 27001:2022 en ISO/IEC 27002:2022. De maatregelen in deel 2 zijn heringedeeld naar vier thema's: organisatorisch, mensen, fysiek en technologisch. De implementatierichtlijn werkt volgens comply or explain, klimaatverandering is toegevoegd als contextfactor, er is een vergelijking met NIS2 opgenomen en er ligt meer nadruk op aantoonbaar werkende processen.

In vier fasen: eerst de huidige situatie in kaart brengen met een scope en een gap-analyse, dan de risico's bepalen en vertalen naar een behandelplan en een Verklaring van Toepasselijkheid, vervolgens de maatregelen invoeren in beleid, processen en techniek, en tot slot controleren, testen en verbeteren via interne audits, oefeningen en technische toetsing. Voor een middelgrote organisatie duurt dit doorgaans zes tot twaalf maanden.

Een geaccrediteerde certificerende instelling voert een audit uit in twee fasen: een beoordeling van de documentatie en daarna een toets op locatie of het systeem in de praktijk werkt. Bij een positief resultaat volgt een certificaat dat drie jaar geldig is, met jaarlijks een controleaudit en na drie jaar een hercertificering. Controleer of de instelling is geaccrediteerd door de Raad voor Accreditatie.

Toegangsbeheer met periodieke herbeoordeling van rechten, passende authenticatie, logging van dossierinzage en het beoordelen van die logging, patch- en kwetsbaarhedenbeheer, netwerksegmentatie, versleuteling, back-up met geoefend herstel, monitoring en beveiligd ontwikkelen. Voor medische apparatuur die niet gepatcht kan worden gelden compenserende maatregelen zoals isolatie en strikte toegangscontrole.

De norm noemt geen verplichte pentest met een vaste frequentie, maar vraagt wel om beheer van technische kwetsbaarheden en om het beoordelen of maatregelen effectief zijn. Een pentest is een van de manieren om dat aan te tonen, naast interne audits, monitoring en configuratiebeoordelingen. Een pentest vervangt de norm niet: hij toetst een deel ervan op een moment in de tijd.

Een vulnerability scan zoekt geautomatiseerd naar bekende kwetsbaarheden en verouderde software. Dat is breed inzetbaar, maar levert ruis op en vindt geen fouten in logica of autorisatie. Bij een pentest verifiëren specialisten handmatig of kwetsbaarheden misbruikt kunnen worden en combineren zij losse zwakheden tot een aanvalspad. Scannen doet u regelmatig, pentesten gerichter en dieper.

Er bestaat geen wettelijke of normatieve frequentie. Een werkbaar uitgangspunt is: jaarlijks voor systemen die gezondheidsgegevens verwerken of vanaf internet bereikbaar zijn, aanvullend bij grote wijzigingen zoals een nieuwe koppeling of migratie, en voorafgaand aan ingebruikname van een nieuw systeem. Bepaal de frequentie op basis van uw eigen risicobeoordeling.

Ja, als hulpmiddel binnen een onderzoek dat door mensen wordt gestuurd. AI kan helpen bij verkenning, het combineren van signalen, het wegen van bevindingen en het opstellen van concepten voor rapportage. Menselijke expertise blijft nodig voor scopebepaling, logica- en autorisatiefouten, verificatie van bevindingen en de eindverantwoordelijkheid. Let daarnaast op de risico's van AI-gebruik zelf, zoals gegevens die naar externe modellen gaan en uitkomsten die onjuist zijn.

Dezelfde principes, een lichtere invulling. Ook een kleine praktijk moet weten welke gegevens zij verwerkt, wie toegang heeft, wat er misgaat bij uitval en hoe incidenten worden afgehandeld. Veel maatregelen liggen bij de softwareleverancier: vraag naar de scope van hun certificering en leg afspraken vast in de verwerkersovereenkomst.