NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Dit hoofdstuk legt uit wat de norm inhoudt, waarom die bestaat, voor welke organisaties die relevant is en hoe de norm zich verhoudt tot ISO 27001.
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe een organisatie die persoonlijke gezondheidsinformatie verwerkt haar informatiebeveiliging inricht, beoordeelt en verbetert. Het gaat daarbij niet alleen om techniek, maar ook om beleid, verantwoordelijkheden, processen, gedrag en controle.
De norm bestaat uit twee delen. NEN 7510-1 stelt eisen aan het managementsysteem voor informatiebeveiliging, kortweg het ISMS. NEN 7510-2 bevat de beheersmaatregelen met implementatierichtlijn, toegespitst op de zorgcontext. De opzet is overgenomen van ISO/IEC 27001 en ISO/IEC 27002, met aanvullingen die specifiek gelden voor gezondheidsinformatie.
De kern van de norm is risicogestuurd werken. U bepaalt zelf welke risico's uw organisatie loopt, welke maatregelen daarbij passen en welk restrisico aanvaardbaar is. Twee zorgorganisaties kunnen daardoor beide aan de norm voldoen met verschillende maatregelen, zolang de afweging navolgbaar en onderbouwd is.
Voor de zorg bestaat een eigen norm omdat de gevolgen van een beveiligingsprobleem hier anders uitpakken dan elders.
Medische gegevens zeggen iets over iemands lichaam, geest en leven. Onder de AVG gelden ze als bijzondere categorie persoonsgegevens, met een zwaarder beschermingsregime. Een lek is bovendien niet te herstellen: wat eenmaal openbaar is, komt niet terug.
In andere sectoren leidt uitval tot omzetverlies. In de zorg leidt het tot uitgestelde ingrepen, onbekende allergieën en behandelingen zonder volledig beeld. Beschikbaarheid is hier een patiëntveiligheidsvraagstuk, geen ICT-vraagstuk.
Gegevens bewegen tussen ziekenhuizen, huisartsen, apotheken, laboratoria, leveranciers en patiëntportalen. Beveiliging houdt niet op bij de eigen voordeur, waardoor afspraken met ketenpartners onderdeel van de norm zijn.
Een patiënt die twijfelt of informatie veilig is, deelt minder. Dat leidt tot een onvolledig dossier en daarmee tot slechtere zorg. Informatiebeveiliging beschermt zo ook de behandelrelatie zelf.
NEN 7510 gaat over persoonlijke gezondheidsinformatie: alle gegevens over de gezondheid van een persoon die herleidbaar zijn tot die persoon. Denk aan het dossier, laboratoriumuitslagen, beeldmateriaal, medicatiegegevens en de logging van wie er in het dossier heeft gekeken.
Voor die gegevens beschermt de norm drie eigenschappen. Ze worden vaak samengevat als vertrouwelijkheid, integriteit en beschikbaarheid.
Deel 1 bepaalt wat u moet inrichten en waarop u wordt geauditeerd. Deel 2 vertelt hoe u dat doet, met beheersmaatregelen die zijn toegesneden op de zorg.
Beschrijft wat een organisatie inricht: context en scope, leiderschap, risicobeoordeling en risicobehandeling, doelstellingen, middelen en competenties, communicatie, documentatie, interne audits, directiebeoordeling en verbetering. Dit deel is auditeerbaar en vormt de basis voor certificering.
Geeft de beheersmaatregelen met implementatierichtlijn, waaronder aanvullingen die specifiek gelden voor gezondheidsinformatie. Denk aan toegang op basis van een behandelrelatie, logging van dossierinzage en afspraken over uitwisseling in de keten.
Wat er per onderdeel van u wordt gevraagd, staat uitgewerkt in de eisen van NEN 7510.
NEN 7510 schrijft geen vaste maatregelen voor. De norm vraagt om een onderbouwde afweging.
Risicogestuurd werken betekent dat u eerst bepaalt wat er mis kan gaan en hoe erg dat zou zijn, en pas daarna kiest welke maatregelen daarbij passen. Een groot ziekenhuis met een eigen datacenter en honderden koppelingen komt daarmee op andere maatregelen uit dan een praktijk die vrijwel alles bij een leverancier heeft belegd.
Die aanpak heeft een consequentie: u moet uw keuzes kunnen uitleggen. Een auditor kijkt niet alleen of een maatregel bestaat, maar of die logisch volgt uit uw risicobeoordeling en of het restrisico bewust is aanvaard door iemand die daarover mag beslissen.
De structuur is vrijwel gelijk. Het verschil zit in de weging en in de eisen die de zorgcontext oplegt.
Heeft u al ISO 27001, dan is de stap naar NEN 7510 vooral aanvullen: de scope verbreden naar zorgprocessen, de risicoweging herijken en de zorgspecifieke maatregelen aantoonbaar maken.
NEN 7510 staat niet alleen. Twee andere Nederlandse normen vullen de norm aan en worden in wetgeving in één adem genoemd.
Gaat over vertrouwensniveaus en beveiliging bij elektronische gegevensuitwisseling tussen zorgpartijen. Beantwoordt de vraag: hoe weet ik met wie ik uitwissel en dat een bericht onderweg niet is gewijzigd.
Beschrijft het loggen van acties op elektronische patiëntdossiers. Maakt achteraf herleidbaar wie welke gegevens heeft ingezien of gewijzigd, zodat een patiënt daar inzage in kan vragen.
De internationale basis onder NEN 7510. Organisaties die al ISO-gecertificeerd zijn, herkennen vrijwel de volledige structuur en veel van de maatregelen.
Hoe deze normen in de Nederlandse regelgeving terugkomen, leest u bij wetgeving en toezicht. De actuele normversie en de wijzigingen daarin staan bij NEN 7510:2024.
Van beleid en risicoanalyse tot toegangsbeveiliging, incidentmanagement en continuïteit: hoofdstuk 02 loopt de eisen langs en laat per onderdeel zien waar het in de praktijk misgaat.
Daarna volgt de herziening van 2024.