Werkt u met patiëntgegevens? Dan weet u dat informatiebeveiliging geen bijzaak is. Maar waar begint u? NEN 7510 is een uitgebreide norm, en zonder plan voelt het al snel als een berg werk. In dit stappenplan nemen we u mee door het hele traject naar NEN 7510-certificering, van de eerste nulmeting tot het certificaat. Stap voor stap, in gewone taal.
Dit stappenplan is bedoeld voor zorgaanbieders van iedere omvang: van zorginstellingen en praktijken tot zzp’ers in de zorg en leveranciers die toegang hebben tot medische gegevens. Wilt u eerst meer weten over wat de norm precies inhoudt? Lees dan onze gids over NEN 7510-certificering.
Voordat u begint: wat vraagt NEN 7510 van u?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm bestaat uit twee delen. NEN 7510-1 beschrijft de eisen aan uw managementsysteem: hoe u informatiebeveiliging organiseert, bewaakt en verbetert. NEN 7510-2 bevat de concrete maatregelen, zoals toegangsbeheer tot dossiers en het vastleggen van wie welke gegevens heeft ingezien.
Het belangrijkste om te onthouden: NEN 7510 is geen eenmalig project, maar een manier van werken. Het doel is niet een stapel documenten, maar een organisatie die patiëntgegevens aantoonbaar zorgvuldig behandelt. Met die gedachte in het achterhoofd worden de stappen hieronder een stuk logischer.
Stap 1: bepaal de reikwijdte
Voordat u iets anders doet, legt u vast wat er onder uw aanpak valt. Gaat het om de hele organisatie, of om één locatie? Welke processen en welke systemen horen erbij? Denk aan uw elektronisch dossier, de agenda, e-mail, gedeelde mappen en de laptops en telefoons waarmee medewerkers werken.
Een goede afbakening voorkomt twee veelgemaakte fouten. Een te brede reikwijdte maakt het traject onnodig zwaar. Een te smalle reikwijdte laat juist risico’s buiten beeld, en dat ziet een auditor direct. Leg de afbakening kort en duidelijk vast. U komt er tijdens het traject steeds op terug.
Tip: wijs in deze fase ook één eigenaar aan voor informatiebeveiliging binnen uw organisatie. Iemand die het overzicht houdt en aanspreekpunt is.
Stap 2: doe een nulmeting (gap-analyse)
Nu weet u wat erbinnen valt. De volgende vraag is: waar staat u nu? Met een nulmeting legt u uw huidige situatie naast de eisen van de norm. Wat is al goed geregeld? Wat ontbreekt nog? En wat is wel geregeld, maar niet vastgelegd?
Veel organisaties merken bij de nulmeting dat ze meer op orde hebben dan gedacht. Wachtwoordbeleid, een back-up en afspraken over vertrouwelijkheid bestaan vaak al. Het ontbreekt dan vooral aan samenhang en vastlegging. De uitkomst van de nulmeting is uw werklijst voor de rest van het traject.
Wilt u weten waar u staat? Tijdens een gratis online intake kijken we samen naar uw situatie. Meer over onze aanpak leest u bij de gap-analyse en nulmeting.
Stap 3: breng uw informatie en risico’s in kaart
Welke patiëntgegevens verwerkt u, en waar staan ze?
Maak een overzicht van de informatie die u verwerkt en waar die zich bevindt. Welke systemen gebruikt u? Wie heeft er toegang toe? Met welke partijen deelt u gegevens, zoals een huisarts, een laboratorium of een softwareleverancier? Dit overzicht vormt de basis voor alles wat volgt.
De risicoanalyse: kans maal impact
Vervolgens bekijkt u per onderdeel wat er mis kan gaan. Een laptop die wordt gestolen. Een medewerker die een dossier inziet zonder reden. Een systeem dat uitvalt op het moment dat u het nodig heeft. Voor elk risico schat u in hoe groot de kans is en hoe ernstig de gevolgen zouden zijn.
Zo ontstaat een helder beeld van waar uw grootste risico’s zitten. Dat is precies de bedoeling van de norm: u steekt uw tijd en geld in de maatregelen die er echt toe doen, en niet in alles tegelijk.
Stap 4: stel beleid en een verklaring van toepasselijkheid op
Met de risico’s in beeld legt u vast hoe uw organisatie met informatiebeveiliging omgaat. In het beleid beschrijft u uw uitgangspunten, doelen en wie waarvoor verantwoordelijk is. De directie stelt dit beleid vast en draagt het uit.
Daarnaast maakt u een verklaring van toepasselijkheid. Daarin geeft u per maatregel uit de norm aan of die voor u van toepassing is, en waarom wel of niet. Zo laat u zien dat u bewuste keuzes heeft gemaakt op basis van uw eigen risico’s. Houd beide documenten praktisch en leesbaar. Een beleid dat niemand leest, helpt u niet verder.
Stap 5: voer de maatregelen in
Nu wordt het concreet. Op basis van uw risicoanalyse voert u de maatregelen in die nodig zijn. Die zijn grofweg in drie soorten te verdelen:
- Organisatorisch: afspraken over wie toegang krijgt tot welke gegevens, hoe u omgaat met een datalek en hoe u leveranciers selecteert.
- Technisch: veilige wachtwoorden of tweestapsverificatie, versleuteling, back-ups en het vastleggen van wie welk dossier heeft geraadpleegd.
- Fysiek: afgesloten ruimtes, een opgeruimd bureau en veilige opslag van papieren dossiers.
Begin bij de maatregelen die de grootste risico’s afdekken. Niet alles hoeft tegelijk. Wel is het belangrijk dat u kunt laten zien dat de maatregelen in de praktijk werken, en niet alleen op papier bestaan. Bij het invoeren van maatregelen helpen we u graag.
Stap 6: betrek en train uw medewerkers
Informatiebeveiliging staat of valt met de mensen die er dagelijks mee werken. De beste techniek helpt niet als een medewerker op een nepmail klikt of een wachtwoord op een briefje schrijft. Zorg daarom dat iedereen weet waarom de afspraken er zijn en wat er van hem of haar wordt verwacht.
Dat hoeft geen zware training te zijn. Een korte bijeenkomst, een paar heldere praktijkvoorbeelden en regelmatig een herinnering werken vaak beter dan een dik handboek. Leg wel vast wie welke uitleg heeft gehad. Een auditor vraagt daarnaar.
Stap 7: voer een interne audit uit
Voordat de externe auditor langskomt, controleert u zelf of alles werkt zoals bedoeld. Bij een interne audit kijkt u of uw beleid en de dagelijkse praktijk met elkaar overeenkomen. Worden de afspraken nageleefd? Zijn de documenten actueel? Werken de maatregelen?
Afwijkingen die u nu vindt, kunt u nog rustig oplossen. Dat geeft vertrouwen richting de certificeringsaudit. Het helpt als de interne audit wordt uitgevoerd door iemand die niet zelf alles heeft opgezet, zodat er met een frisse blik wordt gekeken. Lees meer over onze begeleiding bij de interne audit.
Stap 8: directiebeoordeling en verbeteracties
In de directiebeoordeling staat de leiding van uw organisatie stil bij de stand van zaken. Wat kwam er uit de interne audit? Zijn er incidenten geweest? Zijn de doelen gehaald? En wat moet er beter?
De uitkomst is een lijst met verbeteracties, met een eigenaar en een termijn. Hiermee laat u zien dat de directie betrokken is en dat uw organisatie leert en bijstuurt. Dat is precies wat de norm vraagt.
Stap 9: de certificeringsaudit
Een certificerende instelling kiezen
De certificering zelf gebeurt door een onafhankelijke certificerende instelling. Vraag bij meerdere instellingen een offerte op en let niet alleen op de prijs, maar ook op hun ervaring in de zorg en hun beschikbaarheid. Plan de audit op tijd in, want auditors zijn niet altijd op korte termijn beschikbaar.
Wat gebeurt er tijdens de audit?
De audit bestaat uit twee fasen. In de eerste fase beoordeelt de auditor uw documentatie: is uw systeem compleet en klaar voor de volgende stap? In de tweede fase controleert de auditor in de praktijk of de maatregelen ook echt worden uitgevoerd. De auditor spreekt met medewerkers, bekijkt systemen en vraagt om voorbeelden.
Is het oordeel positief, dan ontvangt u uw NEN 7510-certificaat. Komt de auditor afwijkingen tegen, dan krijgt u de gelegenheid om die op te lossen.
Na de certificering: onderhouden en verbeteren
Het certificaat is drie jaar geldig. In die periode komt de certificerende instelling elk jaar terug voor een tussentijdse audit. Na drie jaar volgt een volledige hercertificering.
Dat betekent dat uw systeem moet blijven leven. Houd uw risicoanalyse actueel, voer jaarlijks een interne audit en een directiebeoordeling uit en pak incidenten en verbeterpunten direct op. Organisaties die dit goed inbedden, merken dat het steeds minder moeite kost. Wilt u dit uit handen geven? Bekijk dan onze ondersteuning bij onderhoud en beheer.
Hoe lang duurt het?
Reken op ongeveer zes maanden van de eerste nulmeting tot de certificeringsaudit. De precieze duur hangt af van de omvang van uw organisatie en van wat er al geregeld is. Heeft u al een managementsysteem voor HKZ of ISO 9001, dan gaat het vaak sneller. Onderdelen zoals beleid, interne audit en directiebeoordeling staan dan al, en die kunt u uitbreiden met informatiebeveiliging. Meer over de combinatie met HKZ leest u op onze pagina over HKZ-certificering.
Hoe hangen NEN 7510, NEN 7512 en NEN 7513 samen?
NEN 7510 gaat over informatiebeveiliging binnen uw eigen organisatie. Zodra u gegevens elektronisch uitwisselt met andere partijen, komt NEN 7512 erbij. Die norm gaat over het vertrouwen tussen partijen bij het uitwisselen van gegevens. NEN 7513 gaat over het vastleggen van wie wanneer een elektronisch dossier heeft geraadpleegd of gewijzigd. Samen vormen ze een samenhangend geheel voor de beveiliging van gegevens in de zorg.
Checklist: is uw NEN 7510-aanpak compleet?
Gebruik deze checklist om te zien waar u staat:
- ☐ De reikwijdte is vastgelegd en er is een eigenaar aangewezen
- ☐ Er is een nulmeting uitgevoerd en er ligt een werklijst
- ☐ U heeft een overzicht van uw informatie, systemen en ketenpartners
- ☐ De risicoanalyse is uitgevoerd en vastgelegd
- ☐ Het beleid en de verklaring van toepasselijkheid zijn vastgesteld door de directie
- ☐ De maatregelen zijn ingevoerd en werken in de praktijk
- ☐ Medewerkers zijn geïnformeerd en dat is vastgelegd
- ☐ De interne audit is uitgevoerd en afwijkingen zijn opgepakt
- ☐ De directiebeoordeling is gehouden en de verbeteracties zijn belegd
Kunt u nog niet alles afvinken? Geen zorgen. Daar is dit stappenplan voor.
Veelgestelde vragen
Kan ik NEN 7510 zelf invoeren?
Dat kan. De norm schrijft niet voor dat u een adviseur inschakelt. In de praktijk kost het zonder ervaring wel veel tijd om de eisen te vertalen naar uw eigen organisatie. Een adviseur helpt u keuzes te maken die passen bij uw omvang, zodat u niet meer doet dan nodig is.
Moet ik als zzp’er in de zorg ook aan NEN 7510 voldoen?
Werkt u als zorgaanbieder met patiëntgegevens, dan gelden de eisen ook voor u. Volgens het Besluit elektronische gegevensverwerking door zorgaanbieders moeten zorgaanbieders werken volgens NEN 7510. Het goede nieuws: voor een kleine organisatie kan de uitwerking veel eenvoudiger zijn dan voor een grote instelling, omdat u uw maatregelen afstemt op uw eigen risico’s.
Is een certificaat verplicht?
Nee, een certificaat is wettelijk niet verplicht. Het is wel de duidelijkste manier om aan opdrachtgevers, zorgverzekeraars en ketenpartners te laten zien dat uw informatiebeveiliging op orde is. Steeds vaker wordt er daarom om gevraagd.
Hulp nodig bij uw NEN 7510-traject?
U hoeft het niet alleen te doen. Bij Consulex Services begeleiden we zorgaanbieders van nulmeting tot certificaat, met een aanpak die past bij uw organisatie en uw manier van werken. We denken met u mee, houden het praktisch en staan naast u tijdens de audit.
Plan een gratis online intake of vraag vrijblijvend een offerte aan. Samen zetten we de stappen naar NEN 7510.
Meer weten over onze dienstverlening? Bekijk onze pagina over NEN 7510-certificering.