De zoekterm NEN 7510 checklist wordt veel gebruikt. Begrijpelijk, want organisaties zoeken houvast bij het voldoen aan de NEN 7510-eisen. Tegelijkertijd is het belangrijk om duidelijk te zijn: er bestaat geen officiële NEN 7510 checklist. De norm zelf vormt het toetsingskader.
Bij KAM Groep vertalen wij NEN 7510 daarom niet naar een afvinklijst, maar naar een logisch en werkbaar stappenplan. Daarmee helpen wij zorgorganisaties en leveranciers in de zorg om informatiebeveiliging aantoonbaar en beheersbaar in te richten en gestructureerd toe te werken naar NEN 7510 certificering.
Wat wordt bedoeld met een NEN 7510 checklist?
Wanneer organisaties spreken over een NEN 7510 checklist, bedoelen zij meestal een overzicht van alles wat geregeld moet zijn om te kunnen certificeren. Dat overzicht is wel te maken, maar altijd als onderdeel van een samenhangend managementsysteem.
Wij zien NEN 7510 niet als een eenmalige exercitie, maar als een manier van werken. De kern daarvan is:
- inzicht krijgen in de Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV) van informatie;
- risico’s beheersen met passende maatregelen;
- de werking daarvan structureel monitoren;
- continu verbeteren volgens de PDCA-cyclus.
Wat is NEN 7510?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is specifiek ontwikkeld voor organisaties die werken met medische- en patiëntgegevens en stelt eisen aan de bescherming van persoonlijke gezondheidsinformatie.
De norm is gebaseerd op ISO 27001, maar bevat aanvullende en aangescherpte maatregelen die zijn toegespitst op de zorgsector. Dit betekent dat organisaties in de zorg hogere en specifiekere eisen moeten aantonen dan organisaties in andere sectoren.
De Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht dat zorgaanbieders:
- werken met een Information Security Management System (ISMS);
- dit ISMS inrichten conform NEN 7510;
- continuïteit borgen;
- maatregelen periodiek testen en evalueren.
Voor wie is NEN 7510 van toepassing?
NEN 7510 is niet alleen van toepassing op zorginstellingen zelf. Ook leveranciers en dienstverleners die (direct of indirect) werken met patiëntgegevens vallen onder de norm. Denk aan IT-dienstverleners, softwareleveranciers en andere ketenpartners in de zorg.
In onze begeleiding staan altijd drie vragen centraal:
- Waar binnen de organisatie wordt persoonlijke gezondheidsinformatie verwerkt?
- Welke NEN 7510-eisen zijn hierop van toepassing?
- Hoe borgen we dat informatiebeveiliging aantoonbaar werkt en blijft werken?
Geen afvinklijst, maar structurele beheersing
Hoewel er geen officiële NEN 7510 checklist bestaat, werken wij wel met een vaste opbouw. Deze geeft overzicht en zorgt ervoor dat alle vereiste onderdelen logisch en samenhangend worden ingericht.
Een goed ingericht ISMS bestaat onder andere uit:
- een nulmeting (GAP-analyse);
- het bepalen van de scope van het ISMS;
- inventarisatie van processen, data en systemen;
- stakeholderanalyse;
- informatiebeveiligingsbeleid;
- risicoanalyse en Plan van Aanpak;
- implementatie van beheersmaatregelen;
- bewustwording en training;
- interne audits en management review;
- externe audit en certificering;
- onderhoud en continue verbetering.
Wat zijn de belangrijkste NEN 7510-eisen?
Binnen NEN 7510 staat risicobeheersing centraal.
Organisaties moeten aantoonbaar laten zien dat zij:
- bedreigingen en kwetsbaarheden identificeren;
- de kans en impact van risico’s beoordelen;
- bepalen welke risico’s acceptabel zijn;
- niet-acceptabele risico’s behandelen met passende maatregelen.
De norm stelt eisen op het gebied van onder andere:
- informatiebeveiligingsbeleid;
- organisatie en verantwoordelijkheden;
- beheer van bedrijfsmiddelen;
- fysieke en logische toegangsbeveiliging;
- incidentmanagement.
Het NEN 7510 stappenplan van KAM Groep
Om overzicht te creëren en grip te houden, werken wij met een praktisch stappenplan dat bestaat uit zes stappen.
Stap 1: Nulmeting
Wij starten met een nulmeting (GAP-analyse). Hiermee brengen we in kaart waar de organisatie staat ten opzichte van NEN 7510. We kijken naar bestaande maatregelen, processen, IT-infrastructuur, beschikbare documentatie en bepalen de scope van het ISMS.
Stap 2: Contextanalyse en beleid
In deze stap brengen wij de organisatie en haar context in beeld. We analyseren interne en externe stakeholders, hun eisen en verwachtingen en bepalen de doelstellingen op het gebied van informatiebeveiliging. Op basis hiervan wordt het informatiebeveiligingsbeleid opgesteld.
Stap 3: Risicoanalyse en Plan van Aanpak
Wij voeren een risicoanalyse uit om te bepalen of de informatiebeveiliging op een acceptabel niveau is. Niet-acceptabele risico’s vertalen wij naar concrete beheersmaatregelen.
Deze leggen wij vast in een Plan van Aanpak (PvA), inclusief prioriteiten, verantwoordelijkheden en planning. De uitvoering en monitoring verlopen via de PDCA-cyclus.
Stap 4: Bewustwording en monitoring
Een ISMS werkt alleen als medewerkers weten wat er van hen verwacht wordt. Daarom besteden wij aandacht aan bewustwording en training. Daarnaast richten wij monitoring en evaluatie in, zoals technische controles, KPI’s en incidentmanagement.
Stap 5: Interne audit en management review
Via interne audits toetsen wij periodiek of het ISMS goed is ingericht en effectief werkt. Het management beoordeelt de resultaten en stuurt bij waar nodig.
Stap 6: Certificeringsaudit en continu verbeteren
Wanneer het ISMS stabiel functioneert, begeleiden wij de organisatie richting de certificeringsaudit door een geaccrediteerde certificerende instelling. Na certificering blijft het ISMS actief in ontwikkeling.
Tot slot
Een NEN 7510 checklist bestaat niet als los document, maar wel als samenhangend geheel binnen een goed ingericht ISMS. Door te werken volgens een helder stappenplan ontstaat grip op informatiebeveiliging en vertrouwen bij toezichthouders en ketenpartners.
KAM Groep ondersteunt organisaties bij iedere stap: van nulmeting en implementatie tot certificering en het blijvend onderhouden van het ISMS.
