NEN 7510 onder de loep bij de IGJ: waarom inspecteurs hier steeds vaker op letten

NEN 7510 is de wettelijke norm voor informatiebeveiliging in de zorg; de IGJ houdt toezicht en verwacht dat zorgaanbieders aantoonbaar werken volgens een managementsysteem voor informatiebeveiliging.

Informatiebeveiliging stond lange tijd in de schaduw van andere kwaliteitsthema's. Dat is aan het veranderen. De Inspectie Gezondheidszorg en Jeugd let steeds nadrukkelijker op de NEN 7510, de norm voor informatiebeveiliging in de zorg. In recente onderzoeken bleek dat een groot deel van de onderzochte organisaties nog niet aantoonbaar volgens de norm werkte.

Voor jou als zorgaanbieder is dat een signaal. In deze blog leggen we uit waarom de IGJ hier scherper op let, wat de norm in de kern inhoudt en wat de inspectie van je verwacht. Zo weet je wat er speelt en waar je op kunt letten.

Waarom de aandacht toeneemt

De zorg is sterk afhankelijk geworden van digitale systemen: elektronische clientendossiers, beeldzorg en digitale gegevensuitwisseling zijn vast onderdeel van het werk. Tegelijk nemen de risico's toe, van ransomware tot stroomuitval. Een verstoring kan direct de continuiteit van zorg raken of leiden tot een datalek. De IGJ deed de afgelopen periode onderzoek in onder meer de ouderenzorg en de GGZ, en zag dat de meerderheid van de onderzochte organisaties nog niet kon aantonen volgens de norm te werken. Dat verklaart de toegenomen aandacht in het toezicht.

Wat NEN 7510 in de kern is

De kern van NEN 7510 is een managementsysteem voor informatiebeveiliging, ook wel ISMS genoemd. Daarnaast beschrijft de norm een set beheersmaatregelen om risico's te verkleinen. De norm werkt met een kwaliteitscyclus, de PDCA-cyclus:

• Plan: je doet een risicoanalyse en bepaalt welke maatregelen nodig zijn.
• Do: je voert de maatregelen uit.
• Check: je controleert regelmatig of de maatregelen het gewenste resultaat opleveren.
• Act: waar nodig zorg je voor verbeteringen.

Wat de inspectie van je verwacht

De IGJ wil zien dat je aantoonbaar werkt volgens de norm. Dat is meer dan beleid op papier hebben. De organisatie moet ook controleren of de maatregelen werken zoals bedoeld en verbeteren waar nodig. De norm vraagt bovendien om een regelmatige onafhankelijke beoordeling van je informatiebeveiliging. Certificering is een manier om aan te tonen dat je volgens de norm werkt, maar is niet verplicht. De rode lijn: laat zien dat de kwaliteitscyclus voor informatiebeveiliging echt functioneert.

Veelgestelde vragen over NEN 7510 en de IGJ

Is een NEN 7510-certificaat verplicht?
Nee, certificering is niet verplicht. Wel zijn zorgaanbieders wettelijk verplicht om aantoonbaar te werken volgens de NEN 7510. De norm vraagt om een regelmatige onafhankelijke beoordeling van je informatiebeveiliging. Een certificaat is een manier om aan te tonen dat je volgens de norm werkt en kan het vertrouwen van de IGJ en derden vergroten, maar je kunt ook op andere manieren laten zien dat je aan de norm voldoet.

Geldt NEN 7510 ook voor kleine zorgaanbieders?
Ja. De norm is van toepassing op alle zorgaanbieders en organisaties die persoonlijke gezondheidsinformatie beheren, ongeacht de aard en omvang van de organisatie. Ook kleinere aanbieders verwerken clientgegevens en zijn daarmee verplicht aantoonbaar werk te maken van informatiebeveiliging. De manier waarop je dat invult, mag passen bij de schaal van je organisatie, maar de verplichting zelf geldt breed.

Wat heeft NEN 7510 met de AVG te maken?
De AVG eist passende technische en organisatorische maatregelen om persoonsgegevens te beschermen. NEN 7510 beschrijft die maatregelen specifiek voor de zorg en gaat op een aantal punten verder. Werken volgens NEN 7510 helpt je dus om ook aan de eisen van de AVG te voldoen. Het zijn twee verschillende kaders met een gedeelde kern: zorgvuldig en veilig omgaan met gevoelige gegevens.

Wil je weten waar jouw organisatie staat op het gebied van informatiebeveiliging? We kijken graag met je mee hoe je hier overzichtelijk en aantoonbaar mee aan de slag gaat.