Wat NEN 7510 en ISO 27001 in de praktijk betekenen voor jouw instelling

GGZ-instellingen werken met de meest gevoelige persoonsgegevens die er zijn. Diagnoses, behandelhistorie, medicatiegegevens: informatie die bij verkeerd gebruik grote schade kan aanrichten voor cliënten. Dat legt een zware verantwoordelijkheid bij iedereen die met die gegevens werkt, inclusief de leveranciers van de systemen die die data bevatten.

NEN 7510 en ISO 27001 zijn de twee standaarden die aantonen dat een organisatie informatiebeveiliging serieus en structureel heeft ingericht. Maar wat zeggen ze precies, en wat betekenen ze concreet voor jouw instelling?

De twee standaarden uitgelegd

ISO 27001 is de internationale norm voor informatiebeveiliging. Het beschrijft hoe een organisatie een managementsysteem voor informatiebeveiliging moet inrichten, bewaken en verbeteren. De norm gaat over processen, beleid, risicobeheer en continue verbetering. Certificering vereist een externe audit door een geaccrediteerde instelling en moet periodiek worden hernieuwd.

NEN 7510 is de Nederlandse uitwerking van ISO 27001, specifiek voor de zorgsector. Waar ISO 27001 breed toepasbaar is, vertaalt NEN 7510 de eisen naar de context van zorginstellingen en hun leveranciers. Denk aan specifieke eisen rond toegangsbeheer voor medische dossiers, logging van wie welke gegevens heeft ingezien, en de omgang met bijzondere persoonsgegevens.

Voor zorgorganisaties in Nederland is NEN 7510 de relevante standaard. ISO 27001 is de internationale basis waarop NEN 7510 voortbouwt.

Wat een certificering in de praktijk zegt

Een certificering is geen eenmalige prestatie. Het betekent dat een onafhankelijke auditor heeft vastgesteld dat de beveiligingsmaatregelen structureel zijn ingericht en dat er processen zijn om ze actueel te houden. Jaarlijkse hercertificering houdt de standaard levend.

Concreet betekent dat onder meer:

Toegangsbeheer is geregeld. Alleen geautoriseerde gebruikers hebben toegang tot specifieke data, en die toegang wordt beheerd en gelogd. Wie heeft welke dossiers ingezien en wanneer, is aantoonbaar.

Incidentbeheer is ingericht. Er zijn processen voor het detecteren, melden en afhandelen van beveiligingsincidenten, inclusief datalekken. Dat is relevant voor de meldplicht onder de AVG.

Risicobeheer is continu. Nieuwe risico’s, zoals kwetsbaarheden in software of veranderingen in de omgeving, worden periodiek beoordeeld en aangepakt.

Wat het betekent als jouw ECD-leverancier gecertificeerd is

Als je werkt met een ECD-leverancier die NEN 7510 gecertificeerd is, hoef je niet zelf te controleren of de technische beveiliging van het systeem op orde is. Dat heeft een onafhankelijke partij gedaan.

Dat heeft praktische gevolgen bij een externe audit of inspectie. Als een toezichthouder of zorgverzekeraar vraagt hoe jij omgaat met informatiebeveiliging in je ECD, kun je verwijzen naar de certificering van je leverancier als onderdeel van je antwoord. Dat is een aantoonbaar en controleerbaar gegeven.

Het verlicht ook de last bij het uitvoeren van een Data Protection Impact Assessment (DPIA). De beveiligingsmaatregelen van het systeem zelf zijn gedocumenteerd en gecertificeerd; jij hoeft je eigen beoordeling te richten op de processen in je eigen organisatie.

Wat je als instelling zelf nog steeds moet regelen

Een gecertificeerde leverancier dekt de technische kant van het systeem. De organisatorische kant blijft jouw verantwoordelijkheid.

Dat betekent: wie in jouw instelling heeft toegang tot welke gegevens? Hoe gaan medewerkers om met wachtwoorden en apparaten? Wat doe je als een medewerker uit dienst gaat? Hoe worden nieuwe medewerkers geïnformeerd over informatiebeveiliging?

NEN 7510 geldt ook voor zorginstellingen zelf. De certificering van je leverancier is een onderdeel van het geheel, niet de volledige oplossing.

Oscar en informatiebeveiliging

Oscar is gecertificeerd voor zowel NEN 7510 als ISO 27001. Die certificeringen worden jaarlijks geaudit door een externe partij.

In de praktijk betekent dat voor onze gebruikers: toegang is op gebruikersniveau instelbaar, logging van dossierinzage is standaard, en beveiligingsupdates volgen een gestructureerd proces. De technische basis voor veilige omgang met GGZ-data is aantoonbaar op orde.

Vragen over hoe informatiebeveiliging is ingericht binnen Oscar? Neem contact op via oscarecd.nl