NEN 7510 audit uit laten voeren

Een NEN 7510 audit uit (laten) voeren; het is een verplichte stap op weg naar een NEN 7510 certificering. Er zijn twee ’typen’ audits, namelijk de zogeheten NEN 7510 interne audit en de NEN 7510 certificeringsaudit, welke ook wel de externe audit genoemd wordt. Door beide audits op de juiste manier in te zetten en te doorlopen kun je als organisatie uiteindelijk NEN 7510 certificeren, maar ook een duurzaam informatiebeveiligingsbeleid opzetten. In dit artikel gaan we verder in op:

Mochten er naar aanleiding van dit artikel vragen zijn, neem dan gerust contact met ons op of vraag direct een NEN 7510 interne audit aan.

Informatiebeveiliging staat binnen de zorgsector sterk op de radar. Het is immers essentieel dat persoonlijke gezondheidsdata goed beveiligd wordt (opgeslagen) en dat er vertrouwelijk met de gegevens wordt omgegaan. Met een NEN 7510:2017 certificering kun je als organisatie aantoonbaar maken dat je dit goed hebt geborgd. Zodra je als organisatie een Information Security Management System (ISMS) hebt opgetuigd en aan alle eisen van de NEN 7510 norm voldoet, kun je de inspanningen van je organisatie laten toetsen in de vorm van audits.

Allereerst even een korte uitleg van beide audits: een interne audit is een beoordeling binnen de organisatie om te checken of processen, procedures en maatregelen voldoen aan de eisen uit de NEN 7510 norm. Deze audit wordt uitgevoerd door een interne medewerker of door een ingehuurde (onafhankelijke) partij. Het is als het ware de laatste check voordat de externe certificeringsaudit plaatsvindt. Met de output van de interne audit zet je de puntjes op de i.

Een NEN 7510 certificeringsaudit, ook wel externe audit genoemd, wordt juist uitgevoerd door een externe, daarvoor geaccrediteerde certificerende instelling (CI). Middels een dergelijke audit kan een organisatie aantoonbaar maken dat ze voldoet aan specifieke normeisen en wet- en regelgeving. Het doel van de externe audit is uiteindelijk certificatie. Een externe audit wordt uitgevoerd door een Certificerende Instantie, omdat:

De certificeringsaudit is vanzelfsprekend verplicht: zonder certificeringsaudit kan een organisatie geen NEN 7510 certificering behalen. Hieronder een overzicht van de belangrijkste verschillen tussen beide audits:

De NEN 7510 interne audit is, zoals gezegd, een verplicht onderdeel van de normeisen uit de NEN 7510 norm. Deze audit kan uitgevoerd worden door eigen medewerkers. Voorwaarden daarbij zijn wel dat de proceseigenaar niet de naleving van zijn eigen processen beoordeeld en dat de persoon die als auditor wordt ingezet, daar voldoende competent voor is. Steeds vaker kiezen organisaties ervoor om de interne audit uit te laten voeren door een onafhankelijke, externe partner. Dit biedt voordelen:

Het doel van de interne audit is het identificeren van risico’s en beoordelen van de effectiviteit van bestaande beveiligingsmaatregelen om zo zwakke punten te identificeren en verbeteringen door te voeren voordat de externe audit plaatsvindt. Bevindingen worden gebruikt om interne processen verder aan te scherpen. Bovendien is de organisatie door de interne audit als het ware een keer in de gelegenheid om te ‘oefenen’ voor de certificeringsaudit.

Een NEN 7510 interne audit focust op een aantal zaken, zoals:

Voor de interne audit is het belangrijk dat alle processen, procedures en het beleid goed gedocumenteerd zijn en dat deze documentatie op orde en actueel is. Door de interne audit voor NEN 7510 serieus aan te pakken, kun je de organisatie klaar maken voor certificering, maar ook een sterke cultuur met het oog op informatiebeveiliging neerzetten.

Nadat de NEN 7510 interne audit is uitgevoerd, volgt de NEN 7510 certificeringsaudit. Deze audit bestaat uit twee fasen, die hieronder verder worden toegelicht:

Hierin vindt het documentenonderzoek plaats. Daarin wordt voornamelijk de documentatie, ofwel het ISMS, onderzocht en wordt bekeken of de (verplichte) beleidsdocumenten zijn opgesteld en aantoonbaar geïmplementeerd zijn.

Documentatie die in fase 1 van belang is:

Aan het einde van fase 1 stelt de auditor vast of de organisatie gereed is voor fase 2, het praktijkonderzoek.

In deze fase vindt het certificeringsonderzoek plaats. De auditor komt dan enkele dagen langs bij het bedrijf op locatie en onderzoekt of de organisatie de vastgestelde acties die (mogelijk) uit fase 1 naar voren zijn gekomen heeft uitgevoerd en kijkt naar hoe deze zijn opgelost. Ook wordt onderzocht hoe de beheersmaatregelen geïmplementeerd zijn. Er worden daarvoor o.a. interviews met medewerkers van iedere afdeling gehouden om te verifiëren of beleid, procedures en werkinstructies overeenkomen met de manier van werken.

Documentatie die in fase 2 van belang is:

Het resultaat van de NEN 7510 certificeringsaudit is een NEN 7510 certificaat, bij positieve uitkomst. Bij tekortkomingen worden verbeterpunten gegeven waarvoor de organisatie tijd krijgt om deze op te lossen.

Alvorens je een externe audit voor NEN 7510 uit laat voeren door een CI is het verplicht om een interne audit uit te (laten) voeren. Deze dient volgens de expliciete eis uit A. 18.2 uitgevoerd te worden door een onafhankelijke partij. CertificeringsAdvies Nederland kan bijvoorbeeld die onafhankelijke partij zijn. Ook wij verzorgen interne audits bij organisaties. Hieronder opgesomd waarom de interne audit belangrijk is:

Hopelijk heeft dit artikel meer duidelijkheid gegeven over de NEN 7510 audit. Indien je meer informatie wilt of andere vragen hebt, neem dan gerust contact met ons op. Onze adviseurs helpen je graag!