NEN 7510 verplicht: voor wie en wat betekent het in de praktijk?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector. NEN 7510 is voor bepaalde zorginstellingen verplicht en krijgt voor steeds meer organisaties een verplichtend karakter. Hoe zit dat precies? En voor wie geldt die verplichting? Dat en meer vertellen we in dit artikel.

De gezondheidszorg heeft, in tegenstelling tot andere branches, te maken met veel persoonlijke patiëntgegevens die vertrouwelijk van aard zijn. Informatiebeveiliging is binnen de zorgbranche daarom zeker geen overbodige luxe. Voor kwaadwillenden wordt het, vanwege de hoeveelheid en gevoeligheid van de data, steeds interessanter om met deze data aan de haal te gaan. Nalatigheid kan daarom grote gevolgen hebben voor de veiligheid van patiënten en hun medisch dossier. Het is dus essentieel dat persoonlijke gezondheidsdata goed beveiligd wordt (opgeslagen) en dat er vertrouwelijk met de gegevens om wordt gegaan. Met een NEN 7510 certificering kun je als organisatie aantoonbaar maken dat je dit goed hebt geborgd.

De NEN 7510 norm is een Nederlandse norm, specifiek ontwikkeld voor informatiebeveiliging binnen de Nederlandse zorgsector. NEN 7510 zorgt ervoor dat medische en persoonlijk gegevens op een veilige manier worden verwerkt, opgeslagen en gedeeld. De norm is gebaseerd op de code voor informatiebeveiliging en daarmee sterk lijkend op de ISO 27001 norm. Wanneer je als organisatie NEN 7510 wilt behalen dan dien je aan te tonen dat je voldoet aan de normeisen. Dit doe je door, net als bij ISO 27001, een Information Security Managementsysteem (ISMS) op te tuigen.

NEN 7510 biedt alle type zorgaanbieders (verpleeghuizen, ziekenhuizen, GGZ-instellingen, fysiotherapeuten ed.) die werkzaam zijn binnen de gezondheidszorg een leidraad voor het formuleren, vastleggen en controleren van de interne informatiebeveiliging. Zorgverleners dienen de juiste IT-beveiligingsprotocollen door te voeren en kritisch te kijken naar de gegevensverzameling en de noodzaak daarvan. Datzelfde kan geëist worden van toeleveranciers (leveranciers van software en andere dienstverleners die met patiëntgegevens werken of daar toegang toe hebben).

Is NEN 7510 verplicht? Ja en nee. NEN 7510 is geen norm die wettelijk verplicht is in Nederland, maar deze verplichting wordt indirect wel afgedwongen via andere wet- en regelgeving. Hoe zit dat?

Vanuit de Algemene Verordening Gegevensbescherming (AVG) is het een verplichting dat organisaties technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Voor de zorgsector moet er dus actie ondernomen worden op het beschermen van medische gezondheidsgegevens, die als gevoelig, worden aangemerkt. NEN 7510 is hier een handig hulpmiddel voor.

De Nederlandse zorgsector heeft NEN 7510 als verplichte norm opgenomen in afspraken en contracten tussen zorgverleners en verzekeraars. Zorginstellingen, ziekenhuizen, huisartsen, apotheken etc. die medische gegevens verwerken zijn namelijk verplicht om een hoog niveau van informatiebeveiliging te hanteren.

Per 2023 is NEN 7510 verplicht voor ziekenhuizen. Aanleiding voor die verplichting was, dat uit onderzoek van Inspectie Gezondheidszorg en Jeugd (IGJ) bleek dat ziekenhuizen te weinig deden aan het voorkomen van ICT-storingen. Ziekenhuizen zijn daarentegen een groot doelwit voor cybercriminaliteit, waarbij ransomware een veelvoorkomend incident is. Bewustzijn en gedrag van medewerkers speelt daarin een minstens zo belangrijke rol als de techniek.

Naast bovengenoemde verplichtingen kan NEN 7510 ook als eis in een contract opgenomen worden of als eis opgelegd worden door een opdrachtgever. Zo eisen bijvoorbeeld zorgverzekeraars, ketenpartners of brancheorganisaties dit met regelmaat van zorgaanbieders of bijvoorbeeld IT-leveranciers die medische data verwerken.

Doordat er in de gezondheidssector veel gevoelige gegevens worden verwerkt heeft NEN 7510 voor zorginstellingen een verplichtend karakter. Met het toenemende belang van informatiebeveiliging stijgt ook de vraag naar certificeringen. Daarmee toon je immers aan dat je risico’s goed in kaart zijn gebracht, dat er passende beheersmaatregelen zijn getroffen en dat er continu wordt verbeterd. Verder is het natuurlijk zo dat met de komst van de AVG-wet de regels rondom medische gegevens strenger zijn geworden. Medische gegevens gelden als bijzondere persoonsgegevens en genieten daardoor extra bescherming.

Maar voor wie geldt dat verplichtende karakter c.q. voor wie is NEN 7510 verplicht? Zorgverleners zijn in het kader van de verwerking van het Burgerservicenummer al verplicht om aan NEN 7510 te voldoen. Ook zijn er binnen de zorgbranche diverse partijen die NEN 7510 eisen als aansluitvoorwaarde. Dat betekent dat de NEN 7510 certificering niet enkel relevant is voor zorgverlenende instanties, maar ook voor toeleveranciers zoals:

NEN 7510 is van toepassing wanneer informatiebeveiliging betrekking heeft op gezondheidsinformatie binnen de organisatie zelf, via een interface naar een zorginstelling danwel door uitbesteding van bepaalde processen. Je ziet dan ook dat er van toeleveranciers aan de zorgsector steeds vaker wordt verlangd dat zij het NEN 7510 certificaat behalen.

Met een NEN 7510 toon je als organisatie patiënten/cliënten, leveranciers, zorgverzekeraars, ketenpartners en andere belanghebbende partijen aan dat je zorgvuldig en vertrouwelijk omgaat met privacygevoelige gegevens en de juiste beheersmaatregelen hebt getroffen. Wil je als zorginstelling of toeleverancier aan de zorgsector aan de slag met het behalen van NEN 7510? Neem dan gerust contact met ons op. Onze adviseurs helpen je graag verder.