Wat zijn de eisen van NEN 7510?
NEN 7510 vraagt dat je de risico's voor persoonlijke gezondheidsinformatie in kaart brengt, en die beheerst. Je begint bij je processen en doelen: welke gegevens zijn onmisbaar, waar staan ze, en wat kan ervoor zorgen dat ze uitlekken, verloren gaan of niet meer kloppen?
De beheersmaatregelen zijn grotendeels gelijk aan die van ISO 27001, aangevuld met maatregelen speciaal voor de zorg. Je risico's bepalen welke je invoert, en hoe ver je daarin gaat.
Waarom begint NEN 7510 bij risico's, en niet bij incidenten?
Omdat je een lek van gezondheidsgegevens niet meer terugdraait. Bij kwaliteit kun je een klacht nog goed oplossen, en is een klant daarna vaak tevreden. Zijn medische gegevens eenmaal op straat beland, dan is de schade al gedaan.
NEN 7510 vraagt dus dat je vooruitkijkt. Welke risico's zie je aankomen, en welke kansen? Daar richt je je maatregelen op.
Welke beheersmaatregelen voegt NEN 7510 toe aan ISO 27001?
NEN 7510 kent dezelfde basis van beheersmaatregelen als ISO 27001, met daarbovenop maatregelen die specifiek over gezondheidsinformatie gaan. Je kijkt bijvoorbeeld niet alleen in welke systemen informatie staat, maar ook welke informatiestromen en koppelingen er zijn.
Een mooi voorbeeld is het identificeren van patiënten of cliënten. Je systeem moet het mogelijk maken om de cliënt naar zijn of haar voor- en achternaam en geboortedatum te vragen. Zo weet je zeker dat de informatie die je raadpleegt, ook echt over die persoon gaat.
Moet je alle maatregelen van NEN 7510 invoeren?
Nee. Per maatregel weeg je aan de hand van je risico's of hij voor jou zinvol is. Is dat zo, dan voer je hem in, zo grondig als het risico vraagt. Werk je bijvoorbeeld niet aan eigen software, dan valt de maatregel voor veilig ontwikkelen af.
Wat je toepast, wat je weglaat en waarom, staat in je verklaring van toepasselijkheid.
Hoe pakt Pisotive de risicoanalyse voor NEN 7510 aan?
Volgens het boekje start je met een leeg blad. Wij beginnen liever met een procesanalyse samen met jou. Wat doet je organisatie, welke stappen leiden tot het resultaat, welke gegevens heb je daarbij nodig, en via welke systemen lopen die?
Op basis daarvan passen we een brede set veelvoorkomende risico's aan op jouw situatie. Zo heb je vanaf het begin een vrij volledig beeld. Daarna toetsen we het op gezond verstand: welke risico's zijn hoog, gemiddeld of laag? En wat houdt je soms 's nachts bezig? Dat hoort terug te komen in je risicoregister.
Waar lopen bedrijven bij NEN 7510 het vaakst tegenaan?
Dat verschilt. Bij de ene organisatie kost het vaststellen van beleidsregels veel tijd, vooral als er meerdere afdelingen bij betrokken zijn, of de ondernemingsraad of personeelsvertegenwoordiging moet meekijken.
Bij de andere zitten de technische maatregelen dwars, zeker als je leunt op externe leveranciers. Dan hangt veel af van hun kennis, en wissel je niet zomaar van softwarepakket alleen voor de beveiliging. Dat zorgt nog weleens voor vertraging.
Hoe beoordeel je cloudsoftware voor NEN 7510?
Bij grote SaaS-leveranciers, zoals Microsoft met Microsoft 365, heb je als MKB-bedrijf weinig invloed. Zij passen hun product niet voor jou aan. Daarom houden we de leveranciersbeoordeling kort en gericht.
Je kijkt regelmatig: zijn we nog tevreden, past het nog bij onze eisen, en kunnen we er veilig mee werken? Wensen doorgeven heeft bij zulke partijen weinig zin.
Wat is NEN 7510 precies, en hoe verschilt het van ISO 27001?
Dat lees je bij wat NEN 7510 is. De eisen van ISO 27001 staan bij de eisen van ISO 27001.
Pisotive kent de weg in het doolhof van ISO 27001 en NEN 7510. Ze brachten structuur, hielpen ons met de tooling die erbij hoort en stelden de kritische vragen.
Veelgestelde vragen
Heeft NEN 7510 meer beheersmaatregelen dan ISO 27001?
Ja. NEN 7510 heeft dezelfde basis, aangevuld met maatregelen speciaal voor persoonlijke gezondheidsinformatie.
Waarom moet je bij NEN 7510 cliënten kunnen identificeren?
Zodat je zeker weet dat de informatie die je raadpleegt over de juiste persoon gaat, bijvoorbeeld door naar naam en geboortedatum te vragen.
Mag je maatregelen uitsluiten bij NEN 7510?
Ja, als ze op basis van je risico's niet nodig zijn. Je legt dat met een reden vast in de verklaring van toepasselijkheid.
Moet je bij NEN 7510 je koppelingen tussen systemen in kaart brengen?
Ja. Naast de systemen zelf moeten ook de informatiestromen en koppelingen in beeld zijn.
Vijf vragen over je markt en ambitie. Je ziet de uitkomst direct.