Wat is NEN 7510, en is het verplicht?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging van persoonlijke gezondheidsinformatie. Je leest erin hoe je medische gegevens van een persoon goed beveiligt.
Voor leveranciers is NEN 7510 niet verplicht. Maar zorgorganisaties eisen het steeds vaker van softwareleveranciers die voor de zorg werken, omdat ze zelf een verplichting hebben.
Waarom is er een aparte norm voor gezondheidsinformatie?
Eigenlijk heeft iedere organisatie vanuit de AVG de verplichting om persoonsgegevens te beveiligen. Maar persoonlijke gezondheidsinformatie valt onder de bijzondere persoonsgegevens. Daarom weegt het zwaarder dat er goed over wordt nagedacht, en dat die informatie op een goede manier wordt beveiligd. NEN 7510 geeft daar specifiek duiding bij.
Voor wie is NEN 7510 verplicht?
Zorgorganisaties hebben zelf een verplichting om persoonlijke gezondheidsinformatie volgens NEN 7510 te beveiligen. Voor hun leveranciers is NEN 7510 niet verplicht.
Toch zie je dat zorgorganisaties het steeds vaker eisen van softwareleveranciers die software voor de zorg maken.
Waarom kiezen leveranciers aan de zorg voor NEN 7510?
Omdat ze voor zorgorganisaties werken. Ook als ze geen medische gegevens verwerken, zijn ze vaak snel geneigd NEN 7510 te behalen. Het is een soort veiligheidsprincipe: zorgorganisaties kunnen bepaalde velden toch vullen met medische gegevens, ook al zijn die daar niet voor bedoeld.
En omdat het in de zorgmarkt zo vaak wordt gevraagd, is het makkelijker om de certificering te behalen en daarmee de discussie te beëindigen. Dan hoef je niet steeds met een klant in discussie dat het voor jou niet van toepassing is, omdat je geen systemen voor persoonlijke gezondheidsinformatie maakt.
Waarin verschilt NEN 7510 van ISO 27001?
NEN 7510 heeft wat meer maatregelen dan ISO 27001, en sommige maatregelen stellen aanvullende eisen aan hoe je met persoonlijke gezondheidsinformatie omgaat.
Een voorbeeld: bij ISO 27001 inventariseer je je informatie, in welke systemen, hardware en software die zich bevindt, en alles waar informatie doorheen gaat. Bij NEN 7510 is daarnaast specifiek benoemd dat je ook de informatiestromen en koppelingen in beeld moet hebben.
Een ander voorbeeld: persoonlijke gezondheidsinformatie moet bij NEN 7510 altijd met tweefactorauthenticatie worden beschermd. ISO 27001 stelt daar geen eis aan, al is het wel heel gebruikelijk om het toe te passen bij vertrouwelijke informatie. Wat ISO 27001 zelf is, lees je bij wat is ISO 27001.
Is NEN 7510 veel meer werk dan ISO 27001?
Nee, dat valt wel mee. Dat is het grootste misverstand over NEN 7510. De basis is hetzelfde als bij ISO 27001. Er komen wat maatregelen bij, en sommige maatregelen stellen aanvullende eisen aan hoe je met persoonlijke gezondheidsinformatie omgaat. Doe je ze samen, dan bouw je één systeem voor allebei.
Wat kost NEN 7510 bij Pisotive?
Bij 1 tot 25 medewerkers kost NEN 7510 bij Pisotive met samen doen € 7.600 – € 10.540, inclusief de nulmeting. Dat is hetzelfde als ISO 27001. Meer over de aanpak lees je bij NEN 7510-certificering.
Pisotive kent de weg in het doolhof van ISO 27001 en NEN 7510. Ze brachten structuur, hielpen ons met de tooling die erbij hoort en stelden de kritische vragen.
Veelgestelde vragen
Is NEN 7510 verplicht voor softwareleveranciers in de zorg?
Nee. Maar zorgorganisaties eisen het steeds vaker, omdat ze zelf verplicht zijn persoonlijke gezondheidsinformatie goed te beveiligen.
Heb je NEN 7510 nodig als je geen medische gegevens verwerkt?
Niet per se. Toch kiezen veel leveranciers aan de zorg ervoor, omdat klanten velden soms toch met medische gegevens vullen, en omdat het veel discussie scheelt.
Is tweefactorauthenticatie verplicht bij NEN 7510?
Ja, voor persoonlijke gezondheidsinformatie. ISO 27001 stelt die eis niet, al is het bij vertrouwelijke informatie wel gebruikelijk.
Wat zijn bijzondere persoonsgegevens?
Persoonsgegevens die volgens de AVG extra bescherming nodig hebben. Gezondheidsgegevens horen daarbij.
Kun je NEN 7510 en ISO 27001 samen behalen?
Ja. Je bouwt één systeem voor allebei. Bij 1 tot 25 medewerkers kost dat bij Pisotive met samen doen € 8.560 – € 11.920, inclusief de nulmeting.