Twee delen, afgestemd op ISO 27001
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. In december 2024 is een nieuwe versie verschenen die de versie uit 2017 vervangt. De norm bestaat uit twee delen. Deel 1 bevat de eisen aan het managementsysteem, gelijk aan de hoofdstukken 4 tot en met 10 van ISO 27001. Deel 2 bevat de beheersmaatregelen uit ISO 27002, aangevuld met zorgspecifieke maatregelen en richtlijnen voor implementatie.
De belangrijkste wijziging is dat de norm nu aansluit op de huidige versies van ISO 27001 en ISO 27002 en op de herziening van ISO 27799, de internationale richtlijn voor informatiebeveiliging in de zorg. Ook is de lijst met relevante wet- en regelgeving bijgewerkt.
Acht zorgspecifieke maatregelen
Naast de 93 maatregelen uit ISO 27002 bevat de norm acht maatregelen die specifiek zijn voor de zorg. Ze zijn herkenbaar aan de toevoeging HLT.
- Beveiligingseisen meenemen bij nieuwe of aangepaste informatiesystemen.
- Elke zorgontvanger uniek kunnen identificeren en dubbele registraties kunnen samenvoegen.
- Op schermen en afdrukken altijd kunnen zien op welke zorgontvanger de gegevens betrekking hebben.
- Openbaar beschikbare gezondheidsinformatie gedurende de hele levenscyclus beschermen.
- Noodcommunicatie plannen, testen en onderhouden voor als de ICT uitvalt.
- Informatiebeveiligingsincidenten extern melden volgens wettelijke en contractuele verplichtingen.
- Passende training voor het management over informatiebeveiliging.
- Netwerksegmenten klein houden en toegang tussen segmenten pas toestaan na wederzijdse authenticatie, volgens zero-trustprincipes.
Waarom zorgorganisaties eraan moeten voldoen
Voor zorgaanbieders is NEN 7510 geen vrijblijvende keuze. Het Besluit elektronische gegevensverwerking door zorgaanbieders verwijst dwingend naar de NEN 7510-reeks, samen met NEN 7512 voor vertrouwensbasis bij gegevensuitwisseling en NEN 7513 voor logging. Wie deze normen toepast, mag ervan uitgaan dat passende maatregelen zijn genomen in de zin van de AVG. Daarnaast valt de gezondheidszorg onder de Cyberbeveiligingswet.
Certificering
Organisaties kunnen zich certificeren tegen NEN 7510-1. Het certificatieschema staat onder toezicht van de Raad voor Accreditatie. Bent u al gecertificeerd volgens de vorige versie, bespreek dan met uw certificatie-instelling hoe en wanneer de overgang plaatsvindt.
Ook relevant voor leveranciers
Softwareleveranciers, hostingpartijen en ICT-dienstverleners in de zorg krijgen vaak de vraag om NEN 7510 aan te tonen. Een ISO 27001-certificaat is een goede basis, maar dekt de zorgspecifieke maatregelen niet. Beoordeel welke van de acht maatregelen voor uw dienstverlening relevant zijn, bijvoorbeeld noodcommunicatie, incidentmeldingen en netwerksegmentatie, en neem die op in uw Verklaring van Toepasselijkheid.