Veilige zorg met de patiënt centraal, niet de papierwinkel.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is gebaseerd op ISO 27001 en voegt eisen toe voor patiënt- en cliëntgegevens, zoals strikt beheer van wie welk dossier mag inzien en de directe beschikbaarheid van informatie voor de zorg. Zorgaanbieders zijn wettelijk verplicht om aan NEN 7510 te voldoen. ISO 27001 is vrijwillig, internationaal en geschikt voor elke sector. Omdat de normen grotendeels overlappen, combineer je ze eenvoudig in één managementsysteem en laat je ze vaak in één audit toetsen.

Ben je zorgaanbieder en werk je elektronisch met patiënt- of cliëntgegevens? Dan ben je wettelijk verplicht om aan NEN 7510 te voldoen, aangevuld met NEN 7512 voor veilige gegevensuitwisseling en NEN 7513 voor logging van dossierinzage. Dat geldt voor bijna elke zorgorganisatie, van ziekenhuis en verpleeghuis tot huisarts, fysiotherapeut en ggz-instelling. Je moet aan de norm voldoen, maar certificeren is niet verplicht. Toch kiezen veel organisaties ervoor, omdat een certificaat de duidelijkste manier is om het aan te tonen. Ben je leverancier van zorgorganisaties, bijvoorbeeld van software of hosting? Dan geldt de wettelijke plicht niet direct voor jou. Wel vragen je klanten steeds vaker om een NEN 7510-certificaat.

Een beetje, maar we houden het zo beperkt mogelijk. We spreken zorgverleners in korte gesprekken of lopen een dienst mee. Uitleg en bewustwording nemen we mee in bestaand teamoverleg. Per team kan één aandachtsvelder meedenken en de kennis delen met collega's. Trainingen zijn kort en gaan over herkenbare situaties, zoals een onbeheerde werkplek of het delen van gegevens via een privételefoon. We plannen rond roosters, vakanties en het griepseizoen. Goede beveiliging kan het werk zelfs makkelijker maken, bijvoorbeeld door sneller in te loggen met een pas of door een veilige app in plaats van onveilige omwegen. We testen maatregelen samen met zorgverleners voordat ze worden ingevoerd. Hun kennis van de praktijk is onmisbaar, maar het traject moet de zorg ondersteunen in plaats van hinderen.

Gemiddeld zes tot negen maanden, van de nulmeting tot de certificeringsaudit. Voor grotere zorgorganisaties met meerdere locaties en veel systemen kan het een tot anderhalf jaar duren. De doorlooptijd hangt vooral af van je omvang en van wat er al op orde is, zoals logging of een ISO 27001-certificaat. Ook de tijd die zorgverleners kunnen vrijmaken telt mee. Daarnaast speelt mee hoe snel je EPD- of ECD-leverancier technische aanpassingen doorvoert. We plannen bewust rond drukke periodes zoals de zomervakantie en het griepseizoen. Zo blijft het traject haalbaar zonder dat het ten koste gaat van de zorg. Heb je al ISO 27001? Dan gaat het meestal een stuk sneller.

Ja. Veel zorgorganisaties hebben een security officer nodig, maar niet fulltime. Wij vullen die rol in als externe security officer, voor een vast aantal dagen per week of maand. Je security officer houdt je informatiebeveiliging volgens NEN 7510 actueel en adviseert de directie over risico's. Hij controleert de logging van dossierinzage en bewaakt het toegangsbeheer. Bij incidenten en datalekken is hij het aanspreekpunt, in samenwerking met je privacy officer of FG. Ook zorgt hij dat zorgverleners en ondersteunende diensten weten wat er van hen wordt verwacht. De directie blijft eindverantwoordelijk. Wij nemen het werk uit handen en zorgen dat je organisatie aantoonbaar in control blijft. Vervullen we bij jou de rol van security officer? Dan voeren we geen audits uit op hetzelfde systeem. Zo blijft de toetsing onafhankelijk.