Welke organisaties vallen onder NEN 7510?

NEN 7510 is een Nederlandse norm voor informatiebeveiliging in de zorgsector. De norm is bedoeld voor organisaties die patiëntgegevens verwerken of beheren, en beschrijft hoe zij die gegevens veilig moeten opslaan, delen en beschermen. In dit artikel beantwoorden we de meest gestelde vragen over welke organisaties onder NEN 7510 vallen en hoe je bepaalt of de norm op jouw organisatie van toepassing is.

Voor welke sectoren is NEN 7510 bedoeld?

NEN 7510 is specifiek bedoeld voor de Nederlandse zorgsector. De norm richt zich op alle organisaties die patiëntgegevens verwerken, ongeacht hun omvang of type. Denk aan ziekenhuizen, huisartsenpraktijken, apotheken, ggz-instellingen, tandartspraktijken en verpleeghuizen. Kortom: elke zorgaanbieder die werkt met medische of persoonlijke gezondheidsdata.

De norm is ontwikkeld als sectorspecifieke uitwerking van informatiebeveiliging voor de zorg. Waar andere normen, zoals ISO 27001, breed toepasbaar zijn voor allerlei sectoren, gaat NEN 7510 specifiek in op de gevoeligheid van medische gegevens en de bijzondere verantwoordelijkheden die daarmee samenhangen.

Naast directe zorgaanbieders vallen ook organisaties die ondersteunende diensten leveren aan de zorg onder de reikwijdte van NEN 7510, zolang zij toegang hebben tot patiëntdata of deze verwerken. De norm is daarmee breder dan alleen de klassieke zorginstelling.

Is NEN 7510 verplicht of vrijwillig?

NEN 7510 is in principe een vrijwillige norm, maar in de praktijk is certificering voor veel zorgorganisaties feitelijk verplicht. Zorgverzekeraars, opdrachtgevers en overheidsinstanties stellen NEN 7510-certificering steeds vaker als harde voorwaarde bij aanbestedingen en contracten. Bovendien verplicht de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) zorgaanbieders tot passende beveiliging van patiëntgegevens, waarvoor NEN 7510 de erkende standaard is.

Voor specifieke sectoren, zoals ziekenhuizen die zijn aangesloten bij bepaalde netwerken of systemen, geldt de norm in de praktijk als een harde eis. De Nederlandse Zorgautoriteit (NZa) en andere toezichthouders beschouwen NEN 7510 als de maatstaf voor aantoonbaar verantwoord omgaan met patiëntdata.

De conclusie is dan ook: ook al staat de verplichting niet altijd expliciet in de wet, in de dagelijkse praktijk van de zorg is NEN 7510-certificering voor de meeste organisaties onmisbaar om te kunnen opereren en samenwerken.

Wat is het verschil tussen NEN 7510 en ISO 27001?

Het belangrijkste verschil is de doelgroep en de diepgang. ISO 27001 is een internationale norm voor informatiebeveiliging die van toepassing is op elke sector. NEN 7510 is de Nederlandse vertaling en uitbreiding van ISO 27001, specifiek toegespitst op de zorgsector. NEN 7510 bevat aanvullende eisen die gericht zijn op de bescherming van medische gegevens en de specifieke risico’s binnen zorgprocessen.

Praktisch gezien bouwt NEN 7510 voort op de structuur van ISO 27001, maar voegt zorgspecifieke beheersmaatregelen toe. Denk aan regels rondom toegangsbeheer voor elektronische patiëntendossiers, het omgaan met medische apparatuur die verbonden is met netwerken, en de vereisten rondom geheimhoudingsplicht en beroepsgeheim.

Een organisatie die al ISO 27001-gecertificeerd is, heeft een stevige basis om door te groeien naar NEN 7510. De overlap is groot, maar voor zorgorganisaties volstaat ISO 27001 alleen niet. NEN 7510 is de norm die de zorg specifiek erkent als standaard voor informatiebeveiliging.

Welke verwerkers van patiëntdata vallen ook onder NEN 7510?

Niet alleen zorgaanbieders zelf, maar ook hun leveranciers en verwerkers vallen onder NEN 7510 wanneer zij toegang hebben tot patiëntgegevens. Denk aan ICT-leveranciers die zorgsoftware leveren of beheren, hostingpartijen die patiëntdata opslaan, laboratoria die uitslagen verwerken, en administratiekantoren die declaraties verwerken voor zorgaanbieders.

Dit principe vloeit voort uit de AVG, die stelt dat een verwerkingsverantwoordelijke (de zorgaanbieder) passende waarborgen moet eisen van zijn verwerkers. In de zorg betekent dit concreet dat leveranciers en ketenpartners moeten kunnen aantonen dat zij patiëntdata op een NEN 7510-conforme manier beveiligen.

De norm maakt daarmee een keten van verantwoordelijkheid zichtbaar. Een ziekenhuis dat zijn EPD laat hosten bij een externe partij, is verantwoordelijk voor het controleren of die partij aan NEN 7510 voldoet. Leveranciers die in meerdere zorginstellingen actief zijn, kiezen dan ook steeds vaker voor een eigen NEN 7510-certificering om dit aantoonbaar te maken.

Hoe weet je of jouw organisatie NEN 7510-plichtig is?

Je organisatie valt onder NEN 7510 als je patiëntgegevens verwerkt of beheert in de context van zorgverlening. De kernvraag is: heeft jouw organisatie toegang tot medische of persoonlijke gezondheidsdata van patiënten? Als het antwoord ja is, dan is NEN 7510 relevant voor jou, ongeacht of je een directe zorgaanbieder bent of een ondersteunende partij in de zorgketen.

Een praktische checklist om dit te beoordelen:

• Verwerk je elektronische patiëntendossiers of medische dossiers?
• Bied je software, hosting of ICT-diensten aan zorginstellingen die patiëntdata bevatten?
• Verwerk je declaratiegegevens of andere administratieve gegevens met gezondheidsinhoud?
• Heb je als laboratorium, apotheek of diagnostisch centrum toegang tot patiëntinformatie?
• Eisen jouw opdrachtgevers of zorgverzekeraars NEN 7510-certificering als contractvoorwaarde?

Als je één of meer van deze vragen met ja beantwoordt, is het verstandig om serieus te kijken naar NEN 7510-certificering. Twijfel je? Dan is een onafhankelijke beoordeling van jouw situatie de beste eerste stap.

Hoe Diks Process Support helpt met NEN 7510

Wij begeleiden zorgorganisaties en hun leveranciers van begin tot eind bij het behalen van NEN 7510-certificering. Dat doen we niet door stapels documentatie op je af te sturen, maar door samen met jou te werken aan een aanpak die past bij jouw organisatie en jouw processen.

Wat wij concreet voor je doen:

• Nulmeting en gap-analyse: we brengen in kaart waar jouw organisatie nu staat ten opzichte van de NEN 7510-eisen.
• Implementatiebegeleiding: we helpen bij het opzetten van beleid, procedures en technische maatregelen die aansluiten op de norm.
• Interne audits: we toetsen of de implementatie klopt voordat de externe certificeringsaudit plaatsvindt.
• Certificeringstraject: we begeleiden je door het volledige traject richting een erkend certificaat.
• Combinatietrajecten: voor organisaties die ook werken met ISO 27001 of andere normen bieden we gecombineerde trajecten aan die efficiënt en kostenbesparend zijn.

Wil je weten of NEN 7510-certificering voor jouw organisatie noodzakelijk is en hoe een traject eruitziet? Neem contact met ons op voor een vrijblijvend gesprek.

Gerelateerde artikelen

• Hoe beveilig ik patiëntdata bij thuiswerken?
• Hoe vaak moet je ISO 9001 certificering vernieuwen?
• Wat doe je als je steeds dezelfde fouten ziet terugkomen?
• Hoe zorg je dat veiligheidsgedrag beklijft na SCL certificering?
• Hoe vind ik een interim HSE manager met ervaring in mijn branche?
• Wat zijn ISO 27001 controls?
• Welke risico's moet je beoordelen voor ISO 27001?
• Hoe optimaliseer je ISO 27001-processen?
• Kan ik de kosten van een interim expert declareren?
• Verhoogt ISO 27001 het klantvertrouwen?