Wat betekent NEN 7510?

NEN 7510 is een Nederlandse informatiebeveiligingsstandaard voor medische instellingen zoals ziekenhuizen, huisartspraktijken en tandartspraktijken. NEN 7510 geeft regels zodat alle gevoelige patiëntinformatie veilig wordt opgeslagen en verwerkt, ook tussen zorgverleners.

Wat betekent NEN 751x?

Aanvullend op de algemene NEN 7510 norm voor informatiebeveiliging in zorginstellingen, telt deze normenreeks nog specifieke andere standaarden. Voorbeelden zijn NEN 7512 (elektronische gegevensverwerking) en NEN 7513 (loggen van activiteiten). De serie als geheel wordt soms aangeduid met NEN 751x.

Wat is het verschil tussen ISO 27001 en NEN 7510?

ISO 27001 is een algemene, veelgebruikte en internationale standaard voor het opzetten van een beheersysteem voor informatiebeveiliging. NEN 7510 gebruikt dezelfde opzet, maar kan worden gebruikt om een informatiebeveiligingsbeheer systeem op te zetten binnen de gezondheidszorg. NEN 7510 is op hoofdlijnen dus vergelijkbaar met ISO 27001, maar met specifiekere eisen rondom medische systemen en gegevens.

Is NEN 7510 certificering verplicht?

De certificering is niet verplicht, maar zorginstellingen zijn wel verplicht om aan te tonen dat hun informatiebeveiliging voldoet aan de NEN 7510 norm. Een structurele en transparante manier om dat te doen is via certificering. Zowel de Inspectie voor Gezondheidszorg (IGZ), patiënten, zorgverzekeraars en partners weten dan in één oogopslag dat men voldoet aan alle eisen.

Wat is NEN 7510-1+A1?

NEN 7510 bestaat uit twee delen, NEN 7510-1 en NEN 7510-2. NEN 7510-1 bevat bovendien als bijlage een tabel (A1) met beheersmaatregelen. De hoofdtekst van NEN 7510-1 en die tabel A1 vormen het normatieve deel van NEN 7510 waartegen je je kunt certificeren. NEN 7510-2 is meer informatief. Daarom verwijst men soms specifiek naar NEN 7510-1+A1.

NEN 7510

Wat is NEN 7510?

NEN 7510 is een Nederlandse norm voor informatiebeveiliging binnen de gezondheidszorg. De norm is gebaseerd op de internationale ISO/IEC 27001 standaard voor informatiebeveiliging maar is aangepast en uitgebreid om de beveiligingseisen zo goed mogelijk aan te sluiten op de gezondheidszorgsector in Nederland.

Is NEN 7510 verplicht?

Medische gegevens vallen binnen de AVG onder de noemer ‘bijzondere persoonsgegevens’ die extra goed moeten worden beschermd. NEN 7510:2024 (de actuele versie van de richtlijn) is van toepassing voor iedereen die deze gegevens verwerkt, ongeacht de aard en de omvang van de organisatie. Die verplichting gaat dus verder dan alleen zorginstellingen.

Hieronder zie je verschillende typen organisaties die moeten voldoen aan NEN 7510:

Zorgaanbieders en zorginstellingen die zorg verlenen en daarbij patiënt- of cliëntgegevens verwerken. Voorbeelden zijn ziekenhuizen, huisartsenpraktijken, apotheken, GGZ-instellingen, fysiotherapeuten, tandartsen, thuiszorgorganisaties, verzorgings- en verpleeghuizen.
Zorggerelateerde organisaties die ten behoeve van hun dienstverlening persoonlijke gezondheidsinformatie verwerken. Voorbeelden zijn medische laboratoria, onderzoeksorganisaties, gespecialiseerde vervoerders, speciale scholen en kinderopvangorganisaties.
ICT- en softwareleveranciers die namens zorgorganisaties persoonlijke gezondheidsinformatie verwerken. Voorbeelden zijn EPD/ECD-dienstverleners, maar ook zorgnetwerken en dienstverleners voor gegevensuitwisseling.
Dienstverleners voor zorgorganisaties die medische gegevens verwerken, zoals administratie- en declaratiebureaus, externe patiëntadministraties en mailingdiensten.
Zorgverzekeraars en verzekeringsorganisaties die gezondheidsinformatie verwerken ten behoeve van declaratie, acceptatie of beoordeling. Voorbeelden zijn zorgverzekeraars en levensverzekeraars.
Overheidsorganisaties waar gezondheidsinformatie wordt verwerkt. GGD’s bijvoorbeeld, maar ook gemeenten die medische persoonsgegevens verwerken in het kader van de Wet maatschappelijke ondersteuning (Wmo).

Soms wordt onderscheid gemaakt tussen cluster Z (Zorginstellingen) en cluster B (Beheerders van persoonlijke gezondheidsinformatie, anders dan zorginstellingen). Dat onderscheid is met name relevant voor certificerende instellingen, want men heeft per cluster een afzonderlijke accreditatie nodig.

Overigens is certificatie voor NEN 7510 niet wettelijk verplicht. Wel is het voor organisaties vaak de meest transparante en professionele manier om aan te tonen dat men voldoet aan NEN 7510. Ook kan een zorgorganisatie bijvoorbeeld leveranciers of partners contractueel verplichten om NEN 7510 gecertificeerd te zijn.

Waarom is de NEN 7510 belangrijk?

Zoals aangegeven is de NEN 7510 gebaseerd op de ISO/IEC 27001-standaard. ISO 27001 helpt organisaties bij het opzetten van een managementsysteem voor informatiebeveiliging, inclusief de noodzakelijke beheersmaatregelen. Zo’n systeem noemen we ook wel een Information Security Management System (ISMS), en met de steeds verdergaande digitalisering is deze informatiebeveiliging steeds belangrijker.

Omdat in veel organisaties persoonlijke gezondheidsinformatie wordt verwerkt en de beveiliging van deze bijzondere persoonsgegevens extra kritisch is, is hiervoor een aparte norm opgesteld. NEN 7510 vult de generieke ISO 27001 richtlijnen aan met eisen die specifiek zijn bedoeld voor de verwerking van zulke medische gegevens. Met zulke zorgspecifieke beheersmaatregelen kunnen we een zorgvuldige omgang met patiëntgegevens garanderen. NEN 7510 geeft richtlijnen voor een veilige toegang tot die gegevens, veilige uitwisseling tussen zorgverleners en een goede logging van alle dataverwerkingen.

Een voorbeeld van zo’n zorgspecifieke beheersmaatregel: In ISO 27001 vind je een algemene maatregel die beschrijft dat opslagmedia gedurende hun volledige lifecycle moeten worden beheerd. NEN 7510 vult deze maatregel aan met een specifieke eis dat alle persoonlijke gezondheidszorginformatie die op verwijderbare media wordt opgeslagen, altijd versleuteld moet worden.

Informatiebeveiligingsbeheer en beheersmaatregelen

Met NEN 7510 kun je je informatiebeveiliging op twee niveaus implementeren:

Organisatie en processen rondom informatiebeveiliging: Risicomanagement staat bij je informatiebeveiliging centraal. Aan de hand van een beveiligingsrisico analyse bepaal je welke risico’s in een organisatie van toepassing zijn. Vervolgens bepaal je welke risico’s ook echt moeten worden opgelost en welke restrisico’s acceptabel zijn. Ook moet je een zogeheten Plan-Do-Check-Act cyclus (PDCA) opzetten om de risicoanalyse regelmatig te beoordelen en te kijken of nieuwe of aangepaste beheersmaatregelen nodig zijn.
Gedetailleerde beheersmaatregelen: In de actuele NEN 7510 vind je een lijst met zo’n 93 beheersmaatregelen (in het Engels ‘controls’). Deze omvatten organisatorische, mensgerichte, fysieke en technologische beheersmaatregelen. Iedere organisatie moet aan de hand van de eigen risicoanalyse bepalen welke beheersmaatregelen moeten worden geïmplementeerd om de beveiligingsrisico’s goed te mitigeren en zo te voldoen aan de standaard.

NEN 7510-1 en NEN 7510-2

Tot nu toe hebben we het over de NEN 7510 standaard maar feitelijk bestaat de standaard uit twee delen, NEN 7510-1 en NEN 7510-2:

NEN 7510-1 geeft de daadwerkelijke norm waaraan je als zorginstelling compliant moet zijn en gecertificeerd kan worden. De hoofdtekst van NEN 7510-1 beschrijft alle organisatorische en procesmatige zaken rondom je informatiebeveiliging. Daarnaast is er een bijlage A met een tabel met alle beschikbare beheersmaatregelen waar je – afhankelijk van de aanwezige risico’s – gebruik van moet maken.
In NEN 7510-2 vind je dezelfde maatregelen als in bijlage A van NEN 7510-1, maar NEN 7510-2 geeft per maatregel extra gedetailleerde informatie over hoe je die maatregel kunt implementeren. NEN 7510-1 beschrijft dus wat er moet gebeuren, NEN 7510-2 helpt je hoe je dat kan doen.

Ook hierin is de opzet van NEN 7510 en ISO 27001 vergelijkbaar. ISO 27001 geeft de norm waarvoor je je kunt certificeren, inclusief een tabel met beheersmaatregelen. ISO 27002 geeft de bijbehorende verdiepingsstof.

Certificering en hoe voldoe je aan NEN 7510?

Hoe kun je je als organisatie voorbereiden op je NEN 7510 verplichtingen en een eventuele NEN 7510 certificatie?

Een NEN 7510 stappenplan kan er als volgt uitzien:

Initiatiefase: Je begint met je NEN 7510 download, en bouwt kennis op van de standaard en de huidige status van de informatiebeveiliging. Informeer en betrek ook het management en stakeholders. Stel een informatiebeveiligingsbeleid op met daarin onder andere de scope, ambities, rollen en verantwoordelijkheden, en laat dit goedkeuren door het management. Zet de organisatorische kaders op voor de vervolgstappen, zorg voor de funding (inclusief de eventuele NEN 7510 certificering kosten) en de bemensing van je ISMS-project.
NEN 7510 risicoanalyse: Bepaal een methode om risico’s te inventariseren en te beoordelen. Aan de hand hiervan ga je structureel alle beveiligingsrisico’s identificeren, analyseren en beoordelen. Vervolgens bepaal je welke relevant zijn en opgelost moeten worden en welke acceptabel zijn als restrisico.
NEN 7510 actieplan: Maak aan de hand van de risicoanalyse een plan voor de implementatie van de vereiste beheersmaatregelen en aanpassingen. Welke specifieke beheersmaatregelen in jouw organisatie van toepassing zijn, leg je vast in een ‘Verklaring van toepasselijkheid NEN 7510’ die ook kan worden gebruikt bij NEN 7510 certificatie. Bij de implementatie van beheersmaatregelen gaat het niet alleen om software- en procesaanpassingen, maar ook om documentatie, training en bewustwording van medewerkers.
Implementeer de beveiligingsmaatregelen: Dit is de uitvoering van het NEN 7510 implementatieplan dat je hiervoor hebt opgesteld. Je implementeert alle vereiste technische, organisatorische en procedurele maatregelen. Zo bescherm je patiëntgegevens en zorg je voor toegangscontrole, encryptie, incidentresponse plannen, bewuste medewerkers etc.
Interne Audits: Plan interne NEN 7510 audits om het effect van de geïmplementeerde maatregelen te beoordelen en zo nodig zaken aan te passen. Volg hiervoor een gestructureerde audit-aanpak om de betrokken medewerkers goed voor te bereiden op de uiteindelijke externe audit voor de certificering.
NEN 7510 certificatie: Zoals aangegeven is certificatie niet wettelijk verplicht, maar wel erg handig om je compliance aan te tonen. Ook kan certificatie een verplicht onderdeel zijn van een contract tussen twee partijen. Voor deze certificatie moet je drie stappen toevoegen aan je implementatieplan:
- Voorbereiding NEN 7510 certificering: Selecteer tijdig een geaccrediteerde certificeringsinstantie en zorg voor goede afspraken zodat je weet waarop je voorbereid moet zijn. Zorg dat alle documentatie beschikbaar is en dat alle processen en procedures operationeel zijn. Brief de mogelijk geïnterviewde managers en medewerkers.
- Externe Audit: Plan met de door jou geselecteerde geaccrediteerde certificeringsinstantie de externe audit in. Bij deze audit zal de certificeringsinstantie beoordelen of jouw organisatie voldoet aan de vereisten van NEN 7510. Zo’n audit is veelal een combinatie van het beoordelen van de documentatie en interviews met verantwoordelijke managers en uitvoerende medewerkers.
- Correctieve maatregel en NEN 7510 certificaat: Op basis van de externe audit zijn soms nog correctieve maatregelen nodig. Zodra die gemaakt zijn en afgestemd met de certificerende partij, kan normaliter het NEN 7510-certificaat worden uitgereikt inclusief de ‘Verklaring van toepasselijkheid NEN 7510’.
Onderhoud en continue verbetering: Als onderdeel van je NEN 7510 ISMS heb je ook een PDCA-cyclus (Plan-Do-Check-Act) geïmplementeerd. Zo zorg je voor voortdurende monitoring, evaluatie en verbetering van het ISMS en blijf je dus voldoen aan de NEN 7510 norm.

NEN 7510 en toegangsbeheer

NEN 7510 vult ISO 27001 aan met maatregelen om zorgorganisaties veilig te laten omgaan met medische informatie en patiëntgegevens. Het toegangsbeheer tot de digitale systemen is daarbij natuurlijk een essentieel onderdeel.

Dat gaat overigens veel verder dan technische access methodes zoals Multi-Factor Authenticatie. Met vaak duizenden medewerkers zijn ook geavanceerde methodes nodig om te zorgen dat iedereen op ieder moment exact de juiste rechten heeft, en de uitgifte ervan altijd traceerbaar is. Ook moet je dat toegangsbeheer voortdurend kunnen evalueren en verbeteren. Hoe een IAM-platform daarbij kan helpen, schetsen we hieronder aan de hand van het HelloID-platform.

Provisioning van gebruiksaccounts en -rechten

Groepsaccounts zijn in de zorg ongewenst, accounts en toegangsrechten moeten individueel en volgens duidelijke beleidsregels worden verstrekt, op basis van iemands rol binnen de organisatie. HelloID automatiseert dit met behulp van user provisioning. Het platform gebruikt actuele gebruikersattributen (zoals iemands functie, afdeling en diploma’s) om daarmee te bepalen welke IT-faciliteiten de betreffende gebruiker nodig heeft. Dit mechanisme wordt ook wel Attribute Based Access Control (ABAC) genoemd.

Wijzigt gedurende het dienstverband bijvoorbeeld iemands functie, of verhuist iemand naar een andere afdeling, dan past het platform de rechten automatisch aan. En bij vertrek van een medewerker worden tijdig de accounts geblokkeerd om datalekken te voorkomen. Het IAM-platform automatiseert zo de volledige identity lifecycle van gebruikers.

Grip op individuele rechten

We automatiseren het rechtenbeheer zoveel mogelijk met deze user provisioning, maar tegelijkertijd is zo’n mechanisme natuurlijk nooit volledig sluitend. Er zijn altijd individuele uitzonderingen, bijvoorbeeld omdat iemand naast de reguliere taken ook rechten nodig heeft voor een tijdelijk project waaraan hij of zij is toegewezen.

Ook zulke uitzonderingen moeten goed worden beheerd. Door de benodigde serviceprocessen zoveel mogelijk te centraliseren en te automatiseren via je IAM-platform, zorg je dat bij iedere individuele uitzondering de juiste manager de aanvraag beoordeelt en goedkeurt. Ook worden alle wijzigingen automatisch goed geregistreerd, en kunnen rechten zoveel mogelijk voor een afgebakende periode worden verstrekt.

Governance

Bij zorginstellingen worden gevoelige persoonsgegevens verwerkt en dat maakt de governance rondom je identiteits- en toegangsbeheer extra belangrijk. Niet alleen alle toegangspogingen en gebruikerssessies moeten worden gemonitord, ook alle beheerhandelingen moeten worden vastgelegd, vanaf het creëren en het inschakelen van accounts tot en met het uitschakelen en verwijderen ervan. Hetzelfde geldt voor het toekennen en intrekken van permissies.

NEN 7510 verplicht je ook een Plan-Do-Check-Act cyclus te implementeren. Een IAM-platform als HelloID ondersteunt dit met meerdere governance features. Zo kunnen we met behulp van reconciliation periodiek de consistentie tussen het IAM-platform en de aangesloten doelsystemen controleren, en afwijkingen herstellen. Met toxic policy management ondersteunen we de rolscheiding binnen zorgorganisaties. Om individueel verstrekte toegangsrechten planmatig opnieuw te beoordelen, biedt het platform ook recertification functionaliteit.

NEN 7510 checklist voor IAM functies

Bij een aanzienlijk aantal van de NEN 7510 maatregelen speelt Identity en Access Management (IAM) dus een belangrijke rol. Veel beveiligingsprofessionals analyseren dan ook hun bestaande IAM-oplossing op de geschiktheid ervan voor hun NEN 7510 plannen.

Een handig gereedschap daarbij is onze NEN 7510 checklist. Daarin wordt per NEN 7510 beheersmaatregel beschreven óf IAM functionaliteit hiervoor nodig is en hoe een moderne IAM-oplossing de beveiligingseisen zo goed mogelijk kan ondersteunen. We tonen dit in de checklist aan de hand van ons eigen HelloID-platform.

Meer weten over NEN 7510 en Identity Management?

In de whitepaper (NEN 7510 en de rol van Identity Management) vind je een uitgebreide inleiding in deze zorgnorm en gaan we dieper in op de rol van Identity Management in de informatiebeveiliging binnen zorginstellingen.