Zorgorganisaties verwerken bijzondere persoonsgegevens: de zwaarst beschermde categorie die de AVG kent. NEN 7510 is de norm die beschrijft hoe je die bescherming organiseert. De valkuil is om beide te behandelen als een compliancedossier, terwijl het in de kern gaat over continuïteit van zorg.
Wat NEN 7510 eigenlijk is
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is opgebouwd rond een managementsysteem: je bepaalt welke informatie je beschermt, welke risico's je loopt, welke maatregelen daarbij horen, en je toetst periodiek of het werkt. Hij sluit aan op ISO 27001 en voegt daar de zorgspecifieke context aan toe, zoals de omgang met patiëntgegevens en het medisch beroepsgeheim.
Daarnaast bestaan NEN 7512 over vertrouwensbasis bij gegevensuitwisseling en NEN 7513 over logging van toegang tot patiëntdossiers. Die laatste is in de praktijk belangrijk: hij bepaalt dat je kunt reconstrueren wie wanneer welk dossier heeft ingezien.
De relatie met de AVG
De AVG stelt de juridische eis: passende technische en organisatorische maatregelen. Wat passend is, vult de AVG niet in. NEN 7510 doet dat wel. Voldoen aan de norm is daarmee geen wettelijke plicht op zichzelf, maar het is de meest gangbare manier om aantoonbaar aan de AVG-eis te voldoen.
Twee dingen die in de zorg specifiek zwaarder wegen dan elders:
- Het medisch beroepsgeheim staat naast de AVG en is soms strenger. Toestemming van de patiënt maakt niet alles mogelijk.
- Toegangsbeperking binnen de organisatie. Dat een medewerker in dienst is, betekent niet dat hij elk dossier mag inzien. Autorisatie op basis van behandelrelatie is een terugkerend pijnpunt bij audits.
Waar het misgaat: de leveranciersketen
De meeste zorgorganisaties hebben hun eigen huis redelijk op orde. Het risico verschuift naar de partijen waarmee ze werken: de EPD- of ECD-leverancier, de partij die roosters draait, de hostingpartij, de aanbieder van beeldzorg.
Vier vragen die in elke leverancierselectie thuishoren:
- Is de leverancier zelf gecertificeerd, en waarop precies? Certificering van het moederbedrijf zegt niets over het product dat jij afneemt.
- Wat staat er in de verwerkersovereenkomst over subverwerkers, en waar staan de gegevens fysiek?
- Hoe verloopt logging en toegang tot jouw data door medewerkers van de leverancier, bijvoorbeeld bij support?
- Wat gebeurt er bij beëindiging: krijg je je gegevens terug, in welk formaat, en binnen welke termijn?
Die laatste vraag is de meest verwaarloosde. Een exitregeling die pas ter sprake komt als de relatie al verzuurd is, kost altijd geld en meestal tijd.
Wat er op de bestuurstafel hoort
Informatiebeveiliging wordt vaak gedelegeerd naar ICT, maar de beslissingen die ertoe doen zijn bestuurlijk. Drie daarvan:
Wat is onze ondergrens voor continuïteit?
Als het EPD een dag uitvalt, wat doet de organisatie dan? Een uitwijkprocedure die alleen op papier bestaat, is geen procedure. Dit is geen ICT-vraag maar een zorgvraag.
Wie mag wat zien, en wie controleert dat?
Autorisatiebeheer verwatert altijd: mensen wisselen van functie en houden hun oude rechten. Periodieke herziening moet iemands taak zijn, met een naam erbij.
Hoe herkennen en melden wij een datalek?
De meldtermijn richting de Autoriteit Persoonsgegevens is kort. Dat haal je alleen als medewerkers weten wat een lek is en waar ze het melden, en als er iemand bereikbaar is die de afweging maakt.
Wat eraan komt
Twee ontwikkelingen verdienen aandacht. De Wet elektronische gegevensuitwisseling in de zorg maakt bepaalde uitwisselingen stapsgewijs digitaal verplicht, met bijbehorende normen. En voor zorgorganisaties die onder de Europese NIS2-richtlijn vallen, komen daar aanvullende eisen aan risicobeheer en meldplicht bij. Beide raken dezelfde bedrijfsvoering, dus het loont om ze in één traject op te pakken in plaats van in drie losse projecten.