NEN 7510 duikt op in contracten van verzekeraars, in vragen van gemeenten en in de kleine lettertjes van softwareleveranciers. Voor grote instellingen is de norm dagelijkse kost, met informatiebeveiligingsfunctionarissen en audits. Voor een vrijgevestigde praktijk is vooral onduidelijk wat er nu eigenlijk van ú verwacht wordt. Dit artikel legt de norm uit zonder jargon.
Wat NEN 7510 is
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De kern is niet technisch maar organisatorisch: de norm vraagt dat een zorgorganisatie aantoonbaar en gestructureerd met de beveiliging van gezondheidsinformatie omgaat. Niet "wij hebben een wachtwoord op de laptop", maar: wij weten welke gegevens wij hebben, welke risico's daarbij horen, welke maatregelen wij daartegen nemen, en wij controleren periodiek of dat nog klopt.
De norm bestaat naast de AVG en overlapt ermee. Grof gezegd: de AVG zegt dát u zorgvuldig met persoonsgegevens moet omgaan, NEN 7510 beschrijft hóe u dat in de zorg organiseert. Voor systemen die elektronisch medische gegevens uitwisselen is de norm bovendien wettelijk aangewezen via het Besluit elektronische gegevensverwerking door zorgaanbieders.
Wat de norm in de kern vraagt
Achter de honderden beheersmaatregelen zitten een paar herkenbare vragen:
- Weet u wat u heeft? Welke systemen en plekken bevatten cliëntgegevens: het EPD, de mailbox, een spreadsheet, de telefoon?
- Wie kan erbij? Heeft iedereen met toegang die toegang ook nodig, en vervalt toegang als iemand vertrekt?
- Wat gebeurt er als het misgaat? Is er een back-up, weet u wat u doet bij een datalek, en bij wie u dat meldt?
- Blijft het kloppen? Kijkt u hier periodiek naar, of was het een eenmalige actie in een ver verleden?
Wie deze vragen voor de eigen praktijk kan beantwoorden, heeft de geest van de norm te pakken. De formele certificering, met een externe auditor en een managementsysteem, is voor de meeste kleine praktijken niet aan de orde; de werkwijze erachter wel.
Wat dit betekent voor een kleine praktijk
Voor een solopraktijk of kleine groepspraktijk is de eerlijke samenvatting: u hoeft geen handboeken te schrijven, maar "het staat gewoon in mijn mail" is geen antwoord meer. Drie plekken waar het in de ggz-praktijk het vaakst wringt:
- De mailbox als archief. Verwijsbrieven en aanmeldingen met volledige voorgeschiedenis die jaren in een postvak staan, toegankelijk voor iedereen met dat wachtwoord. Zie ook ons artikel over bewaartermijnen bij afgewezen aanmeldingen.
- Het spreadsheet naast het EPD. Een wachtlijst in Excel is een tweede, onbeheerde kopie van gezondheidsgegevens, vaak zonder toegangsbeperking en zonder logging.
- Gedeelde inloggegevens. Eén account voor de hele praktijk maakt onherleidbaar wie wat heeft ingezien.
Wat u aan leveranciers mag vragen
U hoeft de techniek niet zelf te bouwen, maar u kiest wel wie het voor u doet. Redelijke vragen aan elke leverancier die met uw cliëntgegevens werkt:
- Waar staan de gegevens fysiek opgeslagen, en onder welk recht vallen ze?
- Is de leverancier NEN 7510-gecertificeerd, of kan hij aantonen naar de norm te werken?
- Is er een verwerkersovereenkomst, en wat staat daarin over datalekken en over verwijdering bij einde contract?
Wij leggen die lat ook voor onszelf: Bina wordt vanaf het begin ingericht naar NEN 7510, met toetsing en certificering zodra het product er klaar voor is, en met opslag in Nederland. Wat dat concreet betekent staat op onze privacysectie. Vragen of ervaringen rond informatiebeveiliging in uw praktijk? Wij horen ze graag.