Aankoopgids NEN 7510 Implementatiebegeleiding

Ja, voldoen aan NEN 7510 is wettelijk verplicht. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg verwijst via het Besluit elektronische gegevensverwerking door zorgaanbieders naar NEN 7510, NEN 7512 en NEN 7513. Het geldt voor elke zorgaanbieder die persoonsgegevens verwerkt in een zorginformatiesysteem, en ook voor ICT-dienstverleners en systeembeheerders die uitwisselingssystemen beheren. Voor jeugdhulpaanbieders geldt ISO 27001 in plaats van NEN 7510.

Voor zorgaanbieders is certificering niet wettelijk verplicht. De IGJ stelt expliciet dat noch de wet, noch de Cyberbeveiligingswet, noch de norm zelf certificering eist; wel moet je aantoonbaar voldoen en je ISMS regelmatig onafhankelijk laten beoordelen. Voor ICT-dienstverleners die een elektronisch uitwisselingssysteem beheren ligt het anders: artikel 3 van het Besluit eist een onafhankelijk auditrapport tegen NEN 7510 én NEN 7512, niet ouder dan vijf jaar. Los daarvan eisen zorgverzekeraars, gemeenten en ziekenhuizen certificering vaak contractueel.

NEN 7510 is de zorgspecifieke invulling van ISO 27001. De structuur, het ISMS en de PDCA-cyclus zijn identiek; NEN 7510 scherpt een deel van de beheersmaatregelen aan met een zorgcontext en voegt er een aantal toe. Denk aan een informatiebeveiligingsmanagementforum met een aanwijsbare verantwoordelijke voor gezondheidsgegevens, patiëntveiligheid als expliciet projectrisico, verificatie van zorgkwalificaties bij screening en het uniform classificeren van gezondheidsinformatie als vertrouwelijk. Heb je al ISO 27001, dan is de stap naar NEN 7510 relatief klein.

Ja, en dat is meestal het slimste als je ook buiten de zorg of internationaal zaken doet, want NEN 7510 wordt buiten Nederland niet herkend. Je richt één ISMS in dat aan beide normen voldoet, met één risicoanalyse en één Verklaring van Toepasselijkheid, en de auditor toetst beide normen in hetzelfde traject. Meerdere aanbieders geven aan dat de extra audittijd voor NEN 7510 bovenop een ISO 27001-audit beperkt blijft tot ongeveer een halve dag. Bij een positieve beoordeling krijg je beide certificaten.

De grootste kostenpost is doorgaans het adviestraject, niet de audit. De initiële certificatieaudit door een geaccrediteerde instelling ligt voor kleine tot middelgrote organisaties rond €3.000 tot €10.000; jaarlijkse opvolgaudits kosten circa €2.000 tot €6.000 per jaar. Een nulmeting kost circa €1.000 tot €3.000. Tel je alles op, dan komen middelgrote zorgorganisaties in de gepubliceerde indicaties uit op grofweg €20.000 tot €50.000 en grote instellingen op €30.000 tot €75.000. Deze bedragen lopen per bron flink uiteen, dus vraag altijd een offerte op basis van een intake.

Reken op 6 tot 12 maanden voor een volledig traject: 6 tot 9 maanden voor kleine praktijken, 9 tot 12 maanden voor middelgrote instellingen en 12 tot 18 maanden voor grote ziekenhuizen met legacy-systemen. De fasering is doorgaans gap-analyse 2 tot 4 weken, beleidsontwikkeling 6 tot 8 weken, technische implementatie 12 tot 16 weken, training 4 tot 6 weken, documentatie 4 tot 6 weken en auditvoorbereiding 2 tot 4 weken. Een certificaat is drie jaar geldig, met jaarlijkse controleaudits daartussen.