De NEN 7510, de Nederlandse standaard voor informatiebeveiliging in de zorgsector, staat aan de vooravond van een belangrijke vernieuwing die naar verwachting eind 2024 zal worden doorgevoerd.
De noodzaak voor deze herziening komt voort uit recente wijzigingen in de internationale standaarden die als fundament dienen voor de NEN 7510. Specifiek gaat het om updates van de ISO 27001, ISO 27002 en ISO 27799 normen. Deze internationale richtlijnen vormen samen het raamwerk waarop de Nederlandse norm is gebouwd. De huidige NEN 7510 bestaat uit twee essentiële componenten: het Information Security Management System (ISMS) in deel 1 en een uitgebreide set beheersmaatregelen in deel 2.
Voor wie is de NEN7510 norm?
De norm heeft betrekking op een breed spectrum van zorginstellingen. Niet alleen ziekenhuizen en huisartsenpraktijken, maar ook zorgverzekeraars, medische laboratoria, fysiotherapeuten, tandartsen, verzorgingshuizen, GGZ-instellingen en medische softwarebedrijven vallen onder de reikwijdte. Sinds 2023 geldt voor ziekenhuizen de verplichting om aantoonbaar aan de norm te voldoen. Daarnaast moeten alle zorginstellingen die BSN-gegevens verwerken en zorginformatiesystemen gebruiken, conform de norm werken.
Herzieningsproces
De weg naar de nieuwe norm is zorgvuldig gepland. Tot september 2024 heeft er een uitgebreide consultatiefase plaatsgevonden waarin belanghebbenden uit de sector hun input konden leveren. De normcommissie, bestaande uit experts op het gebied van informatiebeveiliging en gezondheidszorg, verwerkt momenteel deze feedback om tot een gedegen en praktisch toepasbare nieuwe versie te komen. De publicatie wordt verwacht in december 2024, waarna een transitieperiode van twee jaar ingaat.
Wijzigingen in NEN 7510-1
Het eerste deel van de norm ondergaat enkele belangrijke aanpassingen. De overstap van de High Level Structure naar de Harmonized Structure betekent meer dan alleen een naamsverandering – het brengt een moderne, geïntegreerde benadering van managementsystemen met zich mee. Een opmerkelijke toevoeging is de integratie van klimaatverandering als contextueel element, wat aantoont dat de norm meegaat met actuele maatschappelijke uitdagingen. De bijlage A wordt volledig vernieuwd om aan te sluiten bij de herziene beheersmaatregelen uit deel 2.
Aanpassingen in NEN 7510-2
De herstructurering van deel 2 is nog ingrijpender. De vereenvoudiging van veertien naar vier hoofdstukken zorgt voor een overzichtelijker geheel. Het aantal beheersmaatregelen wordt teruggebracht van 114 naar 93, aangevuld met 8 zorgspecifieke maatregelen. Deze consolidatie betekent niet minder strenge eisen, maar eerder een efficiëntere organisatie van de vereisten. Voor 14 reguliere beheersmaatregelen komen er specifieke aanvullingen voor de zorgsector, wat de praktische toepasbaarheid vergroot.
Compliance
Een significante verandering betreft de implementatierichtlijn, die niet langer vrijblijvend is. Organisaties moeten in hun Verklaring van Toepasselijkheid (VvT) expliciet aangeven of ze voldoen aan de richtlijn zoals beschreven in de NEN 7510-2. Eventuele afwijkingen moeten worden gedocumenteerd en onderbouwd, wat zorgt voor meer transparantie en accountability in de sector.
Europese Context
De herziening van de NEN 7510 staat niet op zichzelf. Er zijn aanwijzingen dat het Ministerie van VWS de norm mogelijk zal integreren in de implementatie van de Europese NIS2-richtlijn voor netwerk- en informatiebeveiliging. Dit onderstreept het groeiende belang van gestandaardiseerde informatiebeveiliging in de Europese zorgsector.
Voorbereiden
De herziening van de NEN 7510 markeert een belangrijke evolutie in de manier waarop de zorgsector omgaat met informatiebeveiliging. De nieuwe norm weerspiegelt niet alleen technologische vooruitgang, maar ook de groeiende bewustwording van het belang van gedegen informatiebeveiliging in de gezondheidszorg.
Voor zorginstellingen is het belangrijk om tijdig te beginnen met de voorbereidingen op de nieuwe norm. De transitieperiode van twee jaar lijkt lang, maar gezien de omvang van de wijzigingen en de complexiteit van zorgsystemen is vroege anticipatie essentieel. Dit geldt des te meer omdat de nieuwe norm een meer gestructureerde en aantoonbare aanpak van informatiebeveiliging vereist.
Meer informatie over NEN 7510 kunt u vinden op https://www.igj.nl/vraag-en-antwoord/vragen-over-nen-7510
