NEN 7510: checklist en advies
Laatst bijgewerkt: · Redactie IT-Checklist
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Werk je met patiëntgegevens, dan verwacht de wet dat je je daaraan houdt. Kleine praktijken hoeven niet gecertificeerd te zijn, maar moeten wel kunnen laten zien dat ze de gegevens goed beveiligen.
Deze checklist gaat over de praktijk: wie kan bij welk dossier, hoe stuur je gegevens veilig, wat doe je als het EPD uitvalt en hoe meld je een datalek.
Kijk waar jouw bedrijf staat op nen 7510
De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.
Start de IT-check →Waarom dit belangrijk is
De versie uit 2024 vervangt de oude. Wie gecertificeerd is, moet uiterlijk 20 februari 2027 zijn overgestapt.
Stuur je patiëntgegevens via gewone mail of WhatsApp, dan gaat dat een keer mis. Dan heb je een datalek.
Valt het EPD uit en is er geen plan, dan stopt de zorg. Met een terugvalplan dat je hebt getest, kun je doorwerken.
De 12 vragen in dit thema, met advies
Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.
Wij werken met NEN 7510:2024 of hebben een plan om voor 20 februari 2027 over te stappen van de oude versie.
BelangrijkDe norm is in 2024 vernieuwd en sluit nu aan op ISO 27001:2022. Ben je gecertificeerd op de oude versie, plan de overstap dan op tijd met je certificerende instelling. Zonder certificaat is de nieuwe versie ook gewoon het uitgangspunt.
Wij hebben een risicoanalyse gedaan voor de gezondheidsgegevens die we verwerken: welke gegevens, waar ze staan en wat er mis kan gaan.
Eerst regelenGezondheidsgegevens zijn bijzondere persoonsgegevens onder de AVG. Breng in kaart in welke systemen ze staan (EPD, mail, agenda, back-ups) en wie erbij kan. Dat is de basis voor alle andere maatregelen uit NEN 7510.
Er is iemand aangewezen die verantwoordelijk is voor informatiebeveiliging, en de leiding heeft het beveiligingsbeleid goedgekeurd.
BelangrijkNEN 7510 vraagt dat de leiding verantwoordelijkheid neemt. Wijs iemand aan die het beveiligingsbeleid bijhoudt en de voortgang bewaakt. In een kleine praktijk kan dat de praktijkhouder zelf zijn.
Medewerkers kunnen alleen bij de patiëntgegevens die ze voor hun werk nodig hebben, en we controleren die rechten periodiek.
Eerst regelenRicht rollen in je EPD in op basis van functie en behandelrelatie. Loop de rechten minstens één keer per jaar na en trek ze direct in bij vertrek. Gebruik geen gedeelde accounts.
Geldt voor: mkb, bv
Wij leggen vast wie welk patiëntdossier heeft ingezien of gewijzigd (logging volgens NEN 7513) en controleren die logs.
BelangrijkNEN 7513 beschrijft hoe je toegang tot elektronische dossiers logt. Vraag je EPD-leverancier of die logging aanstaat en spreek af wie de logs steekproefsgewijs bekijkt, zodat onterechte inzage opvalt.
Wij sturen patiëntgegevens alleen via beveiligde kanalen, zoals beveiligde zorgmail, en niet via gewone e-mail of WhatsApp.
Eerst regelenGewone e-mail en chatapps zijn niet geschikt voor medische gegevens. Gebruik een beveiligde mailoplossing of het uitwisselingssysteem van je EPD en controleer de ontvanger voordat je verstuurt.
Wij hebben met elke leverancier die patiëntgegevens verwerkt een verwerkersovereenkomst en afspraken over beveiliging.
BelangrijkDenk aan je EPD-leverancier, IT-beheerder, hosting en afsprakenapp. Vraag ook of ze zelf NEN 7510- of ISO 27001-gecertificeerd zijn en bewaar dat bewijs.
Wij weten hoe we de zorg voortzetten als het EPD of het netwerk uitvalt, en we testen of back-ups terug te zetten zijn.
BelangrijkLeg vast hoe je bij uitval bij de belangrijkste gegevens komt, zoals medicatie en afspraken, en wie je belt. Vraag je leverancier hoe vaak back-ups gemaakt en getest worden.
Wij hebben een procedure voor beveiligingsincidenten en datalekken, inclusief melding bij de Autoriteit Persoonsgegevens binnen 72 uur.
Eerst regelenEen datalek met gezondheidsgegevens moet je meestal binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Houd een register bij van alle incidenten, ook kleine, en bespreek wat je ervan leert. Zorgorganisaties kunnen daarnaast onder de Cyberbeveiligingswet vallen.
Laptops, telefoons en USB-sticks met patiëntgegevens zijn versleuteld en beveiligd met een pincode of wachtwoord.
Eerst regelenEen gestolen laptop zonder versleuteling is meteen een datalek. Zet schijfversleuteling aan (BitLocker of FileVault), gebruik een schermvergrendeling en zorg dat je een kwijtgeraakt apparaat op afstand kunt wissen.
Medewerkers krijgen regelmatig uitleg over veilig omgaan met patiëntgegevens, zoals phishing herkennen en vergrendelen bij weglopen.
BelangrijkVeel datalekken in de zorg ontstaan door een menselijke fout, zoals een mail naar de verkeerde ontvanger. Bespreek beveiliging in het teamoverleg, laat nieuwe medewerkers een geheimhoudingsverklaring tekenen en herhaal de uitleg elk jaar.
Geldt voor: mkb, bv
Wij controleren minstens één keer per jaar of de afgesproken maatregelen werken, bijvoorbeeld met een interne audit, en verbeteren waar nodig.
BelangrijkNEN 7510 is een managementsysteem: plannen, doen, controleren en verbeteren. Plan een jaarlijkse interne audit, bespreek de uitkomst met de leiding en houd een lijst bij van verbeterpunten met eigenaar en deadline.
Hier begin je
- Wijs iemand aan die verantwoordelijk is voor informatiebeveiliging en laat de leiding het beleid goedkeuren.
- Loop na wie bij welke dossiers kan en haal rechten weg die niet nodig zijn.
- Gebruik beveiligde zorgmail voor patiëntgegevens en spreek af dat WhatsApp daar niet voor is.
- Controleer of je met elke leverancier die patiëntgegevens verwerkt een verwerkersovereenkomst hebt.
Veelgemaakte fouten
- Denken dat de EPD-leverancier alles regelt. De praktijk blijft verantwoordelijk.
- Logging aan hebben staan maar nooit bekijken wie welk dossier opende.
- Laptops en telefoons met patiëntgegevens niet versleutelen.
Officiële bronnen
Lees verder
- Uitleg: NEN 7510 voor de zorg, kosten en certificering
- Privacy & AVG: gevoelige gegevens
- Communicatieplan: tekst voor patiënten bij een datalek
- Noodplan bij een cyberaanval of datalek
Alle thema's in de checklist