Is NEN 7510 verplicht?

Wat zegt de wet?

Artikel 3 van het Besluit elektronische gegevensverwerking door zorgaanbieders is duidelijk: een zorgaanbieder zorgt, overeenkomstig NEN 7510 en NEN 7512, voor een veilig en zorgvuldig gebruik van zijn zorginformatiesysteem en van het elektronisch uitwisselingssysteem waarop hij is aangesloten. NEN 7510 is dus niet alleen een norm die "netjes" is om te volgen; de regels voor de zorg verwijzen er rechtstreeks naar.

Voor wie geldt het?

De vuistregel: verwerk je persoonlijke gezondheidsgegevens, dan is NEN 7510 jouw norm. De omvang van je organisatie speelt geen rol. Het geldt onder meer voor:

• ziekenhuizen, klinieken en ggz-instellingen
• huisartsen, tandartsen, fysiotherapeuten en andere praktijken
• thuiszorg, wijkverpleging en ouderenzorg
• zorgnetwerken en samenwerkingsverbanden
• leveranciers van zorg-ICT en verwerkers van zorgdata, omdat hun klanten het van hen eisen

Wie controleert erop?

• De Autoriteit Persoonsgegevens beschouwt NEN 7510 als invulling van de "passende technische en organisatorische maatregelen" uit artikel 32 van de AVG.
• De Inspectie Gezondheidszorg en Jeugd gebruikt NEN 7510 als toetsingskader om te zien of een zorgaanbieder een aantoonbaar werkend informatiebeveiligingssysteem heeft.
• Zorgverzekeraars, opdrachtgevers en ketenpartners stellen NEN 7510 steeds vaker als voorwaarde in hun contracten.

Verplicht voldoen is niet hetzelfde als verplicht certificeren

Je moet werken volgens NEN 7510, en dat moet je kunnen laten zien. Een certificaat is daarvoor niet verplicht. Wel kun je je officieel laten certificeren tegen NEN 7510-1, via een certificatieschema onder toezicht van de Raad voor Accreditatie. Steeds meer partijen vragen erom, en met een certificaat hoef je het niet bij elke klant opnieuw uit te leggen.

En NIS2?

De zorg is ook een sector onder NIS2, in Nederland de Cyberbeveiligingswet. Heb je 50 of meer medewerkers, dan geldt die wet waarschijnlijk ook voor jou. Goed nieuws: een goed ingericht NEN 7510-managementsysteem dekt een groot deel van wat NIS2 vraagt. NIS2 voegt vooral een meldplicht met harde termijnen, een registratieplicht en persoonlijke verantwoordelijkheid voor het bestuur toe. Lees ook: NIS2: voor wie geldt het?

Mitchel Verweij · Medeoprichter van Leasa IT

Bestuurlijke ervaring in de zorg. Weet hoe governance, wet- en regelgeving en kwaliteit in de praktijk werken, en wat een bestuur nodig heeft om te sturen. LinkedIn