NIS2 en NEN 7510: wat is het verschil?

Wat is wat?

• NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zorgaanbieders die gegevens elektronisch verwerken, moeten er volgens het Besluit elektronische gegevensverwerking door zorgaanbieders naar werken. De norm vraagt om een managementsysteem: beleid, risicoanalyse, maatregelen en verbeteren.
• NIS2, in Nederland de Cyberbeveiligingswet, is een wet voor organisaties in aangewezen sectoren, waaronder de zorg. Hij geldt in beginsel vanaf 50 medewerkers of meer dan €10 miljoen jaaromzet én balanstotaal.

Waar ze overlappen

Een goed werkend NEN 7510-managementsysteem dekt een groot deel van de zorgplicht uit NIS2:

• risicoanalyse en informatiebeveiligingsbeleid
• toegangsbeheer en inloggen in twee stappen
• afspraken met leveranciers en ketenpartners
• incidentbeheer, back-ups en continuïteit
• bewustwording en training van medewerkers

Wat NIS2 toevoegt

• Registratie bij de toezichthouder.
• Een meldplicht met harde termijnen: binnen 24 uur een eerste melding van een significant incident, binnen 72 uur een uitgebreidere melding, binnen een maand een eindrapport.
• Verantwoordelijkheid van het bestuur, inclusief verplichte training.
• Een bredere blik: NIS2 gaat over al je netwerk- en informatiesystemen, niet alleen over patiënt- en cliëntgegevens.

Zo combineer je ze

1. Eén managementsysteem met één risicoanalyse die zorgdata én de continuïteit van je zorg afdekt.
2. Eén meldproces dat onderscheid maakt tussen een datalek (melden bij de Autoriteit Persoonsgegevens, binnen 72 uur) en een significant incident onder NIS2.
3. Bestuurstraining en besluiten over maatregelen vastleggen in hetzelfde dossier dat je bij een NEN 7510-audit laat zien.

Lees ook: Is NEN 7510 verplicht? en NIS2: voor wie geldt het?

Mitchel Verweij · Medeoprichter van Leasa IT

Bestuurlijke ervaring in de zorg. Weet hoe governance, wet- en regelgeving en kwaliteit in de praktijk werken, en wat een bestuur nodig heeft om te sturen. LinkedIn