Verplichte documenten voor NEN 7510

Hoofdstuk 4 tot en met 10 van NEN 7510-1 zijn gelijk aan ISO 27001. De basislijst is dus ook gelijk. Die bestaat uit: toepassingsgebied, beleid, werkwijze voor risicobeoordeling en risicobehandeling, verklaring van toepasselijkheid en doelen. Ook het bewijs hoort erbij. Dat zijn risicobeoordelingen, bekwaamheid, metingen, interne audits, directiebeoordeling en afwijkingen. De vorm kies je zelf. De lijst met de paragraaf per stuk staat bij de verplichte documenten voor ISO 27001. Hieronder staat wat er bij NEN 7510 bij komt.

De editie die nu geldt is NEN 7510-1:2024 met NEN 7510-2:2024+A1:2026. De aanvulling van 2026 gebruikt de term "topmanagement". Eerder stond daar "directie". De term volgt ISO 27002. Pas dus die term aan in je beleid en procedures als je ze bijwerkt. Heb je een certificaat op de versie van 2017? Dan geldt dat hooguit tot 20 februari 2027. Wat er tussen de versies veranderde, lees je bij de overgang naar NEN 7510:2024.

De verklaring van toepasselijkheid (VvT) is bij NEN 7510 het stuk waar de auditor het meest mee werkt. De nationale accreditatie-instantie laat certificeerders zelfs de VvT van hun klanten meegeven. Dat gebeurt bij zijn beoordeling van de certificeerder. De VvT heeft dezelfde opbouw als bij ISO 27001. Er staan 101 maatregelen in: de 93 uit ISO 27002 en acht zorgspecifieke. Voorbeelden van die acht zijn noodcommunicatie (5.42) en zero trust (8.35). Neem je eigen maatregelen op die niet in NEN 7510-2 staan? Dan geef je ook aan waarom die van toepassing zijn.

Volg je bij een gekozen maatregel de zorgrichtlijn uit NEN 7510-2 niet? Dan leg je vast hoe je het doel van de maatregel anders bereikt. Dat is comply or explain. De auditor kan naar die vastlegging vragen. De meest praktische plek is een kolom of toelichting in je VvT. NEN Connect heeft een gratis hulpmiddel om je VvT op te stellen. De normtekst zelf download je daar ook kosteloos. Wat elke maatregel en richtlijn vraagt, lees je bij de eisen en maatregelen van NEN 7510.

Je toepassingsgebied moet laten zien dat je bij de doelgroep van NEN 7510 hoort. Wat je daarvoor vastlegt, verschilt per groep:

Verwerk je alleen af en toe gezondheidsgegevens? Dan past ISO 27001 beter. Besteed je als zorginstelling beheer van gezondheidsgegevens uit? Dan moet je certificaat duidelijk maken welk werk is uitbesteed. Het moet ook duidelijk maken welke maatregelen uit je VvT daarbij horen.

Voor zorgaanbieders stelt het Besluit elektronische gegevensverwerking door zorgaanbieders twee eisen aan je documenten. Die gelden los van een certificaat:

Artikel 5 laat de bewaartermijn voor logging landelijk vaststellen. Die termijn wordt in de Staatscourant bekendgemaakt. Neem die termijn over in je procedure voor logging.

In fase 1 kijkt de auditor of je stukken compleet genoeg zijn. Dan kan hij je ISMS in fase 2 toetsen. De algemene regels staan bij de certificeringsaudit. Bij NEN 7510 let hij daarnaast op drie dingen:

Bijlage C van NEN 7510-2 bevat vragen die je bij je eigen interne audit kunt gebruiken. Ze zijn bedoeld als handvat. Het is geen vaste lijst. Ze helpen je de gaten te vinden voordat de auditor ze vindt.

In fase 2 controleert de auditor of je werk klopt met je stukken. Hij kiest maatregelen uit je VvT. Daarbij vraagt hij het bewijs. Denk aan een export van de logging uit je patiëntdossier, de verwerkersovereenkomsten met je leveranciers, of het verslag van een oefening met noodcommunicatie. Bij een maatregel waar je van de zorgrichtlijn afwijkt, vraagt hij naar je uitleg.

Een afwijking schrijft hij alleen op de eisen uit hoofdstuk 4 tot en met 10 en de maatregelen in bijlage A van NEN 7510-1. Hij schrijft er geen op de richtlijnen van deel 2. Ontbreekt een verplicht stuk, zoals je VvT of het bewijs van je interne audit? Dan kan dat een grote afwijking (major) zijn. Die moet je oplossen voordat je het certificaat krijgt. Hoe het traject verder loopt, lees je bij de stappen voor NEN 7510.

De eisen aan je documenten zijn voor elke certificeerder gelijk. Ze volgen allemaal het schema NCS 7510. Hoe ze fase 1 aanpakken, verschilt wel. Vraag in de offerte of fase 1 op afstand gaat. Vraag ook of de certificeerder je VvT vooraf wil zien. Heb je ook ISO 27001? Vraag dan hoe hij beide certificaten in één audit combineert. Met één aanvraag bij CertificeerWijzer krijg je offertes. Die komen van certificeerders die NEN 7510 voor jouw groep mogen doen. Zo leg je die offertes op die punten naast elkaar.