Het NEN 7510-certificeringsproces
Van besluit tot certificaat doorloop je zes stappen. Reken op twee tot achttien maanden, afhankelijk van je organisatiegrootte en startpositie.
De zes stappen naar certificering
-
Scope bepalen
- Welke locaties, systemen en processen vallen onder het ISMS? Bij de meeste zorgorganisaties is dit de gehele organisatie.
-
Risicoanalyse uitvoeren
- Identificeer risico's voor patiëntgegevens en zorginformatie. Welke bedreigingen zijn er? Wat zijn de gevolgen? Dit is het hart van NEN 7510.
-
ISMS opzetten
- Implementeer beheersmaatregelen, stel beleid op, train medewerkers, documenteer processen.
-
Bewijsperiode doorlopen
- Werk minimaal drie maanden volgens je ISMS. Auditoren willen bewijs dat het systeem in de praktijk werkt.
-
Interne audit en directiebeoordeling
- Controleer zelf of alles werkt en laat de directie het ISMS formeel beoordelen.
-
Externe audit
- De certificeerder voert de audit uit in twee fases. Bij succes ontvang je het certificaat.
Wie doet wat?
Jij / informatiebeveiliging
Risicoanalyse, ISMS opzetten, interne audits
IT-afdeling
Technische maatregelen, logging, monitoring
Functionaris Gegevensbescherming
AVG-afstemming, privacy-aspecten
Consultant (optioneel)
Begeleiding, gap-analyse, templates
Certificeerder
Audit uitvoeren, certificaat afgeven
Goed om te weten: Een consultant is niet verplicht. Organisaties met ervaren IT- en compliancemensen doen het regelmatig zelf.
Voorbereiding op NEN 7510
Goede voorbereiding is het halve werk. De meeste tijd gaat zitten in de risicoanalyse en het opzetten van je ISMS, niet in de audit zelf.
Wat moet je intern regelen?
Daarna volgen deze stappen:
- Projectleider aanwijzen - Iemand met mandaat die het trekt
- Scope bepalen - Welke systemen, locaties, processen?
- Risicoanalyse uitvoeren - Focus op patiëntgegevens en zorgsystemen
- Maatregelen implementeren - Technisch én organisatorisch
- Medewerkers trainen - Awareness over informatiebeveiliging
- Bewijsperiode starten - Minimaal drie maanden werken volgens ISMS
- Interne audit uitvoeren - Test of alles werkt
Welke documentatie is nodig?
Informatiebeveiligingsbeleid
Jouw visie en doelstellingen
Scope van het ISMS
Welke delen van je organisatie
Risicoanalyse en behandelplan
Geïdentificeerde risico's en gekozen maatregelen
Verklaring van Toepasselijkheid
Welke controls je toepast en welke niet
Procesbeschrijvingen
Incidentbeheer, toegangsbeheer, etc.
Registraties
Bewijs van naleving (audits, incidenten, trainingen)
Zorgspecifieke documentatie:
- Beleid voor toegang tot patiëntdossiers
- Logging-beleid (conform NEN 7513)
- Beleid voor gegevensuitwisseling (conform NEN 7512)
- Afspraken met verwerkers en onderaannemers
Drie veelgemaakte fouten
Fout 2: Papieren tijger
Je documenten moeten overeenkomen met de praktijk. Als je opschrijft dat je wekelijks toegangslogs controleert, moet je dat ook doen. Auditoren vragen om bewijs.
Fout 3: Te laat starten met de bewijsperiode
Je moet minimaal drie maanden volgens je ISMS hebben gewerkt vóór de externe audit. Plan dit in.
Lees ook: Hoe bereid je je voor op een certificeringsaudit? - Praktische tips die ook voor NEN 7510 gelden.