NEN 7510 register: het activaregister voor informatiebeveiliging
Het “NEN 7510 register” kan twee dingen betekenen. NEN houdt een openbaar register bij van organisaties met een NEN 7510-certificaat; vermelding daarin hangt af van opgave door de certificerende instelling (NEN ). Deze pagina gaat over het andere register: het activaregister, een overzicht van de informatie en de systemen waarin patiëntgegevens staan, met een eigenaar per onderdeel. De maatregel over de inventaris van informatie en bijbehorende activa is in ISO 27002:2022 beheersmaatregel 5.9. NEN 7510-2 is op die ISO-norm gebaseerd. Het register is de basis voor de risicoanalyse, voor de Verklaring van Toepasselijkheid en voor de keuze van de maatregelen.
Het register is geen eenmalig document. Het moet worden bijgehouden, en bij een audit moet je kunnen aantonen dat het overeenkomt met de werkelijkheid.
Wat registreer je?
Je registreert elk activum dat informatie bevat of verwerkt die binnen de scope valt. Denk aan:
- Informatie: patiëntdossiers, labuitslagen, roosters, personeelsgegevens, contracten.
- Systemen en software: het EPD, het ECD, de patiëntportal, de mailomgeving, een netwerkschijf.
- Hardware: laptops, tablets, medische apparatuur met opslag, servers, printers met geheugen.
- Diensten: cloudomgevingen, externe verwerkers, koppelingen met andere zorgaanbieders.
- Overige middelen: uitwisselingsmedia zoals usb-sticks, en ruimten waar gegevens liggen.
Een activum zonder eigenaar is een blinde vlek. ISO 27002:2022 vraagt dat elke regel in de inventaris een eigenaar heeft, dus vul die altijd in.
Voorbeeld van een register
Fictief voorbeeld van een fysiotherapiepraktijk met één elektronisch patiëntdossier (EPD) en een cloudmailomgeving:
| Activum | Type | Classificatie | Eigenaar | Locatie of leverancier | Koppelingen | Laatste controle |
|---|---|---|---|---|---|---|
| EPD (zorgdossiers) | Software en gegevens | Zeer vertrouwelijk | Praktijkmanager | Leverancier, cloud in EU | Labkoppeling, verwijzers via het Landelijk Schakelpunt (LSP) | 12-09-2026 |
| Beveiligde mail | Dienst | Vertrouwelijk | Praktijkmanager | Mailleverancier | Patiënten en huisartsen | 12-09-2026 |
| Laptop receptie | Hardware | Vertrouwelijk | Receptie-coördinator | Eigen apparaat, versleuteld | EPD via browser | 01-10-2026 |
| Papieren archief | Fysiek | Zeer vertrouwelijk | Behandelaar | Archiefruimte, afgesloten | Geen | 05-06-2026 |
| Oefenapp patiënten | Dienst | Intern | Behandelaar | Externe leverancier | Geen | Nog niet beoordeeld |
De laatste regel laat zien waar auditors op letten: een activum dat nog niet is beoordeeld, wordt meteen genoteerd als openstaand punt. Het register hoeft niet perfect te zijn, maar het moet laten zien dat je het bijhoudt.
Hoe bouw je het op?
- Begin met de systemen. Vraag van elk systeem of het patiëntgegevens bevat. Dat is de snelste route naar een eerste versie.
- Voeg de informatie toe. Pak per proces de documenten en gegevensstromen erbij die niet in een systeem staan.
- Wijs eigenaren toe. Elke regel krijgt één eigenaar en een vervanger.
- Classificeer. Gebruik een vaste schaal, bijvoorbeeld openbaar, intern, vertrouwelijk en zeer vertrouwelijk, en leg die schaal vast in het beleid.
- Koppel aan de risicoanalyse. Elk activum dat in scope is, moet in het risicoregister voorkomen.
- Stel een onderhoudsritme vast. Een vaste controle per kwartaal en een extra controle bij elke nieuwe leverancier of wijziging werkt goed. De norm schrijft geen vaste frequentie voor.
Koppel het register aan de inkoop. Een nieuw systeem of een nieuwe leverancier die patiëntgegevens verwerkt, hoort pas live te gaan als het in het register staat. Dat is een van de makkelijkste manieren om het actueel te houden.
Veelgemaakte fouten
- Alleen de bekende systemen. Het register bevat het EPD en de mail, maar niet de Excel-lijsten, de WhatsApp-groep of het papieren archief. Dat zijn precies de plekken die auditors navragen.
- Geen eigenaar. “Het team” is geen eigenaar. Vul een naam of functie in.
- Een register dat niet bij de werkelijkheid past. Een systeem dat twee jaar geleden is vervangen, staat er nog in.
- Geen koppeling met de VvT. Een maatregel die verwijst naar een activum dat niet bestaat, valt op.
- Te gedetailleerd. Een register met elke usb-stick in de praktijk kost meer tijd dan het oplevert. Kies het niveau dat bij je risico’s past.
Wat vraagt de auditor?
Bij de externe audit kan het register een van de eerste documenten zijn die worden opgevraagd, samen met de Verklaring van Toepasselijkheid. De auditor kiest een paar activa en vraagt: wie is eigenaar, welke gegevens staan erop, welk risico is in het risicoregister opgenomen, en wanneer is het voor het laatst gecontroleerd? Zie ook de checklist en de verplichte documenten.
Verband met de rest van de norm
Het register is de ruggengraat van het managementsysteem. Als het klopt, sluiten de risicoanalyse, de maatregelen en de VvT beter aan. Als het niet klopt, zie je dat terug in elke audit. Wie het traject nog moet starten, begint het beste met het stappenplan, waar het register in fase 1 hoort.
Aanvullend en let op
- De voorbeeldtabel is fictief. De kolommen zijn een werkvorm; welke velden je nodig hebt, bepaal je met je certificerende instelling.
- Het nummer 5.9 komt uit ISO 27002:2022, waar NEN 7510-2 op aansluit. Controleer de nummering en formulering in NEN 7510-2 zelf voordat je het beleid vaststelt.
- De kolommen “classificatie” en “laatste controle” in de tabel zijn een werkvorm. ISO 27002 vraagt wel een eigenaar per onderdeel.
- Dit register is niet hetzelfde als het verwerkingsregister van de AVG (artikel 30), al kun je beide op dezelfde bron bijhouden.