NEN 7510 projectleider: wie trekt het traject?
Een NEN 7510-traject heeft één projectleider nodig die het overzicht houdt, de planning bewaakt en de juiste mensen bij elkaar brengt. Die persoon hoeft geen specialist in informatiebeveiliging te zijn, maar moet de organisatie goed kennen en gezag hebben om beslissingen door te zetten. Het stappenplan laat zien in welke fase wat van de projectleider nodig is. Hoeveel tijd het kost, staat op kosten en tijdlijn. Twijfel je of je de rol intern invult of een adviseur inhuurt, lees dan zelf implementeren of met een adviseur.
De projectleider is niet automatisch de functionaris die de norm inhoudelijk vastlegt. Dat zijn verschillende rollen. Bij een kleine praktijk vult vaak dezelfde persoon beide in.
Welke taken hoort de projectleider te doen?
- Het projectplan opstellen, met mijlpalen en een realistische inschatting van de doorlooptijd.
- De scope voorstellen en laten vaststellen door de directie of het bestuur.
- De werkgroep samenstellen en de afspraken over tijd en budget vastleggen.
- De voortgang van de maatregelen bewaken, met een wekelijks of tweewekelijks overleg.
- Afwijkingen uit de gap-analyse (een vergelijking van je huidige situatie met de eisen van de norm) en de interne audit bijhouden en laten oplossen.
- Het contact met de certificerende instelling onderhouden, inclusief de planning van de audit.
Welke taken hoort de projectleider niet zelf te doen?
Een projectleider die alles zelf schrijft, is een knelpunt. De inhoudelijke keuzes horen bij de eigenaren van de maatregelen. Voorbeeld: de praktijkmanager van een huisartsenpraktijk is projectleider. De huisarts beoordeelt welke risico’s het zorgproces heeft, de systeembeheerder beschrijft de back-up en de directie kiest de maatregelen. De projectleider plant die gesprekken en bewaakt dat de uitkomsten op papier komen, maar neemt het eigenaarschap niet over.
Welke profielen werken goed?
| Profiel | Sterk in | Let op |
|---|---|---|
| Praktijkmanager of bedrijfsleider | Overzicht, besluitvorming, budget | Heeft vaak weinig tijd voor details |
| Kwaliteitsfunctionaris | Procesdenken, documentatie, audits | Kan de IT-kant onderschatten |
| IT-manager of functioneel beheerder | Systemen, technische maatregelen | Kan te technisch worden voor de zorgkant |
| Externe adviseur | Ervaring met audits | Kost geld, en de kennis blijft na het traject niet vanzelf in de organisatie |
Bij een kleine praktijk is de combinatie van praktijkmanager en een externe ondersteuner vaak het meest praktisch. Bij een grotere organisatie is een interne projectleider met een adviseur op afroep vaak goedkoper op de lange termijn. Zie ook NEN 7510 voor kleine praktijken.
Hoeveel tijd kost het?
De benodigde tijd is afhankelijk van de scope en de startsituatie. Een praktijkindicatie: bij een kleine praktijk zijn dat enkele uren per week tijdens de opbouwfase, bijvoorbeeld zes uur per week gedurende zes maanden. Bij een ziekenhuis is het een fulltime of bijna fulltime rol. De kosten en tijdlijn geven een indicatie per organisatiegrootte: 100 tot 200 interne uren bij een kleine praktijk, meer dan 1.000 uur bij een grote organisatie. Het is verstandig om die tijd vooraf vrij te maken in plaats van de rol als bijtaak te geven.
Een projectleider die halverwege wegvalt, is een van de meest voorkomende oorzaken van vertraging. Leg dus vast wie de rol overneemt en hoe de overdracht gaat.
Stap voor stap een projectleider aanwijzen
Leg de opdracht vast
Schrijf in een korte notitie wat de projectleider moet opleveren, met welke bevoegdheden en binnen welke termijn. Laat de directie tekenen.
Kies de persoon op overzicht en gezag
De beste kandidaat kan een gesprek met de directie en met een behandelaar of een systeembeheerder voeren zonder dat het eigen werk stilvalt.
Plan de tijd in
Zet de uren in de agenda en wijs een vervanger aan voor afwezigheid.
Stel de werkgroep samen
Neem één vertegenwoordiger per domein mee: zorg, IT, inkoop, en de functionaris gegevensbescherming (FG) als die er is.
Bewaak de voortgang
Leg vaste overleggen en een bijgewerkt actieplan vast. Dat is ook het bewijs dat de auditor later wil zien.
Veelgemaakte fouten
- De rol bij de IT-afdeling leggen zonder zorgkennis. De maatregelen raken het zorgproces, en dat moet de projectleider kunnen vertalen.
- Geen mandaat. Een projectleider die niet kan beslissen, wacht op iedereen en loopt vast.
- Geen overdracht. Bij vertrek is alle kennis weg.
- Te laat beginnen. De rol wordt pas ingevuld als de audit al gepland is. Dan is er geen tijd meer om afwijkingen op te lossen.
Relatie met het traject
Het stappenplan beschrijft de fasen Voorbereiden, Implementeren en Certificeren. De projectleider bewaakt de samenhang tussen die fasen. Voor de rol van de FG en de AVG-kant, zie AVG en NEN 7510.
Aanvullend en let op
- De indicaties over uren zijn praktijkinschattingen, geen normeisen. De norm schrijft geen aantal uren voor.
- Of een aparte functie voor informatiebeveiliging verplicht is, hangt af van de organisatie en de scope. Bespreek dat met je certificerende instelling voordat je de rolverdeling vastlegt.
- De tabel met profielen en de verdeling van taken zijn praktijkervaring, geen eis uit de norm.