NEN 7510 voor ziekenhuizen: wat moet een ziekenhuis regelen?
Een ziekenhuis moet NEN 7510 zien als een managementsysteem voor het hele zorgproces, niet als een IT-checklist. Je legt een scope vast voor locaties, systemen en zorgstromen, voert een risicoanalyse uit en onderbouwt in de Verklaring van Toepasselijkheid (VvT) per maatregel wat je wel en niet kiest. Het zwaartepunt ligt bij koppelingen (laboratorium, beeldvorming, apotheek, verwijzers), medische apparatuur en de grote aantallen medewerkers met toegang tot het elektronisch patiëntdossier (EPD). Die toegang moet je loggen, zie NEN 7513 logging. Meer over certificering staat bij NEN ; ziekenhuizen worden daar genoemd als voorbeeld van zorgaanbieders die kunnen certificeren.
Waarom een ziekenhuis anders aanpakt dan een praktijk
Een huisartsenpraktijk heeft één EPD, enkele tientallen medewerkers en een overzichtelijke set koppelingen. Een ziekenhuis heeft tientallen systemen, duizenden gebruikers, meerdere locaties en vaak een combinatie van eigen en uitbestede IT. Dat verandert vooral drie dingen.
- De scope wordt zwaarder. Je moet vastleggen welke locaties, afdelingen en systemen onder het managementsysteem vallen en welke niet. Een uitgesloten onderdeel moet je onderbouwen.
- De risicoanalyse wordt een programma. Per systeem en per zorgproces is er een eigen dreigingsbeeld. Zie de risicoanalyse voor NEN 7510.
- Eigenaarschap wordt zichtbaar. Bij veel systemen is één medewerker of afdeling eigenaar. Die eigenaarschappen moet je kunnen laten zien aan de auditor.
De zes onderdelen die in een ziekenhuis vaak het zwaarst wegen
| Onderdeel | Waarom het in een ziekenhuis lastiger is | Waar je op let |
|---|---|---|
| Toegangsbeheer tot het EPD | Veel rollen, veel wisselingen, spoedeisende toegang | Autorisatiematrix per rol en een proces voor doorbreken van toegang (“breekglas”, bijvoorbeeld bij een spoedopname) met logging |
| Logging (NEN 7513) | Duizenden gebruikers en koppelingen | Logs per systeem en een rapportage per patiënt, zie NEN 7513 logging |
| Medische apparatuur | Apparaten met eigen software, vaak buiten de IT-afdeling beheerd | Inventaris, onderhoudscontracten en patchbeleid |
| Koppelingen en uitwisseling | Veel partijen, verschillende standaarden | Overzicht van alle koppelingen met de bijbehorende verwerkersafspraken |
| Leveranciers | Grote aantallen leveranciers met toegang op afstand | Contracten, verwerkersovereenkomsten en jaarlijkse controle |
| Incidenten en datalekken | Hoge volumes en meerdere meldroutes | Een incidentproces dat meldingen koppelt aan de functionaris gegevensbescherming en aan de melding bij de Autoriteit Persoonsgegevens (binnen 72 uur, zie AVG en NEN 7510) |
Stap 1: bepaal de scope per locatie en systeem
Begin met een lijst van alle locaties en van alle systemen die patiëntgegevens verwerken. Maak daarna een keuze, en leg die vast. Veel ziekenhuizen kiezen voor een scope die het hele ziekenhuis omvat, maar je kunt ook gefaseerd werken: eerst het EPD en de centrale koppelingen, daarna de satellietlocaties. Een gefaseerde scope moet je wel onderbouwen, en de Verklaring van Toepasselijkheid moet duidelijk maken wat er nog buiten valt.
Voorbeeld van een scopebesluit
Fictief voorbeeld van een middelgroot ziekenhuis met drie locaties:
| Onderdeel | In scope | Motivatie |
|---|---|---|
| Hoofdlocatie, alle klinische afdelingen | Ja | Verwerkt patiëntgegevens in het EPD |
| Poliklinieken bij locatie B | Ja | Zelfde EPD, zelfde toegangsbeheer |
| Externe dialyseafdeling (uitbesteed) | Ja, via leverancier | Verwerking op eigen systeem, contractueel geregeld |
| Ziekenhuisrestaurant | Nee | Geen patiëntgegevens, wel in de netwerkscope gecontroleerd |
De uitsluiting van het restaurant is alleen verdedigbaar als het netwerk waarop het draait gescheiden is van het zorgnetwerk. Die scheiding moet je aantonen.
Stap 2: maak de eigenaarschapsmatrix
Voor elke gekozen maatregel uit NEN 7510-2 wijs je een eigenaar aan. De norm dwingt die matrix niet af, maar zonder eigenaar kun je bij de audit niet laten zien wie wat bewaakt. In een ziekenhuis is dat zelden de IT-afdeling alleen. Een werkbare matrix bevat per maatregel een naam of functie, een vervanger en een frequentie van controle.
Benoem de eigenaar per domein
Toegangsbeheer hoort bij de functioneel beheerder van het EPD. Medische apparatuur hoort bij de afdeling klinische technologie. Incidenten horen bij de informatiebeveiligingsfunctionaris of de security officer.
Leg vervanging vast
Bij ziekte of vertrek moet een ander kunnen overnemen. Een ziekenhuis dat dit niet regelt, kan bij de audit een vraag over bemensing krijgen.
Koppel de matrix aan de VvT
Elke gekozen maatregel verwijst naar de eigenaar en naar het bewijs. Dat voorkomt dat de auditor bij elke maatregel opnieuw moet vragen wie er verantwoordelijk is.
Stap 3: toegang en logging als eerste sluitende keten
Bij ziekenhuizen is de keten toegang, autorisatie en logging de plek waar de meeste vragen komen. Begin hier met een sluitend verhaal: wie mag welk type gegeven zien, hoe wordt die toegang verleend, hoe wordt gelogd en hoe wordt gecontroleerd. De technische details van logging staan op NEN 7513 logging. Voor de controle van toegang kun je de interne audit gebruiken: steekproeven op logs van dossiers van bekende patiënten zijn een goede manier om te testen of het werkt.
Een steekproef op de logs van medewerkers die recent van functie zijn gewisseld is een zinvolle controle. Voorbeeld: een verpleegkundige gaat van de kinderafdeling naar de dialyse. Kan ze nog steeds dossiers van de kinderafdeling openen? Dan is de autorisatie niet aangepast.
Stap 4: governance over meerdere lagen
Een ziekenhuis heeft vaak een raad van bestuur, een informatiebeveiligingscommissie en een medische of verpleegkundige staf die allemaal een rol hebben. Het is niet nodig om die structuur te veranderen, maar je moet kunnen laten zien hoe beslissingen over informatiebeveiliging daar terechtkomen. Leg dat vast in een beleidsdocument en in notulen van de commissie. Zie ook de verplichte documenten.
Veelgemaakte fouten bij ziekenhuizen
- Een te brede uitsluiting. Locaties of systemen worden uitgesloten zonder onderbouwing, en de auditor zoekt ze alsnog op.
- Medische apparatuur buiten beeld. Apparaten met een eigen besturingssysteem komen niet voor in de risicoanalyse.
- Leveranciers zonder jaarlijkse controle. Het contract bestaat, maar niemand kijkt of de leverancier nog aan de afspraken voldoet.
- Documentatie van het informatiebeveiligingsmanagementsysteem (ISMS) die niet bij de praktijk aansluit. Het beleid beschrijft een proces dat op de werkvloer niet bestaat.
- Incidenten die niet worden gekoppeld. Een klacht van een patiënt leidt niet tot een verbetering in het risicoregister.
Hoe groot is het traject?
De doorlooptijd hangt sterk af van de scope en de volwassenheid van de organisatie. Een ziekenhuis dat al ISO 27001 of een vergelijkbaar managementsysteem heeft, begint vaak verder dan een ziekenhuis zonder. Voor een indicatie van kosten en doorlooptijd, zie kosten en tijdlijn. Een ziekenhuis valt daar in de grootste categorie (meer dan 100 fte, voltijdsequivalenten): de indicatie is 9 tot 18 maanden en meer dan 1.000 interne uren. Reken dus op een eigen projectplan en een projectleider die er veel tijd voor krijgt.
Wat de auditor bij een ziekenhuis extra kan bekijken
- De scopebeslissing en de onderbouwing van uitsluitingen.
- De koppelingenlijst met bijbehorende verwerkersafspraken.
- Een steekproef van logs en autorisaties bij een recent gewijzigde rol.
- De eigenaarschapsmatrix en de vervanging daarin.
- Het bewijs van de jaarlijkse controle van leveranciers.
Volgende stap
Begin met een scopebesluit en een eigenaarschapsmatrix voor het EPD. Daarna pas de rest van de maatregelen. Wie al het stappenplan volgt, kan dit als tweede fase inpassen. Vergelijkbare keuzes voor kleinere zorgaanbieders staan op NEN 7510 voor kleine praktijken en voor GGZ-organisaties op NEN 7510 voor GGZ-instellingen.
Aanvullend en let op
- De voorbeelden in de tabellen zijn fictief en dienen als werkvorm, geen norm. De zes onderdelen zijn een praktijkkeuze, geen indeling uit de norm.
- Wettelijk moet een zorgaanbieder, dus ook een ziekenhuis, zorgen voor een veilig en zorgvuldig gebruik van zijn systemen “overeenkomstig het bepaalde in NEN 7510 en NEN 7512” (artikel 3, lid 2 van het Besluit elektronische gegevensverwerking door zorgaanbieders ). Voor logging verwijst artikel 5 naar NEN 7513. Het besluit vraagt om naleving van de norm. Of een certificaat nodig is, volgt uit eisen van opdrachtgevers of zorgverzekeraars; controleer dat per situatie.
- Toezicht op dit besluit ligt volgens de toelichting bij de Autoriteit Persoonsgegevens (AP). De Inspectie Gezondheidszorg en Jeugd (IGJ) houdt toezicht op verantwoorde zorg.
- Voor de actuele versie en de overgangstermijnen, zie transitie naar NEN 7510:2024.