Het opzetten van een managementsysteem voor informatiebeveiliging in de zorg kan complex zijn. Met deze checklist zie je in één oogopslag welke stappen essentieel zijn om NEN 7510-certificering te behalen.
- De NEN 7510 norm doorgronden
De norm bestaat uit twee delen: NEN 7510-1 (eisen aan het managementsysteem) en NEN 7510-2 (beheersmaatregelen). Omdat informatiebeveiliging in de zorg cruciaal is, stelt de overheid beide documenten gratis beschikbaar. Begin met het interpreteren van de norm en bepaal wat de eisen concreet van jouw organisatie vragen.
- Risico’s beoordelen
Voer een risicoanalyse uit om vast te stellen welke risico’s er zijn voor patiëntgegevens en hoe groot de kans is dat deze zich voordoen. Gebruik hiervoor een vastgestelde beoordelingsmethode. Hulpmiddelen zoals de risicoanalysetool van NEN maken dit proces overzichtelijk.
- Risico’s behandelen
Werk de risico’s uit in een risk treatment plan: documenteer de ernst van elk risico en leg vast welke maatregelen je neemt om deze te beperken. Denk hierbij vooral aan preventieve maatregelen om toekomstige incidenten te voorkomen.
- Statement of Applicability opstellen
In het Statement of Applicability (SoA) bepaal je welke beheersmaatregelen uit de norm op jouw organisatie van toepassing zijn. Motiveer keuzes en leg dit vast. Het SoA geeft zowel jou als de auditor inzicht in de scope en diepgang van het managementsysteem.
- Het totaalplaatje opmaken
Breng alle onderdelen samen in een totaalanalyse. Check of álle risico’s zijn geïdentificeerd en behandeld, en bepaal hoe je omgaat met situaties waarin maatregelen onvoldoende blijken te werken. Oefenscenario’s met medewerkers kunnen hierbij waardevol zijn.
- Een beleid opstellen
Leg in een formeel informatiebeveiligingsbeleid vast hoe je patiëntgegevens beschermt en hoe verantwoordelijkheden verdeeld zijn. Zorg dat de directie het beleid goedkeurt en dat het actief gedeeld wordt binnen de organisatie. Het beleid vormt de basis voor certificering.
Met deze zes stappen leg je een stevige basis voor NEN 7510-certificering. Zo weet je zeker dat alle risico’s rondom patiëntgegevens in beeld zijn en dat je organisatie aantoonbaar voldoet aan de eisen voor informatiebeveiliging in de zorg.
