Audit Nr. 005 5 min leestijd
NEN 7510-audit voorbereiden: de checklist die je volgende week al helpt
Over een paar weken zit er een auditor tegenover je. Dit is de checklist voor die dag: tien punten waar elke NEN 7510-toetsing langskomt, per punt de vraag die je kunt verwachten, en een indeling die in één werkweek past. Voor wie niet op de ochtend zelf naar bewijs wil zoeken.
Om 9:02 vraagt de auditor zijn eerste bewijsstuk. De eerste twee minuten gingen over de reis en de koffie. Daarna gaat de laptop open, en vanaf dat moment bestaat je kliniek uit twee categorieën: wat je kunt laten zien en wat je alleen kunt vertellen.
— De ochtend zelf
09:02
De auditor is er. Jij ook?
Ik heb die ochtend vaak genoeg meegemaakt om het patroon te kennen. Het gaat zelden mis op wat er geregeld is; in de meeste klinieken is meer op orde dan de kwaliteitsmanager zelf durft te geloven. Het gaat mis in het gat tussen doen en aantonen. De wachtwoordafspraak die iedereen kent maar die nergens staat. De logging die keurig aanstaat maar die nog nooit iemand heeft bekeken.
Beveiliging die alleen in hoofden en gewoontes bestaat, bestaat voor een auditor niet.
Alles wat je vóór de toetsing doet, dient daarom één woord.
Aantoonbaar.
Waar een auditor voor komt
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebouwd op ISO 27001 en 27002 en in 2024 herzien. Deel 1 beschrijft het managementsysteem: beleid, risicobeoordeling, verbetercyclus. Deel 2 bevat de concrete beheersmaatregelen, van toegangsrechten tot leveranciersafspraken.
Vrijblijvend is de norm niet.
Wie elektronisch patiëntgegevens verwerkt, en dat doet elke kliniek, heeft zich dus ook wettelijk tot deze normen te verhouden. De toetsing zelf loopt langs twee sporen. Eén: werkt het systeem, is er beleid, wordt er gestuurd, wordt er geleerd. Twee: klopt de praktijk, van accounts tot logging tot leveranciers. Op beide sporen geldt dezelfde regel. Wat je niet kunt tonen, kun je niet claimen.
Beveiliging die alleen in hoofden en gewoontes bestaat, bestaat voor een auditor niet.
De tien punten
Dit is de lijst die ik zelf gebruikte, met bij elk punt de vraag zoals een auditor hem stelt.
De volgorde is ruwweg de volgorde van het gesprek, dus werk hem gewoon van boven naar beneden af.
— De tien bewijsstukken
Bewijsstuk 01
Scope en verantwoordelijkheid
„Wie is eindverantwoordelijk voor informatiebeveiliging, en waar staat dat?”
In een kleine kliniek is dat vrijwel altijd de bestuurder, met jou als coördinator. Prima. Zolang het op papier staat en de directie het heeft vastgesteld.
Bewijsstuk 02
Actueel beleid
„Wanneer is dit voor het laatst beoordeeld?”
De snelste vinding die er bestaat: beleid met een herzieningsdatum die twee jaar geleden verstreek. Controleer per kerndocument vier velden: eigenaar, versie, vaststellingsdatum, volgende herziening.
Bewijsstuk 03
Risicobeoordeling en Verklaring van Toepasselijkheid
„Op basis waarvan heeft u deze maatregelen gekozen?”
Geen boekwerk nodig. Wel een antwoord: welke informatie is kritiek, wat kan er misgaan, wat doe je daartegen. De Verklaring van Toepasselijkheid legt ook vast wat je bewust niet doet, en waarom.
Bewijsstuk 04
Accounts en rechten
„Wat gebeurt er met een account als iemand uit dienst gaat?”
Loop de accountlijsten van je kernsystemen na. Ergens werkt nog het account van de stagiair van twee zomers geleden; sluit het vandaag en maak van uitdiensttreding een vaste routine. Kijk meteen of meerfactorauthenticatie overal aanstaat.
Bewijsstuk 05
Logging
„Kunt u laten zien wie dit dossier heeft ingezien?”
NEN 7513 wil wie, wat en wanneer. En er moet aantoonbaar periodiek iemand naar kijken: logging waar niemand naar kijkt is een vinkje, geen maatregel. Meer daarover in het artikel over de audittrail.
Bewijsstuk 06
Leveranciers
„Waar staan uw gegevens, en wat heeft u met die partij afgesproken?”
Maak het lijstje: EPD, kwaliteitssysteem, salarisverwerker, mailprovider. Per partij een verwerkersovereenkomst, de hostinglocatie en de subverwerkers. EU-hosting scheelt in dit gesprek merkbaar veel uitleg.
Bewijsstuk 07
Incidenten en datalekken
„Wanneer was uw laatste beveiligingsincident?”
Het slechtste antwoord is “wij hebben er nooit”. Dat betekent dat er niet gemeld wordt. Regel een simpele meldroute, een register en per incident een vastgelegde afweging of het een datalek was dat binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld moest worden.
Bewijsstuk 08
Bewustwording
„Hoe weten nieuwe medewerkers wat er van hen verwacht wordt?”
Eén aantoonbaar moment per jaar plus een vast blok in het inwerkprogramma is voor een kleine organisatie een nette basis. Nul aantoonbare momenten is het probleem.
Bewijsstuk 09
Interne audit en directiebeoordeling
„Hoe weet uw directie of dit werkt?”
NEN 7510-1 vraagt een gesloten cyclus. Eén gedocumenteerde interne audit en één directiebeoordeling per jaar, met besluitenlijst, maakt hier al het verschil.
Bewijsstuk 10
De bewijsmap
„Kunt u dat laten zien?”
Eén plek per onderwerp waar het bewijs klaarstaat. Zoeken tijdens een audit geeft onrust en lokt vervolgvragen uit.
Eén werkweek, geen avonden
Maandag en dinsdag inventariseer je alleen. Per punt noteren: aanwezig, verouderd of afwezig. Nog niets repareren, hoe erg het jeukt.
Woensdag en donderdag dicht je de gaten die klein en zichtbaar zijn. Verlopen documenten laten herzien of bewust verlengen, verweesde accounts sluiten, het incidentregister bijwerken. Twee dingen verdienen daarbij voorrang, omdat ze anders op de dag zelf opduiken: beleid zonder formele vaststelling (een perfect document zonder directiebesluit is formeel geen beleid) en logging die nog nooit bekeken is. De eerste loggingsteekproef kost een half uur; plan hem deze week en documenteer hem.
Vrijdag vul je de bewijsmap. Eén bewijsstuk per onderwerp, vindbaar binnen een minuut.
En wat er na vrijdag nog openstaat, verstop je niet. Zet het op een verbeterlijst met eigenaar en datum, en leg die lijst op tafel zodra ernaar gevraagd wordt. Een organisatie die haar gebreken kent scoort beter dan een organisatie die volhoudt dat alles af is. Elke auditor die ik heb meegemaakt, leest zo’n lijst als teken van een werkend systeem.
Een organisatie die haar gebreken kent scoort beter dan een organisatie die volhoudt dat alles af is.
— De investering
1 werkweek
Nul avonden.
ma + di · inventariseren, nog niets repareren
wo + do · kleine, zichtbare gaten dichten
vr · bewijsmap vullen, één bewijsstuk per onderwerp
Zo helpt Digitale Kliniek
Digitale Kliniek is gebouwd om deze aantoonbaarheid bij te houden terwijl je gewoon werkt. Elk document heeft verplicht een eigenaar, versie en herzieningsdatum (documentbeheer). Elke goedkeuring en publicatie staat met tijdstempel in een audittrail die achteraf niet aan te passen is (audittrail). Komt de toetsing, dan exporteer je het bewijs in plaats van het bij elkaar te zoeken. Hoe wij zelf met beveiliging omgaan, inclusief de punten die nog openstaan, lees je in ons Trust Center.
Normen genoemd in dit artikel: NEN 7510-1/-2 (informatiebeveiliging in de zorg: managementsysteem en beheersmaatregelen), NEN 7512 (vertrouwensbasis voor gegevensuitwisseling), NEN 7513 (logging van acties op het elektronisch patiëntendossier), het Besluit elektronische gegevensverwerking door zorgaanbieders en de AVG (meldplicht datalekken, verantwoordingsplicht).
Zien hoe dit in de praktijk werkt?
Een demo van 30 minuten met je eigen casus. Geen verplichtingen.