Waar gaat de norm over?
Over het beheersen van risico's rond informatie, en niet over techniek alleen. De norm vraagt dat je weet welke gegevens je hebt, wie erbij kan, wat er gebeurt als het misgaat en hoe je dat aantoonbaar hebt geregeld.
Het is daarmee eerder een manier van werken dan een lijst instellingen. Twee organisaties kunnen hem allebei goed toepassen en er technisch anders uitkomen.
Dat verklaart ook waarom niemand je kan vertellen welke knop je moet omzetten. Wat de norm van je vraagt, hangt af van wat je doet en met welke gegevens.
Voor wie geldt hij?
Voor organisaties die gegevens over de gezondheid van mensen verwerken. Dat is breder dan ziekenhuizen, want ook praktijken, zorgaanbieders aan huis en partijen die voor hen werken komen hem tegen.
Of de norm in jouw situatie verplicht is of gevraagd wordt door een opdrachtgever, is iets om na te vragen bij je branchevereniging. Dat verschilt per type zorg en het verandert.
Wat betekent dat voor software die je laat bouwen?
Dat een aantal dingen geen extra wens is maar een uitgangspunt. Deze vier komen bij elk traject terug:
- Toegang per rol. Iemand ziet wat bij zijn werk hoort en niet meer dan dat.
- Vastleggen wie wat inzag. Terug kunnen kijken wie welk dossier heeft geopend.
- Bewaren en verwijderen. Hoe lang gegevens blijven staan en wat er daarna met ze gebeurt.
- Waar het staat. Op welke servers je gegevens draaien en wie daar toegang heeft.
Neem deze vier mee in het plan en niet in de oplevering. Toegangsrechten achteraf toevoegen raakt bijna elk scherm, en dat is precies het werk dat je niet twee keer wilt doen.
Is het hetzelfde als ISO 27001?
Nee, maar ze zijn familie. NEN 7510 is opgebouwd in de lijn van de internationale normen voor informatiebeveiliging en voegt daar het zorgspecifieke deel aan toe.
Praktisch betekent dat je werk niet dubbel doet. Heeft een leverancier zijn beveiliging al volgens de internationale norm ingericht, dan is het zorgdeel een aanvulling en geen nieuw begin.
Moet je leverancier gecertificeerd zijn?
Dat is geen verplichting die uit de norm volgt. Jij blijft verantwoordelijk voor wat je uitbesteedt, dus wat je nodig hebt is zekerheid over de maatregelen en niet per se een certificaat.
Leg daarom vast wat je leverancier doet en waar je gegevens staan. Een certificaat maakt dat makkelijker aan te tonen, maar het vervangt die afspraak niet.
Wat vraag je aan een softwarebouwer?
Vier dingen. Hoe de toegangsrechten zijn opgebouwd. Of er wordt vastgelegd wie gegevens inzag. Waar de gegevens staan en wie er bij de server kan. En of er een verwerkersovereenkomst is waarin dat allemaal staat.
Krijg je op die laatste vraag geen helder antwoord, dan is dat het punt om door te vragen. Een verwerkersovereenkomst is geen formaliteit maar de plek waar staat wie wat doet.
Wanneer raakt het je niet?
Als er geen gegevens over gezondheid in je systeem komen. Een planning met alleen namen en tijden is iets anders dan een dossier, en dan gelden de gewone regels voor persoonsgegevens.
Let wel op wat er ongemerkt in terechtkomt. Een vrij tekstveld bij een afspraak wordt in de praktijk gebruikt om op te schrijven waarom iemand komt, en dan is het er alsnog.