Praktische NEN 7510-checklist voor huisartsenpraktijken

Huisartsenpraktijken verwerken dagelijks bijzondere persoonsgegevens: medische dossiers, verwijzingen, labuitslagen, correspondentie met apotheek en ziekenhuis. Voor de omgang daarmee geldt NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg. Wat die norm precies is en voor wie hij geldt, leest u in wat is NEN 7510. Deze checklist gaat over de praktijk: waar staat u nu, en wat kunt u laten zien?

Loop de punten langs met de persoon die bij u verantwoordelijk is voor privacy en beveiliging — vaak de praktijkmanager of een van de huisartsen. Reken op een dagdeel voor een eerlijke eerste ronde.

Waarvoor deze checklist wel en niet bedoeld is

Deze lijst helpt u een beeld te vormen en gaten te vinden. Hij is nietuitputtend en vervangt de norm niet: NEN 7510 bevat aanzienlijk meer beheersmaatregelen dan hier passen, en welke daarvan voor uw praktijk relevant zijn hangt af van uw eigen risicoanalyse. Ziet u een punt waarvan u denkt "dat geldt bij ons niet", leg dan vast waarom niet. Die onderbouwing is bij NEN 7510 net zo belangrijk als de maatregel zelf.

1. Scope en verantwoordelijkheden

Begin met afbakenen: over welke praktijk, locaties, systemen en gegevensstromen gaat het? Bij een solopraktijk is dat kort; bij een groepspraktijk met meerdere locaties, een HOED-constructie of gedeelde ICT is dit direct het lastigste punt.

• Is duidelijk welke locaties en systemen binnen de scope vallen?
• Wie is eindverantwoordelijk — en wie voert het dagelijks uit?
• Is vastgelegd wie de rol van functionaris gegevensbescherming of privacycontactpersoon vervult, of dat u die niet heeft (en waarom niet)?
• Weten waarnemers, assistentes en stagiairs bij wie zij iets moeten melden?

Bewijs: Een korte notitie met de scope en een overzicht wie waarvoor verantwoordelijk is, met datum en vaststelling.

2. Informatiebeveiligingsbeleid

Het beleid beschrijft wat u belangrijk vindt en welke regels gelden. Het hoeft geen lijvig document te zijn — een helder stuk van enkele pagina's dat daadwerkelijk klopt met hoe u werkt, is meer waard dan een sjabloon van internet dat niemand kent.

• Is het beleid vastgesteld, gedateerd en heeft het een eigenaar?
• Kennen medewerkers het, en weten zij waar het staat?
• Staat er een herzieningsmoment in, bijvoorbeeld jaarlijks?
• Sluit het aan op wat er in de praktijk werkelijk gebeurt?

Bewijs: Een vastgesteld beleidsdocument met datum, eigenaar en een aantoonbaar moment waarop het is besproken.

3. Risicoanalyse

Dit is het hart van de norm. NEN 7510 gaat niet uit van een vaste lijst maatregelen die iedereen afvinkt, maar van risico's die u zelf identificeert en beoordeelt. Denk aan een verloren telefoon met praktijkmail, een phishingmail die iemand opent, uitval van het EPD, of een oud-medewerker die nog toegang heeft.

• Heeft u de belangrijkste risico's benoemd en beoordeeld?
• Is per risico duidelijk wat u doet: accepteren, verkleinen of beleggen bij een ander?
• Heeft elk risico een eigenaar en een herzieningsdatum?
• Is de analyse actueel — of dateert hij van drie jaar geleden?

Bewijs: Een risicoregister met per risico een beoordeling, de gekozen maatregel, een eigenaar en de datum van de laatste herziening.

4. Verklaring van Toepasselijkheid

De Verklaring van Toepasselijkheid (VvT) legt vast welke beheersmaatregelen uit de norm u toepast en welke niet, met per keuze een onderbouwing. Praktijken die dit overslaan, lopen er bij een beoordeling gegarandeerd tegenaan: zonder VvT is niet te controleren welke keuzes u bewust heeft gemaakt.

• Bestaat er een VvT en is die afgeleid van uw eigen risicoanalyse?
• Staat bij elke uitsluiting een inhoudelijke reden — niet alleen "niet van toepassing"?
• Is per maatregel zichtbaar of hij al werkt of nog in uitvoering is?

Bewijs: Een ingevulde Verklaring van Toepasselijkheid met per maatregel: van toepassing ja/nee, de motivering en de status.

5. Gebruikers- en toegangsbeheer

Toegang is in de huisartsenzorg vrijwel altijd het punt met de meeste losse eindjes: gedeelde accounts op de balie, waarnemers die na hun laatste dienst nog kunnen inloggen, een leverancier met permanente beheertoegang.

• Heeft iedereen een persoonlijk account, zonder gedeelde inlog?
• Krijgt iedereen alleen toegang tot wat bij zijn rol hoort?
• Is er tweefactorauthenticatie op systemen die van buiten bereikbaar zijn?
• Wordt toegang direct ingetrokken bij vertrek, en controleert u periodiek wie er nog in staat?
• Is er een procedure voor beheerders- en noodtoegang?

Bewijs: Een actueel overzicht van accounts en rollen, plus bewijs van de laatste controle op onnodige of vergeten accounts.

6. EPD en patiëntgegevens

Rond het patiëntendossier komen AVG en NEN 7510 samen. De AVG vraagt om een verwerkingsregister (artikel 30) en om passende beveiliging (artikel 32); NEN 7510 vraagt daarnaast dat u aantoonbaar stuurt op die beveiliging.

• Staat in uw verwerkingsregister welke gegevens u verwerkt, waarom en hoe lang?
• Legt uw EPD vast wie wanneer een dossier heeft ingezien?
• Kunt u die logging ook daadwerkelijk opvragen als daar aanleiding voor is?
• Is duidelijk hoe u omgaat met dossiers van medewerkers of bekenden uit de praktijk?
• Weet u waar patiëntgegevens buiten het EPD terechtkomen — mail, scans, USB, papier?

Bewijs: Een verwerkingsregister met de verwerkingen rond het patiëntendossier, plus het logging-overzicht van uw EPD-leverancier.

7. Incident- en datalekprocedure

Niet elk beveiligingsincident is een datalek, en niet elk datalek hoeft bij de Autoriteit Persoonsgegevens te worden gemeld. Wat wél altijd moet: elk datalek intern vastleggen, inclusief de afweging waarom u wel of niet heeft gemeld. Het volledige stappenplan staat in datalek in de zorg.

• Weet iedereen bij wie een incident gemeld moet worden, ook 's avonds?
• Is er een vaste route van melding naar beoordeling naar besluit?
• Houdt u een intern datalekregister bij?
• Is duidelijk wie beoordeelt of de AP-melding binnen 72 uur nodig is?

Bewijs: Een intern datalekregister met per incident de feiten, de risicoafweging, het besluit over melden en de genomen maatregelen.

8. Leveranciers en verwerkersovereenkomsten

Uw EPD, uw praktijkmail, uw telefonie, uw back-up, uw waarneemsysteem: bij vrijwel elk van die partijen ligt uw beveiliging deels buiten uw eigen muren. U blijft verwerkingsverantwoordelijke, dus u moet kunnen laten zien dat u die partijen bewust heeft gekozen.

• Heeft u een overzicht van alle leveranciers die patiëntgegevens verwerken?
• Is er met elk van hen een verwerkersovereenkomst getekend?
• Weet u waar zij gegevens opslaan, en of dat binnen de EU is?
• Vraagt u periodiek naar hun certificeringen of auditrapporten?
• Is vastgelegd wat er gebeurt bij beëindiging — teruggave of vernietiging?

Bewijs: Een leveranciersoverzicht met per partij de getekende verwerkersovereenkomst en de datum van de laatste beoordeling.

9. Back-ups en continuïteit

Een back-up die nooit is teruggezet, is een aanname. De vraag bij dit punt is niet of u back-ups heeft, maar of u weet hoe lang herstel duurt en of u dat een keer echt heeft geprobeerd.

• Weet u wie de back-ups maakt en hoe vaak?
• Is er ooit een herstel getest, en wanneer voor het laatst?
• Hoe lang kan uw praktijk doorwerken zonder EPD, en hoe dan?
• Staat er minimaal één kopie op een plek los van uw dagelijkse omgeving?

Bewijs: Een back-upschema, het verslag van de laatste hersteltest en een continuïteitsplan voor uitval van het EPD.

10. Bewustwording van medewerkers

De meeste incidenten in een huisartsenpraktijk beginnen bij een gewone werkdag: een mail naar het verkeerde adres, een brief in de verkeerde envelop, een link die er echt uitzag. Bewustwording is daarom een maatregel, geen bijzaak.

• Krijgen nieuwe medewerkers uitleg over privacy en beveiliging bij hun start?
• Komt het onderwerp minimaal jaarlijks terug in een overleg?
• Weet iedereen wat een datalek is en dat melden geen straf oplevert?
• Legt u vast dát dit is gebeurd?

Bewijs: Een deelnemerslijst of aantekening van de laatste instructie, met datum en onderwerp.

11. Interne controle

NEN 7510 verwacht dat u zelf periodiek nagaat of het werkt. Voor een praktijk kan dat een jaarlijkse evaluatie van een uur zijn: openstaande risico's, incidenten van het afgelopen jaar, wat er niet af is gekomen.

• Kijkt u minimaal jaarlijks terug op incidenten, risico's en openstaande acties?
• Worden bevindingen vastgelegd met een eigenaar en een termijn?
• Ziet u ook terug wat er met eerdere verbeterpunten is gebeurd?

Bewijs: Een verslag van de laatste interne evaluatie met bevindingen, verbeterpunten en wie ze oppakt.

12. Onafhankelijke beoordeling

Uw eigen oordeel over uw eigen praktijk is per definitie niet onafhankelijk. Dat hoeft niet meteen een certificeringstraject te betekenen: een externe toets of een collega uit een andere praktijk die meekijkt, is ook een stap. Wat het kost, leest u in wat kost werken volgens NEN 7510.

• Heeft ooit iemand van buiten uw beveiliging beoordeeld?
• Is duidelijk of u wilt certificeren, en zo ja op welke termijn?
• Als u dat niet doet: is die keuze onderbouwd vastgelegd?

Bewijs: Het rapport van een externe toets, audit of certificeringstraject — of een onderbouwd besluit waarom u dat (nog) niet doet.

Voorbeelden van bewijsstukken

Bij een beoordeling gaat het zelden om wat u zegt te doen, maar om wat u kunt laten zien. Dit zijn de documenten waar in de praktijk het vaakst naar wordt gevraagd:

Waar beginnen de meeste praktijken?

Als u de lijst hierboven doorloopt en op meer dan de helft "nog niet" moet antwoorden, is dat geen uitzondering. Een werkbare volgorde:

1. Maak eerst de risicoanalyse (punt 3). Daaruit volgt wat er voor úw praktijk toe doet — zonder die stap verzamelt u maatregelen zonder richting.
2. Zet daarna het registreren op orde (punt 6 en 7). Incidenten, privacyverzoeken en het verwerkingsregister zijn de dingen die dagelijks langskomen en waar het bewijs het snelst wegzakt.
3. Ruim toegangsbeheer op (punt 5). Vaak het snelste concrete resultaat: een middag accounts nalopen levert direct minder risico op.
4. Leg beleid en VvT vast (punt 2 en 4). Dit gaat een stuk makkelijker als de eerste drie stappen er al liggen.
5. Plan pas dan een onafhankelijke beoordeling (punt 12).

Werkt u niet in een huisartsenpraktijk maar in de thuiszorg? Dan verschuiven de accenten naar mobiele apparaten en medewerkers die onderweg werken — bekijk de pagina voor thuiszorgorganisaties.