NEN 7510-checklist: zo controleert u de informatiebeveiliging van uw praktijk of apotheek

Hoe gebruikt u deze checklist?

NEN 7510 schrijft geen vaste lijst maatregelen voor. U beoordeelt zelf de risico's en neemt passende maatregelen. Deze checklist is daarom geen vervanging van de norm, maar een praktische controle: loop de punten langs, zet een vinkje bij wat geregeld én vastgelegd is, en u ziet meteen waar u begint. Kunt u een punt niet aantonen met een document, instelling of rapportage, dan telt het voor de norm nog niet.

De checklist is geschreven voor huisartsenpraktijken, gezondheidscentra en apotheken. Voor GGZ-instellingen gelden dezelfde onderdelen, meestal met meer locaties en meer thuiswerkplekken.

1. Beleid en verantwoordelijkheden

• Er is een informatiebeveiligingsbeleid van maximaal een paar pagina's, vastgesteld door de praktijkhouder of het bestuur.
• Eén persoon is aanspreekpunt voor informatiebeveiliging en weet wat te doen bij een incident.
• Het beleid wordt jaarlijks besproken en bijgewerkt, en de datum daarvan staat erop.
• Nieuwe medewerkers tekenen voor geheimhouding en krijgen de afspraken uitgelegd.

2. Risicoanalyse

• U heeft een overzicht van uw systemen en gegevens: HIS of AIS, mail, bestanden, telefonie, website, koppelingen.
• Per systeem is bekend wat uitval, lekken of fouten voor de zorg betekenen.
• De belangrijkste risico's hebben een maatregel en een eigenaar.
• De analyse is minder dan een jaar oud of herzien na een grote wijziging, zoals een verhuizing of een nieuw systeem.

3. Toegang en accounts

• Iedereen werkt met een persoonlijk account, zonder gedeelde wachtwoorden aan de balie.
• Inloggen op mail, Microsoft 365 en toegang op afstand gaat in twee stappen.
• Er is een wachtwoordbeleid dat het team volhoudt, bij voorkeur met een wachtwoordmanager.
• Rechten passen bij de functie: een assistent ziet niet wat alleen de praktijkhouder hoort te zien.
• Accounts van vertrokken medewerkers worden dezelfde dag geblokkeerd, UZI-passen worden ingenomen.

4. Werkplekken, apparaten en netwerk

• Alle computers en laptops krijgen automatisch beveiligingsupdates en draaien ondersteunde software.
• Laptops en telefoons met toegang tot praktijkgegevens zijn versleuteld en op afstand te wissen.
• Schermen vergrendelen automatisch en staan zo dat patiënten in de wachtruimte niet meekijken.
• Het netwerk is gescheiden: gastenwifi staat los van de werkplekken en medische apparatuur.
• Er is een firewall en virus- en gedragsbescherming, en afwijkingen worden gemeld en opgevolgd.

5. Back-up en herstel

• Van mail, bestanden en instellingen die niet in het HIS of AIS staan, bestaat een back-up volgens de 3-2-1-regel.
• Ten minste één kopie staat los van het netwerk, zodat ransomware er niet bij kan.
• Herstel is het afgelopen jaar getest en het verslag daarvan is bewaard.
• Er is een noodprocedure voor uitval van het HIS, het AIS of de telefonie, op papier en bekend bij het team.

6. Leveranciers en verwerkers

• Met elke leverancier die patiëntgegevens verwerkt of bij uw systemen kan, is een verwerkersovereenkomst gesloten.
• Uw ICT-partner is aantoonbaar NEN 7510- of ISO 27001-gecertificeerd, of kan uitleggen hoe hij aan de norm voldoet.
• Afspraken over beschikbaarheid, reactietijden en back-up staan in een SLA.
• Toegang op afstand door leveranciers is persoonsgebonden, gelogd en op verzoek in te trekken.

7. Bewustwording

• Het team weet hoe phishing eruitziet en bij wie een verdachte mail gemeld wordt.
• Minimaal één keer per jaar is er aandacht voor informatiebeveiliging, bijvoorbeeld in een teamoverleg of een korte training.
• Afspraken over veilig mailen van patiëntgegevens zijn bekend en worden gebruikt.

8. Incidenten en datalekken

• Er is een korte procedure voor incidenten: wie meldt wat, bij wie, en wie beslist.
• Iedereen weet dat een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld moet worden als dat nodig is.
• Incidenten worden geregistreerd, ook kleine, en jaarlijks besproken.
• Na een incident wordt vastgelegd wat er is veranderd om herhaling te voorkomen.

Wat doet u met het resultaat?

Tel de open punten per onderdeel. Staan de meeste vinkjes bij techniek en ontbreken vooral beleid, risicoanalyse en vastlegging, dan is dat het gebruikelijke beeld bij een praktijk die goed beheerd wordt maar nog niet aantoonbaar werkt volgens de norm. Begin dan met de risicoanalyse en het beleid, want daar leidt de norm alle andere maatregelen uit af. Ontbreken juist technische punten zoals updates, tweestapsverificatie of een geteste back-up, dan is dat het eerste wat u met uw ICT-partner regelt.

Overweegt u certificering? Dan laat u het geheel toetsen door een certificerende instelling. Dat is niet verplicht, maar het maakt het makkelijker om richting zorggroep, patiënten en partners te laten zien dat de beveiliging op orde is. Hoe de norm zich verhoudt tot de Cyberbeveiligingswet leest u in NIS2 voor de eerstelijnszorg.

Hoe Westers helpt

Westers is zelf NEN 7510- en ISO 27001-gecertificeerd en richt de ICT van huisartsenpraktijken en apotheken zo in dat de technische punten uit deze checklist standaard geregeld zijn: updates, tweestapsverificatie, versleuteling, geteste back-ups en 24/7 monitoring. Met MijnVeiligePraktijk helpen we ook bij bewustwording en de vastlegging. Wilt u de checklist samen doorlopen? Plan een gratis ICT-scan.