1. De Verklaring van Toepasselijkheid sluit niet aan op de praktijk

De Verklaring van Toepasselijkheid (VvT) is het document waarin u per beheersmaatregel vastlegt of die van toepassing is en hoe u eraan voldoet. Sinds NEN 7510:2024 is dit geen vrijblijvende exercitie meer: de implementatierichtlijn uit NEN 7510-2 vraagt expliciete onderbouwing.

Wat er misgaat: de VvT is ooit ingevuld als projectdocument en daarna niet meer aangeraakt, terwijl systemen, leveranciers en processen wél zijn veranderd. Een auditor die drie maatregelen steekproefsgewijs natrekt en er twee anders aantreft dan beschreven, twijfelt direct aan de rest.

Wat de auditor wil zien: een actuele VvT met per maatregel een verwijzing naar het onderliggende beleidsstuk, de procedure of de technische instelling, en een aantoonbaar moment waarop het document is herzien.

2. Risicomanagement is een eenmalig project geweest

NEN 7510 vraagt om risicomanagement als doorlopend proces, niet om één risicoanalyse in een spreadsheet. Toch is dat precies wat auditors vaak aantreffen: een gedegen analyse uit het jaar van implementatie, zonder enige actualisatie daarna.

Wat de auditor wil zien: een vastgestelde risicomethodiek, een actueel risicoregister met eigenaren per risico, en bewijs dat risico's periodiek opnieuw zijn beoordeeld, bijvoorbeeld notulen van een overleg waarin dat is gebeurd. Belangrijk: het eigenaarschap hoort bij de proceseigenaar te liggen, niet standaard bij de IT-afdeling.

3. Leveranciers zijn een blinde vlek

NEN 7510:2024 heeft de eisen rond informatiebeveiliging bij leveranciers aangescherpt, en niet zonder reden: een groot deel van de zorg-ICT draait bij externe partijen. Toch hebben veel organisaties geen actueel overzicht van welke leverancier toegang heeft tot welke patiëntgegevens.

●        Een actueel leveranciersoverzicht met per partij het type toegang en de bijbehorende risicoclassificatie.

●        Verwerkersovereenkomsten die aansluiten op de werkelijke dienstverlening, niet op de situatie van vijf jaar geleden.

●        Onafhankelijk bewijs van kritieke leveranciers, een assurance-rapport of TPM-verklaring, in plaats van een ingevulde vragenlijst.

●        Afspraken over incidentmelding: krijgt u bericht als het bij uw leverancier misgaat, en binnen welke termijn?

4. Logging bestaat, maar niemand kijkt ernaar

Toegang tot patiëntdossiers moet herleidbaar zijn. Vrijwel elk zorginformatiesysteem logt dat ook keurig. Het probleem zit in de opvolging: er is geen proces dat die logging periodiek beoordeelt, waardoor oneigenlijke inzage pas aan het licht komt als iemand een melding doet.

Wat de auditor wil zien: een vastgelegd proces voor logbeoordeling, met een aanwijsbare verantwoordelijke, een frequentie en, cruciaal, dossierbewijs dat de beoordelingen ook daadwerkelijk hebben plaatsgevonden.

5. Autorisaties zijn meegegroeid met de organisatie

Medewerkers wisselen van functie, krijgen er rechten bij en verliezen zelden iets. Na een paar jaar heeft een deel van de organisatie toegang tot gegevens die voor de huidige functie niet nodig zijn. Dit is een van de meest voorkomende bevindingen bij audits in de zorg, en tegelijk een van de gemakkelijkst te voorkomen.

Wat de auditor wil zien: een periodieke autorisatiebeoordeling waarin leidinggevenden bevestigen dat de rechten van hun medewerkers nog passend zijn, inclusief aantoonbare opvolging van wat daaruit komt. Ook het proces rond uitdiensttreding hoort hier: worden accounts tijdig ingetrokken, en kunt u dat laten zien?

6. Incidenten en continuïteit zijn alleen op papier geregeld

Een incidentprocedure die nooit is beproefd, is bij een echte calamiteit weinig waard. Datzelfde geldt voor het continuïteitsplan en de back-ups: het bestaan van een back-up zegt niets zolang niemand een restore heeft getest.

●        Een incidentregister waaruit blijkt dat meldingen daadwerkelijk worden vastgelegd en afgehandeld.

●        Bewijs van een geteste restore, niet alleen van een geslaagde back-upjob.

●        Een continuïteitsplan dat minstens één keer in een oefening is doorlopen, met de leerpunten vastgelegd.

7. Bewustwording blijft steken bij een jaarlijkse e-learning

NEN 7510:2024 legt meer nadruk op het trainen van personeel. Een verplichte e-learning met een afvinklijst voldoet formeel, maar een auditor kijkt ook naar effect: worden phishingsimulaties uitgevoerd, en wat gebeurt er met medewerkers die er structureel intrappen? Bewustwording moet zichtbaar onderdeel zijn van de bedrijfsvoering, niet van de compliance-administratie.

Het verschil tussen 'voldoen' en 'kunnen aantonen'

De rode draad in bovenstaande punten: bijna elke organisatie heeft de maatregelen wel ergens belegd, maar kan de wérking ervan niet laten zien op het moment dat het erop aankomt. Een pre-audit legt precies dat verschil bloot, ruim voordat het oordeel definitief is, en is daarmee vrijwel altijd de goedkoopste stap in het hele traject.