Doorloop alle acht stappen om jullie praktijk stap voor stap compliant te maken. Elke stap bevat concrete acties, hulpmiddelen en een feedbackveld voor je collega's.
Deze context helpt om risico’s en prioriteiten beter te duiden in de volgende stappen.
Je bekijkt Stap 0: Intake & praktijkprofiel. Zijn de juiste vragen gesteld om een goed beeld te krijgen van de praktijk?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe zorgorganisaties moeten omgaan met de bescherming van informatie — van patiëntendossiers tot digitale systemen en papieren dossiers. NEN 7510 is gebaseerd op de internationale ISO 27001-norm, maar specifiek toegesneden op de zorgsector.
Als huisartsenpraktijk verwerkt u bijzondere persoonsgegevens: medische informatie over uw patiënten. Dat brengt wettelijke verplichtingen met zich mee. De AVG (art. 32) verplicht u passende technische en organisatorische maatregelen te treffen. De Begz (Besluit elektronische gegevensverwerking door zorgaanbieders) verwijst expliciet naar NEN 7510 als de norm waaraan u moet voldoen. Kortom: NEN 7510-compliance is voor uw praktijk geen keuze, maar een verplichting.
Informatiebeveiliging werkt alleen als iedereen in de praktijk weet dat het speelt. Je hoeft geen uitgebreide training te geven — een kort gesprek in het werkoverleg is voldoende als start.
Informatiebeveiliging draait om drie dingen die jullie willen beschermen:
Informatie is er wanneer je haar nodig hebt. Denk: het HIS valt uit tijdens het spreekuur.
Informatie klopt en is niet onbedoeld gewijzigd. Denk: een verkeerde dosering in het dossier.
Alleen bevoegde mensen zien de informatie. Denk: een patiëntendossier dat op straat belandt.
Informatiebeveiliging werkt alleen als duidelijk is wie wat doet. Jullie praktijk heeft drie rollen nodig. Die kunnen bij dezelfde persoon liggen, maar het is belangrijk dat élke rol bewust belegd is.
Informatiebeveiliging gaat over alle informatie in de praktijk — niet alleen de computer. Bespreek samen welke onderdelen van jullie praktijk in scope vallen.
NEN 7510-2:2024 bevat 93 beheersmaatregelen, aangevuld met 11 zorgspecifieke HLT-maatregelen. Dat is een uitgebreid normenkader opgesteld voor de volledige breedte van zorgorganisaties: van grote ziekenhuizen en GGD’en tot laboratoria en apotheken. Dit platform richt zich op huisartsenpraktijken in alle vormen — van solopraktijk tot grote groepspraktijk of gezondheidscentrum — een specifieke categorie met een eigen risicoprofiel.
Dit stappenplan is risicogericht opgebouwd, conform de methodiek van de NHG/LHV/InEen Handleiding Risicoafweging. De maatregelen zijn geselecteerd op relevantie voor het concrete risicoprofiel van huisartsenpraktijken. Een maatregel als “veilig coderen” (8.25–8.28) is terecht buiten scope: huisartsenpraktijken ontwikkelen geen eigen software. Hetzelfde geldt voor scheiding van ontwikkel-, test- en productieomgevingen.
Maatregelen met hoge technische complexiteit — zoals netwerkscheiding (8.22), configuratiebeheer (8.9) of beveiligingstesten (8.29) — zijn bewust op een toegankelijk niveau beschreven. Voor grotere praktijken en gezondheidscentra met een eigen systeembeheerder worden deze maatregelen doorgaans op leveranciersniveau geborgd en getoetst via de verwerkersovereenkomst.
Voor grotere gezondheidscentra die aansluiting zoeken bij een formeel ISMS-traject (NEN 7510-1 / ISO 27001) biedt SpinDok een solide startpunt. Een volledige Statement of Applicability (SoA) per maatregel kan op basis van de hier uitgevoerde stappen worden opgesteld.
Je bekijkt Stap 1: Begrijpen & afbakenen. Geef gerichte feedback op de opzet, volledigheid en toon van deze stap.
Doorloop het template hieronder. De grijze tekst is vooraf ingevuld en mag je overnemen. De witte invoervelden vullen jullie zelf in. Na het invullen kun je het plan als PDF downloaden.
| Maatregel (code) | Reden niet uitvoerbaar | Compenserende maatregel | Restrisico | Geaccepteerd door | Datum |
|---|---|---|---|---|---|
Je bekijkt Stap 2: Afspraken & beleid. Is dit beleidsplan-template volledig en werkbaar voor een gemiddelde huisartsenpraktijk?
Beoordeel per maatregel de status en pas de implementatietoelichting aan. De tabel is vooraf ingevuld op basis van de standaardsituatie voor huisartsenpraktijken; pas aan naar jullie eigen situatie.
| Code | Beheersmaatregel | Van toepassing? | Implementatie / onderbouwing |
|---|
Je bekijkt Stap 3: Toepasselijkheid & verantwoording. Is de SoA-aanpak werkbaar voor een huisartsenpraktijk?
Ga letterlijk door de praktijk heen. Wat ligt er op bureaus, welke schermen staan er aan, welke systemen worden gebruikt? De onderstaande tabel is een startpunt — vul aan wat bij jullie praktijk past.
De tabel bevat de 13 standaardprocessen uit de NHG/LHV/InEen handleiding, vooraf ingevuld. Pas de systemen aan op jullie eigen situatie, vink kolommen aan en voeg rijen toe waar nodig.
| # | Proces | Betrokken systemen / informatieobjecten | Externe informatiestromen & interfaces | Wie heeft toegang? | Patiëntgegevens? | Bijzondere aandachtspunten |
|---|
Je bekijkt Stap 4: Informatieobjecten in kaart. Zijn de vooraf ingevulde processen herkenbaar en volledig voor een gemiddelde huisartsenpraktijk?
Elke BIV-dimensie krijgt een klasse van 0 tot 3. Hoe hoger de klasse, hoe zwaarder de vereiste beveiliging. Lees de kaarten hieronder goed door voordat jullie gaan scoren.
Klik per rij op de klasse (0–3) voor Beschikbaarheid, Integriteit en Vertrouwelijkheid. De hoogste score per rij bepaalt de totaalklasse. Rijen met klasse 2 of 3 worden automatisch gemarkeerd.
| # | Proces | Beschikbaarheid | Integriteit | Vertrouwelijkheid | Totaal | Toelichting |
|---|
Je bekijkt Stap 5: BIV-classificatie. Zijn de vier klassen helder genoeg voor een niet-technische praktijkhouder?
Gebruik de twee schalen hieronder om kans en effect te scoren. De risico-impact is het product van beide — een hoge kans met een beperkt effect kan minder urgent zijn dan een lage kans met een catastrofaal effect.
| Effect 1 | Effect 2 | Effect 3 | |
|---|---|---|---|
| Kans 1 | 1 | 2 | 3 |
| Kans 2 | 2 | 4 | 6 |
| Kans 3 | 3 | 6 | 9 |
Scoor elke bedreiging op kans (1–3) en effect (1–3). De risico-impact berekent automatisch. Bedreigingen met een hoge impact worden rood gemarkeerd. Voeg zo nodig een eigen bedreiging toe onderaan.
| # | Bedreiging | BIV | Kans 1–3 |
Effect 1–3 |
Impact | Aanvullende maatregelen |
|---|
Je bekijkt Stap 6: Risico's beoordelen. Zijn de 26 bedreigingen herkenbaar en volledig voor een huisartsenpraktijk?
Bij klasse 2 of 3 op een BIV-dimensie zijn onderstaande basismaatregelen verplicht. Controleer per maatregel of die al is ingericht, deels is ingericht, of nog ontbreekt.
Back-up wordt opgeslagen op een medium onafhankelijk van het gebruikte systeem (externe locatie of cloud). Bij cloud: controleer of back-up contractueel is vastgelegd bij de leverancier.
Er is een alternatief als het primaire systeem uitvalt: noodstroomvoorziening, lokaal bruikbaar systeem bij internetuitval, of calamiteitenplan met alternatieve werkwijze.
Vastgelegd hoe medewerkers met systemen omgaan: wie mag wat doen, hoe worden wijzigingen doorgevoerd, hoe worden fouten gemeld. Inclusief toezicht op naleving.
Informatie wordt alleen versleuteld opgeslagen. Controleer bij de leverancier of dit het geval is. Back-ups van patiëntdossiers moeten versleuteld zijn.
Tweefactorauthenticatie (2FA) als minimum voor toegang tot patiëntgegevens. Autorisatiematrix in het HIS: medewerkers krijgen alleen toegang tot wat zij voor hun rol nodig hebben.
Leg vast wie wat doet bij een beveiligingsincident: wie coördineert, wie meldt aan de AP (bij datalek binnen 72 uur), wie communiceert naar patiënten, wie herstelt systemen. Oefen dit scenario minimaal jaarlijks. Leg na elk incident schriftelijk vast wat er is gebeurd en wat er van is geleerd.
Stel een procedure op voor het aanmaken van accounts bij indiensttreding en het onmiddellijk intrekken van alle toegangen bij vertrek. Gebruik hiervoor een vaste checklist per medewerker. Grotere praktijken en gezondheidscentra overwegen een centraal identiteitsbeheerproces (IAM).
Vraag voor alle medewerkers met toegang tot patiëntgegevens een Verklaring Omtrent het Gedrag (VOG) aan bij aanstelling. Leg de verplichting vast in het personeelsbeleid. Voor tijdelijke medewerkers, vervangers en stagiaires gelden dezelfde eisen.
Leg vast welke consequenties er zijn als medewerkers IB-afspraken niet naleven. Dit hoeft niet uitgebreid te zijn, maar dient aantoonbaar te zijn vastgelegd — bijvoorbeeld als onderdeel van de gedragscode of het personeelshandboek.
De meeste HIS-systemen draaien tegenwoordig als clouddienst (ASP/SaaS). Controleer bij uw leverancier: waar staan de servers (EU/Nederland)?, is er een SLA met beschikbaarheidsgarantie?, hoe is de back-up geregeld?, is de leverancier NEN 7510 of ISO 27001 gecertificeerd? Leg de antwoorden vast in de verwerkersovereenkomst.
Alle werkstations en servers in de praktijk zijn voorzien van actuele antivirussoftware of geavanceerdere endpoint detectie (EDR). Updates worden automatisch uitgerold. Verificeer bij de systeembeheerder of dit actief is én of de logs periodiek worden bekeken. Let op: op medische apparaten gelden aanvullende eisen van de fabrikant.
Zorg dat besturingssystemen en software actueel worden gehouden. Automatische Windows-updates moeten aan staan. Vraag de systeembeheerder om een patchschema: wanneer worden updates uitgerold, wie controleert dit en hoe snel worden kritieke beveiligingspatches toegepast (norm: binnen 30 dagen)?
Alle systemen in de praktijk die logging uitvoeren (HIS, netwerkapparatuur, servers) moeten gesynchroniseerde tijdstempels gebruiken via een NTP-server. Dit is een formele vereiste onder NEN 7513: auditlogs zijn alleen juridisch bruikbaar als tijdstempels aantoonbaar correct zijn. Verifiëer dit bij de systeembeheerder.
Stel vast welke persoonlijke apparaten medewerkers mogen gebruiken voor werkgerelateerde taken en onder welke voorwaarden. Minimumeis: geen onversleutelde patiëntgegevens op privéapparaten. Voor grotere praktijken en gezondheidscentra: overweeg MDM-software (Mobile Device Management) voor centraal beheer en op-afstand-wissen bij verlies.
NEN 7510-1 (7.3) en NEN 7510-2 (6.3) vereisen een aantoonbaar bewustwordingsprogramma. Dat hoeft niet groot te zijn — voor een huisartsenpraktijk volstaan gerichte, regelmatig herhaalde activiteiten. Het gaat erom dat medewerkers weten wat informatiebeveiliging is, wat hun rol daarin is, en hoe ze incidenten melden.
Uitleg beleidsplan en gedragscode. Toegangen aanmaken. Wachtwoordbeleid uitleggen. Geheimhoudingsverklaring ondertekenen.
Bespreek één actueel onderwerp: bijv. recente phishing-aanvallen in de zorg, nieuwe afspraken over thuiswerken, ervaringen met incidenten.
Herhaal de kernboodschappen: wat is IB, welke risico’s zijn actueel, wat doe je bij een incident? Gebruik de Gamma-presentatie uit stap 1 als basis. Documenteer aanwezigheid als bewijs.
NEN 7510-2 (6.3) vraagt om toetsing van het effect van training. Stel twee à drie vragen na de sessie, of laat de IB-coördinator een ronde door de praktijk doen (clean desk, vergrendelde schermen, gebruik wachtwoordkluis).
Zet alle maatregelen die nog niet zijn ingericht om in concrete acties. Wijs per actie een eigenaar aan en stel een realistisch deadline in. De actielijst hieronder is je werkplan voor de komende 12 weken.
| # | Maatregel / actie | Categorie | Prioriteit | Eigenaar | Deadline | Status |
|---|
Je bekijkt Stap 7: Maatregelen uitvoeren. Is de aanpak werkbaar voor een drukke praktijk — en is 12 weken realistisch?
Loop de actielijst uit stap 6 door en toets per maatregel of die is uitgevoerd en werkt. Gebruik de vragen hieronder als leidraad.
De management review is een formeel vereiste uit NEN 7510-1 (9.3). Het topmanagement — in een huisartsenpraktijk de eindverantwoordelijke/praktijkhouder — beoordeelt jaarlijks het ISMS op geschiktheid, toereikendheid en doeltreffendheid. Dit is een ander moment dan de interne audit: het gaat hier om een bestuurlijk oordeel, niet een technische controle.
Vul het rapportage-overzicht in. Dit is een beknopte samenvatting van de IB-status van jullie praktijk — geschikt om te delen met de RHO of te bewaren in het kwaliteitsdossier.
Je bekijkt Stap 8: Controleren & rapporteren. Is het rapportage-format bruikbaar voor de RHO of andere externe partijen?
Plan nu al de datum voor de volgende risicoherziening. Minimaal eens per drie jaar is verplicht (NEN 7510), maar jaarlijks is de aanbevolen praktijk. Koppel het aan een vast moment in het jaar — bijv. na de zomervakantie of aan het begin van het kalenderjaar.
Informatiebeveiliging verandert mee met de praktijk. Zorg dat bij de volgende wijzigingen altijd de IB-coördinator wordt betrokken — ook als het klein lijkt.
Altijd BIV-classificatie uitvoeren vóór implementatie. Leveranciersovereenkomst afsluiten.
IB-introductie bij onboarding. Persoonlijke inlog aanmaken. Rechten in autorisatiematrix instellen.
Toegang onmiddellijk intrekken in alle systemen. Apparatuur innemen en wissen.
Melden bij AP indien vereist. Analyseren, leren, aanpassen. Vastleggen in het kwaliteitssysteem.
Fysieke beveiliging opnieuw beoordelen. Netwerk en toegang opnieuw inrichten.
Beleid en procedures aanpassen. NHG/LHV-webdossier checken op updates.
Dat betekent: een vastgesteld beleidsplan, een complete inventarisatie, een doordachte risicoanalyse, concrete maatregelen in uitvoering en een rapport gereed voor externe verantwoording. Dat is niet vanzelfsprekend — en het beschermt de patiënten en medewerkers van jullie praktijk.
Communiceer het resultaat naar het team: wat hebben jullie gedaan, wat is er verbeterd, en wanneer pakken jullie het de volgende keer op.
Je bekijkt Stap 9: Bijhouden & meegroeien. Wat helpt om informatiebeveiliging levend te houden in een drukke praktijk?