Bijgewerkt op 19 oktober 2026
Informatiebeveiliging
Geef informatiebeveiliging doorlopend aandacht
Werken volgens NEN 7510 betekent dat je een werkend managementsysteem voor informatiebeveiliging (ISMS) hebt. Daarvoor gebruik je de plan-do-check-act-cyclus. Plan: breng risico’s in kaart en kies maatregelen. Do: voer de maatregelen uit. Check: controleer of ze werken. Act: verbeter waar nodig. De praktijk moet kunnen laten zien dat deze cyclus in de praktijk werkt. Hieronder lichten we elke stap verder toe.
Als zorgverlener ben je de hoeder van de meest gevoelige data die we kennen: persoonlijke medische gegevens. Als praktijkhouder ben je daarnaast ook werkgever en contractpartij. Dat brengt een behoorlijke verantwoordelijkheid met zich mee, zowel vanuit het oogpunt van je medisch beroepsgeheim en de eisen aan het bijhouden van het dossier, als vanuit wet- en regelgeving. Je wilt natuurlijk de omgang met gegevens(bestanden) in je praktijk goed geregeld hebben en daar controle over hebben.
Informatiebeveiliging is gericht op 3 beveiligingsdoelen:
- integriteit (nauwkeurigheid, volledigheid en consistentie)
- beschikbaarheid (toegang en continuïteit van systemen)
- vertrouwelijkheid (privacy, transparantie)
NEN 7510:2024 deelt de beheersmaatregelen in vier categorieën in: organisatorisch, mensgericht, fysiek en technologisch. Een maatregel uit elke categorie kan één of meer van de drie beveiligingsdoelen beschermen.
Het is belangrijk om deze drie aspecten en de bijbehorende verantwoordelijkheid te onderkennen en accepteren. Dit betekent overigens niet dat je alles zelf moet doen. Laat je bijvoorbeeld ondersteunen door collega’s/medewerkers, samenwerkingsverbanden (zorggroep, ROS) en/of leveranciers.
Om informatiebeveiliging goed te (laten) organiseren, moet je onder andere weten welke risico’s er zijn in de dagelijkse praktijk. Dit betekent dat je weet wie toegang heeft tot medische data en hoe je beschermd bent tegen cyberaanvallen en onbevoegde toegang tot data. Ook moet je weten of je systemen en koppelingen voldoen aan de wettelijke normen, hoe je zorgt dat je altijd beschikt over een volledig en juist dossier en wat je moet doen als er iets misgaat.
Het hoeft niet altijd ingewikkeld te zijn om met informatiebeveiliging aan de slag te gaan. Enkele eenvoudige maatregelen kunnen de beveiliging al sterk verbeteren. Het streven is om te komen tot een passende set maatregelen die zorgt voor controle en waarbij het mogelijk is om snel te reageren op incidenten. Bijkomend voordeel is dat bij een passende set maatregelen de naleving door medewerkers vanzelfsprekend is.
Als je weet welke risico’s er zijn en hoe je met een passende set maatregelen daarop reageert, heb je de basis gelegd voor informatiebeveiliging. Nu breekt misschien wel de belangrijkste fase aan: zorgen dat je de continue stroom van veranderingen en bedreigingen het hoofd kunt bieden. Hiervoor is het noodzakelijk om periodiek te blijven evalueren en bijsturen. Informatiebeveiliging is namelijk nooit klaar.
Informatiebeveiliging: houd de aandacht vast
Leuker wordt het misschien niet, maar belangrijker wel: als huisarts moet je de beveiliging van persoonsgegevens en medische informatie goed op orde hebben. Gelukkig hoef je dat niet alleen te doen. De regionale huisartsenorganisatie kan vaak een belangrijke rol spelen.
IGJ: begin bij de basis
Voor veel huisartsenpraktijken is informatiebeveiliging een groot onderwerp, terwijl tijd en capaciteit beperkt zijn. Begin daarom bij de basis en werk stap voor stap volgens NEN 7510.
Breng eerst de belangrijkste risico’s in kaart. Kijk naar kritieke onderdelen zoals het HIS, medicatiegegevens, telefonie en gegevensuitwisseling met andere zorgverleners. Bedenk wat er mis kan gaan, wat dat betekent voor de zorg en welke maatregelen nodig zijn. Leg de keuzes vast, controleer regelmatig of de maatregelen werken en verbeter waar nodig. Zo bouw je stap voor stap aan een werkend managementsysteem voor informatiebeveiliging dat past bij de praktijk.
Krijg een eerste indruk van de informatiebeveiliging in jouw praktijk
De 3 scans geven je een eerste indruk en werken als bewustwordingsinstrument. Ze zijn geen volledige NEN 7510-toets en geen bewijs dat je praktijk aantoonbaar voldoet. Gebruik de uitkomsten bijvoorbeeld als startpunt voor je risicoanalyse en als input voor je verbetercyclus. Vul elke scan in en je krijgt jouw uitkomsten en verbetertips in je mailbox.
Privacy regel je bij voorkeur aan de voorkant: je benadrukt het belang en je zorgt dat alleen bevoegden toegang hebben
In de integriteitsscan kijk je naar de nauwkeurigheid, volledigheid en consistentie van de dossiervorming. Bij integriteit gaat het ook over
Bij het verlenen van zorg aan de patiënt moet de praktijkmedewerker kunnen vertrouwen op relevante informatie uit het dossier. Hiervoor
Hoe ga je aan de slag?
Informatiebeveiliging is maatwerk en de juiste set aan maatregelen verschilt daarom ook flink per praktijk. Toch zijn er wel enkele basisbeginselen die voor elke huisartsenpraktijk van toepassing zijn. Hieronder hebben we enkele uitgangspunten op een rijtje gezet.
Goed georganiseerde informatiebeveiliging kent verschillende verantwoordelijkheden en taken, die aan verschillende personen/rollen kunnen worden toebedeeld. En kleine solopraktijk kan de eindverantwoordelijkheid niet delegeren, maar je kunt wel bepaalde taken delegeren of uitbesteden. Ook een grote groepspraktijk of gezondheidscentrum zal bepaalde technische beheertaken willen uitbesteden. Hoe je het ook organiseert, in alle gevallen zullen de verantwoordelijkheden vergezeld moeten gaan van de noodzakelijke kennis en bevoegdheden.
De eerste stap is om namen te koppelen aan de verantwoordelijkheden en taken voor informatiebeveiliging in jouw praktijk:
- Leg vast wie verantwoordelijk is voor het informatiebeveiligingsbeleid, de risicoanalyse, het verbeterplan, toegangsrechten, logging, back-up en herstel, updates, incidenten en leveranciers. Benoem per onderdeel één eigenaar, ook als de uitvoering is uitbesteed. Verwijs voor het verwerkingsregister, patiëntenrechten en verwerkersovereenkomsten naar het aparte AVG-deel.
- Autorisatieregels opstellen voor rolgebaseerde toegang tot informatiesystemen, toekennen gebruikers aan systeem-rollen, systeembeheer (per systeem).
- Incidentenbeheer (meldprocedure) en afhandeling.
- Bewustwording en kennisoverdracht informatiebeveiliging aan medewerkers.
- Leveranciersmanagement incl. selectie (productcertificering)
Informatiebeveiliging is een ingewikkeld onderwerp en het kan dan ook fijn zijn om hierbij ondersteuning te zoeken. Denk bijvoorbeeld aan de regio-organisatie die kan helpen bij het onderhouden van het IT-landschap of leveranciers die kunnen helpen bij de juiste inrichting van de software.
Als je aan de slag gaat met informatiebeveiliging, dan kun je starten met de drie scans in te vullen. Deze scans geven je een lijstje met aandachtspunten. Deze aandachtspunten zijn je startpunt voor het maken van een risico-afweging waarbij het in kaart brengen van informatieobjecten en -stromen een onderdeel is. Je kunt de risico-afweging zelf maken, maar je kunt dit ook laten uitvoeren door bijvoorbeeld je praktijkmanager, regionale zorgorganisatie of zorggroep. Onthoud wel dat de eindverantwoordelijke (dat is de praktijkhouder) wel kennis neemt van de risico-afweging en het verbeterplan.
Leg je managementsysteem voor informatiebeveiliging (ISMS) beknopt maar aantoonbaar vast. Bij Plan horen bijvoorbeeld het beleid, de scope, de risicoanalyse en het risicobehandelplan. Bij Do horen procedures, werkinstructies en formulieren voor onder meer incidenten en autorisaties. Bij Check horen ingevulde registraties, rapportages en controles waarmee je nagaat of afspraken actueel zijn en worden uitgevoerd. Bij Act leg je verbetermaatregelen en aangepaste plannen vast. Zo laat je zien dat het ISMS in de praktijk werkt.
Stap 1 – Inventariseer hoe je er voor staat
1a – Vul de drie scans in
Vul de integriteits-, beschikbaarheids- en privacyscan in. Gebruik de scans als hulpmiddel om aandachtspunten te vinden. Ze geven een eerste indruk.
1b – Breng al je hard- en software in kaart
Om je gegevens te kunnen beveiligen is het van belang precies te weten welke hard- en software je gebruikt voor jullie werkprocessen. Met regels voor het toevoegen van nieuwe objecten kun je voorkomen dat een medewerker ondoordacht, bijvoorbeeld met een USB-stick, of door het aansluiten van een printer, een programma met malware in je systeem invoert dat invloed heeft op het betrouwbaar functioneren van je informatiesysteem.
Stap 2 – Maak een risicoafweging
Start de risicoanalyse bij de meest kritieke informatiestromen, zoals dossiervoering en gegevensuitwisseling vanuit het HIS, het medicatieproces, uitwisseling met ketenpartners, tijdelijke lokale opslag van patiëntgegevens en telefonie en bereikbaarheid. Leg per informatiestroom vast wat er mis kan gaan en wat dat betekent voor de zorg.
Het doel van een risicoafweging is om na te gaan welke set van maatregelen het best past bij je praktijk. Het maken van een risicoafweging kost tijd. Bij voorkeur stel je iemand aan die, eventueel samen met collega’s van andere praktijken, kennis opdoet over de risicoafweging.
Stap 3 – Maak een beleidsplan
Omschrijf in een beleidsplan met welke onderdelen jullie aan de slag moeten gaan en welke zaken optioneel zijn.
Met een beleidsplan zet je de juiste acties uit, controleer je of de acties goed zijn uitgevoerd én of ze het juiste doel bereiken. Ook geeft een beleidsplan houvast aan medewerkers omdat het helder is welke afspraken er zijn op het gebied van informatiebeveiliging.
In het beleidsplan zet je in ieder geval de volgende onderdelen:
- Algemeen
- Doel informatiebeveiliging
- Omschrijving op welke praktijk en welke medewerkers (in- en extern) het beleid van toepassing is.
- Verantwoordelijken voor uitvoeren van het beleid.
- Maatregelen
- Overzicht van de genomen maatregelen (bijvoorbeeld de eerste inventarisaties).
- Overzicht van de geplande maatregelen (op basis van de risicoafweging).
- Evaluatie
- Uitwerking hoe de evaluatie er uitziet.
- Inzicht in wie wanneer welke maatregel evalueert.
- Overige documenten
- Verslagen en registraties die aantonen welke maatregelen de huisartsenpraktijk heeft genomen met welk effect en op welk moment.
Stap 4: Werk de gekozen, noodzakelijke maatregelen uit en pas deze toe
De maatregelen verschillen zoals gezegd per praktijk. Verderop op deze pagina vind je een selectie van enkele voor de hand liggende maatregelen.
Bij veel beveiligingsincidenten en datalekken speelt menselijk handelen een rol, vaak in combinatie met werkdruk, onduidelijke afspraken, systemen die veilig werken lastig maken of ontbrekende technische bescherming. Richt je daarom niet alleen op instructie en bewustwording, maar ook op werkbare procedures en techniek die fouten helpt voorkomen. Bekijk voor praktische hulpmiddelen de website Informatieveilig gedrag in de zorg.
Om deze bewustwording te creëren is voorbeeldgedrag vanuit praktijkhouders en -managers nodig. Ook moet er aandacht voor het onderwerp zijn en is het een goede zaak als er een cultuur wordt gecreëerd waar medewerkers elkaar hierop aanspreken. Met de NPA-vragenlijst krijg je een eerste indruk van de informatiebeveiliging in de praktijk en zie je waar verbetering nodig is. De vragenlijst helpt bij bewustwording en de verbetercyclus, maar is geen volledige NEN 7510-toets en geen bewijs dat de praktijk aantoonbaar voldoet. Daarvoor zijn ook een risicoanalyse, passende maatregelen en controle op de werking nodig.
In het omgaan met gevoelige gegevens (van patiënten, medewerkers en je praktijk) moet je je als huisartsenpraktijk aan verschillende wet- en regelgeving houden. Je leest hier meer informatie over in het onderdeel ‘aan welke regels moet je je houden’.
LHV, NHG en InEen publiceren regelmatig over nieuwe wet- en regelgeving en wat dit voor de huisartsenzorg betekent. Zorg dat iemand die ontwikkelingen volgt, zodat je (in hagro-verband en/of zorggroep) hierop kunt anticiperen.
Om veilig te mailen of beeldbellen met patiënten zijn er verschillende richtlijnen van kracht. Lees je daarom goed in als je een nieuwe tool in gebruik neemt. Wil je een nieuwe toepassing gebruiken waarin patiëntgegevens worden verwerkt? Beoordeel dan vooraf de privacy- en beveiligingsrisico’s. Vraag zo nodig advies van je privacyfunctionaris of functionaris gegevensbescherming. Meer over de DPIA lees je in het onderdeel Privacy en AVG.
Maak onderscheid tussen gebruik van gegevens voor de directe zorg aan een patiënt en gebruik voor een ander doel, zoals onderzoek, beleid of statistiek. Bij directe zorg, bijvoorbeeld een verwijzing of overdracht, kunnen herleidbare gegevens nodig zijn. Deel alleen wat nodig is en verzend de gegevens veilig. Bij gebruik buiten de directe zorg gelden aanvullende voorwaarden en kan anonimisering of pseudonimisering nodig zijn. Leg per gegevensstroom vast met welk doel je deelt, op welke grondslag en welke beveiligingsmaatregelen gelden.
Registreer beveiligingsincidenten, beperk de gevolgen, herstel de zorgverlening en leg verbetermaatregelen vast. Beoordeel daarna of ook sprake is van een datalek en of melding bij de Autoriteit Persoonsgegevens nodig is. Controleer daarnaast of voor jouw organisatie een meldplicht op grond van de Cyberbeveiligingswet geldt. Leg vooraf vast wie beoordeelt, wie meldt en wie tijdens een incident verantwoordelijk is voor de continuïteit van zorg.
Om te zorgen dat de informatiebeveiliging op orde blijft, moet je blijven verbeteren en aanscherpen, maak het onderdeel van het kwaliteitsbeleid. Zorg bijvoorbeeld dat je op de hoogte bent van nieuwe bedreigingen en mogelijke fouten, en dat je hier tijdig op inspeelt met nieuwe maatregelen.
Evalueer het informatiebeveiligingsbeleid en de risicoanalyse periodiek en stel deze bij wanneer risico’s, systemen of werkwijzen veranderen. Controleer zelf of maatregelen worden nageleefd en werken, en laat het ISMS periodiek onafhankelijk beoordelen. Bepaal de frequentie op basis van de risicoanalyse en relevante veranderingen en bespreek het onderwerp informatiebeveiliging periodiek in teamoverleggen. Dit helpt om de bewustwording hoog te houden.
Welke maatregelen kun je toepassen?
Voor het op orde brengen van de informatiebeveiliging van de huisartsenpraktijk zijn maatregelen nodig. Denk aan preventieve maatregelen om schade te voorkomen of beperken, maar ook aan correctieve maatregelen. Bijvoorbeeld wanneer medewerkers per vergissing een bestand naar een verkeerd mailadres hebben verstuurd. Of wanneer leveranciers niet volgens contract leveren.
De behandeling van informatiebeveiligingsrisico’s met mogelijke organisatorische, technische, fysieke en mensgerichte maatregelen staat uitgebreid beschreven in de normen NEN 7510-1:2024 en NEN 7510-2:2024.
ICT-inkoop en -gebruik
Binnen jouw huisartsenpraktijk maak je gebruik van verschillende systemen en applicaties. Om te borgen dat je informatiebeveiliging van hoog niveau is, moet de inkoop van ICT én het gebruik van systemen voldoen aan vooraf opgestelde regels.
Dit moet de praktijk regelen: bepalen welke systemen en risico’s belangrijk zijn. Dit vraag je aan de leverancier: welke beveiligingsmaatregelen worden genomen en hoe wordt dat aangetoond? Hierbij kan regionale ondersteuning helpen: technische vragen en controles gezamenlijk laten beoordelen.
- Overzicht hard- en software, inclusief randapparatuur
Een volledig overzicht van alle aanwezige en relevante hardware, software en randapparatuur draagt bij aan het beveiligen van de informatie-infrastructuur. Het overzicht is ook helpend om na een calamiteit bestanden terug te zetten. Voor een snelle afhandeling wijs je per onderdeel een verantwoordelijke aan.
Wees je er ook van bewust dat verouderde software tot beveiligingsrisico’s kan leiden. Houd een actueel overzicht bij van je hardware, software en koppelingen. Noteer wat het is, waar het wordt gebruikt, wie verantwoordelijk is voor beheer, welke leverancier het onderhoudt en tot wanneer het wordt ondersteund. Overigens is het verstandig om dit door je netwerkleverancier/werkplekbeheerder uit te laten voeren. - Aanschaf nieuwe systemen en apparaten
Beoordeel vóór aanschaf of ingebruikname nieuwe systemen en apparaten die patiëntgegevens verwerken of verbinding maken met het praktijknetwerk. Denk bijvoorbeeld aan een nieuwe HIS-module, online afsprakentool, cloudopslag, laptop, medische meetapparatuur met een koppeling of een cameratoepassing. Controleer wie toegang krijgt, waar gegevens worden opgeslagen, hoe updates en ondersteuning zijn geregeld en wat de leverancier aantoonbaar aan beveiliging doet. Gebruik hiervoor onderstaande bestaande checklist.
Aandachtspunten bij aanschaf van hardware, software en randapparatuur
Reden van aanschaf:
- Wat is de aanleiding voor de aanschaf?
- Wat is de beoogde functie?
- Welke beveiliging wordt meegeleverd?
Risico-afweging bij aanschaf:
- Welke risico’s loopt de nieuwe applicatie of hardware zelf?
- Welke risico’s loopt de bestaande ICT-inrichting (andere applicaties en infrastructuur binnen uw praktijk)? (Denk aan: grotere complexiteit, doublures, netwerkonveiligheid)
- Welke processen veranderen door inzet van het middel en welke risico’s ontstaan daardoor?
- Welke maatregelen zijn wenselijk? (Vermeld: door wie en wanneer)
- Is nadere risico-afweging door of advies van een expert nodig?
Implementatie van nieuwe software, hardware en randapparatuur:
- Maak een plan voor de invoering van de nieuwe soft- en/of hardware.
- Maak een plan voor de invoering van nieuwe veiligheidsmaatregelen en het toezicht daarop.
- Neem de nieuwe hardware, software of randapparatuur op in het Overzicht van hardware, software en randapparatuur in de praktijk.
- Operationeel beheer
Na het aanschaffen van nieuwe hardware, software en randapparatuur is het van essentieel belang dat het operationeel beheer op orde is. Dit doe je door procedures en verantwoordelijkheden vast te leggen. Leg bijvoorbeeld vast wie verantwoordelijk is voor het draaien van een update en wie controleert of software niet verouderd is. Door de integriteit en beschikbaarheid van apparatuur en gegevens, gegevensverwerkende en communicatiediensten te beschermen, kun je het risico van beveiligingsincidenten tot een minimum beperken.
Om de data goed te beveiligen, is het essentieel dat iedereen binnen de praktijk werkt met een veilig wachtwoord. Vanzelfsprekend is dit wachtwoord uniek en alleen bekend bij de betreffende medewerker. Voorkom te allen tijde dat wachtwoorden worden opgeschreven.
Deze zaken zijn het meest bepalend voor de kracht van een wachtwoord:
Ga je een nieuw wachtwoord kiezen, voorkom dan in ieder geval dat je:
Als huisartsenpraktijk maak je gebruik van online diensten voor patiënten, zoals het e-consult of het aanvragen van herhaalmedicatie. Uiteraard wil je dat deze diensten veilig en probleemloos verlopen. In onderstaand schema staan verschillende processen rondom online diensten. Het is handig om per proces te weten wie er verantwoordelijk is voor het ontwerp en de handhaving van het proces en wat je de patiënt aan informatie geeft over dit proces. Voor het informeren van patiënten vind je onder de tabel voorbeeldteksten.
| Proces | Verantwoordelijke | Informatie aan patiënten* |
|---|---|---|
| Afhandeling van e-consult | [naam] [functie] | – Ontvangst- bevestiging – Patiëntenfolder e-consult |
| Afhandeling van herhalingsreceptuur | [naam] [functie] | – Ontvangst- bevestiging |
| Afhandeling van zelfgemeten meetwaarden | [naam] [functie] | – Ontvangst- bevestiging |
| Afhandeling van spreekuurafspraak | [naam] [functie] | – Ontvangst- bevestiging |
| Afhandeling van online diensten bij afwezigheid | [naam] [functie] | – Afwezigheids-bericht |
*zie voorbeeldteksten hieronder:
Controleer vóór verzending de geadresseerde en bijlagen en gebruik voor patiëntgegevens een daarvoor geschikte veilige mail- of berichtenvoorziening.
Voorbeeldtekst ontvangstbevestiging
Uw vraag aan [naam zorgverlener] is ontvangen. U ontvangt binnen [aantal] dagen een antwoord dat gebaseerd is op de door u verstrekte gegevens. Indien de klachten verergeren of andere klachten zich voordoen, dient u contact op te nemen met uw zorgverlener (of te bellen met [telefoonnummer]). Bij spoedeisende gevallen wordt geadviseerd om direct contact op te nemen met uw (huis)arts of met het landelijke noodnummer 112.
Informatie over de procedure bij online individuele advisering kunt u vinden op de [URL praktijkwebsite]. Op verzoek kunt u deze informatie ook per e-mail toegezonden krijgen. Uw verzoek daartoe kunt u sturen naar [e-mailadres].
Voorbeeldtekst afwezigheidsbericht
Van [datum] tot en met [datum] is dokter [naam] niet bereikbaar. De praktijk wordt waargenomen door dokter [naam]. U ontvangt binnen [aantal] dagen een antwoord dat gebaseerd is op de door u verstrekte gegevens.
Indien de klachten verergeren, of andere klachten zich voordoen, dient u contact op te nemen met uw (huis)arts (of te bellen met [telefoonnummer]). Bij spoedeisende gevallen wordt geadviseerd om direct contact op te nemen met uw (huis)arts of met het landelijke noodnummer 112.
Informatie over de procedure bij online individuele advisering kunt u vinden op de [URL praktijkwebsite]. Op verzoek kunt u deze informatie ook per e-mail toegezonden krijgen. Uw verzoek daartoe kunt u sturen naar [e-mailadres].
Door goed je toegangsrechten te beheren, voorkom je oneigenlijk gebruik van systemen. Denk hierbij aan het belang van veilige wachtwoorden, maar ook de manier waarop medewerkers toegang krijgen tot de praktijk(ruimtes). Gebruik het moment van verstrekken van toegangsmiddelen om medewerkers op de noodzaak van correct gebruik te wijzen.
- Toezicht op toegangsmiddelen
Houd in een overzicht de verstrekte toegangsmiddelen bij. Zo weet je wie welke toegangsmiddelen in zijn/haar bezit heeft. - Ondersteuning autorisatie en toegangsbeheer door IT-leveranciers
Vraag bij de keuze van een informatiesysteem hoe veilige gegevensuitwisseling en logging zijn geregeld en welke actuele normen en kwalificaties daarbij worden gebruikt, zoals NEN 7512 voor de vertrouwensbasis bij gegevensuitwisseling en NEN 7513 voor logging. - Identificatie en authenticatie informatiesystemen met patiëntgegevens
Zorg dat iedere gebruiker een eigen, persoonlijk account heeft en dat de manier van inloggen past bij het risico van het systeem. Voor toegang tot patiëntgegevens en voor toegang van buiten de praktijk is tweefactorauthenticatie het uitgangspunt. Welke tweede factor je gebruikt, hangt af van het systeem en van wat je leverancier ondersteunt. - Autorisatie voor toegang medische dossiers
Als praktijkhouder ben je verantwoordelijk voor de inzage in een medisch dossier door medewerkers. Om te zorgen dat iedereen de juiste rechten heeft, is het aan te raden om te werken met een autorisatiematrix. In zo’n matrix onderscheid je bepaalde rollen die allemaal een eigen set aan rechten krijgen. Heeft een medewerker aanvullende toegang nodig? Dan leg je dat ook vast in de matrix. Hetzelfde geldt voor mandateren: hierbij krijgt een medewerker rechten namens de persoon voor wie hij/zij werkt. De medewerker die het mandaat verstrekt, blijft verantwoordelijk voor de gemandateerde. - Toegangsstructuur
Toegang tot een patiëntendossier hoort te passen bij de rol van de medewerker en bij de reden waarom die toegang nodig is; het uitgangspunt is een behandelrelatie of een andere gerechtvaardigde rol in het zorgproces, zoals waarneming of ondersteuning. Hoe dat technisch is ingericht, verschilt per systeem: vraag je leverancier hoe rollen, autorisaties en uitzonderingen (zoals spoed) zijn geregeld en leg vast hoe je daarop controleert. - Toegangscultuur
Naast het naleven van de toegangsstructuur is het belangrijk om de toegangscultuur uit te dragen binnen de praktijk en hier beleid op te maken:- Alle inzage moet worden gelogd.
- Het feit dat je ergens bij kunt, wil niet zeggen dat je er ook bij mag.
- De leidinggevende controleert de medewerkers.
- Bij inzet van de noodknop, klachten en vermoedens wordt altijd gecontroleerd.
- Doelbewuste onterechte inzage leidt tot sancties.
- Gegevensuitwisseling tussen organisaties
Er zijn binnen de huisartsenpraktijk diverse voorbeelden denkbaar waarbij jij of je medewerkers inzage nodig hebben in data van andere organisaties. Denk aan het controleren van verzekeringsgegevens of het opvragen van medicatieverstrekkingen. Anderzijds is het ook denkbaar dat een andere organisatie via bijvoorbeeld het Landelijk Schakelpunt (LSP) inzage wil in dossiers die onder jouw verantwoordelijkheid vallen. Daarnaast maak je exports van data voor bijvoorbeeld onderzoek, benchmarking of managementinformatie. In alle bovenstaande gevallen is speciale aandacht nodig.
Belangrijk is dat alle toegang is geregeld via dezelfde autorisatiestructuur. Zo kan een andere organisatie toegang krijgen met een organisatierol en kunnen applicaties toegang krijgen via een applicatierol. Bij export van gegevens beoordeel je eerst of de export nodig en toegestaan is en wie de ontvanger is. Rechtmatige exports kunnen persoonsgegevens bevatten, bijvoorbeeld bij overdracht van een dossier of een wettelijke aanlevering; beperk dan de gegevens tot wat nodig is en verzend ze veilig. Of een export in de logging zichtbaar is, verschilt per systeem: vraag dit na bij je leverancier en leg vast wat er wordt geregistreerd. - Toegang dossier door patiënt
In de Wet aanvullende bepaling verwerking persoonsgegevens in de zorg (Wabvpz) staat dat patiënten inzage moeten krijgen in hun eigen dossier, bijvoorbeeld via een patiëntportaal of een persoonlijke gezondheidsomgeving. De patiënt kan daarnaast bekijken wie toegang heeft gehad tot zijn/haar dossier. De patiënt kan zien welke medewerkersrollen en welke organisaties toegang hebben gehad tot het dossier. Bij inzage door de patiënt in de logging is het uitgangspunt dat duidelijk wordt wanneer en door welke organisatie of functie het dossier is ingezien. Of daarbij ook namen van individuele medewerkers worden getoond, verschilt per voorziening en per situatie.
Checklist Controle op toegang tot patiëntgegevens
- De verantwoordelijke* controleert periodiek welke rollen en rechten een medewerker heeft. Zo wordt er gekeken of een medewerker een ongewenste combinatie van rechten heeft of dat oude rechten per ongeluk open zijn blijven staan.
- De verantwoordelijke controleert periodiek de wijzigingen in rollen en rechten voor elke medewerker. Heeft iemand bijvoorbeeld tijdelijk extra rechten gehad en hebben nieuwe medewerkers de juiste rechten gekregen?
- De verantwoordelijke controleert periodiek de wijzigingen in de autorisatiestructuur. Kloppen de nieuwe rechten nog bij de rol, of klopt de rechtenstructuur nog bij een nieuwe rol?
- De verantwoordelijke controleert of de daadwerkelijk gepleegde toegang rechtmatig is.
- Op gezette tijden controleert de verantwoordelijke hoeveel inzageacties door interne medewerkers en externe organisaties zijn uitgevoerd. Dit kan via het dagoverzicht inzage van de praktijk.
- Spreek af hoe vaak je de logging controleert en waarop, bijvoorbeeld periodiek een steekproef en daarnaast altijd bij een signaal of vermoeden. Leg vast wie de controle uitvoert, wat er is gecontroleerd en wat de uitkomst was. Gaat de controle over het inzagegedrag van een specifieke medewerker, spreek dan vooraf af wie daartoe kan besluiten, hoe de medewerker wordt geïnformeerd en hoe je met de uitkomst omgaat; betrek hierbij de ondernemingsraad of personeelsvertegenwoordiging als die er is. Per actie is inzichtelijk wanneer deze heeft plaatsgevonden, op welke patiënt de inzage betrekking had, tot welke gegevenscategorie toegang is gezocht, welke actie is uitgevoerd en of de noodknop is gebruikt.
- De verantwoordelijke controleert als daarvoor aanleiding is de toegang tot een specifiek patiëntendossier. Bijvoorbeeld omdat een patiënt meldt dat gegevens zijn gelekt en je de patiënt helpt om uit te zoeken of en hoe dit heeft kunnen plaatsvinden. Het overzicht toont welke medewerkers van de eigen organisatie en welke organisaties inzage of toegang hebben gehad. Ook is inzichtelijk wie inzage heeft gehad in de toegangslog en of de patiënt zelf toegang heeft gehad.
* De praktijkhouder is eindverantwoordelijk voor de toegang tot patiëntgegevens. Je kunt in de praktijk wel een ander teamlid als verantwoordelijke aanwijzen (bijvoorbeeld de praktijkmanager), maar realiseer je dat je als praktijkhouder eindverantwoordelijk blijft.
Sluit je een nieuw contract af met een leverancier van een belangrijk informatiesysteem of een clouddienst? Vraag dan om een geldig NEN 7510-certificaat en controleer welke diensten binnen de scope van het certificaat vallen. Vraag ook naar de verklaring van toepasselijkheid en leg vast welke beveiligingsmaatregelen de leverancier uitvoert en wat de praktijk zelf moet regelen. Het certificaat zegt iets over de systemen en processen van de leverancier, niet automatisch over de informatiebeveiliging binnen jouw praktijk.
Het contract met de leverancier wordt vaak aangevuld met een zogenoemde Service Level Agreement (SLA). Daarin staan bijvoorbeeld afspraken over de helpdesk (voor wie, hoe, werktijden), bereikbaarheidsgarantie van de systemen (‘uptime’) en rapportages.
Als je met ICT-leveranciers een nieuw contract sluit, is het belangrijk dat er aandacht is voor informatiebeveiliging. Zorg dat je als huisarts je rechten en plichten kent en niet voor verrassingen komt te staan. In het Handboek inkoop zorginformatiesystemen voor de huisartsenzorg van InEen en LHV vind je adviezen over hoe je een ICT-leverancier kiest en hoe je goede afspraken maakt.
We hebben een checklist gemaakt om je te helpen na te gaan of de belangrijkste punten gedekt zijn in het contract met je leverancier. Het is af te raden om zelf het systeembeheer van deze applicaties te verzorgen.
Dit moet de praktijk regelen: vaststellen welke leveranciers kritisch zijn en afspraken vastleggen. Dit vraag je aan de leverancier: certificaat, scope en onderbouwing van beveiliging en herstel. Hierbij kan regionale ondersteuning helpen: contracten en leveranciersinformatie gezamenlijk laten beoordelen.
Checklist contract met leveranciers
Hieronder vind je een overzicht van afspraken die je in het contract met leveranciers moet maken ten aanzien van privacy, beschikbaarheid, correctheid en volledigheid van gegevens en de beveiliging. Ga na in het contract of elk van deze onderdelen voldoende zijn afgesproken.
Privacy
- Maak afspraken over het waarborgen van de privacy van de patiënt. Ondersteunt het informatiesysteem de maatregelen van de praktijk om de privacy van patiënten te waarborgen en ondersteunt de leverancier de AVG-verwerkersovereenkomst voor de zorg? Spreek af dat een belangrijke leverancier periodiek onderbouwt dat de beveiliging op orde is, bijvoorbeeld met een geldig certificaat, de bijbehorende scope en relevante auditinformatie. Vraag je regionale huisartsenorganisatie of regionale ondersteuning welke leveranciersinformatie gezamenlijk beschikbaar is en waarop jouw praktijk kan steunen.
- Welke actuele normen en kwalificaties gebruikt de leverancier voor authenticatie, autorisatie, gegevensuitwisseling en logging, waaronder NEN 7512 en NEN 7513?
- Is auto shutdown mogelijk?
- Is het mogelijk om patiëntengegevens voldoende gedetailleerd af te schermen?
- Hanteert de leverancier een toestemmingsprocedure voor onderhoud op afstand?
- Verwijdert de leverancier overbodige back-ups? Zo ja, gebeurt dit op de juiste manier?
- Zijn productie-, ontwikkel- en testomgevingen gescheiden?
- Garandeert de leverancier dat niet met productiegegevens wordt getest?
- Waarborgt de leverancier veilige afvoer van apparatuur en media?
Beschikbaarheid gegevens
- Garandeert je leverancier dat alle patiëntengegevens zijn gekoppeld aan het BSN van de patiënt?
- Vraag je leverancier wat er bij een storing gebeurt: hoe snel is de dienst weer bruikbaar en hoeveel recent ingevoerde informatie kan verloren gaan? Leg ook vast hoe de praktijk tijdens uitval doorgaat met de zorg. Laat deze afspraken waar mogelijk beoordelen of gezamenlijk organiseren via je regionale huisartsenorganisatie of informatiebeveiligingsdeskundige.
- Zijn oude patiëntengegevens ten minste gedurende de wettelijke bewaartermijn beschikbaar? Zijn de gegevens uit het vorige informatiesysteem (of -systemen) nog steeds beschikbaar? Levert de leverancier deze dienst?
- Regelt je leverancier het gegevensherstel bij calamiteiten? Ondersteunt de leverancier de door jouw aangegeven prioriteit van de verschillende systemen of delen daarvan?
- Zorgt je leverancier voor back-ups? Wordt het terugzetten van back-ups jaarlijks getest?
Integriteit gegevens
- Ondersteunt het informatiesysteem foutloos werken?
- Is de wijze van foutenafhandeling voor iedereen duidelijk?
- Is herstel van fouten eenvoudig mogelijk? Is de escalatieroute bij problemen voor iedereen duidelijk?
- Zijn bedieningsprocedures bijgeleverd en handig beschikbaar?
- Word je binnen een gegarandeerde termijn te woord gestaan en geholpen?
- Zijn alle registraties in het informatiesysteem voorzien van de naam van de invoerder?
- Heeft de leverancier afdoende maatregelen tegen kwaadaardige programmatuur? Regelt de leverancier ook de nodige voorzieningen in de praktijk (USB-poorten)?
- Is met het informatiesysteem te reconstrueren welke medewerker welke gegevens heeft vastgelegd?
Nieuwe versies
- Wordt elke nieuwe versie voorzien van een toelichtingsparagraaf over hoe is omgegaan met eisen vanuit de NEN 7510-norm voor informatiebeveiliging in de zorg?
- Worden alle nieuwe versies aangeboden voor acceptatietests? Ziet de leverancier erop toe dat deze tests daadwerkelijk zijn uitgevoerd?
- Worden nieuwe wetten en regels en de mogelijkheid voor de gebruiker om dit adequaat te ondersteunen, tijdig doorgevoerd in de applicaties?
- Worden de maatregelen nageleefd, zoals de NEN 7510 die vereist, voor het beheer van operationele en systeemprogrammatuur en bronbestanden daarvoor, wijzigingen, besturingssysteem en verborgen communicatiekanalen?
Service
- Doet de leverancier regelmatig (jaarlijks) verslag van gerealiseerde beschikbaarheid en beveiligingsincidenten?
- Adviseert de leverancier over veilige internetproviders en over beveiliging van het gegevenstransport?
Meldplicht datalekken
- Vermeldt de leverancier duidelijk bij welke gevallen van datalekken hij zelf de melding verzorgt en hoe hij je hiervan op de hoogte brengt?
- Vermeldt de leverancier duidelijk bij welke gevallen van datalekken hij je deze meldt zodat je tijdig zelf de melding kunt verzorgen?
Bewustwording bij het praktijkteam
Onbedoeld is menselijk gedrag vaak de oorzaak van beveiligingsproblemen. Denk aan het opschrijven van wachtwoorden op papier of de computer niet vergrendelen waardoor gegevens zichtbaar zijn voor anderen. Een belangrijk onderdeel van informatiebeveiliging is dan ook het creëren van bewustwording bij je medewerkers.
- Laat de verantwoordelijke persoon nieuwe medewerkers informeren over de regels die binnen jullie praktijk gelden rondom informatiebeveiliging. Denk aan het omgaan met de computer en het borgen van patiëntenrechten.
- Breng het onderwerp regelmatig ter sprake tijdens formele en informele teamgesprekken.
- Zorg dat de toegang goed geregeld is. Medewerkers moeten hun werk kunnen doen, maar voorkom dat medewerkers ongeautoriseerde toegang krijgen tot systemen.
- Neem het toekennen van autorisaties en het stopzetten hiervan op in inwerk- en exitprotocollen.
- Neem in arbeidsovereenkomsten een bepaling op over de geheimhouding van alle patiënten- en beveiligingsgegevens, en eventueel een bepaling over bewustzijn van intellectueel eigendom.
- Houd systematisch bij welke rechten aan welke medewerker zijn verstrekt. Dit maakt het eenvoudiger om te controleren of er ongewenste combinaties van rechten zijn verstrekt aan medewerkers.
- Zorg dat alle toegang tot patiëntendossiers wordt gelogd en inzichtelijk is volgens NEN 7513.
Jouw medewerkers zijn een belangrijke schakel om de informatiebeveiliging binnen jouw praktijk op hoog niveau te houden. Onderstaande uitgangspunten helpen je om duidelijke afspraken te maken met medewerkers en in de bewustwording.
- Spreek af waarvoor praktijkapparatuur en praktijkaccounts wel en niet mogen worden gebruikt. Verbied in ieder geval het delen van accounts, het installeren van niet-goedgekeurde software en het gebruik van onbekende opslagmedia. Leg de verdere uitwerking vast in een praktisch gebruiksbeleid en vraag zo nodig ondersteuning van je regionale huisartsenorganisatie.
- Medewerkers mogen geen eigen hard- en software te gebruiken voor de werkzaamheden. Voor de apparatuur die je vanuit de praktijk verstrekt, heb je een dienstverlener die zorgdraagt voor het up-to-date blijven van de beveiliging. Bij een privé-apparaat heb je die dienstverlening niet en ben je afhankelijk van hoe zorgvuldig de gebruiker (je medewerker) de beveiliging van het privé-apparaat geregeld heeft. Dat is te risicovol wanneer het gaat om het werken met privacygevoelige praktijkinformatie.
- Medewerkers mogen zich niet ongeautoriseerd toegang verschaffen tot gegevens van collega’s en patiënten en mogen niet ongeautoriseerd programma’s gebruiken.
- Gegevensdragers die buiten de praktijk worden gebruikt, moeten virusvrij zijn. Gebruik alleen gegevensdragers en software die door de praktijk zijn verstrekt of goedgekeurd, en meld het direct als je vermoedt dat een apparaat of bestand niet veilig is. Melden moet veilig voelen; alleen dan wordt er tijdig gemeld. Medewerkers mogen enkel gegevensdragers gebruiken die door de praktijk ter beschikking zijn gesteld en mogen deze gegevensdragers alleen buiten de praktijk gebruiken na uitdrukkelijke toestemming van de leidinggevende.
- Gebruikersnamen en wachtwoorden zijn strikt persoonlijk en mogen nooit worden gedeeld met derden. Bij constatering van misbruik moet de medewerker hiervan zijn/haar leidinggevende op de hoogte stellen. Kijk hier voor tips voor het opstellen van een veilig wachtwoord.
- Medewerkers gaan zorgvuldig om met hun werkplek en zijn verplicht om computers en andere apparatuur te vergrendelen op het moment dat ze hun werkplek tijdelijk verlaten. Aan het eind van de werkdag logt de medewerker uit.
- Het kopiëren of ongeautoriseerd beschikbaar stellen van informatie/kennis/data aan derden is niet toegestaan.
- Medewerkers mogen op of via het internet niet onethisch handelen of handelen in strijd met de wet.
Hieronder vind je een voorbeeld van onderwerpen die je kunt bespreken/regelen als een nieuwe medewerker bij de praktijk komt werken. Dit zijn generieke voorbeelden. Het is aan te raden om een lijstje met punten te maken dat uitgaat van de situatie binnen jouw praktijk.
- Bespreken informatiebeveiligingsbeleid en verstrekken van documenten
Zorg dat als een medewerker in dienst komt dat de verantwoordelijke voor het informatiebeveiligingsbeleid met deze persoon in gesprek gaat. Vertel waarom het belangrijk is om zorgvuldig en veilig met data om te gaan en deel relevante documenten. Denk bijvoorbeeld aan een document met tips hoe je een veilig wachtwoord kiest en de huisregels voor computergebruik. Benoem ook de bepalingen over geheimhouding en intellectueel eigendom die in het arbeidscontract staan die de nieuwe medewerker heeft getekend. - Aanvragen en verstrekken van toegangsmiddelen
Als een medewerker in dienst komt, moeten er verschillende toegangsmiddelen worden aangevraagd. Denk aan het regelen van toegang tot applicaties, maar ook de fysieke toegang tot de praktijk. Om te zorgen dat de juiste toegangsmiddelen tijdig worden aangevraagd, is het verstandig om hier een procesbeschrijving voor op te stellen. Laat de medewerker vervolgens tekenen voor de uitgereikte middelen en leg dit vast in een overzichtslijst met verstrekte middelen. - Medewerker in dienst met bestaande Zorg-ID Smartcard
Wanneer een nieuwe medewerker die al over een Zorg-ID Smartcard beschikt in dienst komt, is het belangrijk om de eigendomsoverdracht tussen de oude en nieuwe zorgaanbieder te formaliseren. Daarnaast dient het beheer in het ZORG-ID-portaal op orde te worden gebracht. In deze overeenkomst wordt vastgelegd dat het eigendom van de smartcard officieel overgaat naar de nieuwe zorgaanbieder. Daarmee wordt deze organisatie verantwoordelijk voor het beheer en het gebruik van de smartcard. De nieuwe zorgaanbieder draagt er ook zorg voor dat de medewerker correct wordt geregistreerd en gekoppeld als gebruiker in het ZORG-ID-beheerportaal.- Lees meer over de Zorg-ID Card: ZORG-ID Smartcard
- Download: Voorbeeldovereenkomst Eigendomsoverdracht ZORG-ID Smartcard
- Zie stap 8 in de handleiding voor de stappen in het ZORGID-portaal: Ik wil de ZORG-ID Smartcard overzetten naar een andere organisatie
Krijgt een medewerker binnen de praktijk een andere functie? Dan moet niet alleen het arbeidscontract worden aangepast. Vermoedelijk heeft de functiewijziging ook invloed op de toegangsrechten en -middelen die de medewerker in bezit heeft. Onderstaande checklist geeft je een idee welke zaken je moet doorlopen om te voorkomen dat een medewerker oneigenlijke toegang heeft tot systemen.
Als een medewerker uit dienst gaat, is het belangrijk om te zorgen dat een medewerker geen toegang meer heeft tot bijvoorbeeld applicaties en de praktijk. Een checklist kan helpen voorkomen dat een medewerker na uitdiensttreding nog toegang heeft.
Wanneer een medewerker met een Zorg-ID Smartcard naar een andere werkgever in de zorg overstapt is het belangrijk om de eigendomsoverdracht tussen de oude en nieuwe zorgaanbieder te formaliseren. Daarnaast dient het beheer in het ZORG-ID-portaal op orde te worden gebracht.
Eigendom en verantwoordelijkheden In deze overeenkomst wordt vastgelegd dat het eigendom van de smartcard officieel overgaat naar de nieuwe zorgaanbieder. De nieuwe zorgaanbieder draagt er ook zorg voor dat de medewerker correct wordt geregistreerd en gekoppeld als gebruiker in het ZORG-ID-beheerportaal.
- Lees meer over de Zorg-ID Card: ZORG-ID Smartcard
- Download: Voorbeeldovereenkomst Eigendomsoverdracht ZORG-ID Smartcard
- Zie stap 8 in de handleiding voor de stappen in het ZORGID-portaal: Ik wil de ZORG-ID Smartcard overzetten naar een andere organisatie
Patiëntenvoorlichting
Patiënten willen erop kunnen vertrouwen dat er binnen de praktijk vertrouwelijk en zorgvuldig met hun patiëntdata wordt omgegaan. Om patiënten te informeren over hoe jullie praktijk omgaat met informatiebeveiliging kun je gebruikmaken van een privacyverklaring, zie voorbeeld van een privacyverklaring.
Daarnaast wil je wellicht je patiënten wijzen op hun rechten als het gaat om hun patiëntendata en hoe zij veilig gegevens kunnen delen met bijvoorbeeld een mantelzorger. In de voorlichting kun je bijvoorbeeld de infographics gebruiken over Medische gegevens delen, die je vindt op de NHG-website over online inzage.
Wat als het misgaat?
Ondanks alle aandacht voor informatiebeveiliging kan je huisartsenpraktijk toch slachtoffer worden van cybercriminelen. Bijvoorbeeld door een phishing-link waarmee iemand probeert gevoelige informatie te ontfutselen of door het installeren van schadelijke software via een zwakke plek in de software. Maar ook menselijke fouten kunnen grote gevolgen hebben voor de veiligheid van data.
Omgaan met incidenten en datalekken
Registreer beveiligingsincidenten, beperk de gevolgen en herstel de zorgverlening. Beoordeel of het incident ook een datalek onder de AVG is en of melding bij de Autoriteit Persoonsgegevens nodig is. Leg vast wie beoordeelt, wie meldt en wie verantwoordelijk is voor de continuïteit van zorg. Op de themapagina Wat te doen bij een datalek en in de LHV-handleiding datalek in de huisartsenpraktijk lees je hoe je dat doet. Ook vind je meer informatie in de KNMG-handreiking Meldplicht datalekken in de eerstelijnszorg. En natuurlijk ga je in je eigen praktijk na wat hier uit valt te leren en verbeteren.
Privacy en AVG
Patiëntenvoorlichting
Patiënten willen erop kunnen vertrouwen dat er binnen de praktijk vertrouwelijk en zorgvuldig met hun patiëntdata wordt omgegaan. Om patiënten te informeren over hoe jullie praktijk omgaat met informatiebeveiliging kun je gebruikmaken van een privacyverklaring, zie voorbeeld van een privacyverklaring.
Daarnaast wil je wellicht je patiënten wijzen op hun rechten als het gaat om hun gegevens en hoe zij veilig gegevens kunnen delen met bijvoorbeeld een mantelzorger. In de voorlichting kun je bijvoorbeeld de infographics gebruiken over Medische gegevens delen, die je vindt op de NHG-website over online inzage .
Rechten van patiënten
Patiënten kunnen hun persoonsgegevens inzien en vragen om aanvulling, correctie, verwijdering of beperking. Voor het medisch dossier gelden grenzen door onder meer de Wgbo, bewaarplichten, het beroepsgeheim en belangen van anderen.
Verwerkingsregister
De praktijk houdt als verwerkingsverantwoordelijke een verwerkingsregister bij. Of een zelfstandig waarnemer ook een eigen register nodig heeft, hangt af van de rol en van wie bepaalt waarom en hoe gegevens worden verwerkt.
In een actueel modelregister staan onder meer doelen en grondslagen, categorieën personen en gegevens, ontvangers, eventuele doorgiften buiten de EER, bewaartermijnen en een algemene beschrijving van beveiligingsmaatregelen. Gebruik hiervoor het bestaande LHV-hulpmiddel verwerkingsregister.
Wanneer is een DPIA nodig?
Een data protection impact assessment (DPIA) is verplicht als een voorgenomen verwerking waarschijnlijk een hoog privacyrisico oplevert. Bepaal dit vóórdat de verwerking begint. Gebruik daarvoor de criteria en de lijst met verplichte DPIA’s van de Autoriteit Persoonsgegevens en vraag zo nodig advies aan je privacyfunctionaris of functionaris gegevensbescherming. Blijft na de DPIA een hoog risico bestaan dat niet voldoende kan worden beperkt, dan is voorafgaande raadpleging van de Autoriteit Persoonsgegevens nodig.
Aan welke regels moet je je houden?
Als je met informatiebeveiliging aan de slag gaat, zijn er diverse wetten en normen waar je rekening mee moet houden. Voor huisartsenpraktijken zijn in ieder geval de NEN 7510 voor informatiebeveiliging, NEN 7512 voor de vertrouwensbasis bij gegevensuitwisseling, NEN 7513 voor logging, de AVG, de Wgbo en de Wabvpz relevant. Voor veilige e-mail en chat geldt momenteel NTA 7516; deze wordt herzien naar NEN 7516. De Wegiz geldt voor aangewezen elektronische gegevensuitwisselingen. De Cyberbeveiligingswet kan gelden afhankelijk van de omvang en positie van de organisatie. Hieronder vind je de bestaande toelichting per onderwerp.
Voor zorgaanbieders zijn de normen NEN 7510, NEN 7512 en NEN 7513 relevant. NEN 7510 gaat over het organiseren en verbeteren van informatiebeveiliging in de zorg. Alle huisartsenpraktijken moeten aantoonbaar volgens NEN 7510 werken. Certificering van de praktijk is niet automatisch verplicht. Vraag bij belangrijke ICT-leveranciers om aantoonbare beveiliging, bijvoorbeeld een geldig NEN 7510-certificaat, en controleer welke diensten daaronder vallen. Een leverancierscertificaat betekent niet dat de praktijk zelf aan de norm voldoet. NEN 7512 gaat over de vertrouwensbasis die nodig is voordat persoonlijke gezondheidsinformatie tussen partijen wordt uitgewisseld. Als praktijk blijf je verantwoordelijk voor de gegevens die je deelt en de afspraken daarover.
NEN 7513 regelt het vastleggen van acties op het dossier. Hierdoor is het voor patiënten transparanter hoe zorgvuldige inzage binnen jouw praktijk is geregeld en hoe je toezicht houdt op het inzagegedrag van je medewerkers. Patiënt mag zelf inzien wie zijn/haar dossier heeft bekeken. Om toezicht te houden op inzage, moet je leverancier je een overzicht kunnen geven waarin snel duidelijk is wie welk dossier heeft geraadpleegd. Als je een medewerker verdenkt van ongewenste inzage, dan moet je controleren of de inzage terecht was.
De NTA 7516 wordt herzien naar NEN 7516. De huidige NTA 7516 is specifiek geschreven voor de zorg en geeft duidelijkheid over de voorwaarden waaronder e-mail wél veilig en in lijn met de AVG gebruikt kan worden. Met een patiënt mag je alleen mailen via een mailprovider die NTA 7516 naleeft. Als praktijk moet je deze norm naleven. Als een patiënt alleen een niet-beveiligde maildienst gebruikt zoals hotmail of gmail, biedt de patiënt dan mogelijkheden aan om via een andere, veilige manier met de praktijk te communiceren. Denk aan veilige mail of de mogelijkheden van een patiëntenportaal.
Deze wet legt rechten en plichten vast tussen zorgverlener en patiënt. Het is een belangrijke wet voor zorgverleners. De wet bevat regels over:
- het starten en beëindigen van de behandelingsovereenkomst;
- de toestemming voor en de informatie over de uitvoering van onderzoek en behandelingen (informed consent);
- geheimhouding, inclusief inzage in het medisch dossier;
- de bewaartermijn van medische gegevens: anders dan in de AVG is de bewaartermijn vastgesteld op in principe 20 jaar.
Zie voor meer uitleg de website van de KNMG hierover.
De Wet elektronische gegevensuitwisseling in de zorg (Wegiz) stelt eisen aan aangewezen elektronische gegevensuitwisselingen tussen zorgverleners. Welke verplichtingen gelden, hangt af van de specifieke uitwisseling. Leg gegevens waar mogelijk gestructureerd en gecodeerd volgens de Richtlijn Adequate dossiervorming met het EPD (ADEPD) vast.
Deze wetten verplichten elke zorgaanbieder om bij elke nieuwe patiënt aan de hand van het identiteitsbewijs te controleren of hij/zij degene is die hoort bij het burgerservicenummer (BSN). Ook moeten het soort identiteitsbewijs en het documentnummer worden vastgelegd in de administratie.
De Wet Digitale Overheid is op 1 juli 2023 aangenomen door de Eerste Kamer. Lees meer over hoe je je kunt voorbereiden op deze wet op de website van Nictiz.
Deze wet regelt het elektronisch inzagerecht voor patiënten via een elektronisch uitwisselingssysteem. Patiënten hebben recht om hun dossier in te zien en/of een afschrift ervan te ontvangen. Dit moet je kosteloos verstrekken als de patiënt daar om vraagt.
In de AVG staat wat er wel en niet mag met de persoonsgegevens van mensen. Bij elk gebruik van persoonsgegevens geldt dat de privacy-inbreuk zo klein mogelijk moet zijn. Dat geldt ook binnen de zorg. Meer informatie over de verschillende bepalingen vind je op de website van de LHV.
Er is diverse wet- en regelgeving van toepassing op het uitwisselen van gegevens. Op de website van de LHV vind je een handig overzicht welke regels rondom gegevensuitwisseling gelden.
Snel naar
Vragen?
Heb je nog vragen over het webdossier informatiebeveiliging? Mis je onderwerpen of heb je suggesties?