# Bijlage C

(informatief)

## Nederlandse en Europese wet- en regelgeving

#### Algemeen

Vanuit de wet- en regelgeving wordt verwezen naar NEN 7510-1 en NEN 7510-2. Het aantal regels neemt toe en de regels worden internationaler van aard. In een aantal gevallen volgt uit de wet- en regelgeving een verplichting om aan de NEN 7510-reeks te voldoen. Hieronder volgt een niet- limitatieve opsomming van de belangrijkste wet- en regelgeving met een relatie naar deze normen, waarbij onderscheid wordt gemaakt naar bestaande en toekomstige wet- en regelgeving.

#### Relatie met Nederlandse wet- en regelgeving en afsprakenstelsels

##### <img src="media/image6.png" style="width:0.35197in;height:0.11536in" /Verwijzingen naar NEN 7510-1 en NEN 7510-2

###### Besluit elektronische gegevensverwerking door zorgaanbieders (Begz)

Vanuit dit besluit wordt dwingend verwezen naar de NEN 7510-reeks, NEN 7512 en NEN 7513. In art. 3 van dit besluit worden verplichtingen opgelegd aan zowel de zorgaanbieder als de ‘verantwoordelijke voor het elektronisch uitwisselingssysteem’. In art. 3, lid 4 van dit besluit is bovendien vermeld dat ‘een rechtspersoon, niet zijnde een zorgaanbieder, die een elektronisch uitwisselings-systeem beheert en in stand houdt’ minimaal eenmaal per vijf jaar een onafhankelijke beoordeling moet laten uitvoeren op de naleving van de vereisten uit de NEN 7510-reeks en

NEN 7512.

De Nota van toelichting bij dit besluit vermeldt de verplichting om te voldoen aan NEN 7510 en NEN 7512 in het kader van de verwerking van het Burgerservicenummer. Dit betekent dat wanneer

een (zorg)instelling de in NEN 7510-2, NEN 7512 en NEN 7513 aangegeven beheersmaatregelen heeft getroffen, ervan uit mag worden gegaan dat deze ‘passende technische en organisatorische maatregelen’ heeft getroffen, als bedoeld in art. 32 van de AVG.

###### Besluit Jeugdwet

Dit besluit beschrijft de voorwaarden voor zorgverleners die betrokken zijn bij de jeugdzorg. Vanuit art. 7.2.2, lid 2 worden deze zorgverleners (de betrokken instantie of functionaris) verwezen naar de NEN 7510-reeks.

###### [Regeling justitiële keteninformatisering Jeugdwet]

Deze [regeling][Regeling justitiële keteninformatisering Jeugdwet] beschrijft regels en voorschriften voor de informatievoorziening binnen de jeugdzorg. In deze regeling is opgenomen dat een gecertificeerde instelling voor jeugdbescherming of jeugdreclassering een toets op de naleving van de NEN 7510-reeks moet laten uitvoeren op de bedrijfsprocessen en informatiesystemen.

###### Regeling publieke gezondheid

Deze regeling beschrijft regels en voorschriften voor publieke gezondheid, denk aan gezondheidsuitbraken zoals Covid-19. Deze regeling is een nadere uitwerking van de Wet publieke gezondheid. Vanuit art. 5 wordt voor de gegevensverwerking voor meldingen in het kader van publieke gezondheid verwezen naar de NEN 7510-reeks.

###### [Regeling zorg en dwang psychogeriatrische en verstandelijk gehandicapte cliënten]

Deze [regeling][Regeling zorg en dwang psychogeriatrische en verstandelijk gehandicapte cliënten] beschrijft de informatievoorziening die samenhangt met het verlenen van onvrijwillige zorg aan psychogeriatrische en verstandelijk gehandicapte cliënten. Vanuit art. 8 wordt verwezen naar de NEN 7510-reeks en NEN 7512.

###### MedMij Afsprakenstelsel

Binnen het MedMij Afsprakenstelsel zorgen de Dienstverlener Persoon (DVP) en de Dienstverlener Aanbieder (DVA) voor de gegevensuitwisseling tussen personen en verschillende soorten aanbieders. Een voorbeeld hiervan is de gegevensuitwisseling tussen een natuurlijke persoon, via zijn of haar persoonlijke gezondheidsomgeving (PGO), en een zorgaanbieder. Het MedMij Afsprakenstelsel stelt eisen aan de gegevensuitwisselingen en de DVP’s en DVA’s die deze uitwisselingen mogelijk maken.

Een van deze eisen is het verkrijgen en onderhouden van een NEN 7510-certificering.

###### Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)

Deze wet (ook bekend als de Wet cliëntenrechten bij elektronische verwerking van gegevens) schept aanvullende randvoorwaarden voor het eventuele gebruik van een elektronisch uitwisselingssysteem door zorgaanbieders en wijzigt een aantal andere wetten [4]). In art. 10 staat dat bij ministeriële regeling kan worden bepaald aan welke beveiligingseisen de gegevensverwerking moet voldoen. Vanuit de op art. 10 gebaseerde Regeling gebruik burgerservicenummer in de zorg (art. 2) wordt voor de gegevensverwerking verwezen naar de NEN 7510-reeks.

###### Wet kwaliteit, klachten en geschillen zorg (Wkkgz)

Deze wet verplicht de zorginstelling tot het verlenen van goede zorg die veilig, doeltreffend, doelmatig en cliëntgericht is (art. 2) en te zorgen voor systematische bewaking, beheersing en verbetering van de kwaliteit van de zorg (art. 7). Vanuit artikelen 7c en 7d van de uitvoeringsregeling van deze wet wordt voor het toepassen van deze regeling voor de beveiligingsmaatregelen verwezen naar de

NEN 7510-reeks.

##### <img src="media/image7.png" style="width:0.34947in;height:0.11532in" /Algemene wetten en regels

###### Algemene verordening gegevensbescherming (AVG)

De belangrijkste regels voor de omgang met persoonsgegevens in Nederland zijn vastgelegd in de [Algemene verordening gegevensbescherming (AVG).] De AVG verplicht organisaties te zorgen voor een adequate beveiliging van persoonsgegevens. In art. 32 van de AVG is vastgesteld dat de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen (...) [5]). Vanuit art. 32 in de AVG wordt verwezen naar bestaande (Nederlandse en internationale) normen voor informatiebeveiliging. Voor zorgaanbieders en andere organisaties die persoonlijke gezondheidsinformatie verwerken, betreft het:

— NEN 7510-1 en NEN 7510-2;

- NEN 7512: de beveiliging van gegevensuitwisseling tussen partijen die niet in hetzelfde beveiligingsdomein zitten;

- NEN 7513: acties die worden uitgevoerd op de persoonlijke gezondheidsinformatie waarop het toegangsbeveiligingsbeleid voor het domein waar de persoonlijke gezondheidsinformatie zich bevindt, van toepassing is. Met andere woorden: waarop het ISMS van NEN 7510-1 van toepassing is: ‘Als een zorginstelling de in deze normen aangegeven maatregelen heeft getroffen, wordt daarmee vastgesteld dat de instelling voldoet aan de genoemde wettelijke bepaling.’ [6])

4)  <span id="_bookmark47" class="anchor"</spanDe wet wijzigt en/of vult aan: de Wet gebruik BSN in de zorg, de Wbp, de WGBO, de Wet gebruik burgerservicenummer in de zorg (Wbsn-z), de Wet marktordening gezondheidszorg (Wmg) en de Zorgverzekeringswet (Zvw).

5)  <span id="_bookmark48" class="anchor"</span‘(…) rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen.’

6)  <span id="_bookmark49" class="anchor"</spanKamerstuk 33 509, nr. 7: Nota naar aanleiding van het verslag bij Wijziging van de Wet cliëntenrechten zorg, de Wet gebruik burgerservicenummer in de zorg, de Wet marktordening gezondheidszorg en de Zorgverzekeringswet (cliëntenrechten bij elektronische verwerking van gegevens).

###### Wet op de geneeskundige behandelovereenkomst (WGBO)

De WGBO (BW-boek 7, afdeling 5, art. 446-468), over rechten en plichten voor zowel hulpverlener als cliënt, is van toepassing op het verwerken van gegevens door de zorginstelling die de hulpverlener in het kader van de behandeling van de cliënt heeft verkregen. Die wet verplicht hem de noodzakelijke gegevens vast te leggen in zijn dossier over de cliënt. Via de AVG is een zorginstelling ook verplicht de gegevens van haar cliënten in het dossier adequaat te beschermen. Die verplichting kan worden ingevuld door NEN 7510-1 en NEN 7510-2 als uitgangspunt te hanteren.

###### Wet op de beroepen in de individuele gezondheidszorg (Wet BIG)

De Wet BIG is van toepassing op het bevorderen en bewaken van de kwaliteit in de gezondheidszorg door de onderverdeling van beroepen in drie groepen, waarvan art. 3-beroepen in het BIG-register staan en onder het complete tuchtrecht vallen.

###### Wet cliëntenrechten zorg (Wcz)

Deze wet is een samenvoeging van regels over de rechten van cliënten en de bijbehorende verplichtingen voor zorgaanbieders, zoals recht op goede zorg, keuze-informatie, informatie, toestemming, dossiervorming, bescherming van de persoonlijke levenssfeer, effectieve en laagdrempelige klachten- en geschillenregeling, medezeggenschap, goed bestuur en toezicht en maatschappelijke verantwoording. Goede zorgverlening vraagt van de zorginstelling dat zij bijhoudt wat er met de cliënt is besproken en welke behandeling er is gegeven. De Wcz geeft de cliënt dan ook het recht op een dossier en verplicht de zorginstelling dus om dit aan te leggen. De cliënt heeft recht op inzage en op een afschrift van zijn dossier. Deze bepalingen zijn met enige wijzigingen overgenomen uit de WGBO. In de WGBO is ook de bescherming van de persoonlijke levenssfeer (‘privacy’) geregeld. Dit is overgenomen in de Wcz. Onder bescherming van de persoonlijke levenssfeer vallen de geheimhoudingsplicht van de zorginstelling en haar medewerkers en het recht van de cliënt op privacy tijdens de zorgverlening.

###### Wet digitale overheid

Deze wet regelt dat Nederlandse burgers en bedrijven veilig en betrouwbaar kunnen inloggen bij publieke organisaties. Daarmee wordt bedoeld dat burgers elektronische identificatiemiddelen (eID) krijgen met een substantiële of hoge mate van betrouwbaarheid. Deze identificatiemiddelen geven publieke dienstverleners meer zekerheid over iemands identiteit. De wet stelt daarnaast open standaarden verplicht. Hiermee implementeert Nederland de Europese richtlijn over toegankelijkheid van overheidswebsites en apps (e-IDAS). Zorgverleners, indicatieorganen of zorgverzekeraars die op basis van de Wabvpz burgerservicenummers (bsn’s) verwerken zijn zogenaamde ‘aangewezen organisaties’ en vallen ook onder deze wet.

###### Wet elektronische gegevensuitwisseling in de zorg (Wegiz)

Deze wet beschrijft de regels en voorschriften voor gegevensuitwisseling in de zorg. Deze wet is een kaderwet en zal in de toekomst tot meerdere algemene maatregelen van bestuur (Amvb’s) leiden. Het programma [<uEGIZ</u] beoogt op basis van de kaderwet normen voor gegevensuitwisselingen te bepalen. Deze zijn zowel generiek als inhoudelijk per soort gegevensuitwisseling. De generieke normen voor gegevensuitwisseling hebben onder andere betrekking op informatiebeveiliging, zoals voor authenticatie en voor toestemming.

###### Wet langdurige zorg (Wlz)

Deze wet beschrijft de regels en voorschriften voor het verlenen van langdurige zorg, soms levenslang 24 uur per dag. Dit omvat onder andere indicatiestelling, regels voor de verzekering van de verleende zorg en het recht op zorg. NEN 7510 wordt in deze wet niet expliciet genoemd, maar de wet bevat wel voorschriften voor gegevensbescherming voor de verschillende betrokkenen, waaronder het CIZ, het Zorginstituut en het CAK.

**NTA 7516 [7])**

Binnen de zorg vindt naast gestructureerde uitwisseling van persoonlijke gezondheidsinformatie ook ad-hoc-communicatie plaats, bijvoorbeeld via e-mail. NTA 7516 beschrijft in techniekneutrale termen de eisen waaraan e-mail, met daarin patiënt- of cliëntgegevens, zou moeten voldoen om veilig te zijn. Het gaat daarbij enerzijds om de waarden die geborgd moeten worden, zoals de mate van beschikbaarheid, integriteit en vertrouwelijkheid, en anderzijds om gebruiksvriendelijkheid. Dit laatste is een belangrijk uitgangspunt om ervoor te zorgen dat oplossingen voor veilige e-mail daadwerkelijk gebruikt gaan worden. NTA 7516 is hiermee een uitwerking van de beheersmaatregelen uit de NEN 7510-reeks die gaan over ad-hoc-gegevensuitwisseling.

#### Relatie met (toekomstige) Europese wet- en regelgeving

Naast bestaande wet- en regelgeving is er ook toekomstige wet- en regelgeving die een relatie heeft of kan krijgen met informatiebeveiliging in de zorg. Zonder uitputtend te zijn wordt de volgende wet- en regelgeving genoemd.

###### Network and Information Security Directive (NIS2-richtlijn)

Dit is de opvolger van de NIS-richtlijn. Deze richtlijn is vastgesteld door de Europese Unie (EU) en bedoeld om de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. De NIS2-richtlijn vergroot de reikwijdte van de NIS-richtlijn door meer sectoren, waaronder de zorgsector, te omvatten. Ook stelt de richtlijn strengere beveiligingsnormen en meldingsvereisten voor incidenten. Deze nieuwe richtlijn wordt omgezet in Nederlandse wetgeving (titel: Cyberbeveiligingswet).

###### Medical Device Regulation (MDR) en In Vitro Diagnostic Regulation (IVDR)

Sinds 2021 en 2022 gelden er nieuwe Europese regels voor medische hulpmiddelen. Doel van de nieuwe regels is de patiëntveiligheid te vergroten en er ook voor te zorgen dat innovatieve medische hulpmiddelen beschikbaar blijven voor patiënten. De Europese verordening voor medische hulpmiddelen (Medical Device Regulation, MDR) is van toepassing sinds 26 mei 2021. De MDR vervangt de eerdere Europese Richtlijnen voor medische hulpmiddelen (93/42/EEG) en voor actieve implanteerbare medische hulpmiddelen (90/385/EEG). Sinds 26 mei 2022 is de Europese verordening voor medische hulpmiddelen voor in-vitro diagnostiek (IVDR) van toepassing. De IVDR vervangt de eerdere EU-Richtlijn voor medische hulpmiddelen voor in-vitro diagnostiek (98/79/EG). NEN 7510-1 en NEN 7510-2 beschrijven beheersmaatregelen voor informatiebeveiliging. Medische hulpmiddelen zijn steeds meer verbonden met de IT-infrastructuur en/of zijn als programmatuur in zichzelf ook een medisch hulpmiddel. Dit betekent dat er dus een samenhang is tussen de MDR/IVDR en de NEN 7510-reeks.

###### Artificial Intelligence Act (AI Act)

Deze wet beschrijft de regels en voorschriften voor de ontwikkeling, inzet en het gebruik van AI. Ook binnen de zorg en het gezondheidsonderzoek wordt AI steeds meer ingezet. Eisen voor informatiebeveiliging zijn hier een onderdeel van.

###### Critical Entities Resilience Directive (CER)

Deze richtlijn gaat in op zogenaamde ‘kritieke entiteiten’. Deze entiteiten verlenen essentiële diensten die van cruciaal belang zijn voor vitale maatschappelijke functies, economische activiteiten, de volksgezondheid, de openbare veiligheid en het milieu. Zij moeten kunnen omgaan met hybride aanvallen, natuurrampen, terroristische dreigingen en gezondheidscrises, en zij moeten in staat zijn deze te voorkomen, zich ertegen te beschermen, erop te reageren en ervan te herstellen. Deze nieuwe richtlijn wordt omgezet in Nederlandse wetgeving (titel: Wet Weerbaarheid kritieke entiteiten).

7)  <span id="_bookmark50" class="anchor"</spanNTA 7516:2019 wordt herzien en naar verwachting in 2025 gepubliceerd als een NEN-norm.

###### Cyber Resilience Act (CRA)

Deze wet beoogt te beschrijven welke eisen moeten worden gesteld aan producten om deze veilig op de markt te kunnen brengen en te kunnen gebruiken. Dit wordt ook relevant voor apparatuur en producten die binnen de zorg worden gebruikt. Zorgaanbieders kunnen dit meenemen wanneer eisen worden gesteld bij de verwerving van nieuwe middelen.

###### Data Act

Deze wet beoogt een gelijk speelveld te creëren voor partijen binnen de markt waarbij steeds meer gebruik wordt gemaakt van gegevens. Ook binnen de sector gezondheidszorg zal dit van belang zijn en worden.

###### Data Governance Act (DGA)

Deze wet streeft ernaar gegevens binnen Europa beter toegankelijk te maken. Dit is relevant voor onderzoek binnen de zorg en ook voor de zorg zelf omdat deze hergebruik van data faciliteert, bijvoorbeeld voor kwaliteitsverbetering, beleid en innovatie.

###### European Health Data Space (EHDS)

Binnen de EU wordt een verordening voor de Europese ruimte voor gezondheidsgegevens opgesteld. Deze verordening beoogt voor te schrijven hoe binnen Europa snel en gemakkelijk gezondheids- gegevens uitgewisseld kunnen worden en burgers toegang kan worden gegeven tot hun gezondheids- gegevens. Het voorstel bestaat uit drie delen: primair datagebruik, secundair datagebruik en regulering van de Zorg-ICT-markt. Voorschriften voor beveiliging, toestemming, uitwisseling, secundair gebruik van gegevens vormen hier een onderdeel van.

**65**

# Bibliografie

NEN-EN-ISO/IEC 27000, *Information technology – Security techniques – Information security management systems – Overview and vocabulary*

NEN-EN-ISO/IEC 27001, *Informatiebeveiliging, cybersecurity en bescherming van de privacy - Managementsysteem voor informatiebeveiliging - Eisen*

NEN-EN-ISO/IEC 27002*, Informatiebeveiliging, cybersecurity en bescherming van de privacy - Beheersmaatregelen voor informatiebeveiliging*

NEN-ISO/IEC 27003, *Information technology – Security techniques – Information security management systems – Guidance*

NEN-ISO/IEC 27004, *Information technology – Security techniques – Information security management – Monitoring, measurement, analysis and evaluation*

NEN-EN-ISO/IEC 27005, *Information security, cybersecurity and privacy protection – Guidance on managing information security risks*

NEN-EN-ISO 27799, *Health informatics - Information security management in health using ISO/IEC 27002*

IEC/CD TS 81001-2-2:2024, *Health software and health IT systems safety, effectiveness and security – Part 2-2: Guidance for the implementation, disclosure and communication of security needs, risks and controls*

NEN-ISO 31000, *Risicomanagement - Richtlijnen*

ISO/IEC *Directives, Part 1, Consolidated ISO Supplement – Procedures specific to ISO*, 2012

