---
tags:
  - nen7510/2024
---

# Inhoud

Voorwoord

0. Inleiding
0.1. NEN 7510-1 en NEN 7510-2
0.2. Het overkoepelende doel van informatiebeveiliging in de zorg

1. Onderwerp en toepassingsgebied
1.1.  Algemeen
1.2.  Uitsluitingen van het onderwerp en toepassingsgebied

2. Normatieve verwijzingen

3. Termen en definities
3.1.  Termen en definities
3.2.  Afgekorte termen

4. Context van de organisatie
4.1 Inzicht in de organisatie en haar context
4.2 Inzicht in de behoeften en verwachtingen van belanghebbenden
4.3 Het toepassingsgebied van het managementsysteem voor informatiebeveiliging vaststellen
4.4 Managementsysteem voor informatiebeveiliging

5. Leiderschap
5.1.  Leiderschap en betrokkenheid
5.2.  Beleid
5.3.  Rollen, verantwoordelijkheden en bevoegdheden binnen de organisatie

6. Planning
6.1 Acties om risico’s en kansen op te pakken
6.2 Informatiebeveiligingsdoelstellingen en de planning om ze te bereiken
6.3.  Planning van wijzigingen

7. Ondersteuning
7.1 Middelen
7.2 Competentie
7.3 Bewustzijn
7.4 Communicatie
7.5 Gedocumenteerde informatie

8. Uitvoering
8.1.  Operationele planning en beheersing
8.2.  Risicobeoordeling van informatiebeveiliging
8.3.  Informatiebeveiligingsrisico’s behandelen

9. Evaluatie van de prestaties
9.1 Monitoren, meten, analyseren en evalueren
9.2 Interne audit
9.3 Management review

10. Verbetering
    10.1.  Continue verbetering
    10.2.  Afwijkingen en corrigerende maatregelen

Bijlage A (normatief) Referentie voor zorgspecifieke beheersmaatregelen voor informatiebeveiliging
Bijlage B (informatief) Vergelijking van NEN 7510-1:2024 (dit document) met NEN 7510-1:2017+A1:2020
Bijlage C (informatief) Nederlandse en Europese wet- en regelgeving

Bibliografie

# Voorwoord

NEN 7510-1:2024 vervangt Ontw. NEN 7510-1:2024 en NEN 7510-1:2017+A1:2020.

De belangrijkste wijzigingen in NEN 7510-1:2024 betreffen:

- de verwerking van wijzigingen in NEN-EN-ISO/IEC 27001:2023;

- de verwerking van wijzigingen in ISO/DIS 27799:2024;

- de vermelding van nieuwe wet- en regelgeving. De NEN 7510-reeks bestaat uit twee delen:

- Deel 1 bevat de eisen voor het managementsysteem uit de hoofdstukken 4 t/m 10 uit NEN-EN-ISO/IEC 27001:2023 (nl), in bijlage A aangevuld met (zorgspecifieke) beheersmaatregelen uit NEN 7510-2.

- Deel 2 bevat beheersmaatregelen uit NEN-EN-ISO/IEC 27002:2022 (nl) en zorgspecifieke beheersmaatregelen uit ISO/DIS 27799:2024 (en), aangevuld met implementatierichtlijnen en overige zorgspecifieke informatie.

De drie internationale normen hebben de status van Nederlandse norm. Er is geen officiële Nederlandse vertaling van ISO/DIS 27799:2024 (en).

Deze norm past de geharmoniseerde structuur (Harmonized Structure – HS, zie de gele markering) voor managementsysteemnormen toe en is daardoor verenigbaar met andere managementsysteemnormen die de HS volgen. Deze gemeenschappelijke benadering biedt organisaties het voordeel een enkel, of ook wel geïntegreerd, managementsysteem uit te voeren dat voldoet aan de eisen van twee of meer managementsysteemnormen.

Deze norm is vastgesteld door normcommissie 303 006 'Informatievoorziening in de zorg'.

# 0. Inleiding

## 0.1 NEN 7510-1 en NEN 7510-2

### 0.1.1.  Doelstellingen

**NEN 7510-1**

NEN 7510-1 bevat eisen voor het inrichten, implementeren, in stand houden en continu verbeteren van een managementsysteem voor informatiebeveiliging.

Dit managementsysteem waarborgt de beschikbaarheid, integriteit en vertrouwelijkheid van informatie door op basis van risicomanagement een passend stelsel van beheersmaatregelen te treffen en te onderhouden. Het invoeren van een managementsysteem voor informatiebeveiliging is voor een organisatie een strategische beslissing, waarbij wordt opgemerkt dat invoering en naleving van

NEN 7510-1 voortvloeit uit wetgeving, zoals beschreven in bijlage C.

Het is belangrijk dat het managementsysteem voor informatiebeveiliging deel uitmaakt van en geïntegreerd is met de procedures van de organisatie en met de algehele managementstructuur, en dat informatiebeveiliging in aanmerking wordt genomen bij het ontwerpen van processen, informatiesystemen en beheersmaatregelen. In NEN 7510-2 worden deze beheersmaatregelen uitgewerkt. De implementatie van een managementsysteem voor informatiebeveiliging wordt gewoonlijk afgestemd op de behoeften van de organisatie.

**NEN 7510-2**

In NEN 7510-2 staan de beheersmaatregelen die aansluiten op de vereisten van informatiebeveiliging in de zorgsector en op de unieke werkomgeving van deze sector. Dit zijn enerzijds generieke beheersmaatregelen voor informatiebeveiliging en anderzijds specifieke beheersmaatregelen voor informatiebeveiliging in de zorg. De beheersmaatregelen zijn voorzien van attributen om gebruikers van de norm te ondersteunen bij het selecteren van passende beheersmaatregelen voor de informatiebeveiligingsrisico’s. Daarnaast bevat NEN 7510-2 richtlijnen om beheersmaatregelen te implementeren en uitleg over of verwijzingen naar andere gerelateerde documenten.

Door de standaard beheersmaatregelen aan te vullen met de zorgspecifieke beheersmaatregelen, bevat NEN 7510-2:2024 een set aan beheersmaatregelen die inspeelt op de speciale behoeften op het gebied van informatiebeveiliging in de zorgsector en de unieke werkomgeving van deze sector. Terwijl de bescherming en beveiliging van persoonlijke informatie belangrijk is voor alle personen, bedrijven, instellingen en overheden, gelden er speciale eisen in de zorgsector waaraan behoort te worden voldaan om de beschikbaarheid, integriteit en vertrouwelijkheid van persoonlijke gezondheidsinformatie zeker te stellen. Het beschermen van de beschikbaarheid, integriteit en vertrouwelijkheid van gezondheidsinformatie vereist daarom zorgspecifieke expertise.

Interne en externe partijen kunnen NEN 7510-1 en NEN 7510-2 gebruiken om te beoordelen of de organisatie over het vermogen beschikt om te voldoen aan de eigen informatiebeveiligingseisen.

### 0.1.2.  De toegevoegde waarde van NEN 7510-1 en NEN 7510-2

Deze normen maken het zorgaanbieders mogelijk om de drie onderliggende basisnormen

NEN-EN-ISO 27799, NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 op consequente wijze te implementeren, met specifieke aandacht voor de unieke uitdagingen die de zorg stelt.

Zorgaanbieders kunnen door toepassing van NEN 7510-1 en NEN 7510-2 een bijdrage leveren aan de interoperabiliteit tussen zorgaanbieders onderling, zowel nationaal als internationaal. Hierdoor wordt het makkelijker om nieuwe technieken voor samenwerking binnen de zorgverlening in te voeren, en gegevens uit te wisselen tussen verschillende zorgdomeinen, zoals bijvoorbeeld ‘jeugdzorg’ en ‘forensische zorg’. Zorgaanbieders kunnen de resultaten van de zorg aanmerkelijk verbeteren door gegevens op een beveiligde manier te delen.

Ten slotte kunnen zorgaanbieders en andere beheerders van persoonlijke gezondheidsinformatie zich certificeren tegen NEN 7510-1, waarvan het certificatieschema (NCS 7510) onder accreditatie is goedgekeurd. Hiermee staat het certificatieproces onder toezicht van de Raad voor Accreditatie (RvA), die zowel eisen stelt aan het certificatieproces als aan de certificerende organisatie.

OPMERKING 1 In het [Besluit elektronische gegevensverwerking door zorgaanbieders](https://wetten.overheid.nl/BWBR0040238/2020-10-01) wordt de NEN 7510-reeks in artikel 3 genoemd als de manier waarop een elektronisch uitwisselingssysteem veilig en zorgvuldig kan worden gebruikt.

OPMERKING 2 De Inspectie Gezondheidszorg en Jeugd gebruikt NEN 7510-1 en NEN 7510-2 bij het toetsen van de vraag of zorgaanbieders aantoonbaar een werkend managementsysteem voor informatiebeveiliging hebben. Zie bijvoorbeeld het [Toetsingskader Digitale Zorg](https://www.igj.nl/publicaties/toetsingskaders/2024/05/06/toetsingskader-digitale-zorg-uitgebreide-versie).

OPMERKING 3 De Autoriteit Persoonsgegevens geeft op haar website een nadere uitwerking van art. 32 AVG. Voor de zorg wordt hierbij naar ‘NEN 7510’ verwezen.

**Vormen van gebruik**

Net als NEN-EN-ISO/IEC 27002:2022 biedt NEN 7510-2 een referentiebron met ondersteunende richtlijnen en andere informatie die kan worden gebruikt om informatie- beveiligingsbeheersmaatregelen in de gezondheidszorg vast te stellen en te implementeren.

Passende implementatie van de beheersmaatregelen in NEN 7510-2 kan zekerheid bieden aan natuurlijke personen, waaronder zorgontvangers, hun gevolmachtigden en personeelsleden van een organisatie. Passende implementatie kan ook zekerheid bieden aan een brede groep belanghebbende instanties, waaronder directies en raden van bestuur van zorgaanbieders, andere zorgaanbieders waarmee informatie wordt uitgewisseld of gedeeld, overheidsinstanties, regelgevende instanties, auditoren en organisaties die gezondheidszorgdiensten financieren, verzekeren, accrediteren of inspecteren.

NEN 7510-2 behoort te worden gebruikt voor het vaststellen en implementeren van beheersmaatregelen voor een managementsysteem voor informatiebeveiliging (ISMS) op basis van NEN 7510-1 in een gezondheidszorgomgeving.

### 0.1.3.  Leeswijzer

NEN 7510-1 is een normatief document en bevat eisen (geformuleerd met ‘moeten’). Ook de beheersmaatregelen in bijlage A van NEN 7510-1 zijn geformuleerd met ‘moeten’. In NEN 7510-2 staan beheersmaatregelen, inclusief het te bereiken doel en richtlijnen om die beheersmaatregelen te implementeren. Dit zijn mogelijke keuzes. Daarom bevat NEN 7510-2 geen eisen maar aanbevelingen (geformuleerd met ‘behoren te’). Zorgaanbieders en andere beheerders van persoonlijke gezondheidsinformatie kunnen op basis van 6.1.3 van NEN 7510-1 beheersmaatregelen selecteren en vastleggen in de verklaring van toepasselijkheid. Met deze verklaring kunnen zij aantonen welke beheersmaatregelen wel of niet van toepassing zijn.

Daar waar in NEN 7510-2 zorgspecifieke richtlijnen zijn beschreven voor een beheersmaatregel, en de beheersmaatregel is geselecteerd en geïmplementeerd, zijn er twee mogelijkheden:

- óf de richtlijnen worden gevolgd;

- óf de reden om de richtlijnen niet te volgen wordt beschreven met een toelichting hoe de doelstelling van de beheersmaatregel wordt bereikt.

Dit principe wordt ook wel omschreven als ‘comply or explain’.

De volgorde waarin de eisen in NEN 7510-1 worden gepresenteerd, geeft niet de volgorde van belangrijkheid aan en impliceert niet de volgorde waarin ze behoren te worden geïmplementeerd. De nummering van de opsommingen dient alleen referentiedoeleinden.

### 0.1.4.  Doelgroep

NEN 7510-1 en NEN 7510-2 zijn bedoeld voor degenen die verantwoordelijk zijn voor het toezicht op de beveiliging van gezondheidsinformatie, voor zorgaanbieders en andere beheerders van persoonlijke gezondheidsinformatie. Deze normen vormen geen beknopte handleiding over informatiebeveiliging. Er zijn veel beveiligingseisen die voor alle gerelateerde informatiesystemen opgaan, ongeacht waar die gebruikt worden: in de financiële dienstverlening, fabricage, industriële besturingen of in welke andere georganiseerde activiteit dan ook. NEN 7510-1 en NEN 7510-2 bevatten de beveiligingseisen die nodig zijn voor het verwerken van elektronische gezondheidsinformatie die de zorgverlening ondersteunt.

NEN 7510-1 en NEN 7510-2 zijn van waarde voor verschillende doelgroepen:

- Zorgaanbieders (zowel instellingen als solistisch werkende zorgverleners) kunnen ervoor zorgen dat:

  - de kritieke zorginformatieverwerkende processen voldoende beschikbaar zijn voor een passende kwaliteit van zorg;

  - de integriteit van de verwerkte resultaten voldoende is om de passende kwaliteit van zorg te kunnen leveren;

  - de vertrouwelijkheid van de gezondheidsinformatie gewaarborgd blijft, en

  - ze verantwoording kunnen afleggen over de verwerkingen van de gezondheidsinformatie.

- Beheerders van persoonlijke gezondheidsinformatie kunnen toezicht houden op de beveiliging van gezondheidsinformatie, evenals hun informatiebeveiligingsadviseurs, -consultants, -auditoren,

-aanbieders en externe dienstverleners.

Voorbeelden van beheerders van gezondheidsinformatiesystemen zijn DienstVerlener Personen (DVP’s) en DienstVerlener Aanbieders (DVA’s), zorgserviceproviders, gemeenten, zorgverzekeraars, toeleveranciers van zorgaanbieders, zoals hostingproviders en beheerders van persoonlijke gezondheidsinformatie voor andere doeleinden, zoals secundair gebruik van persoonlijke gezondheidsinformatie.

OPMERKING Ook partijen die niet direct tot de doelgroep van NEN 7510-1 en NEN 7510-2 behoren, kunnen gebruikmaken van deze normen.

### 0.1.5.  Relatie met NEN 7512 en NEN 7513

Binnen de zorg worden gegevens in toenemende mate uitgewisseld tussen betrokken partijen. Dit geldt voor zowel de primaire processen van diagnostiek, behandeling, nazorg, verpleging en verzorging van een individuele cliënt als de financiële afhandeling en de bedrijfsprocessen in een zorginstelling. Voorbeelden zijn: het versturen van aanvragen en uitslagen van laboratoriumbepalingen tussen een zorginstelling en een extern laboratorium, inzage van een cliënt in zijn eigen elektronisch cliëntdossier via een portaal en het versturen van een ontslagbrief van een specialist aan een huisarts.

NEN 7512 heeft betrekking op de beveiliging van gegevensuitwisseling tussen partijen die niet in hetzelfde beveiligingsdomein zitten. Hierbij wordt in beginsel verondersteld dat de verschillende uitwisselende partijen hun eigen (interne) informatiebeveiliging op orde hebben door naleving van NEN 7510-1 en NEN 7510-2 of vergelijkbaar.

NEN 7513 specificeert een gemeenschappelijk kader voor de logging van persoonlijke gezondheidsinformatie aan de hand van toegangs- en zoek- en uitwisselingsgebeurtenissen. Het doel is om de volledige verzameling van deze gebeurtenissen binnen de verschillende informatiesystemen en -domeinen controleerbaar te houden.

NEN 7513 is een uitwerking van wat NEN 7510-2 voorschrijft voor zover het gaat om de verplichting om gebeurtenissen in elektronische cliëntdossiers te loggen en deze te beheren en te beveiligen. In aanvulling op NEN 7510-2 bevat NEN 7513:

- eisen over de logbestanden en hoe de gegevens daarin onweerlegbaar kunnen worden vastgelegd;

- eisen over de periode waarin de logbestanden minimaal en maximaal moeten worden bewaard;

- aanbevelingen over de te gebruiken templates van de logging voor cliënten en zorgaanbieders, conform wettelijke kaders.

### 0.1.6.  De waarde van persoonlijke gezondheidsinformatie

Persoonlijke gezondheidsinformatie kan een grote waarde vertegenwoordigen voor de verschillende betrokkenen:

- De cliënt kan grote waarde ontlenen aan de informatie die over zijn of haar gezondheid of ziekte is vastgelegd. Bijvoorbeeld wanneer de informatie de uitslag van een onderzoek betreft. De persoonlijke gezondheidsinformatie kan aanwezig zijn in een elektronisch cliëntdossier van een zorgaanbieder, maar ook in de eigen persoonlijke gezondheidsomgeving (PGO). De zorgaanbieder kan het beleid voor behandeling ook bepalen op basis van informatie uit een PGO. Wanneer deze informatie onjuist of onvolledig is, kan dit gevolgen hebben voor de behandeling.

- De zorgaanbieder bepaalt het beleid voor behandeling en verzorging op basis van de gezondheidsinformatie van de cliënt. Wanneer deze informatie niet beschikbaar, onjuist of onvolledig is, kan dit grote consequenties hebben.

Persoonlijke gezondheidsinformatie is daarnaast ook van waarde voor de kwaliteit en continuïteit van zorg, beslissingsondersteuning, verantwoording, beleid, onderzoek en innovatie. Tot slot is persoonlijke gezondheidsinformatie ook van waarde vanuit het oogpunt van gegevensbescherming (vertrouwelijkheid). Dit zijn volgens de vigerende privacywetgeving bijzondere persoonsgegevens die om extra aandacht en bescherming vragen. NEN 7510-1 en NEN 7510-2 geven invulling aan deze behoefte.

## 0.2. Het overkoepelende doel van informatiebeveiliging in de zorg

OPMERKING Gebaseerd op de inleiding van NEN-EN-ISO 27799 en van toepassing op NEN 7510-1 en NEN 7510-2.

### 0.2.1.  Algemeen

Het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid (aangevuld met authenticiteit, onweerlegbaarheid en controleerbaarheid) van informatie is het overkoepelende doel van informatiebeveiliging. In de zorg is de privacy van cliënten afhankelijk van het handhaven van de vertrouwelijkheid van persoonlijke gezondheidsinformatie. Om deze vertrouwelijkheid te handhaven behoren er ook beheersmaatregelen te worden genomen voor het handhaven van de integriteit van gegevens, al was dat alleen maar vanwege het feit dat het mogelijk is de integriteit van toegangsbeveiligingsgegevens, loggegevens en andere systeemgegevens dusdanig te corrumperen dat schendingen van de vertrouwelijkheid kunnen plaatsvinden en zelfs onopgemerkt kunnen blijven.

Bovendien is de veiligheid van cliënten afhankelijk van het handhaven van de integriteit van persoonlijke gezondheidsinformatie; nalatigheid kan ziekte, letsel of zelfs de dood als gevolg hebben. Een hoog beschikbaarheidsniveau is ook een bijzonder belangrijk kenmerk van zorginformatiesystemen, waar behandelingen vaak tijd-kritisch zijn. Het zou zo kunnen zijn dat juist het moment waarop zich rampen voordoen, die zouden kunnen leiden tot uitval van andere niet- zorginformatiesystemen, het moment is waarop de in zorginformatiesystemen vervatte informatie het hardst nodig is.

De in NEN 7510-1 en NEN 7510-2 voorgestelde beheersmaatregelen zijn van organisatorische, mensgerichte, fysieke en technologische aard. De maatregelen gaan dus niet alleen over het technisch beveiligen van informatiesystemen en IT-infrastructuur, maar ook over het inrichten van een organisatie van informatiebeveiliging en over het handelen van mensen binnen deze organisatie.

De besproken beheersmaatregelen zijn de beheersmaatregelen waarvan is bepaald dat ze geschikt zijn om de beschikbaarheid, integriteit en vertrouwelijkheid van persoonlijke gezondheidsinformatie in de zorg te waarborgen en ervoor te zorgen dat de toegang tot dergelijke informatie gecontroleerd en verantwoord kan worden. Deze beheersmaatregelen helpen fouten in de medische praktijk te voorkomen, die zouden kunnen voortvloeien uit het niet goed handhaven van de integriteit van gezondheidsinformatie. Bovendien dragen ze bij aan het garanderen dat de continuïteit van medische dienstverlening gehandhaafd wordt.

Er zijn nog meer overwegingen die de doelen van informatiebeveiliging in de zorg vorm geven, waaronder:

1) het voldoen aan wettelijke verplichtingen, die zijn vervat in de toepasselijke wet- en regelgeving inzake gegevensbescherming die het recht op privacy van een cliënt beschermt[^1];

2) het handhaven van gevestigde ‘best practices’ op het gebied van privacy en beveiliging binnen de gezondheidsinformatica;

3) het mogelijk maken van rekenschap van zorgprofessionals en/of professionals werkzaam binnen het zorgdomein en van organisaties werkzaam binnen het domein van de gezondheidszorg;

4) het ondersteunen van de implementatie van stelselmatig risicomanagement binnen zorgaanbieders;

5) het voldoen aan de beveiligingsbehoeften die in alledaagse situaties in de zorg worden geïdentificeerd;

6) het verlagen van de exploitatiekosten door intensiever gebruik van technologie op een veilige, beveiligde en goed beheerste manier mogelijk te maken, die de huidige gezondheidsactiviteiten ondersteunt, maar deze niet beperkt;

7) het handhaven van het vertrouwen van het publiek in zorgaanbieders en de informatiesystemen waarvan deze organisaties gebruik maken;

8) het handhaven van door professionele organisaties in de zorg vastgestelde professionele normen en ethische richtlijnen (voor zover informatiebeveiliging de vertrouwelijkheid en integriteit van gezondheidsinformatie handhaaft);

9) het gebruik maken van elektronische zorginformatiesystemen in een omgeving die op passende manier tegen bedreigingen is beveiligd, en

10) het mogelijk maken van interoperabiliteit tussen zorginformatiesystemen, aangezien er steeds meer gezondheidsinformatie wordt uitgewisseld tussen organisaties en buiten de grenzen van rechtsgebieden (met name aangezien die interoperabiliteit de juiste manier van omgaan met gezondheidsinformatie versterkt, waardoor wordt gegarandeerd dat de beschikbaarheid, integriteit en vertrouwelijkheid ervan gehandhaafd blijven).

[^1]: In aanvulling op wettelijke verplichtingen is informatie beschikbaar over ethische verplichtingen met betrekking tot gezondheidsinformatie; bijv. de gedragscode van de Wereldgezondheidsorganisatie. Deze ethische verplichtingen kunnen in bepaalde omstandigheden ook gevolgen hebben voor informatiebeveiliging in de zorg.

Ongeacht hun grootte, locatie en model van dienstverlening, behoren alle zorgaanbieders passende beheersmaatregelen te hebben ingesteld om de aan hen toevertrouwde gezondheidsinformatie te beschermen. Veel beroepsbeoefenaren in de zorg werken echter als zelfstandig zorgverlener of werken in kleine klinieken waar men niet beschikt over speciale IT-middelen om informatiebeveiliging te managen. Zorgaanbieders hebben daarom duidelijke, compacte en zorgspecifieke richtlijnen nodig voor het selecteren en implementeren van dergelijke beheersmaatregelen. Deze richtlijnen behoren te kunnen worden aangepast aan het brede spectrum aan omvang, locaties en modellen van dienstverlening die men in de zorg aantreft. Ten slotte biedt het vaststellen van een gemeenschappelijk referentiekader voor informatiebeveiliging in de zorg een duidelijk voordeel. Dit vanwege de toenemende elektronische uitwisseling van persoonlijke gezondheidsinformatie tussen zorgverleners (waaronder het gebruik van draadloze netwerken, internetdiensten en cloudcomputing).

### 0.2.2.  Context en achtergrond

Bij het nadenken over informatiebeveiliging in de context van gezondheidszorg zijn er allerlei factoren waarmee rekening moet worden gehouden, zoals onder andere:

1) het gebruik van apparatuur waarvoor digitale technieken nodig zijn en die uitsluitend of voornamelijk binnen de gezondheidszorg wordt ingezet. Het belangrijkste voorbeeld hiervan zijn medische hulpmiddelen of apparaten die gegevens registreren, verwerken of rapporteren en waarmee gegevens worden uitgewisseld;

2) de noodzaak klinische veiligheid en doeltreffendheid en informatiebeveiliging met elkaar in evenwicht te brengen;

3) de privacy van zorgontvangers in stand houden en tegelijkertijd toegang tot relevante persoonlijke gezondheidsinformatie voor diagnose en behandeling waarborgen;

4) het feit dat de gedistribueerde aard van persoonlijke gezondheidsinformatie zowel binnen als tussen organisaties (eventueel in verschillende rechtsgebieden) tot de noodzaak van hoge niveaus van interoperabiliteit tussen uiteenlopende systemen, toepassingen en apparaten leidt;

5) allerlei soorten gebruikers, waaronder artsen, verpleegkundigen, andere clinici, stagiairs, studenten, assistenten in de gezondheidszorg, technici, administratieve medewerkers en vrijwilligers evenals zorgontvangers en hun gevolmachtigden;

6) de vele onderlinge afhankelijkheden en informatiestromen tussen en binnen organisaties die verantwoordelijk zijn voor een of meer van de volgende zaken: gezondheidszorg, klinisch onderzoek, onderwijs, opleiding en training;

7) de noodzaak dat bepaalde gezondheidszorgdiensten onder normale omstandigheden en, in bepaalde gevallen, in het geval van natuurrampen of andere gebeurtenissen die kunnen leiden tot een piekvraag naar gezondheidszorgdiensten volcontinu (24 uur per dag, elke dag) beschikbaar zijn;

8) voor alle organisaties die gezondheidszorgdiensten verlenen en voor alle producenten of leveranciers van systemen, hulpmiddelen en apparatuur geldt een breed scala aan wettelijke, statutaire, regelgevende en contractuele eisen die van geval tot geval kunnen verschillen;

9) overlappende of onvolledige eisen voor verantwoording en beroepsmatige verantwoordelijkheid tussen verschillende beroepen (zoals ICT-medewerkers en personeel dat met medische apparaten werkt) voor het waarborgen van beveiliging en veiligheid van systemen, hulpmiddelen en apparatuur;

Gezien deze algehele context kent de gezondheidszorg een aantal sectorspecifieke, en soms ook unieke, informatiebeveiligingseisen. De in NEN-EN-ISO/IEC 27002:2022 gespecificeerde beheersmaatregelen zijn echter met opzet generiek. Hoewel de meeste beheersmaatregelen van toepassing zijn op de gezondheidszorg is het nodig:

- bepaalde in NEN-EN-ISO/IEC 27002:2022 gespecificeerde beheersmaatregelen aan te passen, te verfijnen of uit te breiden of aanvullende richtlijnen en andere informatie te geven;

- aanvullende beheersmaatregelen specifiek voor de gezondheidszorg te specificeren.

### 0.2.3. Onderlinge afhankelijkheid van beveiliging, veiligheid en doeltreffendheid

Beveiliging, veiligheid en de doeltreffendheid van gezondheidsinformatiesystemen zijn onderling van elkaar afhankelijk. Het is essentieel dat hiermee rekening wordt gehouden bij het beoordelen en beheren van risico's en de beheersmaatregelen voor die risico's. Bijvoorbeeld: een risico dat systemen of gegevens niet beschikbaar zullen zijn op het punt waar zorg wordt verleend is niet slechts een beveiligingsrisico, maar kan ook een significante impact hebben op de veiligheid als de besluitvorming over zorg hierdoor in het gedrang komt. Dit kan vervolgens weer gevolgen hebben voor de doeltreffendheid van het gezondheidssysteem.

Een gevolg van de onderlinge afhankelijkheid van beveiliging, veiligheid en doeltreffendheid is dat goed bedoelde risicobeheersmaatregelen in sommige gevallen negatief kunnen uitwerken op een of beide van de andere eigenschappen. Als er bijvoorbeeld beheersmaatregelen worden toegevoegd om het risico te beperken dat het gevolg is van onbevoegde toegang kan dit een impact hebben op de bruikbaarheid en beschikbaarheid van het systeem en als gevolg daarvan de doeltreffendheid (en het realiseren van de voordelen) van het systeem in het gedrang brengen. Het kan ook leiden tot tijdelijke oplossingen ('workarounds') die worden toegepast op het systeem en het kan een negatieve uitwerking hebben op de veiligheid.

Bij het ingaan op beveiliging, veiligheid en doeltreffendheid en het bereiken van de beoogde voordelen is een integrale aanpak essentieel om de synergieën en het evenwicht tussen de drie eigenschappen te optimaliseren. Het is belangrijk dat wordt gewaarborgd dat de doeltreffendheid van het systeem (het totale voordeel van alle elementen van het systeem) altijd zwaarder weegt dan de restrisico's die gepaard gaan met het implementeren ervan.

### 0.2.4.  Relatie tot informatie-governance [^2], corporate governance en klinische governance

Waar zorgaanbieders kunnen verschillen in hun standpunten over klinische governance en corporate governance, zou het belang van het integreren en onderhouden van informatie-governance geen onderwerp van discussie mogen zijn. Dit is essentieel voor het ondersteunen van de beide andere vormen van governance. Zorgaanbieders worden steeds afhankelijker van informatiesystemen voor het ondersteunen van de zorgverlening (bijv. door gebruik te maken van technieken die de besluitvorming ondersteunen en door trends richting ‘op bewijs gebaseerde’ in plaats van ‘op ervaring gebaseerde’ zorg). Hierdoor kunnen gebeurtenissen waarbij verlies van beschikbaarheid, integriteit en vertrouwelijkheid optreedt, aanmerkelijke klinische gevolgen hebben. Problemen die voortvloeien uit dergelijke gevolgen, zullen worden beschouwd als falen ten opzichte van de ethische en wettelijke verplichtingen die inherent zijn aan een zorgplicht.

In kaders voor klinische governance behoort doeltreffend management van de informatie- beveiligingsrisico's een even hoog belang te krijgen als zorgplannen, infectiemanagementstrategieën en andere kernaspecten van klinisch management.

Deze informatie helpt de verantwoordelijken voor klinische governance een beter inzicht te krijgen in de bijdrage die wordt geleverd door doeltreffende informatiebeveiligingsstrategieën.

### 0.2.5.  Gezondheidsinformatie

Er zijn allerlei soorten gezondheidsinformatie waarvan de beschikbaarheid, integriteit en vertrouwelijkheid beschermd behoren te worden:

1) persoonlijke gezondheidsinformatie [^3];

2) gepseudonimiseerde gegevens die, via een methodiek voor pseudonieme identificatie, aan persoonlijke gezondheidsinformatie worden ontleend;

3) statistische gegevens en onderzoeksgegevens, waaronder geanonimiseerde gegevens, die aan persoonlijke gezondheidsinformatie worden ontleend door persoonlijke identificatiegegevens weg te halen;

4) klinische/medische kennis die niet gerelateerd is aan specifieke cliënten, waaronder gegevens ter ondersteuning van klinische besluiten (bijv. gegevens over ongewenste bijwerkingen van medicijnen);

5) gegevens over zorgverleners, personeel en vrijwilligers;

6) informatie in verband met het toezicht op de volksgezondheid;

7) loggegevens die door zorginformatiesystemen worden geproduceerd en die mogelijk persoonlijke gezondheidsinformatie of aan persoonlijke gezondheidsinformatie ontleende pseudonieme gegevens bevatten, of die gegevens bevatten over de handelingen van gebruikers met betrekking tot persoonlijke gezondheidsinformatie;

8) systeembeveiligingsgegevens voor zorginformatiesystemen, waaronder toegangsbeveiligingsgegevens en andere beveiligingsgerelateerde systeemconfiguratiegegevens.

De mate waarin beschikbaarheid, integriteit en vertrouwelijkheid behoren te worden beschermd, is afhankelijk van de aard van de informatie, het beoogde gebruik ervan en de risico's waaraan deze informatie wordt blootgesteld. Zo is het bijvoorbeeld mogelijk dat statistische gegevens (punt c hierboven) niet vertrouwelijk zijn, maar kan het beschermen van de integriteit ervan erg belangrijk zijn. Ook is het mogelijk dat loggegevens (punt g hierboven) geen hoge beschikbaarheid vereisen (regelmatig archiveren met een terugvindtijd, gemeten in uren in plaats van seconden, zou voldoende zijn voor een bepaalde toepassing), maar dat de inhoud ervan zeer vertrouwelijk is. Met behulp van een risicobeoordeling kan worden bepaald welke inspanning er nodig is om de beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen. De prioriteiten en inzet van middelen van de implementerende organisatie behoren te worden afgestemd op de resultaten van regelmatige risicobeoordeling.

### 0.2.6.  Bedreigingen voor en kwetsbaarheden in de beveiliging van gezondheidsinformatie

De verschillende soorten bedreigingen in en kwetsbaarheden van informatiebeveiliging lopen sterk uiteen en dat geldt ook voor de beschrijvingen ervan.

Het is inherent aan hun aard dat gezondheidsorganisaties in een omgeving werken waar het grote publiek nooit volledig kan worden buitengesloten. Bij grote gezondheidsorganisaties is alleen al het aantal mensen dat zich door de ruimten beweegt waar de zorgactiviteiten worden uitgevoerd, aanzienlijk. Deze factoren verhogen de kwetsbaarheid van systemen voor fysieke bedreigingen.

Het kritische belang van het correct identificeren van cliënten, en daar het juiste medische dossier aan koppelen, leidt ertoe dat zorgaanbieders gedetailleerde identificerende informatie verzamelen.

Regionale of binnen een specifiek rechtsgebied vallende cliëntenregistraties (d.w.z. registers van cliënten) zijn soms de meest uitgebreide en actuele bewaarplaatsen van identificerende informatie die beschikbaar zijn in een rechtsgebied. Omdat deze identificerende informatie van grote waarde kan zijn voor mensen die deze zouden willen gebruiken om identiteitsdiefstal te plegen, behoort deze strikt beschermd te worden.

Medische informatica – Informatiebeveiliging in de zorg – Deel 1: Managementsysteem

# 1. Onderwerp en toepassingsgebied

## 1.1 Algemeen

**NEN 7510-1**

NEN 7510-1 geeft de eisen voor het binnen de context van de organisatie inrichten, implementeren, in stand houden en continu verbeteren van een managementsysteem voor informatiebeveiliging.

NEN 7510-1 bevat ook eisen voor het beoordelen en behandelen van informatiebeveiligingsrisico’s afgestemd op de behoeften van de organisatie. De eisen in NEN 7510-1 zijn bedoeld voor zorgaanbieders, andere verwerkingsverantwoordelijken van persoonlijke gezondheidsinformatie en organisaties die optreden als verwerker van voorgaande organisaties. Het uitsluiten van een of meer eisen van de hoofdstukken 4 t/m 10 van NEN 7510-1 is niet aanvaardbaar als een organisatie naleving van deze norm wil claimen.

Door implementatie van het managementsysteem voor informatiebeveiliging inclusief de beheersmaatregelen kan een organisatie voldoen aan de eisen die in deze normen zijn vastgesteld. De organisatie kan hiermee de in de risicobehandeling vastgestelde beheersmaatregelen implementeren door de benodigde processen te plannen, in te voeren en te beheersen. Deze beheersmaatregelen zijn van organisatorische, mensgerichte, fysieke en technologische aard. De maatregelen gaan over:

- het inrichten van een organisatie van informatiebeveiliging, en

- het handelen van mensen binnen deze organisatie, en

- het fysiek beveiligen van informatie en andere gerelateerde bedrijfsmiddelen, en

- het technisch beveiligen van informatiesystemen en IT-infrastructuur.

**NEN 7510-2**

NEN 7510-2 is gebaseerd op NEN-EN-ISO/IEC 27002:2022 en voorziet in combinatie met die norm in een stelsel van informatiebeveiligingsbeheersmaatregelen met inbegrip van implementatierichtlijnen voor gezondheidszorgorganisaties.

In aanvulling op generieke ICT-apparatuur en software die ook in veel andere omgevingen wordt gebruikt, omvatten het onderwerp en toepassingsgebied van NEN 7510-2 software en systemen specifiek voor de gezondheidszorg, zoals elektronische gezondheidsregistratiesystemen en medische apparaten die gegevens registreren, verwerken of rapporteren. Hieronder valt ook andere digitale apparatuur (zoals apparatuur voor milieu- en infectiebeheer, gebouwbeheersing en fysieke beveiliging) die kan worden gebruikt op locaties waar gezondheidszorg wordt verleend.

NEN 7510-2 is van toepassing op gezondheidsinformatie en andere relevante informatie in al zijn aspecten, dus:

- ongeacht de vorm van de informatie (met inbegrip van tekst en cijfers, geluidsopnamen, tekeningen, afbeeldingen en video);

- ongeacht de middelen waarmee de informatie is verkregen of vastgelegd;

- ongeacht de middelen waarmee de informatie wordt opgeslagen (zoals afdrukken of op papier schrijven of elektronische opslag), en

- ongeacht de middelen die worden gebruikt om de informatie te transporteren of uit te wisselen (mondeling, handmatig, met de post, door verplaatsing van opslagmedia, directe koppelingen of via een netwerk).

NEN 7510-2 is bedoeld voor alle organisaties, ongeacht soort of omvang, die gezondheidszorg verlenen of die om andere redenen persoonlijke gezondheidsinformatie verwerken. De persoonlijke gezondheidsinformatie en andere informatie waarvoor ze verantwoordelijk zijn kan op allerlei mogelijke manieren en locaties worden opgeslagen en verwerkt, waaronder op de eigen locatie of in de cloud, maar blijft binnen het toepassingsgebied vallen.

NEN 7510-2 is van toepassing op alle fysieke omgevingen waar het de bedoeling is dat gezondheidszorg wordt verleend, zoals ziekenhuizen, klinieken en andere voor gezondheidszorgdoeleinden bestemde locaties of faciliteiten, zoals ambulances en mobiele beeldvormingsunits of diagnostische units. NEN 7510-2 is ook van toepassing op zorg die elders wordt verleend, bijvoorbeeld in een woongebouw. In aanvulling op de verschillende omgevingen is deze norm van toepassing op alle dienstverleningsmethoden, waaronder gezondheidszorg op afstand of virtuele gezondheidszorg. Voorbeelden hiervan zijn videoconsult, remote monitoring, online counseling en online triage.

## 1.2 Uitsluitingen van het onderwerp en toepassingsgebied

De volgende gebieden van informatiebeveiliging vallen niet binnen het onderwerp en toepassingsgebied van NEN 7510-1 en NEN 7510-2:

1) methodieken en statistische tests voor het doeltreffend anonimiseren van persoonlijke gezondheidsinformatie;

2) methodieken voor het pseudonimiseren van persoonlijke gezondheidsinformatie, en

3) de netwerkkwaliteit van dienstverlening en methoden voor het meten van de beschikbaarheid van netwerken die worden gebruikt voor gezondheidsinformatica.

OPMERKING De uitsluitingen bij a) en b) hebben betrekking op de ‘methodieken’ en niet op de genoemde onderwerpen (anonimiseren en pseudonimiseren). Deze onderwerpen kunnen in bepaalde vorm en context wel in NEN 7510-1 en NEN 7510-2 voorkomen, maar daar wordt niet ingegaan op specifieke methodieken.

# 2. Normatieve verwijzingen

In dit document wordt niet normatief naar andere documenten verwezen.

# 3. Termen en definities

Voor de toepassing van deze norm gelden de volgende termen en definities.

ISO en IEC onderhouden op de volgende adressen terminologiedatabases voor gebruik in het kader van normalisatie:

- IEC Electropedia: te vinden op <<http://www.electropedia.org/>

- ISO Online browsing platform: te vinden op <http://www.iso.org/obp>

## 3.1 Termen en definities

### 3.1.1 aanval

geslaagde of mislukte onbevoegde poging om een *bedrijfsmiddel* te vernietigen, aan te passen, buiten werking te stellen of er toegang toe te verkrijgen, of een poging om een *bedrijfsmiddel* openbaar te maken, te stelen of er onbevoegd gebruik van te maken

### 3.1.2 anonimiseren

proces waarbij persoonsgegevens onomkeerbaar worden veranderd, zodanig dat de betreffende persoon niet langer kan worden geïdentificeerd, direct of indirect, hetzij door de beheerder van de persoonsgegevens alleen, hetzij in samenwerking met een andere partij

\[BRON: NEN-EN-ISO 25237:2017, 3.2 (E), vertaald – anonymization, gewijzigd – Opmerking 1 bij de term verwijderd]

### 3.1.3 audit

systematisch, onafhankelijk en gedocumenteerd proces voor het verkrijgen van auditbewijsmateriaal, en het objectief beoordelen daarvan om vast te stellen in welke mate aan de auditcriteria is voldaan

Opmerking 1 bij de term: Een audit kan een interne audit (eerste partij) of een externe audit (tweede of derde partij) zijn, en het kan een gecombineerde audit zijn (waarbij twee of meer disciplines worden gecombineerd).

Opmerking 2 bij de term: Een interne audit wordt door de organisatie zelf uitgevoerd, of namens haar door een externe partij.

Opmerking 3 bij de term: ‘Auditbewijsmateriaal’ en ‘auditcriteria’ zijn gedefinieerd in NEN-EN-ISO 19011.

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.3 (E), vertaald]

### 3.1.4 authenticatie

het verschaffen van zekerheid met betrekking tot de juistheid van een geclaimde identiteit van een *entiteit*

### 3.1.5 authenticiteit

eigenschap dat een *entiteit* is wat zij claimt te zijn

### 3.1.6 autorisatie

toekennen van bevoegdheden

### 3.1.7 bedrijfsmiddel

alles wat waarde heeft voor de organisatie

### 3.1.8 beheer van informatiebeveiligingsincidenten

uitoefening van een consequente en doeltreffende aanpak bij het behandelen van *informatiebeveiligingsincidenten*

\[BRON: ISO/IEC 27035-1:2023, 3.1.6 (E), vertaald]

### 3.1.9 beheersmaatregel

maatregel die risico in stand houdt en/of wijzigt

Opmerking 1 bij de term: Een beheersmaatregel kan onder andere elke vorm van *proces*, *beleid*, voorziening, werkwijze of andere omstandigheid of maatregel zijn waarmee het risico in stand wordt gehouden en/of wordt gewijzigd.

Opmerking 2 bij de term: Beheersmaatregelen hebben mogelijk niet altijd het beoogde of veronderstelde effect.

\[BRON: NEN-ISO 31000:2018+C11:2019, 3.8]

### 3.1.10 belanghebbende

stakeholder

persoon of organisatie die invloed kan uitoefenen op, invloed ondervindt van of invloed meent te ondervinden van een besluit of activiteit

Opmerking 1 bij de term: Een besluitvormer kan een belanghebbende zijn.

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.37 (E), vertaald en gewijzigd - Opmerking 1 bij de term toegevoegd]

### 3.1.11 beleid

intenties en richting van een organisatie zoals formeel door haar topmanagement kenbaar gemaakt \BRON: NEN-EN-ISO/IEC 27000:2020, 3.53 (E), vertaald]

### 3.1.12 beleidsregel

aanvaard beginsel of aanvaarde instructie waarin de verwachtingen van de organisatie over welke handelingen vereist zijn, wat is toegestaan of niet is toegestaan uiteen worden gezet

Opmerking 1 bij de term: beleidsregels kunnen formeel kenbaar worden gemaakt in *onderwerpspecifieke beleidsregels* en andere soorten documenten.

### 3.1.13 beoordeling

activiteit die wordt ondernomen om de geschiktheid, toereikendheid en doeltreffendheid van het desbetreffende onderwerp voor het behalen van vastgestelde doelstellingen te bepalen

\[BRON: NPR-ISO Guide 73:2009, 3.8.2.2, gewijzigd – Opmerking verwijderd]

### 3.1.14 beschikbaarheid

eigenschap van het toegankelijk en bruikbaar zijn op verzoek van een bevoegde *entiteit*

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.7 (E), vertaald]

### 3.1.15 besturingssysteem

programma dat na het opstarten van een computer in het geheugen actief wordt en dat de functionaliteiten aanbiedt om andere programma's uit te voeren

Opmerking 1 bij de term: Het besturingssysteem zorgt onder meer voor het starten en beëindigen van andere programma's en het regelt de toegang tot de hardware. Andere programma’s maken gebruik van de ondersteuning van het besturingssysteem. Zo kan een besturingssysteem de toegang en de autorisatie van software en gebruikers faciliteren. Het besturingssysteem vormt zo een laag tussen de hardware van een computer en de toepassingssoftware en gebruikers.

### 3.1.16 betrokkene

natuurlijke persoon op wie de *persoonsgegevens* betrekking hebben

Opmerking 1 bij de term: Afhankelijk van de jurisdictie en de specifieke databescherming- en privacywetgeving, kan het synoniem ‘datasubject’ worden gebruikt in plaats van de term ‘betrokkene’.

\[BRON: ISO/IEC 29100:2024, 3.9 (E), vertaald en gewijzigd – Opmerking 1 bij de term toegevoegd]

### 3.1.17 betrouwbaarheid

eigenschap van consistent beoogd gedrag en consistente beoogde resultaten

### 3.1.18 bewakingsketen

aantoonba(a)r(e) bezit, verplaatsing, behandeling en locatie van materiaal vanaf een bepaald moment tot een ander moment

Opmerking 1 bij de term: Materiaal omvat informatie en andere gerelateerde *bedrijfsmiddelen* in de context van NEN-EN-ISO/IEC 27002.

\[BRON: ISO/IEC 27050-1:2019, 3.1, (E), vertaald en gewijzigd – Opmerking 1 bij de term toegevoegd]

### 3.1.19 cliënt

patiënt

persoon die zorg vraagt of aan wie zorg wordt verleend of de identificeerbare persoon van wie persoonlijke gezondheidsinformatie wordt verwerkt

Opmerking 1 bij de term: Voor ‘cliënt’ kan in de meeste gevallen ook ‘patiënt’ worden gelezen.

### 3.1.20 cliëntgegevens

medische, verpleegkundige, sociale en administratieve gegevens betreffende individuele cliënten

### 3.1.21 derde partij

persoon of *entiteit* die wat betreft de zaak in kwestie, als onafhankelijk van de betrokken partijen wordt gezien

### 3.1.22 dienstverband

relatie van een persoon met een organisatie voor het uitvoeren van bepaalde taken door die persoon

Opmerking 1 bij de term: Het begrip ‘dienstverband’ is hier gebruikt als aanduiding voor de tewerkstelling in een bepaalde functie of rol en omvat behalve werknemers van de organisatie ook anderen, zoals vrijwilligers of studenten.

Opmerking 2 bij de term: Het begrip ‘dienstverband’ is bedoeld als containerbegrip voor de volgende situaties: tewerkstelling van personen (tijdelijk of langer verband), benoeming in functies, wisseling van functies, toewijzing van contracten, en de beëindiging van enige van deze overeenkomsten.

### 3.1.23 directie

persoon of groep van personen die een organisatie op het hoogste niveau bestuurt en beheert

Opmerking 1 bij de term: De directie heeft de macht om bevoegdheid te delegeren en de organisatie van middelen te voorzien.

Opmerking 2 bij de term: Indien het toepassingsgebied van het managementsysteem slechts een deel van een organisatie omvat, dan verwijst de directie naar degenen die dat gedeelte van de organisatie besturen en beheren.

### 3.1.24 dreiging

potentiële oorzaak van een ongewenst incident dat kan resulteren in schade aan een systeem of een organisatie

Opmerking 1 bij de term: In NEN-ISO/IEC 27000 is deze term vertaald als ‘bedreiging’, maar tegenwoordig heeft de term ‘dreiging’ de voorkeur.

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.74 (E), vertaald, gewijzigd – Opmerking 1 bij de term toegevoegd]

### 3.1.25 ‘endpoint device’

met een netwerk verbonden informatie- en communicatietechnologie (ICT-)hardwareapparaat

Opmerking 1 bij de term: ‘Endpoint devices’ kan verwijzen naar pc's, laptops, smartphones, tablets, thin clients, printers of andere specialistische hardware waaronder slimme meters en IoT-(‘internet of things’)apparaten.

### 3.1.26 ‘endpoint devices’ van gebruiker

‘user endpoint devices’

*‘endpoint devices’* waarmee gebruikers toegang krijgen tot informatieverwerkende diensten

Opmerking 1 bij de term: ‘Endpoint devices’ van gebruiker kan verwijzen naar pc's, laptops, smartphones, tablets, thin clients, enz.

### 3.1.27 entiteit

object dat relevant is voor het uitvoeringsdoel van een domein dat een herkenbaar onderscheiden bestaan heeft

Opmerking 1 bij de term: Een entiteit kan een fysieke of een logische belichaming hebben.

VOORBEELD Een persoon, een organisatie, een apparaat, een groep van dergelijke objecten, een menselijke abonnee op een telecommunicatiedienst, een simkaart, een paspoort, een netwerkinterfacekaart, een softwaretoepassing, een dienst of een website.

\[BRON: NEN-EN-ISO/IEC 24760-1:2022, 3.1.1 (E), vertaald]

### 3.1.28 gebeurtenis

optreden van of wijziging in een bepaalde combinatie van omstandigheden

Opmerking 1 bij de term: Een gebeurtenis kan een- of meerledig zijn en kan diverse oorzaken hebben. Opmerking 2 bij de term: Een gebeurtenis kan er ook in bestaan dat iets niet gebeurt.

Opmerking 3 bij de term: Een gebeurtenis kan soms ook worden aangeduid als ‘incident’ of ‘ongeval’.

\[BRON: NPR-ISO Guide 73:2009, 3.5.1.3, gewijzigd – Opmerking 4 bij de term verwijderd]

### 3.1.29 gebruiker

natuurlijk persoon, organisatie of proces in een informatiesysteem betrokken bij een actie

### 3.1.30 gegevensbeschermingseffectbeoordeling DPIA

algeheel *proces* (3.1.27) van het identificeren, analyseren, evalueren, raadplegen, communiceren en plannen van de behandeling van mogelijke privacy-effecten met betrekking tot de verwerking van *persoonsgegevens* (3.1.21), ingekaderd binnen het bredere risicobeheerkader van een organisatie

Opmerking 1 bij de term: Dit is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. Zodat de organisatie maatregelen kan nemen om deze risico’s te verkleinen (Bron: Autoriteit Persoonsgegevens).

\[BRON: ISO/IEC 29134:2017, 3.7, gewijzigd – nieuwe Opmerking 1 bij de term toegevoegd]

### 3.1.31 gevoelige informatie

informatie die nadelige gevolgen kan hebben voor een persoon, organisatie, de nationale veiligheid of de openbare veiligheid en daarom bescherming nodig heeft tegen het niet-beschikbaar zijn, onbevoegde toegang, wijziging of openbaarmaking.

### 3.1.32 gevolmachtigde voor zorgontvanger

persoon die het recht heeft namens de zorgontvanger beslissingen te nemen

VOORBEELD 1 Ouders van kinderen die nog niet volwassen zijn.

VOORBEELD 2 Bewindvoerders van volwassenen met leerstoornissen of die wilsonbekwaam zijn.

\[BRON: NEN-EN-ISO 13940:2016, 5.2.3.3.1 (E), vertaald, licht gewijzigd en voorbeelden toegevoegd]

### 3.1.33 gezondheid

volledig lichamelijk, geestelijk en sociaal welbevinden

Opmerking 1 bij de term: Gezondheid is niet slechts de afwezigheid van ziekte of zwakheid.

\[BRON: Statuut van de [Wereldgezondheidsorganisatie](https://www.who.int/about/governance/constitution), gewijzigd - het tweede deel van de definitie is aangepast door er een Opmerking 1 bij de term van te maken]

### 3.1.34 gezondheidsinformatiesysteem

systeem met een database waarin gegevens over patiënten en cliënten kunnen worden vastgelegd en opgeslagen enerzijds, en opgevraagd en getoond worden anderzijds

### 3.1.35 gezondheidssoftware

software die specifiek bestemd is voor gebruik voor het beheren, op peil houden of verbeteren van de gezondheid van individuele personen of het leveren van zorg of die is ontwikkeld voor opname in een medisch apparaat

Opmerking 1 bij de term: Gezondheidssoftware omvat alles wat als software als medisch apparaat wordt beschouwd.

\[BRON: ISO 81001-1:2021, 3.3.9]

### 3.1.36 gezondheidszorg

zorgactiviteiten, -diensten, -beheer of -voorzieningen die verband houden met de gezondheid van een persoon

### 3.1.37 governance

systeem van geleiding en beheersing

### 3.1.38 hersteltijddoelstelling

recovery time objective

### 3.1.39 identificatie

het bepalen van de identiteit van een persoon of andere *entiteit*

### 3.1.40 identificeerbare persoon

degene die kan worden geïdentificeerd, direct of indirect, in het bijzonder via een verwijzing naar een identificatienummer of naar een of meer kenmerken gerelateerd aan zijn fysieke, psychologische, geestelijke, economische, culturele of sociale identiteit

\[BRON: NEN-ISO 22857:2014, 3.7 (E), vertaald]

### 3.1.41 inbreuk op de informatiebeveiliging

compromittering van de informatiebeveiliging die leidt tot ongewenst(e) vernietiging, verlies, wijziging, bekendmaking van of toegang tot verzonden, opgeslagen of anderszins verwerkte beschermde informatie

### 3.1.42 informatiebeveiliging

behoud van de beschikbaarheid, integriteit en vertrouwelijkheid van informatie

Opmerking 1 bij de term: Dit kan ook andere eigenschappen betreffen, zoals authenticiteit, verantwoordelijkheid, onweerlegbaarheid en betrouwbaarheid.

\[BRON: NEN-EN-ISO/IEC 27000:2020 3.28 (E), vertaald en licht gewijzigd – definitie]

### 3.1.43 informatiebeveiligingsgebeurtenis

voorval dat op een mogelijke *inbreuk op de informatiebeveiliging* of een falen van *beheersmaatregelen*

duidt

\[BRON: ISO/IEC 27035-1:2023, 3.1.4 (E), vertaald en licht gewijzigd]

### 3.1.44 informatiebeveiligingsincident

een of meer samenhangende en geïdentificeerde *informatiebeveiligingsgebeurtenissen* die de

*bedrijfsmiddelen* van een organisatie kunnen schaden of haar bedrijfsvoering kunnen compromitteren [BRON: ISO/IEC 27035-1:2023, 3.1.5 (E), vertaald]

### 3.1.45 informatiesysteem

stelsel van toepassingen, diensten, informatietechnologische *bedrijfsmiddelen* of andere gegevensverwerkende componenten

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.35 (E), vertaald]

### 3.1.46 informatieverwerkende faciliteit

elk informatieverwerkend(e) systeem, dienst of infrastructuur of de fysieke locatie waar dit of deze is ondergebracht

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.27, (E), vertaald en licht gewijzigd]

### 3.1.47 integriteit

eigenschap van nauwkeurigheid en volledigheid

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.36 (E), vertaald]

### 3.1.48 klant

persoon die gebruikmaakt van diensten of faciliteiten van de organisatie

### 3.1.49 kwetsbaarheid

zwakheid van een bedrijfsmiddel of van een beheersmaatregel waardoor een of meer bedreigingen kunnen toenemen in kans en/of gevolg van optreden

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.77 (E), vertaald en gewijzigd – definitie uitgebreid]

### 3.1.50 loggen

het chronologisch vastleggen van gebeurtenissen [BRON: NEN 7513:2024]

### 3.1.51 logging

auditlogging

resultaat van het loggen

Opmerking 1 bij de term: Zowel de gegevens die bij een bepaalde gebeurtenis worden gelogd, de 'loggegevens', als de 'logbestanden' waarin deze worden bewaard, kunnen zijn bedoeld.

\[BRON: NEN 7513:2024, gewijzigd – Opmerkingen 1 t/m 4 bij de term verwijderd, nieuwe Opmerking 1 bij de term toegevoegd]

### 3.1.52 managementsysteem

geheel van samenhangende of elkaar beïnvloedende elementen van een organisatie om een beleid en doelstellingen vast te stellen, alsmede de processen om die doelstellingen te bereiken

Opmerking 1 bij de term: Een managementsysteem kan betrekking hebben op een of meer disciplines.

Opmerking 2 bij de term: Tot de elementen van het systeem behoren de organisatiestructuur, rollen en verantwoordelijkheden, planning en uitvoering.

Opmerking 3 bij de term: Het toepassingsgebied van een managementsysteem kan de gehele organisatie omvatten, specifieke en geïdentificeerde functies van de organisatie, specifieke en geïdentificeerde onderdelen van de organisatie, of een of meer functies in een groep van organisaties.

### 3.1.53 managementsysteem voor informatiebeveiliging

ISMS

dat deel van een managementsysteem dat op basis van een beoordeling van bedrijfsrisico’s tot doel heeft het vaststellen, implementeren, uitvoeren, controleren, beoordelen, onderhouden en verbeteren van informatiebeveiliging

Opmerking 1 bij de term: Het managementsysteem omvat structuur, beleid, planningsactiviteiten, verantwoordelijkheden, werkwijzen, procedures, processen en middelen van de organisatie.

\[BRON: NEN-ISO/IEC 27001:2005]

### 3.1.54 medische apparatuur

apparatuur die wordt gebruikt als hulpmiddel voor een zorgproces

Opmerking 1 bij de term: Dit omvat apparatuur voor diagnostiek, monitoring, behandeling en verzorging. Het gebruik kan binnen of buiten een zorginstelling plaatsvinden door zorgverleners of anderen.

Opmerking 2 bij de term: Apparatuur die bedoeld is voor het zorgproces, valt onder de Europese richtlijn Medische hulpmiddelen. Deze definitie omvat ook apparatuur die niet bedoeld is voor het zorgproces, maar er wel voor wordt gebruikt.

### 3.1.55 onderwerpspecifiek beleid

oogmerken en sturing voor een specifiek onderwerp of thema, zoals formeel kenbaar gemaakt door het passende managementniveau

Opmerking 1 bij de term: Onderwerpspecifieke beleidsregels kunnen formeel *regels* of normen van de organisatie kenbaar maken.

Opmerking 2 bij de term: Bepaalde organisaties gebruiken andere termen voor deze onderwerpspecifieke beleidsregels.

Opmerking 3 bij de term: De onderwerpspecifieke beleidsregels waarnaar in dit document wordt verwezen, houden verband met informatiebeveiliging.

VOORBEELD Onderwerpspecifiek beleid inzake *toegangsbeveiliging*, onderwerpspecifiek beleid inzake ‘clear desk’ en ‘clear screen’.

### 3.1.56 onweerlegbaarheid

waarborg dat een geclaimde gebeurtenis of actie en de *entiteiten* die ze veroorzaken, niet kunnen worden ontkent

### 3.1.57 organisatie

persoon of groep van personen die zijn eigen functies heeft met verantwoordelijkheden, bevoegdheden en relaties om zijn doelstellingen te bereiken

Opmerking 1 bij de term: Het begrip organisatie omvat maar is niet beperkt tot eenmanszaak, bedrijf, vennootschap, firma, onderneming, autoriteit, partnerschap, liefdadigheidsinstelling of genootschap, of een deel of combinatie daarvan, hetzij als rechtspersoon erkend of niet, publiek of privaat.

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.50 (E), vertaald]

### 3.1.58 patiënt

zie cliënt

Opmerking 1 bij de term: De term ‘patiënt’ wordt in deze norm vermeden. Alleen in enkele samengestelde woorden als patiëntveiligheid, patiëntgegevens en patiëntdossier wordt deze term gebruikt. Waar in deze norm gesproken wordt van ‘cliënt’, kan vaak ook ‘patiënt’ worden gelezen.

### 3.1.59 patiëntdossier

verzameling van alle vastgelegde persoonlijke gezondheidsinformatie bij een zorginstelling of een andere organisatie die persoonlijke gezondheidsinformatie verwerkt

Opmerking 1 bij de term: Binnen deze norm wordt consequent de term 'patiëntdossier' gehanteerd, niet ‘patiëntendossier’, o.a. om te benadrukken dat het meestal gaat om het dossier van één cliënt.

### 3.1.60 personeel

personen die onder leiding van de organisatie werk verrichten

Opmerking 1 bij de term: Het concept van personeel omvat de leden van de organisatie, zoals het bestuursorgaan, het topmanagement, medewerkers, tijdelijke medewerkers, contractanten en vrijwilligers.

### 3.1.61 persoonlijke gezondheidsinformatie

informatie over een identificeerbare persoon die verband houdt met de lichamelijke of geestelijke gesteldheid van, of de verlening van zorgdiensten aan, de persoon in kwestie, waaronder ook begrepen kan worden:

1) informatie over de registratie van de persoon voor de verlening van zorgdiensten;

2) informatie over betalingen of het in aanmerking komen voor zorg met betrekking tot de persoon;

3) een aan een persoon toegewezen nummer, symbool of bijzonderheid als unieke *identificatie* van die persoon voor medische doeleinden;

4) alle informatie over de persoon die wordt vergaard tijdens het verlenen van zorgdiensten aan de persoon;

5) informatie die is ontleend aan een beproeving of onderzoek van een lichaamsdeel of lichaamseigen stof; en

6) *identificatie* van een persoon (bijvoorbeeld een zorgprofessional) als verlener van zorg aan de persoon.

Opmerking 1 bij de term: Persoonlijke gezondheidsinformatie omvat niet informatie die zelf of in combinatie met andere informatie die beschikbaar is voor de houder geanonimiseerd is en waardoor de identiteit van het individu die de informatie betreft niet aan de hand van de informatie kan worden vastgesteld.

### 3.1.62 persoonlijke gezondheidsomgeving PGO

universeel toegankelijk, voor leken begrijpelijk, gebruikersvriendelijk en levenslang digitaal hulpmiddel om relevante gezondheidsinformatie te verzamelen, te beheren en te delen, om de regie te kunnen nemen over gezondheid en zorg en om zelfmanagement te ondersteunen

### 3.1.63 persoonsgegevens

alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon

Opmerking 1 bij de term: De ‘natuurlijke persoon’ in de definitie is de *betrokkene*. Om vast te stellen of een betrokkene geïdentificeerd kan worden, behoort rekening te worden gehouden met alle middelen die redelijkerwijs door de privacystakeholder die de gegevens in bezit heeft, of door een andere partij kunnen worden gebruikt om het verband te leggen tussen de verzameling persoonsgegevens en de natuurlijke persoon.

\[BRON: AVG, art. 4.1, gewijzigd – Opmerking 1 bij de term toegevoegd]

### 3.1.64 procedure

gespecificeerde wijze van uitvoering van een activiteit of *proces*

\[BRON: ISO 30000:2009, 3.12 (E), vertaald]

### 3.1.65 proces

geheel van samenhangende of elkaar beïnvloedende activiteiten die input gebruiken of omzetten om een resultaat te leveren

\[BRON: ISO 9000:2015, 3.4.1, gewijzigd – Opmerkingen bij de term verwijderd]

### 3.1.66 pseudonimisering

het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld

\[BRON: AVG, art. 4]

### 3.1.67 registratie

informatie die als bewijs en als *bedrijfsmiddel* wordt aangemaakt, ontvangen en onderhouden door een organisatie of persoon om wettelijke verplichtingen na te komen of voor zakelijke transacties

Opmerking 1 bij de term: Wettelijke verplichtingen omvatten in deze context alle eisen van wet- en regelgeving, statutaire en contractuele eisen.

\[BRON: NEN-ISO 15489-1:2016, 3.14, gewijzigd – Opmerking 1 bij de term toegevoegd]

### 3.1.68 restrisico

risico dat overblijft na risicobehandeling

Opmerking 1 bij de term: Een restrisico kan niet-geïdentificeerde risico’s omvatten.

Opmerking 2 bij de term: Een restrisico kan ook worden aangeduid als een risico dat wordt behouden.

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.57 (E), vertaald]

### 3.1.69 richtlijn

beschrijving die verduidelijkt wat behoort te worden gedaan en hoe, om de doelstellingen te bereiken die in het beleid zijn vastgelegd

### 3.1.70 risico

effect van onzekerheid op het behalen van doelstellingen

Opmerking 1 bij de term: Een effect is een afwijking ten opzichte van de verwachting – positief of negatief.

Opmerking 2 bij de term: Onzekerheid is het geheel of gedeeltelijk ontbreken van informatie over, inzicht in of kennis van een gebeurtenis, de gevolgen daarvan of de waarschijnlijkheid dat deze zich voordoet.

Opmerking 3 bij de term: Een risico wordt vaak gekarakteriseerd door verwijzingen naar potentiële gebeurtenissen (zoals gedefinieerd in NPR-ISO Guide 73:2009, 3.5.1.3) en gevolgen (zoals gedefinieerd in NPR-ISO Guide 73:2009, 3.6.1.3), of een combinatie daarvan.

Opmerking 4 bij de term: Een risico wordt vaak uitgedrukt als een combinatie van de gevolgen van een gebeurtenis (met inbegrip van wijzigingen in omstandigheden) en de bijbehorende waarschijnlijkheid dat de gebeurtenis zich voordoet.

Opmerking 5 bij de term: In de context van managementsystemen voor informatiebeveiliging kunnen informatiebeveiligingsrisico’s worden uitgedrukt als een effect van onzekerheid over de informatiebeveiligingsdoelstellingen.

Opmerking 6 bij de term: Informatiebeveiligingsrisico wordt geassocieerd met de mogelijkheid dat bedreigingen gebruik zullen maken van zwakke punten van een informatiebedrijfsmiddel of een groep informatiebedrijfsmiddelen, en de organisatie daarbij schade toebrengen.

\[BRON: NPR-ISO Guide 73:2009, 1.1, gewijzigd – Opmerkingen 1 en 3 bij de term licht gewijzigd, Opmerking 2 bij de term verwijderd en Opmerkingen 5 en 6 bij de term toegevoegd]

### 3.1.71 risicoacceptatiecriteria

onderbouwd besluit tot het nemen van een bepaald risico

Opmerking 1 bij de term: Risicoacceptatie kan plaatsvinden zonder risicobehandeling of tijdens het proces van risicobehandeling.

Opmerking 2 bij de term: Aanvaarde risico’s zijn onderhevig aan monitoring en beoordeling.

\[BRON: NPR-ISO Guide 73:2009, 3.7.1.6, gewijzigd – ‘risicoaanvaarding’ vervangen door ‘risicoacceptatiecriteria’]

### 3.1.72 risicoanalyse

proces dat tot doel heeft de aard van het risico te begrijpen en het risiconiveau vast te stellen

Opmerking 1 bij de term: Risicoanalyse vormt de basis voor risico-evaluatie en voor besluiten omtrent risicobehandeling.

Opmerking 2 bij de term: Risicoanalyse omvat risico-inschatting.

\[BRON: NPR-ISO Guide 73:2009, 3.6.1]

### 3.1.73 risicobehandeling

proces waarmee een risico wordt aangepast

Opmerking 1 bij de term: Risicobehandeling kan het volgende omvatten:

- vermijden van het risico door te besluiten de activiteit waardoor het risico wordt veroorzaakt niet uit te voeren of voort te zetten;

- nemen of verhogen van het risico teneinde een kans te benutten;

- wegnemen van de risicobron;

- veranderen van de waarschijnlijkheid;

- veranderen van de gevolgen;

- delen van het risico met (een) andere partij(en) (met inbegrip van contracten en risicofinanciering); en

- behouden van het risico op basis van een onderbouwde keuze.

Opmerking 2 bij de term: Een risicobehandeling die gericht is op negatieve gevolgen, wordt soms aangeduid met ‘risicovermindering’, ‘risico-eliminatie’, ‘risicopreventie’ of ‘risicoreductie’.

Opmerking 3 bij de term: Door risicobehandeling kunnen nieuwe risico’s ontstaan of bestaande risico’s worden gewijzigd.

\[BRON: NPR-ISO Guide 73:2009, 3.8.1, licht gewijzigd – Opmerking 1 bij de term]

### 3.1.74 risicobeoordeling

gehele proces van risico-identificatie, risicoanalyse en risico-evaluatie \BRON: NPR-ISO Guide 73:2009, 3.4.1\

### 3.1.75 risicobron

element dat afzonderlijk of in combinatie met andere elementen de mogelijkheid in zich heeft tot een risico te leiden

\[BRON: NPR-ISO Guide 73:2009, 3.5.1.2, gewijzigd – Opmerking verwijderd]

### 3.1.76 risico-eigenaar

persoon of *entiteit* met de verantwoordelijkheid en bevoegdheid om het risico te managen \BRON: NPR-ISO Guide 73:2009, 3.5.1.5\

### 3.1.77 risicomanagement

gecoördineerde activiteiten om een organisatie te sturen en te beheersen met betrekking tot risico’s \BRON: NPR-ISO Guide 73:2009, 2.1\

### 3.1.78 risiconiveau

omvang van een risico uitgedrukt als een combinatie van gevolgen en hun waarschijnlijkheid \BRON: NPR-ISO Guide 73:2009, 3.6.1.8, gewijzigd – ‘of combinatie van risico’s,’ verwijderd\

### 3.1.79 RPO

punt in de tijd waarnaar gegevens moeten worden hersteld nadat er zich een *verstoring* heeft voorgedaan

\[BRON: ISO/IEC 27031:2011, 3.12]

### 3.1.80 RTO

tijdsperiode waarbinnen minimale niveaus van diensten en/of producten en de ondersteunende systemen, toepassingen of functies moeten worden hersteld nadat er zich een *verstoring* heeft voorgedaan

\[BRON: ISO/IEC 27031:2011, 3.13]

### 3.1.81 toegangsbeveiliging

middel om te zorgen dat fysieke en logische toegang tot *bedrijfsmiddelen* wordt goedgekeurd en beperkt op basis van de eisen voor bedrijfsvoering en informatiebeveiliging

### 3.1.82 uitbesteden

een overeenkomst treffen waarbij een externe organisatie een deel van een functie of proces van de organisatie uitvoert

Opmerking 1 bij de term: Een externe organisatie valt buiten het toepassingsgebied van het managementsysteem, hoewel de uitbestede functie of het uitbestede proces er wel binnen valt.

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.51 (E), vertaald]

### 3.1.83 verantwoordelijke

degene die het beleid opstelt, beslissingen neemt en consequenties draagt ten aanzien van een organisatie, een object of de inhoud en uitvoering van een proces

### 3.1.84 verificatie

bevestiging dat aan gespecificeerde eisen is voldaan door het verschaffen van objectief bewijs

Opmerking 1 bij de term: Dit zou ook ‘testen van naleving’ kunnen worden genoemd.

\[BRON: NEN-EN-ISO 9000:2015, 3.8.12, gewijzigd – Opmerkingen bij de term verwijderd en Opmerking 1 bij de term toegevoegd]

### 3.1.85 verstoring

incident, al dan niet geanticipeerd, dat een niet-geplande, negatieve afwijking van de verwachte levering van producten en diensten volgens de doelstellingen van een organisatie veroorzaakt

\[BRON: NEN-EN-ISO 22301:2019+CNL1:2020, 3.10]

### 3.1.86 vertrouwelijke informatie

informatie die niet bedoeld is om beschikbaar of bekend te worden gemaakt aan onbevoegde personen, *entiteiten* of *processen*

### 3.1.87 vertrouwelijkheid

eigenschap dat informatie niet beschikbaar of niet bekend wordt gemaakt aan onbevoegde personen,

*entiteiten* of *processen*

\[BRON: NEN-EN-ISO/IEC 27000:2020, 3.10 (E), vertaald]

### 3.1.88 verwerker van persoonsgegevens

privacystakeholder die *persoonsgegevens* namens en volgens de instructies van een verwerkingsverantwoordelijke verwerkt

Opmerking 1 bij de term: Vergelijk de definitie van Cyberveilig Nederland: ‘De partij die (als leverancier) persoonsgegevens verwerkt in opdracht en ten behoeve van de verwerkingsverantwoordelijke (diens klant)’.

\[BRON: ISO/IEC 29100:2024, 3.10 (E), vertaald en gewijzigd - Opmerking 1 bij de term toegevoegd]

### 3.1.89 verwerking

bewerking of geheel van bewerkingen van persoonsgegevens of geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens

\[BRON: AVG, art. 4, licht gewijzigd]

### 3.1.90 waarschijnlijkheid

kans dat iets gebeurt

\[BRON: NPR-ISO Guide 73:2009, 3.6.1.1, gewijzigd – Opmerkingen verwijderd]

### 3.1.91 zorg

zorg als omschreven in de Wet langdurige zorg en de Zorgverzekeringswet en alle andere verrichtingen, inclusief het onderzoeken en het geven van raad, die rechtstreeks betrekking hebben op een persoon en ertoe strekken diens gezondheid te bevorderen of te bewaken

### 3.1.92 zorgaanbieder

zorginstelling of solistisch werkende zorgverlener die zorg verleent of doet verlenen

Opmerking 1 bij de term: Bij een solistisch werkende zorgverlener wordt met de zorgaanbieder de praktijk bedoeld als organisatorische eenheid en niet de zorgverlener als beroepsbeoefenaar.

### 3.1.93 zorginformatiesysteem

informatiesysteem ter ondersteuning van een zorgverlener

### 3.1.94 zorginstelling

rechtspersoon die bedrijfsmatig zorg verleent, alsmede een organisatorisch verband van natuurlijke personen die bedrijfsmatig zorg verlenen of doen verlenen, alsmede een natuurlijke persoon die bedrijfsmatig zorg doet verlenen, alsmede een solistisch werkende zorgverlener

### 3.1.95 zorgontvanger

persoon die gezondheidszorg wil ontvangen, momenteel ontvangt of heeft ontvangen

\[BRON: NEN-EN-ISO 13940:2016, 5.2.1, (E), vertaald en licht gewijzigd - Opmerking en Voorbeeld verwijderd]

### 3.1.96 zorgproces

alle activiteiten rondom de behandeling van een patiënt of cliënt, van preventie en diagnostiek tot behandeling en nazorg, met inbegrip van het vaststellen van de benodigde zorg, zorgbemiddeling, doorverwijzing, zorgtoewijzing, uitvoering van een zorgplan, en evaluatie en afsluiting van de geboden zorg

### 3.1.97 zorgverlener

een natuurlijke persoon die beroepsmatig zorg verleent \BRON: Wet kwaliteit, klachten en geschillen zorg\

## 3.2. Afgekorte termen

ABAC attribute-based access control ACL access control list

BIA business impact analysis BYOD bring your own device

CAPTCHA completely automated public Turing test to tell computers and humans apart CPU central processing unit

DAC discretionary access control

DNS DPIA

domain name system

data protection impact assessment

gps global positioning system

HLT HeaLTh (gezondheid)

IAM identity and access management

ICT informatie- en communicatietechnologie (information and communication technology) ID identifier

IDE integrated development environment IDS intrusion detection system

IoT Internet of Things

IP internetprotocol

IPS intrusion prevention system

ISMS information security management system

IT informatietechnologie (information technology) MAC mandatory access control

NTP network time protocol

PGO persoonlijke gezondheidsomgeving PII personally identifiable information

pin persoonlijk identificatienummer (personal identification number) PKI public key infrastructure

PTP precision time protocol RBAC role-based access control RPO recovery point objective

RTO recovery time objective

SAST static application security testing SD secure digital

SD-WAN software-defined wide area networking SDN software-defined networking

SIEM security information and event management sms short message service

SQL structured query language

SSO single sign on

SWID software identification

UEBA user and entity behaviour analytics UPS uninterruptible power supply

URL uniform resource locator

USB universal serial bus

VM virtual machine

VPN virtual private network

wifi wireless fidelity

# 4. Context van de organisatie

## 4.1. Inzicht in de organisatie en haar context

De organisatie moet externe en interne (belangrijke) punten vaststellen die relevant zijn voor haar doelstelling en die haar vermogen beïnvloeden om het (de) beoogde resulta(a)t(en) van haar managementsysteem voor informatiebeveiliging te behalen.

OPMERKING Het vaststellen van deze (belangrijke) punten verwijst naar het vaststellen van de externe en interne context van de organisatie zoals bedoeld in hoofdstuk 5.4.1 van ISO 31000:2018.

De organisatie moet vaststellen of klimaatverandering een relevant belangrijk punt (issue) is.

## 4.2. Inzicht in de behoeften en verwachtingen van belanghebbenden

De organisatie moet vaststellen:

1) welke belanghebbenden relevant zijn voor het managementsysteem voor informatiebeveiliging;

2) welke eisen van deze belanghebbenden relevant zijn;

3) welke van deze eisen zullen worden geadresseerd in het managementsysteem voor informatiebeveiliging.

OPMERKING 1 De eisen van belanghebbenden kunnen wettelijke en regelgevende eisen en contractuele verplichtingen omvatten.

OPMERKING 2 Relevante belanghebbenden kunnen eisen hebben met betrekking tot klimaatverandering.

## 4.3. Het toepassingsgebied van het managementsysteem voor informatiebeveiliging vaststellen

De organisatie moet de grenzen en toepasselijkheid van het managementsysteem voor informatiebeveiliging bepalen om het toepassingsgebied ervan vast te stellen.

Bij het vaststellen van dit toepassingsgebied moet de organisatie het volgende overwegen:

1) de in 4.1 genoemde externe en interne belangrijke punten (issues);

2) de in 4.2 genoemde eisen;

3) raakvlakken en afhankelijkheden tussen activiteiten die door de organisatie worden uitgevoerd en activiteiten die door andere organisaties worden uitgevoerd.

Het toepassingsgebied moet beschikbaar zijn als gedocumenteerde informatie.

## 4.4. Managementsysteem voor informatiebeveiliging

De organisatie moet een managementsysteem voor informatiebeveiliging inrichten, implementeren, onderhouden en continu verbeteren, met inbegrip van de benodigde processen en hun interacties, in overeenstemming met de eisen van dit document.

# 5. Leiderschap

## 5.1. Leiderschap en betrokkenheid

Het topmanagement moet leiderschap en betrokkenheid tonen met betrekking tot het managementsysteem voor informatiebeveiliging door:

1) te bewerkstelligen dat het informatiebeveiligingsbeleid en de informatiebeveiligingsdoelstellingen worden vastgesteld en compatibel zijn met de strategische richting van de organisatie;

2) te bewerkstelligen dat de eisen van het managementsysteem voor informatiebeveiliging in de processen van de organisatie worden geïntegreerd;

3) te bewerkstelligen dat de voor het managementsysteem voor informatiebeveiliging benodigde middelen beschikbaar zijn;

4) het belang van doeltreffend informatiebeveiligingsmanagement en van het voldoen aan de eisen van het managementsysteem voor informatiebeveiliging te communiceren;

5) te bewerkstelligen dat het managementsysteem voor informatiebeveiliging zijn beoogde resulta(a)t(en) behaalt;

6) mensen aan te sturen en te ondersteunen om een bijdrage te leveren aan de doeltreffendheid van het managementsysteem voor informatiebeveiliging;

7) continue verbetering te bevorderen; en

8) andere relevante managementrollen te ondersteunen om hun leiderschap te tonen binnen hun verantwoordelijkheidsgebieden.

OPMERKING Verwijzing naar ‘bedrijfs’ in dit document kan ruim worden geïnterpreteerd als een verwijzing naar de activiteiten die wezenlijk zijn gezien de doelen waarvoor de organisatie bestaat.

## 5.2. Beleid

Het topmanagement moet een informatiebeveiligingsbeleid vaststellen dat:

1) passend is voor het doel van de organisatie;

2) informatiebeveiligingsdoelstellingen (zie 6.2) bevat of het kader biedt voor het vaststellen van informatiebeveiligingsdoelstellingen;

3) een verbintenis bevat om te voldoen aan van toepassing zijnde eisen in verband met informatiebeveiliging;

4) een verbintenis bevat tot continue verbetering van het managementsysteem voor informatiebeveiliging.

Het informatiebeveiligingsbeleid moet:

5) beschikbaar zijn als gedocumenteerde informatie;

6) worden gecommuniceerd binnen de organisatie;

7) beschikbaar zijn voor belanghebbenden voor zover van toepassing.

## 5.3. Rollen, verantwoordelijkheden en bevoegdheden binnen de organisatie

Het topmanagement moet bewerkstelligen dat de verantwoordelijkheden en bevoegdheden voor rollen die relevant zijn voor informatiebeveiliging worden toegekend en gecommuniceerd binnen de organisatie.

Het topmanagement moet de verantwoordelijkheid en bevoegdheid toekennen met betrekking tot:

1) het bewerkstelligen dat het managementsysteem voor informatiebeveiliging voldoet aan de eisen van dit document;

2) het rapporteren over de prestaties van het managementsysteem voor informatiebeveiliging aan het topmanagement.

OPMERKING Het topmanagement kan ook verantwoordelijkheden en bevoegdheden toewijzen voor het binnen de organisatie rapporteren van de prestaties van het managementsysteem voor informatiebeveiliging.

# 6. Planning

## 6.1. Acties om risico’s en kansen op te pakken

### 6.1.1.  Algemeen

Bij het plannen voor het managementsysteem voor informatiebeveiliging moet de organisatie de in 4.1 genoemde belangrijke punten (issues) en de in 4.2 genoemde eisen overwegen, en de risico’s en kansen vaststellen die moeten worden opgepakt om:

1) te waarborgen dat het managementsysteem voor informatiebeveiliging zijn beoogde resulta(a)t(en) kan behalen;

2) ongewenste effecten te voorkomen of te verminderen;

3) continue verbetering te bereiken.

De organisatie moet:

4) acties plannen om deze risico’s en kansen op te pakken; en

5) plannen op welke manier:

    1) de acties in de processen van haar managementsysteem voor informatiebeveiliging worden geïntegreerd en geïmplementeerd; en

    2) de doeltreffendheid van deze acties wordt geëvalueerd.

### 6.1.2. Risicobeoordeling van informatiebeveiliging

De organisatie moet een risicobeoordelingsprocedure voor informatiebeveiliging definiëren en toepassen die:

1) risicocriteria voor informatiebeveiliging vaststelt en onderhoudt, waaronder:

    1) de risicoacceptatiecriteria; en

    2) criteria voor het uitvoeren van risicobeoordelingen van informatiebeveiliging;

2) waarborgt dat herhaalde risicobeoordelingen van informatiebeveiliging consistente, valide en vergelijkbare resultaten opleveren;

3) de informatiebeveiligingsrisico’s identificeert:

    1) pas de risicobeoordelingsprocedure voor informatiebeveiliging toe om de risico’s in verband met het verlies van vertrouwelijkheid, integriteit en beschikbaarheid van informatie binnen het toepassingsgebied van het managementsysteem voor informatiebeveiliging te identificeren; en

    2) identificeer de risico-eigenaren;

4) de informatiebeveiligingsrisico’s analyseert:

    1) beoordeel de potentiële gevolgen indien de risico’s die in 6.1.2 c) 1) zijn vastgesteld, zich zouden voordoen;

    2) beoordeel de realistische waarschijnlijkheid dat de risico’s die zijn vastgesteld in 6.1.2 c) 1) zich voordoen; en

    3) stel de risiconiveaus vast;

5) de informatiebeveiligingsrisico’s evalueert:

    1) vergelijk de resultaten van de risicoanalyse met de risicocriteria die zijn vastgesteld in 6.1.2 a); en

    2) prioriteer de geanalyseerde risico’s voor risicobehandeling.

De organisatie moet gedocumenteerde informatie bewaren over de risicobeoordelingsprocedure voor informatiebeveiliging.

### 6.1.3. Behandeling van informatiebeveiligingsrisico’s

De organisatie moet een procedure voor de behandeling van informatiebeveiligingsrisico’s definiëren en toepassen om:

1) passende opties voor de behandeling van informatiebeveiligingsrisico’s te selecteren, rekening houdend met de resultaten van de risicobeoordeling;

2) alle beheersmaatregelen vast te stellen die nodig zijn om de gekozen optie(s) voor de behandeling van informatiebeveiligingsrisico’s te implementeren;

OPMERKING 1 Organisaties kunnen beheersmaatregelen naar behoefte ontwerpen of ze uit een bepaalde bron halen.

3) de in 6.1.3 b) hierboven vastgestelde beheersmaatregelen te vergelijken met de beheersmaatregelen in bijlage A en te verifiëren of er geen noodzakelijke beheersmaatregelen zijn weggelaten;

OPMERKING 2 Bijlage A bevat een lijst van mogelijke beheersmaatregelen voor informatiebeveiliging. Gebruikers van dit document worden op bijlage A gewezen om ervoor te zorgen dat er geen noodzakelijke beheersmaatregelen voor informatiebeveiliging over het hoofd worden gezien.

OPMERKING 3 De lijst van beheersmaatregelen voor informatiebeveiliging in bijlage A is niet volledig en zo nodig kunnen er aanvullende beheersmaatregelen voor informatiebeveiliging in worden opgenomen.

4) een verklaring van toepasselijkheid op te stellen die het volgende bevat:

    - de noodzakelijke beheersmaatregelen (zie 6.1.3 b) en c));

    - een rechtvaardiging voor het opnemen ervan;

    - de informatie of de benodigde beheersmaatregelen zijn geïmplementeerd of niet; en

    - de rechtvaardiging voor het uitsluiten van beheersmaatregelen uit bijlage A.

5) een plan voor de behandeling van informatiebeveiligingsrisico’s te formuleren; en

6) de goedkeuring van risico-eigenaren voor het plan voor de behandeling van informatiebeveiligingsrisico’s en hun acceptatie van de resterende informatiebeveiligingsrisico’s te verkrijgen.

De organisatie moet gedocumenteerde informatie bewaren over de risicobehandelingsprocedure voor informatiebeveiliging.

OPMERKING 4 Het proces voor risicobeoordeling en -behandeling in het kader van informatiebeveiliging in dit document komt overeen met de beginselen en algemene richtlijnen van ISO 31000 .

## 6.2 Informatiebeveiligingsdoelstellingen en de planning om ze te bereiken

De organisatie moet voor relevante functies en op relevante niveaus informatiebeveiligingsdoel- stellingen vaststellen.

De informatiebeveiligingsdoelstellingen moeten:

1) consistent zijn met het informatiebeveiligingsbeleid;

2) meetbaar zijn (indien praktisch uitvoerbaar);

3) rekening houden met van toepassing zijnde informatiebeveiligingseisen en de resultaten van risicobeoordeling en -behandeling;

4) worden gemonitord;

5) worden gecommuniceerd;

6) passend bij de situatie worden geactualiseerd;

7) beschikbaar zijn als gedocumenteerde informatie.

Bij het opstellen van planningen voor het bereiken van de informatiebeveiligingsdoelstellingen moet de organisatie vaststellen:

8) wat er zal worden gedaan;

9) welke middelen er nodig zijn;

10) wie verantwoordelijk is;

11) wanneer het zal zijn voltooid; en

12) hoe de resultaten zullen worden geëvalueerd.

## 6.3 Planning van wijzigingen

Wanneer de organisatie besluit dat er een noodzaak is voor wijzigingen in het managementsysteem voor informatiebeveiliging, moeten de wijzigingen worden uitgevoerd volgens een geplande werkwijze.

# 7. Ondersteuning

## 7.1. Middelen

De organisatie moet de middelen vaststellen en beschikbaar stellen die nodig zijn voor het inrichten, implementeren, onderhouden en continu verbeteren van het managementsysteem voor informatiebeveiliging.

## 7.2. Competentie

De organisatie moet:

1) de benodigde competentie vaststellen van de perso(o)n(en) die onder haar gezag werkzaamheden verricht(en) die de prestaties van haar informatiebeveiliging beïnvloeden;

2) bewerkstelligen dat deze personen competent zijn op basis van de juiste opleiding, training of ervaring;

3) indien van toepassing, acties ondernemen om de benodigde competentie te verwerven, en de doeltreffendheid van de ondernomen acties evalueren; en

4) geschikte gedocumenteerde informatie als bewijs van competentie bewaren.

OPMERKING Toepasbare acties kunnen bijv. zijn: het voorzien in training van, het begeleiden van of het in een andere functie benoemen van huidige medewerkers; of het inhuren of contracteren van competente personen.

## 7.3. Bewustzijn

Personen die werkzaamheden verrichten onder het gezag van de organisatie, moeten zich bewust zijn van:

1) het informatiebeveiligingsbeleid;

2) hun bijdrage aan de doeltreffendheid van het managementsysteem voor informatiebeveiliging, met inbegrip van de voordelen van verbeterde informatiebeveiligingsprestaties; en

3) de gevolgen van het niet voldoen aan de eisen van het managementsysteem voor informatiebeveiliging.

## 7.4. Communicatie

De organisatie moet vaststellen welke interne en externe communicatie relevant is voor het managementsysteem voor informatiebeveiliging, inclusief:

1) waarover te communiceren;

2) wanneer te communiceren;

3) met wie te communiceren;

4) hoe te communiceren.

## 7.5. Gedocumenteerde informatie

### 7.5.1.  Algemeen

Het managementsysteem voor informatiebeveiliging van de organisatie moet onder andere bevatten:

1) de gedocumenteerde informatie die dit document vereist; en

2) de gedocumenteerde informatie die de organisatie nodig acht voor de doeltreffendheid van het managementsysteem voor informatiebeveiliging.

OPMERKING De uitgebreidheid van gedocumenteerde informatie voor een managementsysteem voor informatiebeveiliging kan van organisatie tot organisatie verschillen vanwege:

1) de omvang van de organisatie en het type van haar activiteiten, processen, producten en diensten;

2) de complexiteit van de processen en hun interacties; en

3) de competentie van de mensen.

### 7.5.2 Creëren en actualiseren

Bij het creëren en actualiseren van gedocumenteerde informatie moet de organisatie zorgen voor (een) passend(e):

1) identificatie en beschrijving (bijv. een titel, datum, auteur of referentienummer);

2) format (bijv. taal, softwareversie, afbeeldingen) en media (bijv. papier, elektronisch); en

3) beoordeling en goedkeuring van geschiktheid en toereikendheid.

### 7.5.3. Beheersing van gedocumenteerde informatie

Gedocumenteerde informatie zoals het managementsysteem voor informatiebeveiliging en dit document vereisen, moet worden beheerst om te bewerkstelligen dat:

1) de informatie beschikbaar is en geschikt is voor gebruik, waar en wanneer het nodig is; en

2) de informatie afdoende is beveiligd (bijv. tegen het verlies van vertrouwelijkheid, oneigenlijk gebruik en aantasting).

Voor het beheersen van gedocumenteerde informatie moet de organisatie, voor zover van toepassing, invulling geven aan de volgende activiteiten:

3) distributie, toegang, het terugvinden alsmede het gebruik;

4) opslag en behoud, inclusief behoud van leesbaarheid;

5) beheersing van wijzigingen (bijv. versiebeheer); en

6) bewaring en vernietiging.

Gedocumenteerde informatie van externe oorsprong die de organisatie nodig acht voor de planning en uitvoering van het managementsysteem voor informatiebeveiliging moet bij de situatie passend worden geïdentificeerd, en worden beheerst.

OPMERKING Toegang kan impliceren een besluit tot toestemming om de gedocumenteerde informatie alleen in te zien, of tot toestemming en bevoegdheid om de gedocumenteerde informatie in te zien en te wijzigen enz.

# 8. Uitvoering

## 8.1. Operationele planning en beheersing

Om te voldoen aan de eisen en om de in hoofdstuk 6 vastgestelde acties te implementeren moet de organisatie de benodigde processen plannen, implementeren en beheersen, door:

- criteria vast te stellen voor de processen;

- procesbeheersing te implementeren in overeenstemming met de criteria.

Gedocumenteerde informatie moet beschikbaar zijn in de omvang die nodig is om het vertrouwen te hebben dat de processen volgens planning zijn uitgevoerd.

De organisatie moet geplande wijzigingen beheersen en de consequenties van onbedoelde wijzigingen beoordelen, en zo nodig maatregelen treffen om nadelige effecten tegen te gaan.

De organisatie moet bewerkstelligen dat door externen geleverde processen, producten of diensten die relevant zijn voor het managementsysteem voor informatiebeveiliging, worden beheerst.

## 8.2. Risicobeoordeling van informatiebeveiliging

De organisatie moet, met geplande tussenpozen of zodra belangrijke veranderingen worden voorgesteld of zich voordoen, risicobeoordelingen voor informatiebeveiliging uitvoeren, rekening houdend met de in 6.1.2 a) vastgestelde criteria.

De organisatie moet gedocumenteerde informatie bewaren over de resultaten van de risicobeoordelingen voor informatiebeveiliging.

## 8.3. Informatiebeveiligingsrisico’s behandelen

De organisatie moet het risicobehandelingsplan voor informatiebeveiliging implementeren.

De organisatie moet gedocumenteerde informatie bewaren over de resultaten van de risicobehandeling voor informatiebeveiliging.

# 9. Evaluatie van de prestaties

## 9.1. Monitoren, meten, analyseren en evalueren

De organisatie moet vaststellen:

1) wat moet worden gemonitord en gemeten, met inbegrip van processen en beheersmaatregelen voor informatiebeveiliging;

2) de methoden voor het, voor zover van toepassing, monitoren, meten, analyseren en evalueren om valide resultaten te bewerkstelligen. Om als valide te worden te beschouwd behoren de resultaten van de geselecteerde methoden te kunnen worden vergeleken en gereproduceerd;

3) wanneer moet worden gemonitord en gemeten;

4) wie moet monitoren en meten;

5) wanneer de resultaten van het monitoren en meten moeten worden geanalyseerd en geëvalueerd;

6) wie deze resultaten moet analyseren en evalueren.

Gedocumenteerde informatie moet beschikbaar zijn als bewijs van de resultaten.

De organisatie moet de prestaties van de informatiebeveiliging en de doeltreffendheid van het managementsysteem voor informatiebeveiliging evalueren.

## 9.2. Interne audit

## 9.2.1.  Algemeen

De organisatie moet met geplande tussenpozen interne audits uitvoeren om informatie te verkrijgen of het managementsysteem voor informatiebeveiliging:

1) voldoet aan

    1) de eigen eisen van de organisatie voor haar managementsysteem voor informatiebeveiliging;

    2) de eisen van dit document;

2) doeltreffend is geïmplementeerd en onderhouden.

## 9.2.2. Intern auditprogramma**

De organisatie moet (een) auditprogramma(’s) plannen, vaststellen, implementeren en onderhouden, met inbegrip van de frequentie, methoden, verantwoordelijkheden, planningseisen en rapportage.

Bij het inrichten van het (de) interne auditprogramma('s) moet de organisatie rekening houden met het belang van de betrokken processen en met de resultaten van voorgaande audits.

De organisatie moet:

1) de auditcriteria voor en de reikwijdte van elke audit definiëren;

2) auditoren selecteren en audits uitvoeren zodanig dat de objectiviteit en de onpartijdigheid van het auditproces worden bewerkstelligd;

3) bewerkstelligen dat de resultaten van de audits worden gerapporteerd aan het relevante management.

Gedocumenteerde informatie moet beschikbaar zijn als bewijs van de implementatie van het (de) audit programma('s) en de auditresultaten.

## 9.3. Management review

### 9.3.1. Algemeen

Het topmanagement moet met geplande tussenpozen het managementsysteem voor informatiebeveiliging van de organisatie beoordelen om de continue geschiktheid, toereikendheid en doeltreffendheid ervan te bewerkstelligen.

### 9.3.2.  Input voor de management review

Bij de management review moet onder andere rekening worden gehouden met:

1) de status van acties die zijn voortgekomen uit voorgaande management reviews;

2) wijzigingen in externe en interne belangrijke punten (issues) die relevant zijn voor het managementsysteem voor informatiebeveiliging;

3) wijzigingen in de behoeften en verwachtingen van de belanghebbenden die relevant zijn voor het managementsysteem voor informatiebeveiliging;

4) feedback over de prestaties van de informatiebeveiliging, met inbegrip van trends in:

    1) afwijkingen en corrigerende maatregelen;

    2) resultaten van monitoren en meten;

    3) auditresultaten;

    4) het voldoen aan informatiebeveiligingsdoelstellingen;

5) feedback van belanghebbenden;

6) resultaten van risicobeoordeling en de status van het risicobehandelingsplan;

7) kansen voor continue verbetering.

### 9.3.3. Resultaten van de management review**

De resultaten van de management reviews moeten beslissingen omvatten met betrekking tot kansen voor continue verbetering en de noodzaak voor wijzigingen in het managementsysteem voor informatiebeveiliging.

Gedocumenteerde informatie moet beschikbaar zijn als bewijs van de resultaten van de management reviews.

# 10. Verbetering

## 10.1. Continue verbetering

De organisatie moet continu de geschiktheid, toereikendheid en doeltreffendheid van het managementsysteem voor informatiebeveiliging verbeteren.

## 10.2. Afwijkingen en corrigerende maatregelen

Wanneer zich een afwijking voordoet, moet de organisatie:

1) op de afwijking reageren, en indien van toepassing:

    1) maatregelen treffen om de afwijking te beheersen en te corrigeren;

    2) de consequenties aanpakken;

2) de noodzaak evalueren om maatregelen te treffen om de oorzaken van de afwijking weg te nemen, zodat de afwijking zich niet herhaalt of zich niet elders voordoet, door:

    1) de afwijking te beoordelen;

    2) de oorzaken van de afwijking vast te stellen; en

    3) vast te stellen of zich gelijksoortige afwijkingen voordoen of kunnen voordoen;

3) de benodigde maatregelen implementeren;

4) de doeltreffendheid van getroffen corrigerende maatregelen beoordelen; en

5) zo nodig, wijzigingen aanbrengen in het managementsysteem voor informatiebeveiliging.

Corrigerende maatregelen moeten passend zijn voor de effecten van de opgetreden afwijkingen. Gedocumenteerde informatie moet beschikbaar zijn als bewijs van:

6) de aard van de afwijkingen en de vervolgens getroffen maatregelen;

7) de resultaten van corrigerende maatregelen.

[^2]: Let op: in bepaalde landen wordt informatie-governance informatiezekerheid genoemd.

[^3]: Persoonlijke gezondheidsinformatie komt voor in verschillende hoedanigheden, zoals testgegevens, extractiegegevens, back-upgegevens, beelden; zie ook de definitie in hoofdstuk 3.
