Hoe ga je om met NEN 7510 bij gebruik van externe cloudproviders?

Bij gebruik van externe cloudproviders blijven de verantwoordelijkheden voor informatiebeveiliging gewoon bij jouw organisatie liggen. NEN 7510 maakt geen uitzondering voor uitbestede IT-diensten: als zorgorganisatie ben en blijf jij eindverantwoordelijk voor de bescherming van patiëntgegevens, ook als die gegevens worden opgeslagen of verwerkt in de cloud. Dat betekent dat je cloudgebruik actief moet sturen, beoordelen en documenteren. De vragen hieronder geven je per onderwerp een concreet antwoord op wat NEN 7510 van je vraagt.

Welke verantwoordelijkheden blijven bij jouw organisatie als je de cloud gebruikt?

Als je een externe cloudprovider inschakelt voor de verwerking van medische of andere gevoelige gegevens, draag je de uitvoering over, maar niet de verantwoordelijkheid. Onder NEN 7510 blijf jij als organisatie de verwerkingsverantwoordelijke. Dat betekent dat je moet kunnen aantonen dat de beveiligingsmaatregelen van je cloudprovider voldoen aan de eisen die het normenkader stelt.

In de praktijk houdt dit in dat jouw organisatie zelf het risico beoordeelt van elke cloudoplossing die je inzet. Je stelt de beveiligingseisen op, je controleert of de provider daaraan voldoet en je behoudt de regie over wie toegang heeft tot welke gegevens. De cloudprovider voert uit; jij bepaalt de kaders. Vergelijk het met het inhuren van een aannemer: de aannemer bouwt, maar de opdrachtgever is verantwoordelijk voor de bouwvergunning en de veiligheid van het eindresultaat.

Concreet betekent dit dat je als organisatie onder andere verantwoordelijk bent voor:

• Het opstellen en onderhouden van een verwerkersovereenkomst
• Het periodiek beoordelen van de beveiligingsprestaties van de provider
• Het beheren van toegangsrechten en gebruikersaccounts
• Het documenteren van alle cloudoplossingen in je informatiebeveiligingsbeleid

Wat moet er in een verwerkersovereenkomst staan voor NEN 7510?

Een verwerkersovereenkomst voor NEN 7510 moet minimaal de aard en het doel van de verwerking beschrijven, de beveiligingsmaatregelen die de provider treft, de afspraken over incidentmeldingen en de rechten van jouw organisatie om audits uit te voeren of te laten uitvoeren. Zonder deze elementen voldoet de overeenkomst niet aan de eisen van het normenkader.

NEN 7510 sluit nauw aan op de AVG, en voor zorgorganisaties gelden bovendien de aanvullende eisen van de NTA 7516 en aanverwante normen. Een goede verwerkersovereenkomst legt vast binnen welke termijn de provider een beveiligingsincident aan jou meldt, hoe gegevens worden verwijderd na beëindiging van de overeenkomst en welke subverwerkers de provider mag inschakelen. Zorg er ook voor dat je het recht vastlegt om beveiligingsaudits te initiëren of auditrapportages op te vragen, zoals een ISO 27001-certificaat of een SOC 2-rapport. Dat recht is essentieel voor je eigen NEN 7510-compliance.

Hoe beoordeel je of een cloudprovider voldoet aan NEN 7510-eisen?

Je beoordeelt een cloudprovider op NEN 7510-eisen door te toetsen of de provider aantoonbare beveiligingsmaatregelen heeft getroffen die vergelijkbaar zijn met of aanvullend zijn op wat het normenkader vereist. Certificeringen zoals ISO 27001 zijn een goed startpunt, maar ze vervangen een eigen beoordeling niet volledig.

Begin met het opvragen van relevante documentatie: een actueel ISO 27001-certificaat, een SOC 2 Type II-rapport of een ISAE 3402-verklaring geven inzicht in de beveiligingsvolwassenheid van de provider. Let daarbij op de scope van het certificaat: dekt het ook de specifieke dienst en datacenters die jij gebruikt? Een certificaat dat alleen de hoofdkantoorprocessen omvat, zegt weinig over de beveiliging van de cloudomgeving zelf.

Naast documentatie beoordeel je ook de technische en organisatorische maatregelen van de provider. Denk aan encryptie van gegevens in rust en in transit, de beschikbaarheid van auditlogs, het patchbeleid en de procedures rondom toegangsbeheer. Als de provider deze informatie niet transparant kan delen, is dat op zichzelf al een risicosignaal.

Welke NEN 7510-beheersmaatregelen zijn extra kritisch bij cloudgebruik?

Bij cloudgebruik zijn de beheersmaatregelen rondom toegangsbeheer, encryptie, logging en leveranciersmanagement extra kritisch. Dit zijn de gebieden waar de grens tussen jouw verantwoordelijkheid en die van de provider het vaakst onduidelijk is, en dus ook het vaakst misgaat.

Toegangsbeheer is een van de meest gevoelige punten. In een cloudomgeving is het verleidelijk om beheerdersrechten breed toe te kennen. NEN 7510 vereist echter het principe van minimale rechten: elke gebruiker krijgt alleen toegang tot wat strikt noodzakelijk is. Zorg dat je zelf de identiteits- en toegangsbeheersystemen beheert, ook als de provider een eigen portaal aanbiedt.

Encryptie is een tweede kritisch punt. Gegevens moeten versleuteld zijn tijdens transport én opslag. Cruciaal daarbij is wie de encryptiesleutels beheert. Als de cloudprovider ook de sleutels beheert, heeft die in theorie toegang tot jouw gegevens. Overweeg daarom het gebruik van bring your own key-oplossingen, waarbij jij de sleutels beheert en de provider dat niet kan.

Tot slot is logging essentieel. NEN 7510 vereist dat je kunt reconstrueren wie wanneer toegang heeft gehad tot welke gegevens. Controleer of de cloudprovider gedetailleerde auditlogs beschikbaar stelt en of je die logs ook buiten de cloudomgeving kunt opslaan en raadplegen.

Wat doe je als een cloudprovider buiten de EU is gevestigd?

Als een cloudprovider buiten de EU is gevestigd, moet je aanvullende maatregelen treffen om doorgifte van persoonsgegevens te legitimeren en de informatiebeveiliging te waarborgen. NEN 7510 stelt eisen aan de bescherming van gegevens ongeacht waar ze worden opgeslagen, en de AVG beperkt doorgifte naar landen buiten de Europese Economische Ruimte (EER).

Voor doorgifte naar landen zonder adequaatheidsbesluit van de Europese Commissie, zoals de Verenigde Staten, zijn aanvullende juridische instrumenten vereist. Denk aan Standard Contractual Clauses (SCC’s) of bindende bedrijfsvoorschriften. Controleer of de provider deze mechanismen actief toepast en of ze zijn bijgewerkt naar de meest recente versie van de SCC’s uit 2021.

Naast de juridische kant is er ook een praktisch beveiligingsvraagstuk. Wet- en regelgeving in het land van de provider kan overheden toegang geven tot jouw gegevens, ook als je dat niet wilt. Dit is een reëel risico dat je in je risicoanalyse moet meenemen. Voor zorgorganisaties, waarbij patiëntgegevens bijzonder gevoelig zijn, is het gebruik van providers met datacenters binnen de EU in de meeste gevallen de veiligste keuze. Bekijk ook hoe dit samenhangt met bredere NIS2-verplichtingen rondom leveranciersbeveiliging.

Hoe documenteer je cloudgebruik voor een NEN 7510-audit?

Voor een NEN 7510-audit documenteer je cloudgebruik door een actueel overzicht bij te houden van alle cloudproviders, de bijbehorende verwerkersovereenkomsten, de uitgevoerde risicobeoordelingen en de getroffen beheersmaatregelen. Zonder deze documentatie kun je tijdens een audit niet aantonen dat je in control bent.

Begin met een register van alle cloudoplossingen die je organisatie gebruikt, inclusief de aard van de verwerkte gegevens en de classificatie daarvan. Koppel aan elke provider de bijbehorende verwerkersovereenkomst en de meest recente beveiligingsbeoordeling. Dit register vormt de basis van je auditdossier.

Zorg ook dat risicobeoordelingen zijn gedateerd en ondertekend, zodat duidelijk is wanneer ze zijn uitgevoerd en wie ze heeft goedgekeurd. Auditors willen niet alleen zien dat je maatregelen hebt getroffen, maar ook dat je ze periodiek herziet. Leg daarom vast hoe vaak je de beoordeling van een cloudprovider herhaalt en wat de aanleiding kan zijn voor een tussentijdse herziening, zoals een beveiligingsincident bij de provider of een wijziging in de dienstverlening.

Hoe helpt Hofsecure bij NEN 7510 en cloudbeveiliging?

Wij helpen zorgorganisaties om hun cloudgebruik aantoonbaar in lijn te brengen met NEN 7510, van de eerste beoordeling tot en met de certificering en het beheer daarna. Met meer dan 20 jaar ervaring bij defensiebedrijven en zorgorganisaties weten we precies waar de risico’s zitten als je gevoelige gegevens in de cloud verwerkt.

Concreet ondersteunen we je op de volgende vlakken:

• Een gap-analyse die in kaart brengt waar jouw cloudgebruik nu staat ten opzichte van NEN 7510-eisen
• Het opstellen of beoordelen van verwerkersovereenkomsten met cloudproviders
• Begeleiding bij de certificering, inclusief stakeholdermanagement en onafhankelijke toetsing
• CISO as a service voor doorlopend beheer, risicoanalyses en periodieke controles

Zo hoef je niet zelf uit te zoeken welke beheersmaatregelen gelden voor welke cloudprovider, en weet je zeker dat je bij een audit kunt aantonen dat je informatiebeveiliging op orde is. Wil je weten hoe jouw organisatie er nu voor staat? Neem vrijblijvend contact met ons op en ontdek wat we voor je kunnen betekenen.