Wat is de invloed van NEN 7510 op de inkoopstrategie van zorginstellingen?

NEN 7510 heeft een directe en ingrijpende invloed op de inkoopstrategie van zorginstellingen. De norm verplicht zorginstellingen om informatiebeveiliging structureel te borgen in hun inkoopprocessen, wat betekent dat leveranciers van ICT-diensten en systemen aantoonbaar moeten voldoen aan specifieke beveiligingseisen. Dit geldt voor elke partij die toegang heeft tot patiëntgegevens of kritieke zorgsystemen. In dit artikel beantwoorden we de meest gestelde vragen over NEN 7510-inkoop, van leveranciersselectie tot contractuele verplichtingen.

Welke inkoopvereisten vloeien voort uit NEN 7510?

NEN 7510 verplicht zorginstellingen om bij de inkoop van ICT-producten en diensten aantoonbaar rekening te houden met informatiebeveiliging. Concreet betekent dit dat elke leverancier die toegang heeft tot patiëntdata of zorgsystemen moet worden beoordeeld op zijn beveiligingsmaatregelen, en dat deze beoordeling gedocumenteerd moet zijn. De norm schrijft voor dat informatiebeveiliging geen bijzaak is, maar een vast onderdeel van het inkoopproces.

In de praktijk vertaalt dit zich naar een aantal concrete verplichtingen voor zorginstellingen:

• Een risicoanalyse uitvoeren vóór elke inkoop waarbij persoonsgegevens of gevoelige zorginformatie in het spel zijn
• Beveiligingseisen opnemen in de aanbestedingsdocumenten en offerteaanvragen
• Leveranciers verplichten om bewijs te leveren van hun beveiligingsmaatregelen, zoals certificeringen of auditrapportages
• Afspraken over informatiebeveiliging vastleggen in contracten en verwerkersovereenkomsten

Zorginstellingen die NEN 7510-compliant willen blijven, kunnen inkoop dus niet meer behandelen als een puur commercieel proces. Beveiliging moet al in de voorbereiding worden meegenomen, niet pas nadat een contract is getekend.

Hoe beïnvloedt NEN 7510 de selectie van ICT-leveranciers?

NEN 7510 maakt informatiebeveiliging tot een formeel selectiecriterium bij de keuze voor ICT-leveranciers. Een leverancier die niet kan aantonen dat hij voldoet aan de relevante beveiligingseisen, komt simpelweg niet in aanmerking voor samenwerking. Dit verandert de leveranciersselectie van een prijs- en functionaliteitsvraagstuk naar een driedimensionale afweging waarbij beveiliging even zwaar weegt.

Bij de beoordeling van potentiële leveranciers kijken zorginstellingen onder NEN 7510 naar meerdere factoren. Heeft de leverancier een eigen informatiebeveiligingsbeleid? Beschikt hij over een ISO 27001-certificering of een vergelijkbaar aantoonbaar kader? Hoe gaat hij om met incidenten en datalekken? En hoe worden subverwerkers of onderaannemers in de beveiligingsketen meegenomen?

Een belangrijk gevolg is dat zorginstellingen hun leveranciersbestand kritisch moeten doorlichten. Bestaande leveranciers die jarenlang zijn geselecteerd op prijs of gebruiksgemak, moeten nu ook worden getoetst op hun beveiligingsprofiel. Dit kan leiden tot het herzien van bestaande contracten of het afscheid nemen van leveranciers die niet aan de norm kunnen voldoen.

Wat zijn de gevolgen als een leverancier niet voldoet aan NEN 7510?

Als een leverancier niet voldoet aan de NEN 7510-eisen, loopt de zorginstelling zelf het risico op non-compliance. De norm legt de verantwoordelijkheid voor informatiebeveiliging bij de zorginstelling, niet bij de leverancier. Een datalek of beveiligingsincident via een niet-gecertificeerde leverancier kan leiden tot boetes, reputatieschade en verlies van patiëntvertrouwen.

Concreet kunnen de gevolgen zijn:

• Boetes van de Autoriteit Persoonsgegevens bij een aantoonbaar datalek als gevolg van onvoldoende leverancierscontrole
• Aansprakelijkheidsrisico’s als patiëntgegevens zijn gelekt via een onveilige leverancier
• Verlies van NEN 7510-certificering bij een externe audit, wat de contractuele positie van de zorginstelling kan schaden

Naast de juridische gevolgen is er ook een operationeel risico. Leveranciers zonder adequate beveiligingsmaatregelen vormen een zwakke schakel in de informatieketen van de zorginstelling. Juist omdat zorgsystemen steeds meer met elkaar verbonden zijn, kan één kwetsbare leverancier een toegangspoort worden voor kwaadwillenden.

Welke contractuele bepalingen zijn verplicht bij NEN 7510-conforme inkoop?

Bij NEN 7510-conforme inkoop moeten contracten met ICT-leveranciers specifieke beveiligingsafspraken bevatten. De norm schrijft voor dat beveiligingseisen expliciet worden vastgelegd, inclusief afspraken over toegangsbeheer, incidentmelding, gegevensverwerking en de rechten van de zorginstelling om audits uit te voeren.

De meest essentiële contractuele elementen zijn:

• Een verwerkersovereenkomst conform de AVG, aangevuld met NEN 7510-specifieke beveiligingseisen
• Afspraken over meldingsplicht bij beveiligingsincidenten, inclusief termijnen en escalatieprocedures
• Het recht van de zorginstelling om periodieke audits of beveiligingsbeoordelingen uit te voeren bij de leverancier
• Bepalingen over wat er gebeurt bij contractbeëindiging, met name hoe gegevens worden teruggegeven of vernietigd

Het is ook verstandig om in het contract vast te leggen wat de gevolgen zijn als een leverancier tijdens de looptijd niet langer aan de eisen voldoet. Denk aan een recht op ontbinding of een verplichting tot herstel binnen een bepaalde termijn. Zo behoudt de zorginstelling grip op de beveiligingskwaliteit gedurende de hele samenwerking.

Hoe verschilt NEN 7510-inkoop van reguliere IT-inkoop in de zorg?

NEN 7510-inkoop verschilt fundamenteel van reguliere IT-inkoop doordat beveiliging geen optionele toevoeging is, maar een basisvereiste. Bij reguliere IT-inkoop wordt beveiliging vaak pas laat in het proces besproken, of overgelaten aan de leverancier. Bij NEN 7510-conforme inkoop is beveiliging het startpunt van het gehele inkooptraject.

Een ander belangrijk verschil is de documentatieverplichting. Reguliere IT-inkoop kan informeel verlopen, maar NEN 7510 vereist dat elke stap in het inkoopproces aantoonbaar wordt gemaakt. Risicoanalyses, leveranciersbeoordelingen, contractuele afspraken en periodieke evaluaties moeten allemaal gedocumenteerd zijn en beschikbaar zijn voor interne en externe audits.

Daarnaast vraagt NEN 7510-inkoop om samenwerking tussen de inkoopafdeling, de IT-afdeling en de functionaris voor gegevensbescherming. Bij reguliere IT-inkoop zijn deze afdelingen vaak niet structureel betrokken. De norm dwingt zorginstellingen om inkoop als een multidisciplinair proces te organiseren, waarbij beveiligingsexpertise aan tafel zit vanaf het moment dat een behoefte wordt geformuleerd. Dit sluit ook aan bij bredere Europese ontwikkelingen op het gebied van NIS2-compliance, die vergelijkbare eisen stellen aan ketenbeveiliging.

Wanneer moet een zorginstelling een leverancier opnieuw beoordelen?

Een zorginstelling moet een leverancier opnieuw beoordelen wanneer er sprake is van een significante wijziging in de samenwerking, een beveiligingsincident of wanneer de periodieke beoordelingscyclus dit vereist. NEN 7510 schrijft voor dat leveranciersbeheer een continu proces is, niet een eenmalige controle bij contractafsluiting.

Concrete momenten voor een herbeoordeling zijn onder andere:

• Bij contractverlenging of uitbreiding van de scope van de samenwerking
• Na een beveiligingsincident bij de leverancier of in de bredere sector
• Wanneer de leverancier zijn eigen certificering verliest of wijzigt
• Bij significante technische of organisatorische veranderingen bij de leverancier, zoals een overname of een nieuwe cloudstrategie

Buiten deze specifieke momenten is het verstandig om een vaste beoordelingscyclus in te bouwen, bijvoorbeeld jaarlijks. Dit hoeft geen uitgebreide audit te zijn. Een gerichte vragenlijst of een kort gesprek over recente ontwikkelingen kan al voldoende inzicht geven om te beoordelen of de leverancier nog steeds aan de eisen voldoet. Documenteer deze beoordelingen altijd, zodat je bij een externe audit kunt aantonen dat leveranciersbeheer structureel is ingebed in de organisatie.

Hoe helpt Hofsecure bij NEN 7510-conforme inkoop?

Wij begrijpen dat NEN 7510 de inkoopstrategie van zorginstellingen ingrijpend verandert. Vanuit onze achtergrond in defensie en hoogbeveiligde omgevingen weten we precies hoe je informatiebeveiliging structureel borgt in inkoopprocessen, zonder dat het ten koste gaat van de operationele slagkracht van je organisatie.

Concreet helpen we zorginstellingen met:

• Een GAP-analyse die inzichtelijk maakt waar je inkoopproces nu staat ten opzichte van de NEN 7510-eisen
• Het opstellen van beveiligingseisen en selectiecriteria voor leveranciers, inclusief modelcontractbepalingen
• Begeleiding bij leveranciersbeoordelingen en audits, ook als interne auditfunctie
• CISO as a service, zodat je na implementatie blijvend compliant blijft zonder een fulltime beveiligingsexpert in dienst te nemen

Cybersecurity hoeft geen obstakel te zijn voor efficiënte inkoop. Met de juiste aanpak wordt NEN 7510-compliance juist een concurrentievoordeel en een bewijs van betrouwbaarheid richting patiënten en partners. Wil je weten hoe we jouw zorginstelling kunnen helpen? Neem vrijblijvend contact op en ontdek wat we voor jouw organisatie kunnen betekenen.