Wat zijn de NEN 7510 eisen voor back-up en herstelprocessen?

NEN 7510 schrijft voor dat organisaties in de zorg een gedocumenteerd back-upbeleid moeten hebben, inclusief regelmatige back-ups van gegevens, gedefinieerde bewaartermijnen en aantoonbaar geteste herstelprocedures. De norm is gebaseerd op ISO 27001 maar is specifiek toegepast op de Nederlandse zorgsector, waar de bescherming van patiëntgegevens wettelijk verplicht is. In dit artikel beantwoorden we de meest gestelde vragen over de back-up- en hersteleisen binnen NEN 7510.

Welke specifieke back-upmaatregelen schrijft NEN 7510 voor?

NEN 7510 vereist dat zorgorganisaties back-ups maken van alle informatie die essentieel is voor de continuïteit van de zorgverlening. Dit omvat patiëntgegevens, medische dossiers en systemen die kritische processen ondersteunen. De norm schrijft voor dat back-ups worden bewaard op een fysiek gescheiden locatie en dat bewaartermijnen aansluiten op wettelijke bewaarplichten voor medische gegevens.

Concreet betekent dit dat een zorgorganisatie minimaal moet regelen:

• Een gedocumenteerd back-upbeleid dat aangeeft welke gegevens worden geback-upt en hoe vaak
• Opslag van back-ups op een locatie die losstaat van de primaire systemen
• Encryptie van back-upbestanden om ongeautoriseerde toegang te voorkomen
• Vastgelegde bewaartermijnen die passen bij de wettelijke eisen voor medische dossiers

De norm kijkt niet alleen naar technische maatregelen, maar ook naar de organisatorische kant. Wie is verantwoordelijk voor het uitvoeren van back-ups? Wie controleert of ze geslaagd zijn? Deze verantwoordelijkheden moeten schriftelijk zijn vastgelegd en belegd bij specifieke functies binnen de organisatie.

Hoe moet een herstelproces worden ingericht volgens NEN 7510?

Volgens NEN 7510 moet een herstelproces aantoonbaar, gedocumenteerd en getest zijn. Het is niet voldoende om back-ups te maken; de organisatie moet ook kunnen bewijzen dat gegevens daadwerkelijk kunnen worden hersteld binnen een aanvaardbare termijn. Dit vereist een vastgestelde Recovery Time Objective (RTO) en een Recovery Point Objective (RPO).

Een goed ingericht herstelproces bevat minimaal de volgende elementen: een beschrijving van de stappen die worden gevolgd bij een dataincident, duidelijke rolverdeling tussen betrokkenen en een vastgestelde maximale hersteltijd die past bij de kritikaliteit van de systemen. Voor systemen die directe patiëntenzorg ondersteunen, gelden striktere eisen dan voor administratieve systemen.

Herstelprocessen moeten ook aansluiten op het bredere NEN 7510-beleid van de organisatie. Dat betekent dat het herstelplan onderdeel is van het informatiebeveiligingsbeleid en niet losstaat als een technisch document dat alleen de IT-afdeling kent. Directie en zorgmanagers moeten op de hoogte zijn van de procedures en hun rol daarin begrijpen.

Hoe vaak moeten back-ups worden getest onder NEN 7510?

NEN 7510 schrijft voor dat back-ups periodiek worden getest, maar geeft geen exact aantal keer per jaar. In de praktijk wordt minimaal één keer per jaar een volledige hersteltest aanbevolen, aangevuld met regelmatige steekproeven om te controleren of back-upbestanden leesbaar en volledig zijn. De frequentie moet worden afgestemd op het risicoprofiel van de organisatie.

Het testen van back-ups is meer dan controleren of een bestand bestaat. Een echte test betekent dat gegevens daadwerkelijk worden teruggezet in een testomgeving en dat de integriteit van die gegevens wordt geverifieerd. Alleen dan weet een organisatie zeker dat het herstelproces werkt op het moment dat het echt nodig is.

Testresultaten moeten worden gedocumenteerd. Als een test mislukt of afwijkingen vertoont, moet dit worden opgevolgd met een verbeteractie. Dit is ook een punt dat auditors bij een NEN 7510-certificering zullen controleren: niet alleen of er getest wordt, maar ook wat er met de uitkomsten wordt gedaan.

Wat zijn de gevolgen van non-compliance met de back-upeisen?

Zorgorganisaties die niet voldoen aan de back-upeisen van NEN 7510 lopen het risico hun certificering te verliezen of niet te behalen. Zonder NEN 7510-certificering kan een zorgorganisatie worden uitgesloten van aanbestedingen of samenwerkingen waarbij informatiebeveiliging een contractuele voorwaarde is. Daarnaast vergroot slechte back-uphygiëne de kans op ernstige datalekken aanzienlijk.

Bij een datalek waarbij patiëntgegevens verloren gaan of onbereikbaar worden, zoals bij een ransomware-aanval, kan de Autoriteit Persoonsgegevens een boete opleggen. De hoogte daarvan hangt af van de ernst van het incident en de mate waarin de organisatie aantoonbaar maatregelen had getroffen. Ontbrekende of niet-geteste back-ups worden gezien als een ernstig verzuim.

Naast juridische en financiële gevolgen is er ook een operationeel risico. Zorgorganisaties die geen werkende back-ups hebben, kunnen bij een systeemstoring of cyberaanval niet snel herstellen. Dit kan directe gevolgen hebben voor de continuïteit van patiëntenzorg, wat in de zorgsector onaanvaardbaar is.

Wat is het verschil tussen NEN 7510 en ISO 27001 voor back-up?

NEN 7510 is gebaseerd op ISO 27001, maar voegt zorgspecifieke eisen toe. Waar ISO 27001 een generiek framework biedt voor informatiebeveiliging in elke sector, vertaalt NEN 7510 die eisen naar de context van de Nederlandse gezondheidszorg, inclusief specifieke verwijzingen naar wet- en regelgeving zoals de AVG en de WGBO.

Voor back-up en herstel betekent dit concreet dat NEN 7510 meer nadruk legt op de beschikbaarheid van patiëntgegevens en de wettelijke bewaarplichten die in de zorg gelden. ISO 27001 laat organisaties meer ruimte om zelf te bepalen welke bewaartermijnen passend zijn; NEN 7510 koppelt dit aan zorgwetgeving waarbij medische dossiers minimaal 20 jaar bewaard moeten worden.

Een organisatie die al ISO 27001-gecertificeerd is, heeft een goede basis voor NEN 7510, maar zal aanvullende maatregelen moeten treffen die specifiek zijn voor de zorgsector. Andersom geldt ook: NEN 7510-compliance geeft geen automatische ISO 27001-certificering, maar de overlap is groot genoeg om beide trajecten efficiënt te combineren.

Welke documentatie is verplicht voor back-up en herstel binnen NEN 7510?

NEN 7510 vereist dat organisaties de volgende documentatie kunnen overleggen: een schriftelijk back-upbeleid, een herstelplan, logbestanden van uitgevoerde back-ups en verslagen van hersteltests. Deze documenten moeten actueel zijn en worden bijgehouden als onderdeel van het informatiebeheersysteem van de organisatie.

Het back-upbeleid beschrijft minimaal welke systemen en gegevens worden geback-upt, hoe vaak, waar de back-ups worden opgeslagen en wie verantwoordelijk is. Het herstelplan legt vast hoe een herstelactie stap voor stap verloopt en wie welke rol heeft. Beide documenten moeten worden goedgekeurd door het management en periodiek worden herzien.

Logbestanden zijn essentieel als bewijs dat back-ups daadwerkelijk zijn uitgevoerd. Auditors willen niet alleen het beleid zien, maar ook aantoonbaar bewijs dat de procedures in de praktijk worden gevolgd. Testrapporten tonen aan dat de herstelcapaciteit regelmatig wordt geverifieerd. Ontbreekt een van deze documenten, dan is dat een bevinding die de certificering in gevaar kan brengen.

Hoe Hofsecure helpt bij NEN 7510 back-up en herstel compliance

Wij helpen zorgorganisaties om hun back-up- en herstelprocessen volledig in lijn te brengen met de eisen van NEN 7510. Vanuit meer dan 20 jaar ervaring bij defensie- en zorgorganisaties weten we precies wat auditors verwachten en waar de meeste organisaties nog stappen te zetten hebben. We maken van complexe normeisen concrete, werkbare procedures.

Onze aanpak omvat:

• Een GAP-analyse om te bepalen waar jouw back-up- en herstelprocessen nu staan ten opzichte van de NEN 7510-eisen
• Het opstellen of verbeteren van back-upbeleid, herstelplannen en de bijbehorende documentatie
• Begeleiding bij het uitvoeren en documenteren van hersteltests
• CISO as a service voor doorlopend beheer en periodieke controles na certificering

Wil je weten waar jouw organisatie staat? Neem vrijblijvend contact op en ontdek hoe we jouw zorgorganisatie snel en praktisch NEN 7510-compliant maken.