NEN 7510 checklist

De meeste checklists die je vindt zijn lijsten met honderd beheersmaatregelen. Daar heb je als gezinshuis of kleine zorgaanbieder weinig aan, want de vraag is niet welke maatregelen bestaan maar welke bij jou gelden en in welke volgorde je het aanpakt. Deze checklist volgt die volgorde.

De veertien stappen

• 1. Toepassingsgebied. Welke locaties, welke systemen, welke gegevens. En wat er nadrukkelijk buiten valt. Zonder dit weet je bij elke volgende stap niet waar je het over hebt.
• 2. Beleid. Waar je voor staat, wie waarvoor verantwoordelijk is, wanneer je het opnieuw bekijkt. Een paar pagina's, ondertekend door de eigenaar.
• 3. Hoe je risico's beoordeelt. De manier waarop je bepaalt wat een groot risico is. Eén keer opschrijven, daarna elk jaar gebruiken.
• 4. De risicoanalyse zelf. De ingevulde beoordeling, met datum. Voor een kleine zorgaanbieder gaat het om herkenbare scenario's: een mail naar de verkeerde ontvanger, een verloren telefoon, een account dat open bleef staan.
• 5. Hoe je risico's aanpakt. Wat je doet met wat eruit komt, wie akkoord geeft op wat je laat liggen, en wanneer het af moet zijn.
• 6. Verklaring van Toepasselijkheid. Per beheersmaatregel: geldt dit bij mij, waarom, en heb ik het ingevoerd. Sluit je iets uit, dan onderbouw je dat. Dit is het stuk waar een auditor als eerste naar kijkt.
• 7. Doelstellingen. Wat je dit jaar wilt bereiken, concreet genoeg om aan het eind te kunnen zeggen of het gelukt is.
• 8. De registers. Verwerkingen, informatiemiddelen, autorisaties, leveranciers, datalekken, bewaartermijnen en vernietiging. Dit is je dagelijkse bewijs.
• 9. Bewijs van competentie. Dat de mensen die hiermee werken weten wat ze doen. Een teambespreking met een aantekening telt ook.
• 10. Meetresultaten. Waaraan je ziet of het werkt. Bijvoorbeeld: hoeveel accounts stonden er nog open van mensen die weg zijn.
• 11. Auditprogramma en resultaten. Wanneer je wat toetst, en wat eruit kwam. De IGJ verwacht minimaal eens per drie jaar een onafhankelijke beoordeling.
• 12. Directiebeoordeling. Je jaarlijkse terugblik, ook op dit onderwerp. Dezelfde beoordeling die je voor kwaliteit al doet, met een paragraaf erbij.
• 13. Afwijkingen en corrigerende maatregelen. Wat er misging, welke maatregel je nam, en of die hielp.
• 14. Bijhouden. Risicoanalyse en directiebeoordeling jaarlijks, toegangsrechten per kwartaal, bewaartermijnen een keer per jaar nalopen.

Vier fouten in de volgorde

• Beginnen bij de maatregelenlijst. Wie eerst de Verklaring van Toepasselijkheid invult en daarna pas nadenkt over scope en risico's, vult honderd regels in zonder te weten waarom. Bij de eerste doorvraag valt dat om.
• Documenten schrijven die niet kloppen met de praktijk. Bij een beoordeling wordt getoetst of het stuk klopt met hoe jij werkt, niet of het er professioneel uitziet. Beleid dat meer belooft dan je waarmaakt is schadelijker dan beleid dat kort en eerlijk is.
• De registers overslaan. De documenten beschrijven het voornemen, de registers laten zien dat het gebeurt. Een dossier zonder gevulde registers is een plan, geen bewijs.
• De onafhankelijke beoordeling als sluitstuk zien. Die hoort inderdaad achteraan, maar plan hem vooraf in. Wie hem uitstelt tot het uitkomt, haalt de driejaarstermijn niet.

Geldt dit ook voor jou?

Lever je jeugdhulp, dan wijst de Regeling Jeugdwet naar ISO 27001 en ISO 27002, of een daaraan gelijkwaardige norm. NEN 7510 is die gelijkwaardige norm, geschreven voor de zorg. Een certificaat is niet verplicht; wat wel moet is aantoonbaar voldoen en je systeem periodiek onafhankelijk laten beoordelen. Dat staat uitgebreider in de gids over of NEN 7510 verplicht is. Welke registers daarbij horen staat in de gids over de registers.