Wat is de juridische waarde van NEN 7510 Certificering?

Afwijzing van het Landelijk Elektronisch Patiëntendossier (EPD)

Sinds de afwijzing van het Landelijk Elektronisch Patiëntendossier (EPD) door de Eerste Kamer in 2011 blijkt de gegevensuitwisseling binnen de zorg maatschappelijk gezien een heet hangijzer te zijn.

De gegevensuitwisseling binnen de zorg is inmiddels te onderscheiden als apart rechtsgebied dat raakvlakken heeft met onder andere het

• privacy & gegevensbeschermingsrecht,
• het zorgrecht, en
• het jeugdrecht.

Ondanks de groeiende aandacht voor de juridische inkadering van ICT in de zorg is nog lang niet iedereen bekend met de NEN 7510, of met het juridische belang van deze norm.

In dit artikel wordt toegelicht wat de juridische significantie is van de NEN 7510 voor partijen die betrokken zijn bij gegevensuitwisseling in de zorg, en dit artikel kan ook voor andere organisaties, waar de vraag leeft hoe men een passend beveiligingsniveau kan bereiken, relevant zijn.

1.    Wat is de NEN 7510?

Nederlandse Norm

De NEN 7510 is een NEN-norm, de aanduiding ‘NEN’ is een afkorting voor ”Nederlandse Norm”.

De Stichting Koninklijk Nederlands Normalisatie Instituut (NEN) beheert en publiceert NEN-normen. NEN-normen zijn marktafspraken over de normering van kwaliteit en veiligheid van producten, diensten en processen.

Informatiebeveiliging in de zorg

De NEN 7510 norm is een standaard die specifiek betrekking heeft op informatiebeveiliging in de zorg. De NEN 7512 is een inhoudelijke nadere uitwerking van de NEN 7510, die met name betrekking heeft op de vertrouwensbasis van gegevensuitwisseling. De NEN 7513 heeft betrekking op logging van acties op persoonlijke gezondheidsinformatie .

ISO 27001

De meest beroemde ‘algemene’ standaard omtrent informatiebeveiliging die gezaghebbend maar niet sectorspecifiek is, is ISO 27001 en de nadere uitwerking ISO 27002.

Algemene internationale norm

ISO-normen zijn internationale normen omtrent standaardisatie, deze normen worden uitgebracht door de ISO. De naam ‘ISO’ voor deze organisatie heeft overigens een bijzondere betekenis en is meer dan een afkorting van ‘Internationale Organisatie voor Standaardisatie’, de naam is namelijk afgeleid van het oud-Griekse woord ‘isos’ wat ‘gelijk’ betekent.

De ISO is de internationale organisatie voor standaardisatie, een samenwerkingsverband van nationale organisaties in 163 landen waar ook de Nederlandse NEN bij is aangesloten.

2.    Wat is het wettelijk kader waarin de NEN 7510 van belang is?

Verwerping EPD

Na de verwerping van de voorgestelde wettelijke regeling over het EPD sprak een grote meerderheid van de Kamer zich in een motie uit vóór een nadere wettelijke regeling omtrent het vergaren, opslaan en gebruik van medische gegevens.

Motie vóór een nadere wettelijke regeling

Volgens die motie moest de nadere wettelijke regeling normen en standaarden bevatten over digitale dossiervorming en- ontsluiting, overdracht van gegevens, recht op inzage, recht op een afschrift en op het door een patiënt indienen van een verzoek tot overdracht van gegevens tussen zorgverleners onderling. De nieuwe wet moest toezicht, handhaving en sancties regelen. Ook dienden volgens de motie eveneens eisen met betrekking tot veiligheid, waaronder informatiebeveiliging, in de wettelijke regeling te staan.

Wet aanvullende bepalingen verwerking persoonsgegevens in de zor

In de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg van 1 juli 2017 is bepaald dat voor de zorgaanbieder een wettelijke verplichting geldt om uitdrukkelijke toestemming te verkrijgen van patiënten om hun gegevens te gebruiken in een elektronisch gegevensuitwisselingssysteem. De nadruk op uitdrukkelijke toestemming als een vereiste is overigens strenger dan het regime uit de EU Algemene Verordening Gegevensbescherming (AVG), waarin naast (uitdrukkelijke) toestemming ook andere uitzonderingsgronden en grondslagen voor verwerking dan toestemming bestaan.

Toestemming is niet altijd nodig

NEN-normen zijn doorgaans vrijwillige marktafspraken over de normering van kwaliteit en veiligheid van producten, diensten en processen, maar er is ook regelgeving die het voldoen aan bepaalde NEN-normen verplicht stelt.

Aan de maatschappelijke oproep voor meer wettelijke regels omtrent informatiebeveiliging in de zorg is mede gehoor gegeven door in wet- en regelgeving van toepassing op de gegevensuitwisseling door zorginstellingen de wettelijke verplichting op te nemen om aan de NEN 7510 en de nadere uitwerkingen hiervan te voldoen.

3.    Hoe vullen standaarden de wettelijke vereisten omtrent informatiebeveiliging in?

De vraag welk beveiligingsniveau “de wet” van uw bedrijf of organisatie vereist kan niet op voorhand worden beantwoord. Met enige regelmaat komt ons dan ook frustratie ter oren, omdat “de wet” niet exact voorschrijft welke concrete (cyber)beveiligingsmaatregelen van technologische of organisatorische aard een bedrijf of organisatie moet nemen om te voldoen aan de wet.

Wettelijke verplichtingen

De (Europese) wetgever wenst niet op de stoel van de bedrijfs- of organisatieleiding te gaan zitten, noch om de indruk te wekken dat voor alle gegevensverwerkingsactiviteiten van alle organisaties in alle sectoren dezelfde risico’s bestaan. Wettelijke bepalingen omtrent informatiebeveiliging bevatten doorgaans open normen en geen concrete voorschriften om een bepaalde beveiligingsmaatregel te treffen. De aanhef van artikel 32 AVG luidt bijvoorbeeld als volgt:

“Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen […]”.

Deze brede risicobenadering is overigens niet uniek voor de AVG, artikel 7 eerste lid van de Wet beveiliging netwerk- en informatiesystemen (Wbni) luidt bijvoorbeeld:

“De aanbieder van een essentiële dienst en de digitaledienstverlener nemen passende en evenredige technische en organisatorische maatregelen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. De maatregelen zorgen, gezien de stand van de techniek, voor een niveau van beveiliging dat is afgestemd op de risico's die zich voordoen.”

Ingevolge artikel 32 lid 3 AVG kan aansluiting bij een goedgekeurde gedragscode of certificeringsmechanisme wel als element worden gebruikt om de aanwezigheid van passende beschermingsmaatregelen in de zin van de AVG en daarmee het voldoen aan het wettelijk beveiligingsvereiste aan te tonen.

Een voorbeeld van een door de Autoriteit Persoonsgegevens goedgekeurde gedragscode voor een specifieke branche is de “Richtsnoeren AVG voor accountants, belastingadviseurs en salarisprofessionals (2019)”. Het dienen als een ‘element’ waarmee het voldoen aan de wet kan worden aangetoond wil echter nog niet zeggen dat hiermee altijd bewezen is dat de beveiliging voldoet, dit blijft afhankelijk van de feiten en omstandigheden van het geval.

Risicoanalyse

De te treffen technologische en organisatorische maatregelen dienen te worden gebaseerd op de risico’s die zijn gesignaleerd na een risicoanalyse. De volgende elementen zijn, in ieder geval in het voorbeeld van de aanhef van artikel 32 AVG, verplicht om mee te nemen in een risicoanalyse:

• De stand van de techniek;
• De uitvoeringskosten;
• Aard van risico's voor de rechten en vrijheden van personen;
• Omvang van risico's voor de rechten en vrijheden van personen;
• Context en verwerkingsdoeleinden;
• Waarschijnlijkheid van risico's voor de rechten en vrijheden van personen;
• Ernst van risico's voor de rechten en vrijheden van personen.

Ook de definitie van een risicoanalyse in NEN 7510 – ‘beoordeling van de bedreigingen voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid van het optreden van deze bedreigingen’ is gangbaar binnen het vakgebied informatiebeveiliging en geeft een organisatie de vrijheid zelf een risicoanalysemethode te kiezen zo lang aan alle is elementen voldaan.

Naarmate het vereiste beveiligingsniveau hoger is, dient de Verantwoordelijke in de zin van de AVG meer en zwaardere beveiligingsmaatregelen te treffen om de aanwezige risico’s af te dekken en het vereiste beveiligingsniveau te garanderen.

Maatregelen

Hoe kunt u weten of de technologische en organisatorische maatregelen binnen uw organisatie passend zijn? U hoeft gelukkig niet volledig in het duister te tasten voor wat betreft maatregelen, er zijn namelijk handvatten om bij aan te sluiten.

Richtsnoeren

De voorganger van de Autoriteit Persoonsgegevens, het College Bescherming Persoonsgegevens bracht een richtsnoer uit omtrent de invulling van het begrip ‘beveiliging van persoonsgegevens’, dat nog steeds gezaghebbend is en aanknopingspunten biedt:

"Bij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens hanteert de toezichthouder als uitgangspunt een aantal beveiligingsmaatregelen die binnen het vakgebied informatiebeveiliging gebruikelijk zijn en die in veel situaties in een of andere vorm noodzakelijk zijn:

• Beleidsdocument voor informatiebeveiliging […],
• Toewijzen van verantwoordelijkheden voor informatiebeveiliging[…],
• Beveiligingsbewustzijn bij werknemers […],
• Fysieke beveiliging en beveiliging van apparatuur […],
• Toegangsbeveiliging[…],
• Logging en controle […],
• Correcte verwerking in toepassingssystemen (validatie) […],
• Beheer van technische kwetsbaarheden […],
• Incidentenbeheer […],
• Afhandeling van datalekken en beveiligingsincidenten […],
• Continuïteitsbeheer […],
• Gegevensbescherming en geheimhouding van persoonsgegevens,
• Geheimhoudingsovereenkomsten […].”

Beveiligingsstandaarden

Ook beveiligingsstandaarden ontwikkeld in de praktijk geven houvast de te treffen maatregelen om de gesignaleerde risico’s te adresseren. De NEN 7510 is één van die beveiligingsstandaarden omtrent informatiebeveiliging die meer houvast kan bieden dan de wettelijke voorschriften, die specifiek is ontwikkeld voor en door de zorgbranche.

Beveiligingsstandaarden geven de ontwikkeling van kennis over ‘best practices’ die bij de beveiliging in de praktijk zijn opgedaan weer. Dergelijke beveiligingsstandaarden geven dus weer welke maatregelen over het algemeen als ‘passend’ worden beschouwd binnen een bepaalde branche. Dergelijke standaarden kunnen ook concrete technologische middelen benoemen die bij de beveiliging behoren te worden toegepast, terwijl wet- en regelgeving doorgaans zo technologieneutraal mogelijk zal worden geformuleerd.

Nieuwe beveiligingsstandaarden worden en nieuwe versies van bestaande beveiligingsstandaarden regelmatig gepubliceerd, waarmee wordt aangesloten op de nieuwste ontwikkelingen binnen het vakgebied.

NEN 7512

Op 11 juli 2022 publiceerde de Stichting Koninklijk Nederlands Normalisatie Instituut de gereviseerde NEN 7512.

In de nieuwste versie van deze norm is meer aandacht besteed aan risicobeheersing en zijn beheersmaatregelen verder uitgewerkt. Hetzelfde geldt voor de ISO 27001, de meer algemene beveiligingsstandaard voor informatiebeveiliging die voor iedere branche toepasbaar is ongeacht de aard van de specifieke verwerkingsactiviteiten. Overigens baseert de NEN 7510 zich ook grotendeels op de ISO 27001, verschillende beveiligingsstandaarden beïnvloeden elkaar dus ook.

4. Welke juridische gevolgen heeft het ontbreken van een passend beveiligingsniveau?

De keuze voor een bepaald beveiligingsniveau als ‘passend’, is een afweging die grote juridische gevolgen kan hebben voor uw bedrijf of organisatie, helemaal mocht achteraf blijken dat uw beveiligingsmaatregelen onvoldoende zijn geweest.

Inadequate maatregelen

De potentiële negatieve juridische consequenties van inadequate maatregelen kunnen de vorm van boetes, aansprakelijkheidsclaims en schadeclaims wegens contractbreuk nemen afhankelijk van welke instantie of partij uw organisatie aanspreekt in verband met inadequate informatiebeveiligingsmaatregelen.

De maximale boete- of schadebedragen en de precieze mogelijkheden om deze te vermijden of ten minste te mitigeren zullen variëren per omstandigheden van het geval van het beveiligingsincident en de grondslag waarop de boete/schadeclaim is gebaseerd.

Boete

U kunt bijvoorbeeld van een nationale toezichthouder een hoge boete ontvangen. De Autoriteit Persoonsgegevens heeft bijvoorbeeld op grond van de AVG in theorie de bevoegdheid om boetes van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet op te leggen.

De AVG kent ook een aparte aansprakelijkheidsgrond toe op basis waarvan het data-subject, de een persoon op wie persoonsgegevens betrekking hebben, materiele en immateriële schadevergoeding kan vorderen wanneer een Verantwoordelijke of Verwerker een wettelijke verplichting uit de AVG, zoals de verplichting om passende technologische en organisatorische maatregelen te nemen schendt en hij of zij als gevolg daarvan schade heeft geleden.

Ook kunt u uit hoofde van een overeenkomst aangesproken worden door uw wederpartij in verband met ontstane schade. In een dergelijke situatie kunt u hopelijk met succes een beroep doen op een toereikende overmachtsclausule uit de overeenkomst. Het is daarom van belang in uw contracten een overmachtsclausule op te nemen waarin ook rekening is gehouden met cybersecurity gerelateerde risico’s.

Zorgplicht

Bovendien kunt u aansprakelijk worden gesteld wegens schending van een wettelijke zorgplicht, bijvoorbeeld de zorgplicht van een goed opdrachtnemer (artikel 7: 401 BW) voor schade ontstaan bij een beveiligingsincident. Of is voldaan aan de zorgplicht wordt getoetst aan de maatstaf of de opdrachtnemer te werk is gegaan “zoals een redelijk bekwaam en redelijk handelend vakgenoot te werk zou zijn gegaan”.

Deze maatstaf volgt bijvoorbeeld uit het standaardarrest HR 9 juni 2000, NJ 2000/460 

ECLI:NL:HR:2000:AA6159

De invulling van deze wettelijke zorgplicht valt dus uiteen per beroepsgroep.

Een recent voorbeeld van hoe deze maatstaf wordt toegepast in de IT-branche is te zien in Hof-Arnhem Leeuwarden 29 juni 2021:

ECLI:NL:GHARL:2021:6380, r.o. 7.16.

“7.16
Gelet op het voorgaande geldt in dit geval de algemene norm van artikel 7:401 BW dat een opdrachtnemer bij zijn werkzaamheden de zorg van een goed opdrachtnemer in acht moet nemen en moet handelen zoals een redelijk bekwaam en redelijk handelend branche-genoot onder gelijksoortige omstandigheden zou hebben gedaan. […]”

In die specifiek zaak oordeelde het gerechtshof Leeuwarden dat de IT-leverancier niet tekort was geschoten in haar zorgplicht. De jurisprudentie op dit punt is echter zeer casuïstisch, waardoor het moeilijk is om de uitkomst van een rechtszaak waarbij de vraag of is voldaan aan de zorgplicht voorligt te voorspellen. Ook kunt u nog aansprakelijk worden gesteld en kan een schadevergoeding van u worden gevorderd uit hoofde van de onrechtmatige daad.

Wat mag je van een ICT-leverancier verwachten?

5 Conclusie

De NEN 7510 norm is een NEN-norm (marktafspraak over de normering van kwaliteit en veiligheid van producten, diensten en processen) die specifiek betrekking heeft op de informatiebeveiliging in de zorg.

De juridische waarde van de NEN 7510 norm bestaat uit het feit dat deze een voorbeeld is van een beveiligingsstandaard ontwikkeld voor en door een specifieke sector en concrete invulling geeft aan een passende wijze om beveiliging vorm te geven gegeven de aard van de risico’s en ernst van de potentiële gevolgen.

Wettelijke bepalingen omtrent informatiebeveiliging leggen doorgaans namelijk slechts een algemene verplichting om een ‘passend beveiligingsniveau’ te handhaven op. De beoordeling van welk niveau van beveiliging van (persoons)gegevens gegeven de activiteiten van een bepaalde entiteit dient te worden geborgd is een afweging die steeds opnieuw moet worden uitgevoerd afhankelijk van de aard en ernst van de risico’s die gepaard gaan met de verwerkingsactiviteiten van uw bedrijf of organisatie.

Voor sommige instanties geldt een wettelijke verplichting om aan de NEN 7510 norm en de uitwerkingen daarvan te voldoen. Ook al is het NEN 7510 certificaat voor uw bedrijf of organisatie niet per se verplicht, het behalen van dit certificaat kan alsnog wel nuttig zijn voor partijen buiten de eerstelijns zorg. Het is bijvoorbeeld zeer verstandig om een NEN 7510 certificaat te behalen indien uw bedrijf of organisatie zich bezig houdt met de verstrekking van IT-dienstverlening aan zorgverleners en/of aan patiënten dan wel anderszins betrokken is bij het beheren of in stand houden van de verwerking van gezondheidsgegevens.

Is uw bedrijf of organisatie wel een gegevensverwerker, maar in het geheel niet actief binnen of rondom de zorg, dan kunt u zich bij de invulling van uw wettelijke verplichtingen omtrent het op orde brengen van uw informatiebeveiliging beter richten op de ISO 27001 norm ‘Informatiebeveiliging’, de niet-sectorspecifieke standaard over informatiebeveiliging, waar ook de NEN 7510 op is gebaseerd.

Advies

Zoekt u advies over de vraag wat voor uw bedrijf of organisatie een passend beveiligingsniveau zou zijn. Vraagt u zich af hoe u de aanwezigheid en passendheid van uw maatregelen op het gebied van informatiebeveiliging juridisch gezien het beste kunt aantonen?

Benader ons vandaag nog voor juridisch advies!

Virtuele Juridische Afdeling

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!