Gratis hulpmiddel

Checklist NEN 7510 en ISO 27001: van start tot certificaat

Wat moet er gebeuren om een ISMS te implementeren en klaar te zijn voor de certificeringsaudit? Deze checklist zet 57 punten in acht fasen op een rij, met verwijzingen naar de clausules en maatregelen van ISO/IEC 27001:2022 en de zorgspecifieke aanvullingen uit NEN 7510:2024.

Download als invulbare PDF Bespreek je voortgang

57: punten
8: fasen
NEN + ISO: met zorgspecifieke punten
Indicatief: geen formele toetsing

NEN 7510-punten tonen
Voor zorgorganisaties en leveranciers in de zorg

0 van 57 afgevinkt

Voorbereiding en draagvlak

Zonder besluit, mandaat en tijd van de directie komt een ISMS niet van de grond.

De directie heeft besloten een ISMS in te richten en stelt mensen, tijd en budget beschikbaar.5.1, 7.1
Er is een interne trekker (ISMS-eigenaar) aangewezen met mandaat en tijd, in de praktijk circa 4 uur per week.5.3
De aanleiding en het doel zijn vastgelegd, bijvoorbeeld een klanteis, aanbesteding of de Cyberbeveiligingswet.4.1
Er is een nulmeting of gap-analyse uitgevoerd ten opzichte van de norm.
Er is een realistische planning tot de certificeringsaudit, meestal 6 tot 12 maanden.6.2

Context en scope

Bepaal waar het ISMS over gaat voordat je maatregelen kiest.

Interne en externe factoren die van invloed zijn op informatiebeveiliging zijn vastgelegd.4.1
Belanghebbenden en hun eisen zijn bekend, inclusief klanten, toezichthouders en ketenpartners.4.2
Wet- en regelgeving en contractuele eisen zijn geïnventariseerd, zoals de AVG en de Cyberbeveiligingswet.4.2, A.5.31
De scope is vastgesteld: organisatieonderdelen, locaties, processen, systemen en raakvlakken met derden.4.3
NEN 7510 Vastgesteld is welke persoonlijke gezondheidsinformatie de organisatie verwerkt en in welke systemen.NEN 7510-1

Leiderschap, beleid en rollen

Informatiebeveiliging wordt gedragen door het management, niet alleen door IT.

Het informatiebeveiligingsbeleid is vastgesteld door de directie en bekendgemaakt.5.2
Rollen, verantwoordelijkheden en bevoegdheden zijn belegd en bekend.5.3, A.5.2
Er zijn meetbare doelstellingen voor informatiebeveiliging, met eigenaar en planning.6.2
Onderwerpspecifieke beleidsregels zijn opgesteld waar nodig, bijvoorbeeld voor toegang, thuiswerken en AI-gebruik.A.5.1
NEN 7510 De governance sluit aan op de verantwoordelijkheden in de zorg, met de bestuurder als eindverantwoordelijke.NEN 7510-1

Risicomanagement en Verklaring van Toepasselijkheid

Het hart van het ISMS: maatregelen volgen uit risico's.

Er is een vaste methode voor risicoanalyse, met criteria voor kans, impact en risicoacceptatie.6.1.2
Er is een overzicht van informatie en bedrijfsmiddelen, met een eigenaar per onderdeel.A.5.9
De risicoanalyse is uitgevoerd met sleutelpersonen uit de organisatie.6.1.2, 8.2
Er is een risicobehandelplan met maatregel, eigenaar en termijn per risico.6.1.3, 8.3
Restrisico's zijn expliciet geaccepteerd door de risico-eigenaren.6.1.3
De Verklaring van Toepasselijkheid motiveert voor alle 93 Annex A-maatregelen of en waarom ze van toepassing zijn.6.1.3 d
NEN 7510 Risico's zijn ook beoordeeld op de gevolgen voor de cliënt, patiëntveiligheid en zorgcontinuïteit.NEN 7510-1

Mensen en documentatie

Iedereen weet wat er van hem of haar wordt verwacht, en je kunt het laten zien.

Benodigde competenties zijn vastgesteld en aantoonbaar aanwezig.7.2
Er is een bewustwordingsprogramma voor alle medewerkers, afgestemd op hun rol.7.3, A.6.3
NEN 7510 Zorgprofessionals en management hebben zorgspecifieke awareness gekregen.NEN 7510-2
Interne en externe communicatie over informatiebeveiliging is geregeld.7.4
Documenten worden beheerd: versie, goedkeuring, beschikbaarheid en bewaartermijn.7.5
Registraties worden bijgehouden, zoals incidenten, wijzigingen, trainingen en toegangsreviews.7.5

Evaluatie

Laat zien dat het ISMS werkt voordat de auditor komt.

Er wordt gemeten of het ISMS effectief is, met indicatoren die terugkoppelen naar de doelstellingen.9.1
Er is een intern auditprogramma en het hele ISMS is minstens één keer onafhankelijk intern geaudit.9.2
De management review is gehouden, met alle verplichte onderwerpen en vastgelegde besluiten.9.3
Het ISMS draait aantoonbaar al enige tijd, met registraties over meerdere maanden.

Verbetering en certificeringsaudit

De laatste stappen naar het certificaat en daarna.

Afwijkingen en verbeterpunten worden geregistreerd, de oorzaak wordt onderzocht en ze worden opgevolgd.10.2
Een door de RvA geaccrediteerde certificerende instelling is gekozen en de audit is ingepland.
Fase 1-audit: documentatie en gereedheid zijn beoordeeld, bevindingen zijn opgelost.
Fase 2-audit: medewerkers zijn voorbereid op interviews en steekproeven in de praktijk.
Er is een aanpak om eventuele afwijkingen na de audit binnen de gestelde termijn op te lossen.10.2
Er is een jaarplanning na certificering: controle-audits, interne audits en management review.10.1

Deze checklist is een hulpmiddel en geen formele conformiteitsbeoordeling. Voor certificering gelden de actuele normteksten en het schema van de certificerende instelling. Je vinkjes blijven alleen in deze browser bewaard.

Wil je weten waar je staat?

Plan een vrijblijvend kennismakingsgesprek; je krijgt binnen 24 uur een reactie. Of meet het zelf met de volwassenheidsscan.

Plan een kennismakingsgesprek Eerst zelf meten? Doe de scan