De Inspectie Gezondheidszorg en Jeugd (IGJ) is gestart met toezicht op de informatiebeveiliging bij kleine zorgaanbieders. Dit najaar krijgen vijftig willekeurig geselecteerde huisartsenpraktijken verspreid over Nederland een digitale vragenlijst. De inspectie wil daarmee onderzoeken hoe praktijken hun informatiebeveiliging hebben ingericht en waar verbetering nodig is.
Informatiebeveiliging is voor huisartsen direct verbonden met de continuïteit van de zorg. Praktijken zijn sterk afhankelijk van digitale systemen en verwerken dagelijks gevoelige medische persoonsgegevens. Een cyberaanval, storing van het huisartsinformatiesysteem (HIS) of uitval van andere digitale voorzieningen kan daardoor niet alleen leiden tot verlies of openbaarmaking van gegevens, maar ook de zorgverlening verstoren.
De vijftig praktijken zijn willekeurig geselecteerd. Na het invullen van de vragenlijst ontvangen zij van de IGJ een brief waarin staat hoe hun organisatie ervoor staat en welke eerste stap zij kunnen zetten om de informatiebeveiliging te verbeteren. Het toezicht heeft daarmee zowel een controlerend als een ondersteunend karakter. De inspectie wil bovendien een beter beeld krijgen van de beveiliging bij kleinere zorgaanbieders.
NEN 7510 geldt ook voor kleine praktijken
Centraal in het onderzoek staat NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg. Alle zorgaanbieders moeten hun informatiebeveiliging volgens deze norm inrichten. Dat volgt uit de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz).
Ook kleine huisartsenpraktijken en eenmanspraktijken vallen onder deze verplichting. Een NEN 7510-certificaat is volgens de LHV niet verplicht, maar een praktijk moet wel aantoonbaar volgens de norm werken en de informatiebeveiliging systematisch verbeteren. Daarbij gaat het onder meer om het identificeren van risico’s, het nemen van passende maatregelen en het controleren of die maatregelen daadwerkelijk werken.
De IGJ richt zich al langer nadrukkelijk op informatiebeveiliging in de zorg. Bij eerder onderzoek naar de huisartsenspoedzorg bleken 43 van de 49 onderzochte organisaties nog niet volledig te voldoen aan NEN 7510. De inspectie verwacht dat deze organisaties uiterlijk eind 2026 aantoonbaar aan de norm voldoen.
Waarom is dit relevant voor BIO2?
Hoewel huisartsenpraktijken niet automatisch onder de Baseline Informatiebeveiliging Overheid (BIO2) vallen, is het onderzoek van de IGJ zeer relevant voor organisaties die met BIO2 werken. De kern van de aanpak is namelijk vergelijkbaar: informatiebeveiliging moet aantoonbaar, risicogestuurd en continu worden georganiseerd.
BIO2 sluit aan op ISO/IEC 27001 en stelt risicomanagement centraal. Organisaties moeten hun context en risico’s bepalen, passende beveiligingsmaatregelen treffen en vervolgens controleren of deze maatregelen effectief blijven. Het IGJ-onderzoek laat zien dat alleen het invoeren van technische beveiligingsmaatregelen niet voldoende is. Organisaties moeten ook kunnen aantonen waarom maatregelen zijn gekozen, hoe risico’s worden beheerst en hoe periodieke verbetering is georganiseerd.
Conclusie
Het onderzoek bij huisartsenpraktijken laat zien dat informatiebeveiliging steeds nadrukkelijker een aantoonbare managementverantwoordelijkheid wordt. Een firewall, back-up of beveiligd patiëntendossier alleen is niet genoeg. Organisaties moeten weten welke risico’s zij lopen, maatregelen daarop afstemmen, verantwoordelijkheden vastleggen en regelmatig controleren of de beveiliging nog effectief is.
Die boodschap is ook voor BIO2-organisaties relevant. Goed risicomanagement en aantoonbare naleving van beveiligingsnormen worden steeds belangrijker. Wie informatiebeveiliging onderdeel maakt van de reguliere kwaliteits- en verbetercyclus, is beter voorbereid op zowel cyberincidenten als toezicht en nieuwe wettelijke eisen.
Bron:
Landelijke Huisartsen Vereniging (LHV) – oorspronkelijk nieuwsbericht