Kleine kliniek? Check de informatiebeveiliging met het nieuwe IGJ volwassenheidsmodel

De IGJ heeft een volwassenheidsmodel gepubliceerd waarmee kleinere klinieken hun informatiebeveiliging kunnen beoordelen en gericht kunnen werken aan verbetering.

Ook kleinere zorgorganisaties verwerken gevoelige patiëntgegevens en moeten aantoonbaar voldoen aan de NEN 7510. De Inspectie Gezondheidszorg en Jeugd (IGJ) heeft daarom een volwassenheidsmodel informatiebeveiliging ontwikkeld. Hiermee kunnen klinieken bepalen waar zij staan, welke risico's aandacht vragen en welke verbetermaatregelen prioriteit hebben. De IGJ gebruikt het model ook bij haar toezicht op kleinere zorgaanbieders.

Volwassenheidsmodel laat zien waar verbetering nodig is

Het volwassenheidsmodel onderscheidt vier niveaus: nauwelijks geregeld, ad hoc beveiligd, gestructureerd beveiligd en aantoonbaar beheerst. Klinieken kunnen hun informatiebeveiliging beoordelen op vier onderdelen: risico's, beheersmaatregelen, documentatie en de verbetercyclus.

Het laagst scorende onderdeel bepaalt het algehele volwassenheidsniveau. Bij niveau 4 is sprake van aantoonbaar beheerste informatiebeveiliging volgens de NEN 7510.

Klinieken die nog niet op niveau 4 zitten, kunnen het model gebruiken om stapsgewijs verbeteringen door te voeren. De IGJ adviseert daarbij eerst de risico's in kaart te brengen, vervolgens passende maatregelen te nemen, deze vast te leggen en de verbetercyclus te versterken.

Begin bij de belangrijkste informatiestromen

Voor kleinere klinieken, die vaak beperkte capaciteit hebben voor informatiebeveiliging, biedt het model een praktische aanpak. Niet alle verbeteringen hoeven tegelijkertijd te worden uitgevoerd.

De IGJ adviseert om te beginnen bij de grootste of meest kritische informatiestromen, zoals het elektronisch patiëntendossier (EPD), medicatiegegevens en de digitale gegevensuitwisseling met andere zorgaanbieders. Daarna kunnen minder kritische informatiestromen worden aangepakt.

Vier stappen om aan de slag te gaan

Klinieken kunnen het volwassenheidsmodel gebruiken als praktische zelfcheck:

1. Bepaal het huidige niveau. Beoordeel de organisatie op de vier onderdelen van het model.
2. Breng de belangrijkste risico's in kaart. Begin bij kritische systemen en informatiestromen, zoals het EPD en de gegevensuitwisseling.
3. Stel verbetermaatregelen vast. Bepaal wat nodig is om risico's te verkleinen en een volgend volwassenheidsniveau te bereiken.
4. Leg maatregelen vast en evalueer. Documenteer de genomen stappen en beoordeel periodiek of de informatiebeveiliging verder is verbeterd.

Het volwassenheidsmodel introduceert geen nieuwe verplichtingen naast de NEN 7510, maar helpt klinieken om gestructureerd en aantoonbaar aan de bestaande eisen te voldoen.

ZKN en Booozt ontwikkelen aanvullende ondersteuning

Ook ZKN werkt aan praktische ondersteuning voor klinieken. Samen met Booozt, het landelijke programma Basis Op Orde & Ondersteuning ZorgToepassingen, heeft ZKN een routekaart voor zelfstandige klinieken ontwikkeld.

Deze routekaart helpt klinieken om stapsgewijs toe te werken naar aantoonbare implementatie van de NEN 7510. Van het inrichten van een projectorganisatie en het uitvoeren van een nulmeting tot het bepalen en uitvoeren van verbetermaatregelen.

De aanpak wordt momenteel samen met enkele ZKN-leden in de praktijk getoetst. Zo kan de ondersteuning beter aansluiten bij de omvang, mogelijkheden en dagelijkse praktijk van zelfstandige klinieken. Het doel is om de routekaart in 2027 breder beschikbaar te stellen aan ZKN-leden.

Bekijk het volwassenheidsmodel van de IGJ

Neem voor vragen over informatiebeveiliging of over het programma Booozt contact op met Mariska Schuurman, beleidsadviseur Digitalisering & Gegevensuitwisseling via mariska.schuurman@zkn.nl.