Zorgorganisaties in Nederland moeten aantoonbaar voldoen aan richtlijnen voor de informatiebeveiliging in de zorg; het zogenaamde NEN 7510-raamwerk. De Inspectie Gezondheidszorg en Jeugd (IGJ) toetst of organisaties zich aan de wet houden. Nucleuszorg schakelde Van Oers in voor een onafhankelijke interne NEN 7510-audit.
Nucleuszorg ondersteunt de huisartsenzorg in Zeeuws-Vlaanderen, in de breedste zin van het woord. Onder andere met spoedzorg buiten de uren van de reguliere huisartsenpraktijken. Het zorgvuldig omgaan met de gegevens van patiënten is voor Nucleuszorg vanzelfsprekend. Maar hoe leg je de processen vast om dit goed te borgen en maak je dit aantoonbaar?
Suzie Sebregts (bestuurssecretaris en vanuit het MT verantwoordelijk voor IT), Julie De Lentdecker (kwaliteitsmedewerker en beleidsadviseur spoedpost) en Camiel Rentmeester (IT beheerder) waren bij Nucleuszorg alle drie betrokken bij het implementeren van het NEN 7510-raamwerk.
Suzie: “De inspectie vroeg ons naar een plan van aanpak om aan NEN 7510 te gaan voldoen. Dat wilden we graag, maar we vroegen ons af wat de beste aanpak daarvoor was. Dit omdat we maar met een klein team op kantoor werken.”
Julie: “We deden eerst zelf een nulmeting om te kijken hoe we ervoor stonden. Vrij snel daarna besloten we om ook een onafhankelijke beoordeling te laten doen door een externe partij. Dat was tevens de wens van de inspectie. Van Oers pakte dat voor ons op.”
Nucleuszorg werkt op een ander vlak al langer samen met Van Oers, namelijk rondom de inrichting van AFAS. Suzie: “Via de website ontdekten we dat Van Oers ook NEN 7510-audits verzorgt. We gingen met meerdere partijen in gesprek maar kozen voor Van Oers, vanwege de goede klik en hun realistische voorstel.”
Julie: “Bovendien heeft Van Oers ervaring met vergelijkbare trajecten in de zorg; ze snappen de zorgsector. Al in het eerste gesprek lieten ze blijken dat ze een goed beeld hadden van waar we op dat moment stonden en wat we nodig hadden om het NEN 7510-raamwerk te implementeren voor de spoedzorg.”
Nucleuszorg koos vrij snel na de eigen nulmeting om de onafhankelijke boordeling door Van Oers te laten uitvoeren. Suzie: “We beseften dat zaken nog niet op orde zouden zijn. Door toch eerst te toetsen, kregen we inzicht in hoe we ervoor stonden en konden we prioriteiten bepalen.”
Julie: “Dus niet snel-snel voor de beoordeling allerlei aanvullende acties. Dat zou ik andere organisaties aanraden: durf te starten met zo’n snelle meting. Dan kun je daarna de verbeterpunten in de juiste prioriteit aanpakken en deze strak opvolgen.”
Van Oers was twee volle dagen bij Nucleuszorg op locatie voor deze eerste beoordeling. Op basis daarvan werd een rapportage gemaakt. Suzie: “Het was geen verrassing dat er in deze rapportage veel maatregelen op ‘onvoldoende geïmplementeerd’ stonden. Marjon van de Lindeloof besprak namens Van Oers persoonlijk de rapportage met ons en gaf aan welke stappen we moesten zetten om deze punten op voldoende niveau te kunnen implementeren. Dat hielp ons concreet om de juiste prioriteiten te stellen.”
Julie: “De toon van haar feedback was prettig en gericht op meedenken met onze organisatie. Ik heb Marjon ervaren als een kundig, warm en betrokken persoon.”
Julie en Camiel maakten op basis van deze rapportage een strak plan van aanpak.
Camiel: “We legden er de focus op; Julie en ik planden consequent tijd in om ons samen hiermee bezig te houden.”
Julie: “Het is niet iets dat je zomaar tussendoor doet. Overigens legden we ons plan van aanpak ook voor aan Marjon. Zij vond de planning behoorlijk ambitieus.”
Suzie: “Onze directeur-bestuurder Karin deelde die mening. Zij gaf aan dat we ook konden proberen om uitstel van de inspectie te krijgen of, indien nodig, extra externe expertise konden inhuren. Met de grote inzet van Julie en Camiel is het gelukt om de timing volgens de wens van de inspectie te halen. Ik kan niet vaak genoeg zeggen hoe knap ik het vind om dat met de inzet van slechts twee medewerkers te bereiken.”
Camiel: “Doordat Nucleuszorg vorig jaar al koos voor een andere IT-leverancier die vooral voor huisartsenposten werkt, hadden we al goede stappen gezet naar een betere indeling van de IT-omgeving. Dat heeft ons in dit NEN 7510-traject geholpen.”
Julie: “Het traject was intens en pittig, maar we wilden het niet uitstellen. Marjon bleef op de achtergrond betrokken; als we vastzaten mochten we altijd even met haar overleggen.”
Camiel: “De feedback van Marjon was fijn en verhelderend. Je merkt dat ze bij Van Oers vaker met dit soort vraagstukken te maken hebben. Ze zijn praktisch ingesteld.”
Suzie: “De norm is best complex, waardoor je er makkelijk in kunt verzanden. Van Oers vertaalt de complexe norm naar een begrijpelijk normenkader en stimuleert om het niet groter te maken dan dat het is.”
Camiel: “Mijn advies aan andere organisaties is dan ook: maak het niet te groot en begin met de punten met de hoogste prioriteit.”
Het strakke plan van aanpak en de focus op dit project leidde tot twee documenten: zowel een uitgebreid beleidsdocument als een document met een omschrijving van alle beheersmaatregelen. Daarna volgde een tweede audit door Van Oers, met als uitkomst dat het merendeel van de maatregelen voldoende geïmplementeerd was.
Suzie: “Die beoordeling dienden we opnieuw in bij de inspectie met daarbij een actueel plan van aanpak. Inmiddels heeft de inspectie bevestigd dat we voldoen aan de NEN 7510 norm; de processen zijn goed ingericht en de informatiebeveiliging is geborgd. Dat hebben we wel even gevierd, onder andere met de taart waar Van Oers ons mee feliciteerde.
De volgende stap is dat we medewerkers bekend maken met deze beleidsstukken en bij hen een nog beter bewustzijn creëren. We kijken bovendien hoe we de aangesloten huisartsenpraktijken kunnen ondersteunen met het behalen en implementeren van NEN 7510. Daarin trekken we samen op met Van Oers tijdens een informatieavond die we voor de huisartsenpraktijken gaan verzorgen.”
Bij een interne NEN 7510 audit wordt getoetst of de genomen maatregelen binnen een organisatie aantoonbaar voldoen aan de norm.
Marjon van de Lindeloof, IT-consultant: “Nucleuszorg heeft in een korte tijd het NEN 7510-raamwerk voldoende kunnen implementeren. Dat is echt een hele mooie prestatie die laat zien dat de organisatie veel waarde hecht aan informatiebeveiliging.”
‘Bij Van Oers snappen ze de zorgsector’
Oeps! We konden je formulier niet vinden.
