Verklaring van Toepasselijkheid — NEN7510:2024

Organisatie: YipYip B.V.Versie: 2.0Norm: NEN7510:2024Bijgewerkt: 2026-10-22Vastgesteld door: — nog niet vastgesteld —Datum: —
Scope: Het ontwikkelen, ontwerpen, beheren, onderhouden van applicaties, websites en cloud-omgevingen  | Interfaces met de zorg: Ontwikkeling en beheer van zorgsoftware; verwerking patiëntgegevens als verwerker

93 ISO controls — 25 met zorgspecifieke aanvulling — 8 NEN7510-aanvullende maatregelen (Z1–Z8)

← Terug

Legenda

BM:
BasisMaatregel — standaard beveiligingsmaatregel die altijd van toepassing is
RB:
Risico Beoordeling — van toepassing op basis van risicoanalyse
WR:
Wet- en Regelgeving — verplicht vanuit AVG, NEN7510, NIS2 of andere regelgeving
CV:
Contractuele Verplichtingen — vereist door klantcontracten of SLA's
ZR:
Zorgrelatie — vereist vanuit de relatie met de zorgsector (NEN7510-specifiek)
A.5 — Organisatorisch (37)
IDTitel / BeschrijvingRel.Motivatie uitsluitingBMRBWRCVZRStatus
5.01Policies for information security✓✓✓Gedeeltelijk
5.02Information security roles and responsibilities✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelSpecifieke aandacht voor medische informatiebeheerders; aanwijzing van verantwoordelijke voor patiëntgegevens.✓
5.03Segregation of duties✓✓✓Gereed
5.04Management responsibilities✓✓Gedeeltelijk
5.05Contact with authorities✓✓✓Gedeeltelijk
5.06Contact with special interest groups✓✓Gereed
5.07Threat intelligence✓✓✓Gereed
5.08Information security in project management✓✓✓Gedeeltelijk
5.09Inventory of information and other associated assets✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelMedische apparatuur en zorgsystemen expliciet opgenomen in het asset-register.✓
5.10Acceptable use of information and other associated assets✓✓Gereed
5.11Return of assets✓✓Gereed
5.12Classification of information✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelClassificatieschema bevat aparte categorie voor patiëntgegevens (bijzondere persoonsgegevens, WGBO).✓
5.13Labelling of information✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelLabelling-schema toegepast op documenten met patiëntgegevens conform classificatieschema.✓
5.14Information transfer✓✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelVeilige uitwisseling van patiëntgegevens: end-to-end versleuteling, gebruik van NEN7510-conforme uitwisselstandaarden (LSP, ZORG-AB).✓
5.15Access control✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelNeed-to-know principe strikt gehanteerd voor patiëntgegevens; toegang uitsluitend op basis van behandelrelatie.✓
5.16Identity management✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelLogging van alle toegang tot patiëntdossiers verplicht; koppeling identiteit aan audit trail.✓
5.17Authentication information✓✓✓Gereed
5.18Access rights✓✓✓✓Gedeeltelijk
5.19Information security in supplier relationships✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelVerwerkersovereenkomst verplicht voor alle leveranciers die patiëntgegevens verwerken of inzien.✓
5.20Addressing information security within supplier agreements✓✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelLeveranciersovereenkomsten bevatten expliciete clausules voor bescherming van medische/patiëntgegevens conform AVG en NEN7510.✓
5.21Managing information security in the ICT supply chain✓✓✓✓Gereed
5.22Monitoring, review and change management of supplier services✓✓✓Gedeeltelijk
5.23Information security for use of cloud services✓✓✓✓Gereed
5.24Information security incident management planning and preparation✓✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelSpecifieke procedure voor datalekken met patiëntgegevens; meldplicht bij AP binnen 72 uur (AVG art. 33); melding aan betrokkenen indien hoog risico (art. 34).✓
5.25Assessment and decision on information security events✓✓✓Gereed
5.26Response to information security incidents✓✓✓✓Gereed
5.27Learning from information security incidents✓✓✓Gereed
5.28Collection of evidence✓✓✓Gereed
5.29Information security during disruption✓✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelContinuïteit van zorgprocessen als primair doel bij verstoring; beschikbaarheid zorgsystemen voorrang.✓
5.30ICT readiness for business continuity✓✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelICT-continuïteit gericht op beschikbaarheid van kritieke zorgsystemen; hersteltijden conform zorg-SLA's.✓
5.31Legal, statutory, regulatory and contractual requirements✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelZorgwetgeving expliciet in scope: WGBO, Wkkgz, Wabvpz en NEN7510 naast AVG.✓
5.32Intellectual property rights✓✓✓Gedeeltelijk
5.33Protection of records✓✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelBewaartermijn medische dossiers: 20 jaar na laatste behandeling (WGBO art. 7:454 lid 3).✓
5.34Privacy and protection of PII✓✓✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelGezondheidsgegevens zijn bijzondere categorieën persoonsgegevens (AVG art. 9); vereisen expliciete grondslag en extra bescherming.✓
5.35Independent review of information security✓✓Gedeeltelijk
5.36Compliance with policies, rules and standards for information security✓✓✓Gedeeltelijk
5.37Documented operating procedures✓✓Gedeeltelijk
A.6 — Personen (8)
IDTitel / BeschrijvingRel.Motivatie uitsluitingBMRBWRCVZRStatus
6.01Screening✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelVOG voor alle medewerkers in loondienst; referentie voor DevOps-medewerkers met toegang tot productie.✓
6.02Terms and conditions of employment✓✓✓Gedeeltelijk
6.03Information security awareness, education and training✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelVerplichte training over omgang met medische gegevens, WGBO-rechten van patiënten en datalekprocedures.✓
6.04Disciplinary process✓✓Gedeeltelijk
6.05Responsibilities after termination or change of employment✓✓Gedeeltelijk
6.06Confidentiality or non-disclosure agreements✓✓✓Gereed
6.07Remote working✓✓✓Gereed
6.08Information security event reporting✓✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelInterne meldplicht voor alle incidenten waarbij patiëntgegevens betrokken zijn, ook bij vermoeden.✓
A.7 — Fysiek (14)
IDTitel / BeschrijvingRel.Motivatie uitsluitingBMRBWRCVZRStatus
7.01Physical security perimeters✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelBescherming van ruimtes waar medische apparatuur of zorgsystemen aanwezig zijn.✓
7.02Physical entry✓✓Gereed
7.03Securing offices, rooms and facilities✓✓Gereed
7.04Physical security monitoring✓✓✓Gedeeltelijk
7.05Protecting against physical and environmental threats✓✓Gereed
7.06Working in secure areas✓✓Gereed
7.07Clear desk and clear screen✓✓Gedeeltelijk
7.08Equipment siting and protection✓✓Gereed
7.09Security of assets off-premises✓✓✓Gedeeltelijk
7.10Storage media✓✓✓Gedeeltelijk
7.11Supporting utilities✓✓Gereed
7.12Cabling security✓✓Gereed
7.13Equipment maintenance✓✓Gedeeltelijk
7.14Secure disposal or re-use of equipment✓✓✓Gedeeltelijk
A.8 — Technologisch (34)
IDTitel / BeschrijvingRel.Motivatie uitsluitingBMRBWRCVZRStatus
8.01User endpoint devices✓✓✓Gedeeltelijk
8.02Privileged access rights✓✓✓Gereed
8.03Information access restriction✓✓✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelFunctiescheiding in zorgsystemen; geen ongeautoriseerde inzage in patiëntdossiers mogelijk.✓
8.04Access to source code✓✓✓Gereed
8.05Secure authentication✓✓✓Gedeeltelijk
8.06Capacity management✓✓✓✓Gereed
8.07Protection against malware✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelSpecifieke aandacht voor malware-bescherming van medische systemen en IoMT-apparaten.✓
8.08Management of technical vulnerabilities✓✓✓Gedeeltelijk
8.09Configuration management✓✓✓Gedeeltelijk
8.10Information deletion✓✓✓Gedeeltelijk
8.11Data masking✓✓✓✓Gereed
8.12Data leakage prevention✓✓✓✓Gedeeltelijk
8.13Information backup✓✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelBackup van patiëntgegevens met verifieerbare integriteit; hersteltest minimaal jaarlijks.✓
8.14Redundancy of information processing facilities✓✓✓✓Gedeeltelijk
8.15Logging✓✓✓✓Gereed
↳ ZRZorgspecifieke beheersmaatregelAudit trail voor alle toegang tot patiëntdossiers verplicht; minimale bewaartermijn logs: 3 jaar.✓
8.16Monitoring activities✓✓✓Gedeeltelijk
8.17Clock synchronization✓✓Gereed
8.18Use of privileged utility programs✓✓Gereed
8.19Installation of software on operational systems✓✓Gereed
8.20Networks security✓✓✓Gedeeltelijk
8.21Security of network services✓✓✓✓Gereed
8.22Segregation of networks✓✓✓Gereed
8.23Web filtering✓✓Gedeeltelijk
8.24Use of cryptography✓✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelVersleuteling van patiëntgegevens verplicht, zowel in transit als at rest.✓
8.25Secure development life cycle✓✓✓Gedeeltelijk
8.26Application security requirements✓✓✓Gedeeltelijk
↳ ZRZorgspecifieke beheersmaatregelSecurity by design en privacy by design verplicht voor alle zorgsystemen die YipYip ontwikkelt.✓
8.27Secure system architecture and engineering principles✓✓✓✓Gedeeltelijk
8.28Secure coding✓✓✓Gereed
8.29Security testing in development and acceptance✓✓✓Gedeeltelijk
8.30Outsourced development✓✓✓Gereed
8.31Separation of development, test and production environments✓✓✓Gereed
8.32Change management✓✓✓Gedeeltelijk
8.33Test information✓✓✓Gereed
8.34Protection of information systems during audit testing✓✓Gedeeltelijk
NEN7510 Aanvullende maatregelen Z1–Z8 (niet in ISO 27001 Annex A)
IDTitel / BeschrijvingNEN7510ToelichtingBMRBWRCVZRStatus
NEN7510-Z1Toegang tot patiëntgegevens
Alleen geautoriseerde zorgverleners met behandelrelatie hebben toegang tot patiëntgegevens		✓Niet van toepassing als ISO 27001 control; uitsluitend NEN7510-verplichting voor bescherming patiëntgegevens.✓✓✓✓Gedeeltelijk
NEN7510-Z2Logging patiëntdossiers
Alle toegang tot patiëntdossiers wordt gelogd en is controleerbaar		✓Niet van toepassing als ISO 27001 control; specifieke NEN7510-eis voor audit trail patiëntdossiers (WGBO/Wkkgz).✓✓✓Gedeeltelijk
NEN7510-Z3Noodtoegang (break-the-glass)
Procedure voor noodtoegang tot patiëntgegevens bij calamiteiten		✓Niet van toepassing als ISO 27001 control; specifieke NEN7510-eis voor continuïteit van zorg.✓✓✓Gedeeltelijk
NEN7510-Z4Medische hulpmiddelen en zorgapplicaties
Beoordeling bij kick-off of een product een medisch hulpmiddel is (MDR) en toepassing van de checklist zorgapplicaties		✓Niet van toepassing als ISO 27001 control; NEN7510-specifieke maatregel voor zorgsystemen die YipYip ontwikkelt/beheert.✓✓✓Gedeeltelijk
NEN7510-Z5Elektronische uitwisseling zorggegevens
Veilige uitwisseling van patiëntgegevens via LSP, ZORG-AB, XDS		✓Niet van toepassing als ISO 27001 control; NEN7510-eis voor interoperabiliteit in de zorgketen.✓✓✓Gedeeltelijk
NEN7510-Z6Patiëntidentificatie
Correcte en unieke identificatie van patiënten in systemen		✓Niet van toepassing als ISO 27001 control; NEN7510-eis voor kwaliteit en veiligheid van zorggegevens.✓✓✓Gedeeltelijk
NEN7510-Z7Inzagerecht patiënt
Ondersteuning van het inzagerecht van patiënten in hun eigen dossier		✓Niet van toepassing als ISO 27001 control; NEN7510-eis voortkomend uit WGBO en AVG (recht op inzage).✓✓Gedeeltelijk
NEN7510-Z8Continuïteit zorgprocessen
IT-ondersteuning voor de continuïteit van kritieke zorgprocessen		✓Niet van toepassing als ISO 27001 control; NEN7510-aanvulling op bedrijfscontinuïteit met focus op zorgprocessen.✓✓✓✓Gedeeltelijk

Samenvatting NEN7510:2024

ISO controls (NEN7510 van toepassing)93
Waarvan met zorgspecifieke aanvulling25
NEN7510-aanvullende maatregelen (Z1–Z8)8
Gereed42
Gedeeltelijk59
Totaal101

Vaststelling en ondertekening

Ondergetekende verklaart dat deze Verklaring van Toepasselijkheid is vastgesteld op basis van de uitgevoerde risicobeoordeling conform ISO 27001:2022 clausule 6.1.3 en NEN7510:2024.

Directie YipYip B.V.