0   Inleiding

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren

0.1   Onderwerp van de norm

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Uitwisseling van gegevens is een essentieel onderdeel van vrijwel alle processen in de gezondheidszorg. Dit geldt zowel voor de primaire processen van behandeling en verzorging van een individuele patiënt als voor financiële afhandeling en de bedrijfsprocessen in een zorginstelling. De eisen die aan de uitwisseling van gegevens worden gesteld, verschillen per proces. Deze norm beschrijft eisen en maatregelen die nodig zijn en is gericht op de afspraken die communicerende partijen hierover zullen moeten maken.

0.2   Positionering van de norm

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Deze norm is in twee opzichten een aanvulling op de beheersmaatregelen die NEN 7510 aan organisaties in de zorg voorschrijft voor hun informatiebeveiliging. In de eerste plaats richt deze norm zich op de zekerheden die partijen elkaar moeten bieden als voorwaarde voor onderlinge gegevensuitwisseling. Daartoe worden vier zekerheidsniveaus gedefinieerd voor de eisen ten aanzien van beschikbaarheid, integriteit en vertrouwelijkheid.
Daarnaast levert deze norm een nadere invulling voor een aantal van de beheersmaatregelen van NEN 7510, met dien verstande dat de beheersmaatregelen in NEN 7512 zijn voorzien van het normatieve ‘moeten’ voor het maken van afspraken tussen communicerende partijen, terwijl bij gerelateerde beheersmaatregelen binnen de eigen organisatie in NEN 7510 ‘behoren te’ staat. De risicoafweging die leidt tot het vereiste zekerheidsniveau is een essentieel element voor het maken van afspraken tussen de partijen. De afspraken tussen communicerende partijen koppelen zo risico aan zekerheidsniveau. De beheersmaatregelen betreffende de afspraken zelf zijn altijd vereist, ongeacht de aard en omvang van de communicerende partijen.
Deze norm heeft betrekking op de uitwisseling van gegevens en gaat niet in op de vraag of deze uitwisseling noodzakelijk of geoorloofd is. Wel is voorzien in eisen, zoals logging, die het mogelijk maken om dergelijke inhoudelijke aspecten van de gegevensuitwisseling te verifiëren. Toegang tot patiëntgegevens is onderwerp van het normontwerp NEN 7521.

0.3   Vertrouwensmodel

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Het begrip ‘vertrouwen’, dat in deze norm een essentiële rol speelt, is uitdrukkelijk te onderscheiden van begrippen als ‘vertrouwelijkheid’ en ‘betrouwbaarheid’. In de Engelse termen ‘trust’, respectievelijk ‘confidentiality’ en ‘reliability’ is dit onderscheid duidelijk. In het Nederlands kan soms onduidelijkheid ontstaan.
Betrouwbare gegevensuitwisseling vereist een vertrouwde bron, een vertrouwde ontvanger en een betrouwbaar kanaal. De vertrouwende partij bepaalt welke eisen daaraan in dit proces worden gesteld. Te vertrouwen partijen moeten daaraan voldoen. Een beschrijving van dit vertrouwensmodel wordt gegeven in hoofdstuk 4.
Een proces kan symmetrisch zijn, in de zin dat de partijen afwisselend vertrouwend en te vertrouwen moeten zijn, maar dat is niet altijd het geval: een anonieme vraagsteller verwacht bijvoorbeeld als vertrouwende partij een betrouwbaar antwoord van een te vertrouwen openbare databank, maar vanuit die databank behoeven aan de betrouwbaarheid van de anonieme vraagsteller geen eisen te worden gesteld.
Het model voorziet in de mogelijkheid van bilateraal vertrouwen, maar is vooral gericht op complexere situaties waar een vertrouwde instantie afspraken en zekerheden kan bewaken. De norm heeft daarbij geen specifieke infrastructuur voor de gegevensuitwisseling voor ogen, maar geeft generieke eisen en beheersmaatregelen die voor alle infrastructuren zouden moeten gelden. De communicerende partijen bepalen de concrete eisen aan het communicatiekanaal voor de gegevensuitwisseling.

0.4   Opzet van de norm

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Aan de hand van een risicobeoordeling voor een gegeven communicatiescenario levert deze norm de maatregelen die nodig zijn voor een betrouwbare gegevensuitwisseling. Deze norm volgt hierbij de systematiek van NEN 7510:2011.
Tabel 7 in hoofdstuk 6 geeft een overzicht van de beheersmaatregelen waarover afspraken nodig zijn met de communicatiepartners ten aanzien van de beoogde gegevensuitwisseling en de daaraan verbonden risico's.
De in hoofdstuk 5 beschreven risicobeoordeling classificeert de eisen ten aanzien van beschikbaarheid, integriteit en vertrouwelijkheid voor een gegeven communicatieproces aan de hand van de mogelijke gevolgen van een incident en geeft vervolgens aanwijzingen voor de risicobeoordeling en -behandeling.
De beheersmaatregelen die bij de zo bepaalde zekerheidsniveaus passen, zijn normatief gespecificeerd in hoofdstuk 6 en in de tabel voor zover mogelijk gerelateerd aan de beheersmaatregelen uit NEN 7510. Concrete technische maatregelen zijn daarbij opgenomen als aandachtspunten voor te maken afspraken met communicatiepartners.
De hier gegeven aanpak is niet bedoeld om voor elke concrete situatie opnieuw door individuele communicatiepartners te worden uitgewerkt. Er mag worden verwacht dat groepen of koepels van communicerende partijen met elkaar afspraken maken over de risico- en maatregelprofielen die bij voorkomende communicatiescenario’s passen.
In bijlage A wordt een aantal communicatieprocessen in de zorg beschreven als illustratie voor de classificatie van de gegevensuitwisseling en de risicobeoordeling als voorbeeld voor het kiezen van een aanvaardbaar minimumrisico. De scenario’s zijn bedoeld als voorbeeld voor de te maken afspraken. Eventuele praktische problemen die worden voorzien bij de implementatie van maatregelen die deze norm voorschrijft, kunnen bij het maken van die afspraken worden beschouwd.