ISO 27001 and NEN 7510 gecertificeerd

Gecertificeerd volgens ISO/IEC 27001:2022 and NEN 7510-1:2024

Onafhankelijk geauditeerd door DNV.

Pamela is gecertificeerd voor ISO/IEC 27001:2022 en NEN 7510-1:2024. Beide certificaten zijn geauditeerd en afgegeven door DNV, een geaccrediteerde certificeringsinstantie.

Voor klinieken die klinische AI evalueren, wordt de vraag of een leverancier informatiebeveiliging serieus neemt meestal beantwoord met een document in plaats van een beschrijving. Dit is dat document, en wat erachter schuilgaat.

Kort samengevat:

• ISO/IEC 27001:2022 — certificering behaald, dekt het managementsysteem voor informatiebeveiliging

• NEN 7510-1:2024 — certificering behaald, de Nederlandse norm voor organisaties die patiëntgegevens verwerken

• Beide geauditeerd en afgegeven door DNV

• AVG (GDPR) — compliant, op Europese infrastructuur

• EU AI Act — gebouwd om hieraan te voldoen naarmate deze wordt ingevoerd

• Certificaten zijn onderhevig aan jaarlijkse surveillance-audits, geen eenmalige beoordelingen

Wat houden deze twee normen eigenlijk in?

Ze beantwoorden verschillende vragen, en daarom zijn ze allebei belangrijk.

ISO/IEC 27001:2022 is de internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS). Het is geen checklist van technische maatregelen, maar een beoordeling of een organisatie een werkend systeem heeft om beveiligingsrisico's te beheren: risicobeoordeling en -behandeling, toegangsbeveiliging, leveranciersbeheer, incidentrespons, bedrijfscontinuïteit en een vastgestelde cyclus van interne audits en verbetering. De herziening van 2022 heeft de set beheersmaatregelen geherstructureerd in vier thema's — organisatorisch, menselijk, fysiek en technologisch — en introduceerde maatregelen voor clouddiensten, dreigingsinformatie en datamaskering.

NEN 7510-1:2024 is de Nederlandse norm voor informatiebeveiliging in de zorg. Deze bouwt voort op het ISO 27001-framework en voegt specifieke eisen toe voor organisaties die patiëntgegevens verwerken in Nederland. Voor Nederlandse zorgaanbieders is dit het relevante referentiepunt: het is de norm waarlangs je eigen organisatie wordt gelegd, en degene die je functionaris voor gegevensbescherming zal herkennen.

ISO 27001 hebben zonder NEN 7510 zou een gat overlaten in de Nederlandse context. Door beide te hebben, is dat gat gedicht.

Wat hield de certificering in?

Een externe audit door DNV tegen de eisen van beide normen, waarbij gekeken is naar gedocumenteerd beleid, geïmplementeerde maatregelen en bewijs dat die maatregelen in de praktijk werken en niet alleen op papier bestaan.

Certificering is geen eenmalige gebeurtenis. Beide normen vereisen doorlopende surveillance-audits, met een volledige hercertificeringscyclus na drie jaar. De certificaten zijn alleen geldig zolang het managementsysteem aan de eisen blijft voldoen — wat betekent dat het interne werk doorgaat nadat het certificaat is afgegeven.

Certificaatgegevens: [certificaatnummers], geldig tot [datum]. Verifieerbaar via het certificatenregister van DNV.

Waarom is dit belangrijk voor een kliniek die AI evalueert?

Omdat de eerste vragen over klinische AI zelden over het product zelf gaan.

Wanneer een kliniek overweegt om een AI-tool in een zorgproces op te nemen, zijn de vragen die bepalen of het project doorgaat meestal: waar worden de gegevens verwerkt en opgeslagen, wie heeft er toegang toe, wat gebeurt er bij een incident en wie heeft dat onafhankelijk geverifieerd. Die vragen worden meestal gesteld door een functionaris voor gegevensbescherming of een IT-manager, en ze worden gesteld nog voordat iemand beoordeelt of de documentatie überhaupt goed is.

Certificering beantwoordt niet elke vraag op zichzelf. Het betekent wel dat de antwoorden zijn onderzocht door een geaccrediteerde derde partij, in plaats van dat ze alleen door de leverancier zijn opgegeven. Dat verkort de beoordeling aanzienlijk en geeft de persoon die de beoordeling uitvoert iets tastbaars voor het dossier.

Hoe verhoudt dit zich tot de AVG en de EU AI Act?

Dit zijn verschillende verplichtingen die je goed uit elkaar moet houden.

• De AVG (GDPR) is wetgeving. Pamela is compliant, werkt op Europese infrastructuur, waarbij patiëntgegevens binnen de EU worden verwerkt en opgeslagen. Compliance is een wettelijke status, geen certificering, en geen enkel certificaat kan dit vervangen.

• De EU AI Act wordt over een periode van jaren gefaseerd ingevoerd. Pamela is gebouwd om hieraan te voldoen zodra de regels van kracht worden. Dat is een toekomstgerichte verklaring over ontwerpintentie en voorbereiding, geen certificeringsclaim — en elke leverancier die de AI Act vandaag als een keurmerk presenteert, moet worden gevraagd wat ze daar precies mee bedoelen.

• ISO 27001 en NEN 7510 zijn certificeringen: geauditeerd, afgegeven en onderhevig aan vernieuwing.

Het onderscheid is belangrijk omdat deze drie vaak worden gepresenteerd als één ongedifferentieerde lijst met inloggegevens. Ze zijn niet gelijkwaardig, en een kliniek die leveranciers beoordeelt, heeft het recht om te weten wat wat is.

Betekent certificering dat het werk erop zit?

Nee. Het betekent dat er een systeem is en dat een externe auditor heeft bevestigd dat het functioneert.

Het regelgevend landschap voor klinische AI in Europa is nog volop in ontwikkeling en de eisen die aan zowel leveranciers als zorgaanbieders worden gesteld, zullen blijven veranderen. Certificering tegen deze twee normen is een nulmeting, geen eindpunt — maar het is wel de juiste basis, en het is de basis waar Nederlandse zorgorganisaties zelf ook aan gehouden worden.

Het fundament, onafhankelijk gecontroleerd

Informatiebeveiliging in zorgsoftware is geen functie die je achteraf toevoegt. Het is vanaf het begin ingebouwd en geverifieerd, of het is slechts een loze bewering.

• ISO/IEC 27001:2022 en NEN 7510-1:2024, beide gecertificeerd

• Geauditeerd en afgegeven door DNV

• AVG-compliant, op Europese infrastructuur

• Jaarlijks opnieuw geauditeerd, niet eenmalig gecertificeerd en daarna in de la gelegd

Minder typen. Minder klikken. Betere zorg.

Veelgestelde vragen (FAQ)

Welke certificeringen heeft Pamela? ISO/IEC 27001:2022 en NEN 7510-1:2024, beide geauditeerd en afgegeven door DNV.

Wat is het verschil tussen ISO 27001 en NEN 7510? ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. NEN 7510 bouwt hierop voort en voegt specifieke eisen toe voor Nederlandse organisaties die patiëntgegevens verwerken.

Is Pamela compliant met de AVG (GDPR)? Ja. Pamela werkt op Europese infrastructuur, waarbij patiëntgegevens binnen de EU worden verwerkt en opgeslagen.

Is Pamela gecertificeerd voor de EU AI Act? Nee, en dat is geen enkele organisatie — de AI Act is wetgeving die in de loop van de tijd wordt ingevoerd, geen certificeringsregeling. Pamela is gebouwd om hieraan te voldoen zodra de regels van kracht worden.

Hoe lang zijn de certificaten geldig? Beide zijn onderhevig aan jaarlijkse surveillance-audits, met een volledige hercertificering na drie jaar. De huidige geldigheid staat op de certificaten zelf vermeld.

Waar worden patiëntgegevens opgeslagen? Binnen de Europese Unie.