¿Es obligatoria la norma NEN 7510?

Para las organizaciones sanitarias de los Países Bajos, a menudo surge la pregunta de si la norma NEN 7510 es de obligado cumplimiento. La norma en sí misma no es una ley, pero, en virtud de la legislación y la supervisión reguladora, la NEN 7510 es obligatoria para prácticamente todas las organizaciones que tratan datos personales de carácter médico. En este artículo se explica qué significa esto, a quién se aplica y por qué la formación en materia de concienciación sobre la seguridad es una parte indisociable del cumplimiento normativo.

¿Qué es la norma NEN 7510?

La norma NEN 7510 es la norma neerlandesa sobre seguridad de la información en el sector sanitario. Se basa en las normas ISO 27001 e ISO 27002, pero está específicamente adaptada al sector sanitario. En ella se describe cómo deben proteger las organizaciones sanitarias los datos de los pacientes: desde el control de acceso y el cifrado hasta las políticas, las auditorías y la formación de los empleados.

¿Es obligatorio por ley cumplir con la norma NEN 7510?

La norma NEN 7510 no es una ley en sí misma, pero su cumplimiento es obligatorio en la práctica. La norma se menciona explícitamente en la Ley neerlandesa sobre disposiciones adicionales para el tratamiento de datos personales en el sector sanitario (Wabvpz) y forma parte del marco de evaluación utilizado por la Inspección Neerlandesa de Sanidad y Juventud (IGJ). Las organizaciones que se conecten al Punto de Intercambio Nacional (LSP) deben demostrar que cumplen con la norma NEN 7510.

En resumen: la norma NEN 7510 es obligatoria para todas las organizaciones sanitarias que intercambian datos médicos por vía electrónica. El incumplimiento de esta norma no solo conlleva el riesgo de recibir una notificación formal de la IGJ, sino también un grave daño a la reputación en caso de que se produzca una filtración de datos.

¿A quién se aplica la norma NEN 7510?

La norma se aplica a las organizaciones sanitarias que tratan datos personales relacionados con la salud. Esto incluye:

• Hospitales y clínicas
• Consultorios de medicina general
• Centros de salud mental
• Farmacéuticos
• Organizaciones de asistencia a domicilio
• Proveedores de software sanitario (en calidad de encargados del tratamiento)

En la práctica, los proveedores de TI que prestan apoyo a las organizaciones sanitarias también entran dentro del ámbito de aplicación de la norma.

Por qué la norma NEN 7510 y la formación en concienciación sobre seguridad van de la mano

Una gran parte de los incidentes de seguridad en el sector sanitario no se debe a vulnerabilidades técnicas, sino al comportamiento humano. Un empleado que haga clic en un enlace de phishing, comparta una contraseña o deje una pantalla desatendida puede causar más daño que la mayoría de los ataques técnicos.

La norma NEN 7510 lo reconoce. La norma exige que los empleados reciban una formación demostrable en materia de seguridad de la información, adaptada a sus funciones. Las sesiones puntuales de sensibilización no son suficientes: la formación debe repetirse periódicamente y los resultados deben documentarse para las auditorías.

Precisamente por eso, la norma NEN 7510 y la formación en concienciación sobre seguridad son inseparables. Las medidas técnicas protegen los sistemas. Unos empleados concienciados protegen la organización.

Cómo cumplir los requisitos de formación de la norma NEN 7510

Cumplir con los requisitos de formación de la norma NEN 7510 exige algo más que un módulo de aprendizaje electrónico anual. Una formación eficaz es continua, cuantificable y se adapta a la realidad cotidiana del personal sanitario.

Guardey ofrece formación sobre la norma NEN 7510 que cumple con los requisitos de la misma: microformaciones semanales, simulaciones de phishing e informes listos para auditoría, tanto para el IGJ como para un auditor externo.