La norme NEN 7510 est-elle obligatoire ?

Pour les établissements de santé aux Pays-Bas, la question de savoir si la norme NEN 7510 est juridiquement obligatoire revient souvent. La norme en elle-même n'est pas une loi, mais en vertu de la législation et de la surveillance réglementaire, la norme NEN 7510 est obligatoire pour pratiquement tous les établissements qui traitent des données à caractère personnel médicales. Cet article explique ce que cela signifie, à qui elle s'applique et pourquoi la formation à la sensibilisation à la sécurité fait partie intégrante de la mise en conformité.

Qu'est-ce que la norme NEN 7510 ?

La norme NEN 7510 est la norme néerlandaise relative à la sécurité de l'information dans le secteur de la santé. Elle s'appuie sur les normes ISO 27001 et ISO 27002, mais est spécifiquement adaptée au secteur de la santé. Elle décrit la manière dont les établissements de santé doivent protéger les données des patients : du contrôle d'accès et du chiffrement aux politiques, en passant par les audits et la formation du personnel.

La norme NEN 7510 est-elle obligatoire ?

La norme NEN 7510 n'est pas une loi en soi, mais son application est exigée par la loi dans la pratique. Cette norme est explicitement mentionnée dans la loi néerlandaise relative aux dispositions supplémentaires concernant le traitement des données à caractère personnel dans le secteur des soins de santé (Wabvpz) et fait partie du cadre d'évaluation utilisé par l'Inspection néerlandaise des soins de santé et de la jeunesse (IGJ). Les organisations qui se connectent au Point de commutation national (LSP) doivent pouvoir démontrer qu'elles se conforment à la norme NEN 7510.

En résumé : la norme NEN 7510 est obligatoire pour tous les établissements de santé qui échangent des données médicales par voie électronique. Tout manquement à cette obligation expose non seulement à une mise en demeure de l'IGJ, mais aussi à une grave atteinte à la réputation en cas de violation des données.

À qui s'applique la norme NEN 7510 ?

Cette norme s'applique aux organismes de santé qui traitent des données à caractère personnel relatives à la santé. Cela comprend :

• Hôpitaux et cliniques
• Cabinets de médecine générale
• Établissements de santé mentale
• Pharmaciens
• Organismes de soins à domicile
• Les éditeurs de logiciels de santé (en tant que sous-traitants)

Dans la pratique, les fournisseurs informatiques qui travaillent avec des établissements de santé relèvent également du champ d'application de la norme.

Pourquoi la norme NEN 7510 et la formation à la sensibilisation à la sécurité vont de pair

Une grande partie des incidents de sécurité dans le secteur de la santé ne résulte pas de failles techniques, mais du comportement humain. Un employé qui clique sur un lien de phishing, communique un mot de passe ou laisse son écran sans surveillance peut causer plus de dégâts que la plupart des failles techniques.

La norme NEN 7510 en tient compte. Elle exige que les employés suivent une formation certifiée en matière de sécurité de l'information, adaptée à leurs fonctions. Des sessions ponctuelles de sensibilisation ne suffisent pas : la formation doit être renouvelée régulièrement et les résultats doivent être consignés en vue des audits.

C'est précisément pour cette raison que la norme NEN 7510 et la formation à la sensibilisation à la sécurité sont indissociables. Les mesures techniques protègent les systèmes. Des employés sensibilisés protègent l'organisation.

Comment satisfaire aux exigences de formation de la norme NEN 7510

Pour répondre aux exigences de formation de la norme NEN 7510, il ne suffit pas de suivre un module de formation en ligne une fois par an. Une formation efficace doit être continue, mesurable et adaptée au quotidien du personnel soignant.

Guardey propose des formations conformes à la norme NEN 7510: microformations hebdomadaires, simulations de phishing et rapports prêts pour un audit par l'IGJ ou un auditeur externe.