La norma NEN 7510 è obbligatoria?

Per le organizzazioni sanitarie nei Paesi Bassi, ci si chiede spesso se la norma NEN 7510 sia un requisito di legge. La norma in sé non è una legge, ma, in virtù della legislazione e della vigilanza normativa, la NEN 7510 è obbligatoria praticamente per ogni organizzazione che tratta dati personali in ambito medico. Questo articolo spiega cosa ciò comporti, a chi si applichi e perché la formazione sulla sicurezza sia una parte integrante della conformità.

Che cos'è la norma NEN 7510?

La norma NEN 7510 è lo standard olandese per la sicurezza delle informazioni nel settore sanitario. Si basa sulle norme ISO 27001 e ISO 27002, ma è specificamente adattata al settore sanitario. Descrive le modalità con cui le organizzazioni sanitarie devono proteggere i dati dei pazienti: dal controllo degli accessi e dalla crittografia alle politiche, agli audit e alla formazione del personale.

La norma NEN 7510 è obbligatoria per legge?

La norma NEN 7510 non è una legge in sé, ma nella pratica è un requisito di legge. La norma è esplicitamente citata nella legge olandese sulle disposizioni aggiuntive relative al trattamento dei dati personali nel settore sanitario (Wabvpz) e fa parte del quadro di valutazione utilizzato dall’Ispettorato olandese per la sanità e l’infanzia (IGJ). Le organizzazioni che si collegano al Punto di commutazione nazionale (LSP) devono dimostrare di essere conformi alla norma NEN 7510.

In breve: la norma NEN 7510 è obbligatoria per tutte le strutture sanitarie che scambiano dati medici per via elettronica. Il mancato rispetto di tale norma comporta non solo il rischio di ricevere un richiamo formale da parte dell’IGJ, ma anche un grave danno alla reputazione in caso di violazione dei dati.

A chi si applica la norma NEN 7510?

La norma si applica alle organizzazioni sanitarie che trattano dati personali relativi alla salute. Tra queste figurano:

• Ospedali e cliniche
• Ambulatori di medicina generale
• Strutture di salute mentale
• Farmacisti
• Organizzazioni di assistenza domiciliare
• Fornitori di software per il settore sanitario (in qualità di responsabili del trattamento)

In pratica, anche i fornitori di servizi informatici che supportano le organizzazioni sanitarie rientrano nell'ambito di applicazione della norma.

Perché la norma NEN 7510 e la formazione sulla sicurezza informatica vanno di pari passo

Gran parte degli incidenti di sicurezza nel settore sanitario non deriva da vulnerabilità tecniche, bensì dal comportamento umano. Un dipendente che clicca su un link di phishing, condivide una password o lascia lo schermo incustodito può causare danni maggiori rispetto alla maggior parte degli attacchi informatici.

La norma NEN 7510 ne tiene conto. La norma richiede che i dipendenti ricevano una formazione comprovata in materia di sicurezza delle informazioni, adeguata al loro ruolo. Le sessioni di sensibilizzazione una tantum non sono sufficienti: la formazione deve essere ripetuta regolarmente e i risultati devono essere documentati ai fini degli audit.

È proprio per questo che la norma NEN 7510 e la formazione sulla sicurezza informatica sono indissociabili. Le misure tecniche proteggono i sistemi. I dipendenti consapevoli proteggono l'organizzazione.

Come soddisfare i requisiti formativi previsti dalla norma NEN 7510

Per soddisfare i requisiti formativi previsti dalla norma NEN 7510 non basta un modulo di e-learning annuale. Una formazione efficace deve essere continua, misurabile e adeguata alla realtà quotidiana del personale sanitario.

Guardey offre corsi di formazione sulla norma NEN 7510 conformi ai requisiti della stessa: microcorsi settimanali, simulazioni di phishing e report pronti per la verifica da parte dell'IGJ o di un revisore esterno.