Normenkader
De norm gaat over patiëntgegevens.
Die staan in uw tenant.
NEN 7510 vraagt van zorgorganisaties dat zij de beschikbaarheid, integriteit en vertrouwelijkheid van patiëntgegevens beheersen. Het overgrote deel van die gegevens loopt via Microsoft 365. De norm toetst uw managementsysteem, niet uw configuratie en daar zit de ruimte waarin het misgaat.
Het knelpunt
Waar de audit en de praktijk uit elkaar lopen
Een certificaat zegt dat u het beheerst. Het zegt niet wat er op dit moment in de omgeving aanstaat.
De schermafdruk in het dossier
Bewijsvoering bestaat vaak uit afbeeldingen die zijn gemaakt in de week voor de audit. Over de elf maanden daartussen zeggen ze niets.
Beheer op meerdere plekken
Zorgorganisaties werken met leveranciers, met een eigen beheerteam en soms met een regionale samenwerking. Instellingen worden op meerdere plekken gewijzigd zonder dat het ergens samenkomt.
De norm is bijgewerkt
NEN 7510-1:2024 is de geldende versie en NEN 7510-2 is in maart 2026 geactualiseerd, onder meer op de aansluiting met de Cyberbeveiligingswet. Wie nog op de oude opzet stuurt toetst op de verkeerde punten.
De toetsing
Wat wij in uw omgeving vaststellen
Wij toetsen de inrichting van uw Microsoft 365-omgeving aan de beheersmaatregelen uit NEN 7510 en leggen per controle vast wat wij aantreffen.
Toegang
en identiteit
Wie toegang heeft tot welke gegevens, onder welke voorwaarden en welke accounts en rechten buiten het beleid vallen. Juist bij zorgorganisaties met veel wisselend personeel.
Bescherming
van gegevens
Hoe patiëntgegevens zijn geclassificeerd, versleuteld en afgeschermd en langs welke wegen ze de organisatie kunnen verlaten zonder dat daar een maatregel op staat.
Bescherming
tegen dreigingen
De inrichting van de beveiligingsonderdelen in uw omgeving en of de functies die u denkt te hebben ook echt actief zijn en passen bij uw manier van werken.
Vastlegging
en herleidbaarheid
Welke gebeurtenissen worden vastgelegd en hoe lang ze bewaard blijven, zodat u achteraf kunt nagaan wie wanneer bij welke gegevens is geweest.
Wij lezen de configuratie van uw Microsoft 365-omgeving als code uit. Daarmee komen ook de instellingen in beeld die via de beheerportalen en Microsoft Graph niet zichtbaar zijn.
Voor de audit
Wat de auditor uiteindelijk vraagt
Niet één schermafdruk, maar een reeks die laat zien dat de maatregel het hele jaar heeft gestaan zoals u hem heeft vastgesteld.
Een vaste rapportage
Elke maand hetzelfde rapport, in dezelfde opbouw, met per maatregel de stand en de technische onderbouwing eronder. Direct bruikbaar in uw auditdossier.
Configuratiemonitoring
Wij vergelijken uw omgeving dagelijks met de inrichting die u zelf heeft vastgesteld. Een afwijking ziet u binnen een dag, niet pas in de week voor de audit.
Evergreen as a Service
Microsoft wijzigt het platform doorlopend. Wij volgen die wijzigingen, vertalen ze naar wat ze voor uw maatregelen betekenen en melden het wanneer er iets van u wordt gevraagd.
De nulmeting
Begin met de stand van vandaag
De nulmeting laat zien hoe uw Microsoft 365-omgeving er nu voor staat, afgezet tegen NEN 7510. U ziet per maatregel wat er staat, met de onderbouwing eronder.
Voor de nulmeting zijn uitsluitend leesrechten op uw Microsoft 365-omgeving nodig. Wij presenteren de bevindingen in een afsluitende sessie.
Ook voor andere kaders
Dezelfde meting leggen wij langs ISO 27001, BIO2, NEN 7510, DORA, de Cyberbeveiligingswet en het SURFaudit toetsingskader.
Werkt u met meerdere kaders tegelijk, dan meten wij eenmaal en rapporteren wij per kader.