NEN 7510-1+A1 en NEN 7510-2 geven richtlijnen en uitgangspunten voor het bepalen, instellen en handhaven van maatregelen die zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie moeten treffen ter beveiliging van de informatievoorziening. Hiervoor geven de normen een normatief raamwerk in de vorm van een managementsysteem voor informatiebeveiliging (ISMS, ‘Information Security Management System’). Als een organisatie conformiteit met deze normen claimt, is uitsluiting van een van de eisen genoemd in de hoofdstukken 4 tot en met 10 van NEN 7510-1+A1 niet acceptabel.
Om de vereiste waarborging van beschikbaarheid, integriteit en vertrouwelijkheid van de informatie te bepalen is een risicobeoordeling nodig. In de cyclus voor het beheersen van de informatiebeveiliging maakt risicobeoordeling deel uit van de eerste fase.
Door implementatie van het managementsysteem voor informatiebeveiliging inclusief de beheersmaatregelen bij elk van de beheersdoelstellingen in NEN 7510-1+A1 en NEN 7510-2 kan een organisatie voldoen aan de eisen die in een risicobeoordeling zijn vastgesteld. NEN 7510‑1 +A1 en NEN 7510-2 geven daarmee aanwijzingen voor het organisatorisch en technisch inrichten van de informatiebeveiliging en bieden zo een basis voor vertrouwen in de zorgvuldige informatievoorziening bij en tussen de verschillende organisaties in de zorg.
De volgende gebieden van informatiebeveiliging vallen niet binnen het onderwerp en toepassingsgebied van NEN 7510-1+A1 en NEN 7510-2:
a) methodieken en statistische tests voor het doeltreffend anonimiseren van persoonlijke gezondheidsinformatie;
b) methodieken voor het pseudonimiseren van persoonlijke gezondheidsinformatie; en
c) de netwerkkwaliteit van dienstverlening en methoden voor het meten van de beschikbaarheid van netwerken die worden gebruikt voor gezondheidsinformatica.
