Van compliance naar vertrouwen: SOC 2 certificering en NEN 7510 audit als groeiversnellers

In een markt waarin data en beveiliging centraal staan, zijn soc 2 certificering en een nen 7510 audit uitgegroeid tot instrumenten waarmee organisaties vertrouwen opbouwen bij klanten, partners en toezichthouders. Dat vertrouwen laat zich tegenwoordig niet meer winnen met een presentatie en een goed gesprek. Wie ooit aan de inkoopkant van een leveranciersbeoordeling heeft gezeten, weet precies waarom: er zijn te veel voorbeelden van partijen die desgevraagd verklaarden dat alles geregeld was en die daar achteraf ongelijk in bleken te hebben. De vraag is daarom verschoven van “hoe gaan jullie hiermee om” naar “laat maar zien, het liefst getoetst door iemand die niet bij jullie in dienst is”. Voor dienstverleners betekent die verschuiving iets fundamenteels. Het gaat niet langer om wat je op één dag kunt tonen, maar om of je het hele jaar door kunt aantonen.

Wat deze twee trajecten interessant maakt om naast elkaar te leggen, is dat ze uit totaal verschillende hoeken komen en toch op vergelijkbare fundamenten rusten. SOC 2 stamt uit de Amerikaanse accountancy en levert een uitvoerig assurance-rapport op waarmee een dienstverlener zijn klanten zekerheid geeft over de beheersing rond de dienst die hij levert. NEN 7510 is een Nederlandse norm voor informatiebeveiliging in de zorg, opgebouwd volgens de systematiek van ISO 27001 maar toegespitst op de bescherming van patiëntgegevens en de eigenaardigheden van de zorgcontext. Het eerste is een commerciële keuze die je zelf kunt timen, het tweede is via wetgeving verankerd en dus geen kwestie van uitkomen. Toch komt onder beide dezelfde reeks onderwerpen terug: risicobeoordeling, toegangsbeheer, logging, incidentafhandeling, leveranciersbeheer, continuïteit, bewustwording en bestuurlijke betrokkenheid.

Voor organisaties die op het snijvlak opereren, en dat zijn er in de zorgtechnologie behoorlijk veel, is dat een kans en tegelijk een valkuil. De kans is dat je dat gedeelde fundament één keer bouwt en het voor beide trajecten gebruikt. De valkuil is dat je het twee keer bouwt, met twee documentatiestromen die na een jaar niet meer op elkaar aansluiten en die elkaar op een ongelukkig moment gaan tegenspreken. Hieronder lees je wat beide trajecten precies inhouden, waar de overeenkomsten en verschillen zitten, hoe je je erop voorbereidt, welke fouten hardnekkig terugkeren en wat het uiteindelijk oplevert.

Wat is SOC 2 certificering?

De basis van SOC 2

SOC 2 komt van het American Institute of Certified Public Accountants en is bedoeld voor serviceorganisaties die processen of gegevens van klanten beheren. Strikt genomen klopt het woord “certificering” niet, want er komt geen certificaat van een geaccrediteerde instelling uit, zoals bij ISO-normen wel het geval is. Wat je krijgt is een rapport van een onafhankelijke accountant, en dat rapport is aanzienlijk informatiever dan een keurmerk. Het beschrijft je systeem en je beheersmaatregelen, bevat een verklaring van het management over de getrouwheid van die beschrijving, en sluit af met het oordeel van de auditor plus een gedetailleerd overzicht van de uitgevoerde tests en de uitkomsten daarvan, inclusief geconstateerde uitzonderingen. Dat laatste is het punt: een lezer ziet niet alleen dát je iets doet, maar ook hoe het is getoetst en wat eruit kwam.

Het onderscheid tussen Type I en Type II bepaalt vervolgens hoe zwaar dat rapport weegt. Type I kijkt naar de opzet op één peildatum: bestaan de maatregelen en kunnen ze hun doel bereiken? Type II kijkt daarnaast naar de werking over een aaneengesloten periode van doorgaans zes tot twaalf maanden, waarbij steekproeven uit die hele periode worden getrokken. Dat verschil is in de praktijk enorm. Bij Type I kun je vlak voor de peildatum nog het nodige op orde brengen; bij Type II wordt zichtbaar dat de kwartaalcontrole in het derde kwartaal is overgeslagen of dat de leveranciersbeoordeling pas in de laatste maand alsnog werd uitgevoerd. Type I is daarmee een verdedigbare tussenstap voor wie net begint, maar afnemers die er serieus naar kijken vragen om Type II.

De vijf Trust Services Criteria

Wat er inhoudelijk in het rapport terechtkomt, bepaal je via de Trust Services Criteria. Security is verplicht en vormt het fundament: toegangsbeheer, wijzigingsbeheer, risicobeoordeling, monitoring, incidentafhandeling en de governance daaromheen. De overige vier voeg je toe wanneer ze aansluiten bij wat je levert. Availability gaat over beschikbaarheid en herstelvermogen en is aan de orde zodra je afspraken maakt over uptime. Processing Integrity gaat over de volledigheid, juistheid en tijdigheid van verwerkingen en speelt vooral bij transactie- en rekenprocessen. Confidentiality gaat over informatie die vertrouwelijk moet blijven en uiteindelijk vernietigd moet worden. Privacy richt zich specifiek op persoonsgegevens en de rechten van betrokkenen.

De vraag die je jezelf bij die keuze moet stellen is niet wat er allemaal mogelijk is, maar welke zekerheid je klanten daadwerkelijk nodig hebben. Elk extra criterium betekent meer maatregelen, meer bewijslast en een langer traject, dus criteria toevoegen “voor de zekerheid” is vooral een manier om geld uit te geven aan zekerheid waar niemand om vroeg. Omgekeerd is het pijnlijk om na afronding te horen dat het criterium waar je klant op zat te wachten net buiten scope viel. Voor partijen in of rond de zorg liggen Confidentiality en Privacy voor de hand, en Availability zodra zorgprocessen op je systemen steunen: die vraag komt hoe dan ook, en liever beantwoord in je rapport dan in een losse vragenlijst.

Voor welke organisaties is SOC 2 relevant?

De doelgroep is breed: SaaS-leveranciers, hosting- en cloudpartijen, managed service providers, datacenters, verwerkers van administratieve of financiële processen, en organisaties die IT-beheer overnemen. Wat ze gemeen hebben is uitbesteding. Zodra een klant een proces bij jou onderbrengt maar zelf verantwoordelijk blijft richting zijn eigen klanten en toezichthouders, ontstaat er een informatiebehoefte die hij ergens moet invullen. Dat kan bij jou, per klant, via vragenlijsten en controlebezoeken. Of één keer per jaar, via een rapport dat iedereen kan lezen.

Dat schaalargument is voor groeiende organisaties meestal doorslaggevend. Twintig klanten met elk een eigen securityvragenlijst kosten je honderden uren per jaar van precies de mensen die je dienstverlening draaiende houden, en dat aantal groeit mee met je succes. Bovendien lopen de antwoorden onderling uiteen zodra meerdere collega’s ze invullen, wat vroeg of laat tot lastige vervolgvragen leidt. Eén actueel rapport vervangt dat vrijwel volledig en verkort verkooptrajecten meetbaar. In Europa wordt SOC 2 vaak gecombineerd met een ISO-certificering, simpelweg omdat inkopers hier eerder in normen dan in rapporten denken.

Wat houdt een NEN 7510 audit in?

Doel van NEN 7510 in de zorg en zorgketen

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en volgt de opzet van ISO 27001: een managementsysteem met een cyclus van risico’s bepalen, maatregelen kiezen, uitvoeren, meten en bijsturen. De toespitsing op de zorg is echter meer dan een cosmetische aanpassing. Gezondheidsgegevens zijn bijzondere persoonsgegevens met een strenger beschermingsregime, en de omgeving waarin ze worden verwerkt stelt eigen eisen. In een zorgomgeving kan een te strikte toegangsbeperking direct gevaarlijk zijn wanneer een behandelaar in een acute situatie niet bij een dossier kan, terwijl een te ruime toegang leidt tot precies het soort privacyschendingen dat de norm wil voorkomen. Dat spanningsveld is geen randgeval maar de kern van waar NEN 7510 over gaat, en het is de reden dat maatregelen die elders vanzelfsprekend zijn hier zorgvuldig moeten worden afgewogen.

Daarnaast is de reikwijdte binnen de keten breed. Zorg is nauwelijks nog een geïsoleerde activiteit: gegevens bewegen tussen huisartsen, ziekenhuizen, apotheken, laboratoria, thuiszorg en de vele softwareleveranciers en verwerkers daaromheen. Voor die leveranciers geldt dat zij vrijwel altijd met de norm te maken krijgen, ook als ze er formeel niet onder vallen, omdat zorgorganisaties hun ketenrisico’s moeten beheersen en dat doen via eisen aan hun leveranciers. Voor veel technologiebedrijven in de zorg komt NEN 7510 dan ook niet binnen via wetgeving maar via de inkoopvoorwaarden van hun grootste klant.

Verplichte en praktische aandachtspunten

De status van de norm is bijzonder. Via de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en het bijbehorende besluit is NEN 7510 aangewezen als het kader waaraan zorgaanbieders moeten voldoen op het gebied van informatiebeveiliging. Naleving is daarmee in de zorg feitelijk verplicht, ook al is certificering zelf niet in alle gevallen wettelijk geëist. Toezicht ligt onder meer bij de Inspectie Gezondheidszorg en Jeugd en, waar het persoonsgegevens betreft, bij de Autoriteit Persoonsgegevens. Voor sommige partijen komen daar aanvullende kaders bij, zoals NEN 7512 en 7513 rond gegevensuitwisseling en logging, en in toenemende mate de eisen die voortvloeien uit NIS2.

In de praktijk zijn er een paar onderwerpen die in vrijwel elke audit extra aandacht krijgen. Logging van toegang tot patiëntdossiers staat bovenaan, waarbij het niet gaat om het vastleggen alleen maar vooral om het daadwerkelijk beoordelen van die logging. Autorisatiebeheer volgt direct daarna, met bijzondere aandacht voor tijdelijke medewerkers, waarnemers, uitzendkrachten en stagiairs: een groep met veel verloop waarbij het intrekken van rechten stelselmatig achterloopt. Verder wordt gekeken naar de noodprocedure voor toegang buiten de reguliere autorisaties om, naar bewustwording bij zorgmedewerkers, naar leveranciersbeheer en naar de continuïteit van systemen waar zorgprocessen op steunen.

Hoe verloopt een audittraject?

Een NEN 7510-traject verloopt zoals andere managementsysteemaudits. Je bepaalt de scope en de context, voert een risicobeoordeling uit die specifiek is voor jouw organisatie en de gegevens die je verwerkt, kiest op basis daarvan maatregelen, legt die vast en implementeert ze. Vervolgens toets je met interne audits of het werkt zoals bedoeld, en houdt de directie een beoordeling waarin zij op basis van resultaten, incidenten en bevindingen stuurt. Pas als dat rond is, is een externe audit zinvol. Die bestaat doorgaans uit een beoordeling van documentatie en opzet, gevolgd door een toetsing van de werking via gesprekken, systeeminstellingen en steekproeven, met daarna jaarlijkse controlebezoeken en na drie jaar een hercertificering.

Wat organisaties het vaakst onderschatten, is hoeveel van de audittijd besteed wordt aan gesprekken met mensen buiten de IT-afdeling. Een auditor spreekt zorgmedewerkers, leidinggevenden, de functionaris gegevensbescherming en bestuurders, en vergelijkt wat zij vertellen met wat er in de documentatie staat. Als het beleid stelt dat dossiers alleen worden geraadpleegd bij een behandelrelatie, en een medewerker legt vervolgens ontspannen uit dat het in de praktijk anders werkt omdat het nu eenmaal handiger is, dan is die discrepantie de bevinding. Geen enkel document weegt op tegen zo’n antwoord, en dat is precies zoals het hoort.

SOC 2 certificering versus NEN 7510 audit

Overeenkomsten

Onder de motorkap lijken beide trajecten meer op elkaar dan hun herkomst suggereert. Ze vragen allebei om een risicogebaseerde aanpak in plaats van een standaardpakket maatregelen. Ze leggen allebei sterke nadruk op toegangsbeheer, met bijzondere aandacht voor het tijdig intrekken van rechten en het periodiek beoordelen daarvan. Ze vragen allebei om een werkend incidentproces met registratie, beoordeling, oplossing en evaluatie. Ze kijken allebei naar leveranciers en de risico’s die daarvandaan komen, naar logging en monitoring, naar continuïteit en herstel, en naar bewustwording bij medewerkers. En ze vragen allebei om bestuurlijke betrokkenheid die aantoonbaar is en niet alleen wordt verondersteld.

Belangrijker nog is dat ze op hetzelfde principe rusten: aantoonbaarheid. Een maatregel die bestaat maar geen spoor achterlaat, telt in beide trajecten niet mee. Dat voelt onrechtvaardig voor organisaties die hun werk zorgvuldig doen zonder alles vast te leggen, maar het is de enige manier waarop een buitenstaander onderscheid kan maken tussen iets wat structureel gebeurt en iets wat toevallig een keer is gebeurd. Wie dat principe eenmaal heeft geïnternaliseerd, merkt dat het werk voor beide trajecten voor een groot deel samenvalt.

Verschillen in scope en toepassing

Het scherpste verschil zit in de aanleiding. SOC 2 is marktgedreven en volledig vrijwillig: geen wet, geen toezichthouder, geen sanctie. De enige handhaving is commercieel, in de vorm van klanten die zonder rapport niet met je verder gaan. NEN 7510 is via wetgeving aangewezen als kader voor de zorg, met toezichthouders die daadwerkelijk kunnen ingrijpen. Een zorgaanbieder kan dus niet besluiten het even te laten rusten omdat het slecht uitkomt, terwijl een SaaS-leverancier zijn SOC 2-traject wel degelijk kan plannen naar wat commercieel het beste past.

Ook de afbakening verschilt van aard. SOC 2 baken je af rond de dienst zoals je klant die afneemt; alles daarbuiten blijft buiten beschouwing. NEN 7510 kijkt naar je organisatie als geheel voor zover die zorggegevens verwerkt, inclusief interne processen waar geen klant iets mee te maken heeft. Het eindproduct verschilt navenant: het SOC 2-rapport is vertrouwelijk, uitgebreid en bedoeld voor een beperkte kring lezers die het echt doornemen, terwijl het NEN 7510-certificaat compact is en breed toonbaar in aanbestedingen en leveranciersbeoordelingen. En dan is er nog een verschil dat organisaties nogal eens verrast: uitzonderingen in een SOC 2-rapport belanden zwart op wit in het document dat je klanten lezen, terwijl bevindingen uit een NEN 7510-audit binnen de organisatie blijven.

Welke standaard past bij jouw organisatie?

De keuze wordt in de praktijk gemaakt door je markt, niet door jou. Ben je zorgaanbieder of verwerk je gezondheidsgegevens, dan is NEN 7510 geen optie maar een gegeven, en is de enige vraag of je ook certificeert of alleen aantoonbaar voldoet. Lever je aan internationale klanten of aan partijen die met een Amerikaans inkoopproces werken, dan komt SOC 2 vrijwel zeker langs. Zit je ertussenin, bijvoorbeeld als softwareleverancier in de Nederlandse zorg met ambities daarbuiten, dan is de combinatie op termijn onvermijdelijk: het certificaat opent deuren bij zorginstellingen, het rapport bij internationale afnemers.

Over de volgorde valt weinig te discussiëren: verplichtingen gaan voor commerciële wensen. Maar breng vanaf het begin in kaart wat je later nog meer nodig hebt, zodat je bij het inrichten van maatregelen alvast rekening houdt met de eisen die eraan komen. Een proces twee keer inrichten omdat je de tweede eis niet had voorzien, is veruit de duurste manier om dit aan te pakken, en het is verrassend hoe vaak het gebeurt.

Hoe bereid je je voor op een succesvolle audit of certificering?

Risicoanalyse en gap-analyse

Alles begint bij weten waar je staat, en dan niet op gevoel maar per eis. Voer eerst een risicobeoordeling uit die die naam verdient: geen generieke dreigingenlijst die op elke organisatie past, maar een analyse die uitgaat van jouw processen, systemen, gegevens en afhankelijkheden. Voor zorggerelateerde organisaties betekent dat expliciet nadenken over de impact op patiënten en niet alleen op de organisatie, want dat zijn wezenlijk andere afwegingen. Die risicobeoordeling is het fundament onder je maatregelenkeuze en onder je onderbouwing richting auditors, en een zwakke analyse werkt door in alles wat erna komt.

Loop daarna per eis na of iets geregeld is, gedeeltelijk geregeld of afwezig, én of het aantoonbaar is. Dat laatste onderscheid is het waardevolste onderdeel van een gap-analyse en wordt bijna altijd overgeslagen. Er is namelijk een wereld van verschil tussen “we doen dit niet” en “we doen dit wel maar kunnen het niet laten zien”. Het eerste vraagt om implementatie en kost maanden. Het tweede vraagt om registratie organiseren en is vaak binnen weken op te lossen, wat het tot de logische eerste prioriteit maakt. Doe die analyse voor beide trajecten tegelijk in één overzicht, zodat direct zichtbaar wordt welke inspanningen dubbel renderen.

Beleid, processen en bewijsvoering

Werk vanuit één samenhangende set documenten in plaats van gescheiden stromen per traject: één informatiebeveiligingsbeleid dat door de directie is vastgesteld, één risicomanagementproces, één incidentprocedure die zowel de interne afhandeling als de meldplicht dekt, één leveranciersbeleid en één set rollen en verantwoordelijkheden. Houd die documenten zo kort en concreet als de eisen toelaten. In een zorgomgeving is dat extra belangrijk: een procedure die een verpleegkundige tijdens een dienst niet binnen twee minuten kan raadplegen, wordt niet gevolgd, hoe correct hij ook is opgeschreven. Documentatie die alleen bestaat om een auditor tevreden te stellen, wordt niet gelezen door de mensen die er in de praktijk naar moeten handelen.

Voor het bewijs geldt één regel die alles vereenvoudigt: organiseer het zo dat het ontstaat tijdens het werk, niet erna. Een autorisatiereview die eindigt met een afgetekend overzicht in een vaste map levert vanzelf bewijs op; dezelfde review afgehandeld via losse e-mails levert een zoektocht op. Hetzelfde geldt voor incidentregistraties, wijzigingsdossiers, testverslagen van herstelprocedures, trainingsdeelname en verslagen van directiebeoordelingen. Eén centrale, logisch ingedeelde bewijslocatie bespaart bij elk traject weken werk en voorkomt de indruk van haastwerk die samengeraapte documentatie onvermijdelijk wekt.

Bewustwording en training van medewerkers

Techniek kun je kopen, gedrag niet. Het overgrote deel van de incidenten begint bij iemand die iets doet wat op dat moment logisch leek: een bijlage openen, inloggen op een overtuigende nepsite, een collega helpen door even de eigen account te laten gebruiken. In de zorg komt daar een eigen categorie bij, namelijk het raadplegen van dossiers zonder behandelrelatie. Dat gebeurt zelden uit kwade wil en vaak uit nieuwsgierigheid of behulpzaamheid, maar het is een ernstige schending en het is precies het soort gedrag dat je met techniek niet oplost. Een auditor kijkt daarom niet alleen of er trainingen plaatsvinden, maar of ze effect hebben. Een jaarlijkse e-learning die iedereen binnen tien minuten wegklikt, is aantoonbaar uitgevoerd en aantoonbaar niets waard.

Effectieve programma’s zijn doorlopend, rolspecifiek en concreet, en ze zijn meetbaar. Phishingsimulaties, meldingsaantallen en de tijd tussen ontvangst en melding zeggen over meerdere jaren meer dan welke presentielijst ook. Bewaak daarbij vooral de meldcultuur: een organisatie waar het melden van een fout tot verwijten leidt, krijgt geen meldingen en heeft dus geen zicht op wat er werkelijk gebeurt. Dat is een veel groter risico dan het incident zelf.

Belangrijkste voorbereidingsstappen

• Inventariseer alle relevante systemen en data. Breng in kaart welke gegevens je verwerkt, waar ze staan, wie erbij kan en welke leveranciers betrokken zijn; zonder dat overzicht is elke risicobeoordeling.

• Documenteer beveiligingsmaatregelen en procedures. Beknopt, met eigenaar, versie en herzieningsmoment, geschreven voor de mensen die ernaar moeten handelen in plaats van voor de auditor.

• Wijs duidelijke verantwoordelijkheden toe. Elke maatregel een aanwijsbare eigenaar, ook buiten IT, want leveranciersbeheer, personeelsbeveiliging en bewustwording horen bij inkoop, HR en communicatie.

• Test regelmatig technische en organisatorische controles. Voer een echte restoretest uit, oefen een incidentscenario, controleer of alerts terechtkomen bij iemand die actie onderneemt, en leg de uitkomsten vast.

• Verzamel auditbewijs vooraf gestructureerd. Eén vindbare locatie met een indeling die een auditor logisch kan volgen; duurt het meer dan een paar minuten om iets te vinden, dan deugt de structuur niet.

Veelgemaakte fouten en hoe je ze voorkomt

Onduidelijke scope

De scope bepaalt alles wat erna komt, en juist daar vallen de duurste beslissingen. Te ruim afbakenen levert een omvangrijk traject op waarin je bewijs verzamelt voor onderdelen waar geen enkele klant naar vraagt, en dat is de meest voorkomende reden dat trajecten uitlopen of halverwege stilvallen. Te krap afbakenen levert een resultaat op dat formeel klopt maar bij de eerste kritische klantvraag onvoldoende blijkt te dekken, waarna je alsnog moet uitbreiden tegen hogere kosten. De remedie is eenvoudig maar wordt zelden toegepast: stel de scope niet uitsluitend intern vast, maar toets hem vooraf bij een paar sleutelklanten. Welke onderdelen willen zij daadwerkelijk terugzien? Denk daarbij een paar jaar vooruit, want uitbreiden is aanzienlijk bewerkelijker dan in één keer goed kiezen.

Onvolledige documentatie

De klassieker die onverminderd wordt gemaakt: de organisatie werkt zorgvuldig, maar er blijft niets van over. Er wordt netjes gepatcht zonder registratie, incidenten worden opgelost zonder ticket, autorisaties worden gecontroleerd zonder afgetekend overzicht en leveranciers worden beoordeeld tijdens een gesprek zonder verslag. Bij een audit valt dat allemaal in dezelfde categorie als niets doen, hoe wrang dat ook is voor de mensen die het werk wel degelijk hebben gedaan. Het onderscheid dat hier telt is dat tussen beleid en bewijs: dikke handboeken maken geen indruk, registraties met datum, naam en uitkomst wel. Een beknopt beleid met sluitende uitvoeringsregistratie staat er aanzienlijk sterker voor dan een lijvig kwaliteitshandboek zonder enig spoor van naleving.

Te late voorbereiding van teams

De derde fout is er een van timing, en die is kostbaar. Beide trajecten hebben een doorlooptijd die zich niet laat comprimeren. Bij SOC 2 Type II is dat letterlijk zo: de observatieperiode moet verstrijken, en maatregelen die pas halverwege operationeel werden leiden tot uitzonderingen in het rapport, ongeacht hoe goed ze daarna functioneren. Bij NEN 7510 geldt het praktisch: een risicobeoordeling met inhoud, een interne audit, een directiebeoordeling en het oplossen van bevindingen laten zich niet in enkele weken regelen. Betrek daarnaast je teams vroeg en leg uit wat er gaat gebeuren. Auditgesprekken verlopen aanzienlijk beter wanneer mensen begrijpen dat het over het proces gaat en niet over hun functioneren; wie dat niet uitlegt, krijgt ontwijkende antwoorden, en dat is precies het signaal waarop een auditor dieper gaat graven.

Veelgestelde vragen

Is SOC 2 hetzelfde als een certificering?

Niet precies. SOC 2 levert een assurance-rapport op van een onafhankelijke accountant, geen certificaat van een geaccrediteerde certificerende instelling. Praktisch betekent dat: geen keurmerk voor op je website, maar een uitgebreid document dat je onder geheimhouding met klanten deelt en dat veel meer informatie bevat dan een certificaat, tot en met de uitgevoerde tests en de geconstateerde uitzonderingen. Voor security teams aan de inkoopkant is dat waardevoller dan een logo. Iedereen spreekt in de wandelgangen toch over certificering, en dat is prima zolang je zelf weet wat je precies levert en wat de lezer ervan mag verwachten.

Is een NEN 7510 audit verplicht?

Naleving van NEN 7510 is voor zorgaanbieders via wetgeving aangewezen als het kader voor informatiebeveiliging, waarmee voldoen aan de norm in de zorg feitelijk verplicht is. Certificering zelf is niet in alle gevallen wettelijk vereist, maar wordt in de praktijk vaak geëist door ketenpartners, inkopers en verzekeraars, en het is de meest praktische manier om aantoonbaar te maken dat je eraan voldoet. Voor leveranciers die zelf geen zorgaanbieder zijn, komt de eis meestal via contracten binnen. Toezicht ligt onder meer bij de Inspectie Gezondheidszorg en Jeugd en, waar het persoonsgegevens betreft, bij de Autoriteit Persoonsgegevens.

Kun je SOC 2 en NEN 7510 tegelijk aanpakken?

Ja, en voor organisaties die beide nodig hebben is dat vrijwel altijd de verstandigste route. De onderliggende maatregelen overlappen sterk: risicobeoordeling, toegangsbeheer, wijzigingsbeheer, logging, incidentmanagement, leveranciersbeheer, continuïteit en bewustwording komen in beide terug. Begin met een gecombineerde gap-analyse en een mapping waarin per maatregel staat welke eisen ermee worden afgedekt, en pak daarna eerst de gedeelde onderdelen op omdat daar de meeste winst zit. Voeg de trajectspecifieke onderdelen later toe. Wat je in elk geval moet vermijden, is twee losse projecten met twee eigen documentatiestromen.

Hoe lang duurt een traject gemiddeld?

Dat hangt sterk af van je startpunt. Wie vanaf de basis begint, is doorgaans zes tot twaalf maanden bezig met inrichten voordat een externe audit zinvol is, waarbij vooral het opbouwen van bewijs over een periode tijd kost. Voor een SOC 2 Type II-rapport komt de observatieperiode daar nog bovenop, meestal zes tot twaalf maanden, en die laat zich niet inkorten omdat de auditor over de hele looptijd steekproeven moet kunnen nemen. Organisaties met een al volwassen managementsysteem, bijvoorbeeld op basis van ISO 27001, kunnen de inrichtingsfase fors verkorten, omdat de systematiek van NEN 7510 daar nauw op aansluit.

Wat levert het op voor klanten en interne processen?

Voor klanten levert het vooral tijd en zekerheid op: in plaats van eigen onderzoek of een uitgebreide vragenlijst kunnen ze steunen op een oordeel dat door een onafhankelijke partij is gevormd. Voor jezelf betekent dat kortere verkooptrajecten, minder onderbrekingen van je operationele mensen en toegang tot opdrachtgevers die anders buiten bereik blijven. Intern is er een minder zichtbaar maar minstens zo waardevol effect: organisaties die deze trajecten serieus doorlopen, krijgen scherper zicht op hun eigen processen, ontdekken afhankelijkheden die niemand in beeld had en leggen verantwoordelijkheden vast die daarvoor impliciet waren. Dat rendeert ver buiten de auditcontext.

Conclusie

SOC 2 certificering en een NEN 7510 audit zijn meer dan vinkjes op een compliance-lijst. Ze dwingen je om te expliciteren wat er feitelijk gebeurt, wie waarvoor verantwoordelijk is en waaraan je ziet dat maatregelen werken. Dat is ongemakkelijk werk, omdat het onvermijdelijk zaken blootlegt die je liever niet had gevonden, maar precies daar zit de waarde. Een organisatie die haar zwakke plekken kent en er bewust op stuurt, staat er fundamenteel anders voor dan een organisatie die erop vertrouwt dat het wel goed zit.

De trajecten bedienen daarbij verschillende gesprekken. Het SOC 2-rapport beantwoordt de vraag van klanten die een proces bij je hebben ondergebracht en daar onderbouwde zekerheid over nodig hebben, met een detailniveau dat een certificaat nooit kan bieden. Het NEN 7510-certificaat toont aan dat je informatiebeveiliging voldoet aan het kader dat in de zorg geldt en dat ketenpartners van je verwachten. Ze concurreren niet met elkaar en versterken elkaar juist, zeker wanneer je ze op één fundament bouwt in plaats van als twee losse projecten.

Wie zich goed voorbereidt, versterkt daarmee niet alleen de audituitkomst maar vooral het vertrouwen van de markt. Begin daarom niet met documenteren maar met inventariseren: breng in kaart wat er al werkt, waar het bewijs ontbreekt en welke zekerheid je klanten en ketenpartners concreet van je vragen. Vanuit dat overzicht ontstaat de juiste volgorde vanzelf, en groei je stap voor stap naar een organisatie die niet alleen veilig en betrouwbaar werkt, maar dat op elk moment ook kan laten zien.