Welke 5 essentiële onderdelen moet elke IBP-rapportage in de zorg bevatten? 

IBP staat voor Informatiebeveiliging en Privacy, een cruciale set van beleid en maatregelen gericht op het beschermen van gegevens en het waarborgen van privacy binnen organisaties. Bestuurders hebben de verantwoordelijkheid om zowel de veiligheid van gegevens als de naleving van wet- en regelgeving te waarborgen. Maar hoe geef je hun het inzicht dat ze nodig hebben? Met een helder en doordacht IBP-rapport kunnen bestuurders snel zien waar de organisatie staat en waar actie vereist is.

In dit artikel delen we de top 5 essentiële onderdelen die in iedere IBP-rapportage moeten worden opgenomen. Van risicobeheersing tot het creëren van nieuwe kansen: deze checklist helpt je krachtige rapportages op te stellen die niet alleen informeren, maar ook inspireren tot actie.

1. Strategisch niveau versus tactisch en organisatorisch niveau 

Bij het opstellen van een IBP-rapportage is het essentieel om het strategisch niveau te onderscheiden van de tactische en operationele niveaus. Op strategisch niveau richten rapportages zich op de langetermijnvisie en -doelen van de organisatie. Bestuurders nemen beslissingen die de richting en het beleid van de organisatie bepalen. In de context van informatiebeveiliging en privacy betekent dit dat bestuurders inzicht moeten krijgen in hoe de organisatie zich positioneert ten opzichte van externe risico’s, wetgeving, toezichthouders en zowel interne als externe ontwikkelingen binnen de ICT. 

2. Strategische risico’s en kansen 

Dit onderdeel biedt bestuurders een overzicht van zowel de strategische risico’s als de kansen op het gebied van informatiebeveiliging en privacy. Door risico’s en kansen naast elkaar te presenteren, kan het bestuur niet alleen de potentiële bedreigingen identificeren, maar ook de strategische voordelen benutten. Omdat bestuurders behoefte hebben aan handelingsgerichte informatie, worden bij elk risico concrete maatregelen voorgesteld om deze te beperken. Leg dus geen risico’s voor zonder na te hebben gedacht over de oplossing. 

Tip: Een bestuurder zit niet te wachten op alle risico’s, maar alleen op die risico’s die mogelijk de visie en missie van de organisatie raken of hem persoonlijk aangaan! 

3. Voortgang Informatiebeveiliging (NEN-7510) 

De NEN 7510-norm is essentieel in de zorgsector, omdat deze voorschrijft hoe zorginstellingen informatiebeveiliging moeten inrichten. In dit onderdeel geef je aan hoever de organisatie gevorderd is met de implementatie van deze norm, welke stappen al zijn gezet en welke nog gepland staan. Ga dus niet alle risico’s langs, maar geef vooral aan hoe ver je bent en wat je eventueel nodig hebt om de gepland doel te behalen. 

4. Voortgang op het gebied van Privacy (AVG) 

Dit onderdeel richt zich op de voortgang van privacybescherming volgens de Algemene Verordening Gegevensbescherming (AVG). Het biedt een overzicht van de stappen die de organisatie heeft ondernomen om AVG-compliant te blijven. Dit omvat het opzetten van verwerkingsregisters, het uitvoeren van Data Protection Impact Assessments (DPIA’s) en het trainen van medewerkers om bewustwording te vergroten. Om een onderwerp niet te vergeten, kun je een privacyframework gebruiken, maar dit kan er vaak toe leiden dat je zaken te gedetailleerd maakt voor een bestuurder. Gedetailleerde informatie kan in de bijlage worden opgenomen. 

5. Periodieke Evaluatie van Informatiebeveiliging en Privacy 

Dit onderdeel biedt een evaluatie van de effectiviteit van de maatregelen inzake informatiebeveiliging en privacy binnen de organisatie. Dit is waar KPI’s aan de orde kunnen komen. Vergeet niet dat de mensen die het werk doen niet dezelfde mensen zijn die het werk evalueren. De onderwerpen die aan de orde kunnen komen tijdens een evaluatie zijn: 

– Incidenten en datalekken: Een overzicht van incidenten en datalekken in de afgelopen periode, inclusief oorzaken, genomen maatregelen en doorgevoerde verbeteringen. Dit geeft inzicht in de manier waarop de organisatie omgaat met incidenten en welke acties worden ondernomen om herhaling te voorkomen.

– Effectiviteit van maatregelen: Een beoordeling van hoe effectief de huidige maatregelen zijn in het beschermen van gegevens en het waarborgen van privacy. Dit omvat bijvoorbeeld een analyse van technische en organisatorische beveiligingsmaatregelen en de impact daarvan op de weerbaarheid tegen risico’s.

– Rechten van betrokkenen: Een evaluatie van de naleving van rechten van betrokkenen, zoals het recht op inzage, correctie en verwijdering van gegevens. Hierbij wordt gekeken naar zowel de mate van naleving als de snelheid en kwaliteit van de respons van de organisatie. 

In de zorg is het gebruikelijk om deze vorm van rapportage drie keer per jaar uit te voeren. Het doel hiervan is dat de bestuurder tijdig kan bijsturen dankzij een eerlijk en volledig beeld.

Maak deze fouten in ieder geval niet!

Fout 1 – Het grootste gevaar is dat zaken rooskleuriger in de rapportage komen dan de werkelijkheid. Wat wij zien is vooral ‘wishful thinking’. Je schetst dan een beeld dat past bij wat jij hoopt dat er gebeurt. Je loopt dus op zaken vooruit die mogelijk later niet kloppen.

Fout 2 – Een ander groot probleem is dat organisaties in de zorg een te zwaar IBP-framework toepassen dat niet past bij de omvang of de staat waarin de organisatie verkeert. Regelmatig zien wij dat de NOREA framework wordt toegepast, terwijl de organisatie daar niet klaar voor is. Dan blijft het implementeren van normen een bijzonder vervelende kwestie voor zowel de bestuurder als de organisatie.

Fout 3 – Het opstellen van een rapportage blijft maatwerk. De bestuurder, privacy officer en information security officer kunnen heel goed zelf bedenken welke onderwerpen terug moeten komen om grip te hebben op een organisatie. Ga daarom eerst het gesprek met elkaar aan over de onderwerpen en neem dan eventueel een checklist van het internet, een framework, een wet of norm ter hand. Anders mis je zaken die je zelf belangrijk vindt, omdat je blind vaart op informatie die anderen bedacht hebben, maar niet passend is voor jouw organisatie. Met andere woorden, de onderwerpen die in dit artikel aan de orde komen, zijn slechts een eerste aanzet tot nadenken. Bedenk zelf welke onderwerpen je nodig hebt voor jou IBP-rapportage.

Publicatiedatum: 5 november 2024

Auteur: Timo Zoeteman, Privacy officer bij Privacy United