NEN 7510 gehaald. Maar kunt u ook weg?
De norm toetst of u risico's beheerst, niet of u nog kunt vertrekken.
NEN 7510 verplicht u tot beleid over cryptografie, tot beheersing van leveranciersrelaties en tot afspraken over beëindiging. De norm stelt geen eis aan wie uw sleutels beheert, in welk formaat u uw data terugkrijgt, of hoe lang een overstap duurt. U kunt volledig voldoen aan de norm en tegelijk volledig afhankelijk zijn van één leverancier. Regie vraagt drie dingen die de norm niet van u verlangt.
Praktijkvoorbeelden
Rijkswaterstaat moet naar de rechter, niet naar een toezichthouder
Na de overname van VMware door Broadcom verving een duurder abonnement de eeuwigdurende licenties. RWS zag de nieuwe voorwaarden te laat om tijdig over te stappen. De rechtbank Den Haag oordeelde dat de IT-zorgplicht was geschonden en legde twee jaar exit-ondersteuning op, tegen circa 1,7 miljoen euro per jaar. Geen aanval, geen storing, dus geen meldplicht die dit vooraf op de agenda van een toezichthouder had gezet.
76 procent van de ziekenhuizen op één EPD
ChipSoft levert HiX aan 76% van de Nederlandse ziekenhuizen, tegen 71% twee jaar eerder; Epic volgt met 16%, Nexus met 8%. SAP/Cerner is volledig uit de markt verdwenen. Dat ChipSoft Nederlands is, verandert niets aan het risico: concentratie bepaalt de onderhandelingspositie, niet de vestigingsplaats.
Verder dan de norm
Encryptie is verplicht, wie de sleutel beheert niet
NEN 7510-2 stelt via maatregel 8.24 eisen aan sleutelbeheer, onder meer aan opslag en aan wie toegang krijgt. De maatregel schrijft niet voor of die sleutels bij u liggen of bij uw leverancier. Laat u dat aan uw leverancier over, dan vallen bij een contractbreuk of een vordering zowel de data als de audittrail toe aan dezelfde partij.
Exit-afspraken zijn verplicht, het dataformaat niet
De norm eist afspraken over beëindiging, maar stelt geen eis aan het formaat waarin u uw data terugkrijgt. Een PDF-export of een proprietary dump voldoet formeel, maar is praktisch waardeloos. In de zorg is FHIR de aangewezen standaard; de Wegiz verplicht gestructureerde uitwisseling, per aangewezen gegevensuitwisseling, en de Europese verordening voor de gezondheidsdataruimte (EHDS) legt daar de komende jaren een bredere portabiliteitsplicht overheen. Anticiperen uw huidige exitclausules hierop?
Continuïteit toetsen is verplicht, overstappen oefenen niet
Maatregel 5.19 gaat over informatiebeveiliging in leveranciersrelaties, maatregel 5.30 over beproefde ICT-continuïteitsplannen. Geen van beide dwingt af dat u per kritiek systeem een geselecteerd alternatief heeft, met bekende doorlooptijd, bekende kosten en een beproefde dataoverdracht.
Veelvoorkomende misvattingen
Onze data staat in een EU-regio bij een EU-entiteit, dus we zijn soeverein.
Locatie zegt niets over zeggenschap: bepalend zijn eigendom, sleutelbeheer en de vraag of u weg kunt.
Onze Verklaring van Toepasselijkheid dekt dit af.
De Verklaring van Toepasselijkheid verantwoordt beheersmaatregelen uit de norm, maar er is geen beheersmaatregel omtrent vervangbaarheid in de NEN 7510.
De auditor heeft er niets van gezegd.
De auditor toetst tegen de norm, en de norm stelt deze vragen niet.
Aan de slag
Aanbevelingen
- Rangschik uw kritieke systemen op vervangbaarheid, niet op risicoscore: hoeveel maanden en euro's kost een overstap vandaag?
- Hergebruik uw bestaande dossier: leverancierslijst, BIA's en VvT uit het certificeringstraject zijn de directe input, dus geen dubbel werk.
- Vraag per kritiek contract een proefexport op en toets of die daadwerkelijk herbruikbaar is in een ander systeem.
- Neem formaat-, eigendom- en exitclausules mee bij de eerstvolgende verlenging, niet in een apart traject.
- Zet een licentie- en verbruiksanalyse ernaast: ongebruikte licenties en overlappende contracten financieren in de praktijk een fors deel van de transitie.
Vragen aan uw leverancier
- In welk machineleesbaar, open formaat leveren wij onze data terug bij beëindiging, inclusief metadata en logs, en wat is de doorlooptijd en prijs?
- Wie beheert de encryptiesleutels voor onze omgeving, en ondersteunt u sleutelbeheer in onze eigen HSM?
- Onder welke jurisdictie valt uw moederentiteit, en welke gevolgen heeft een overname voor onze contractuele rechten?
- Kunt u ons uw exit-runbook tonen: welke stappen, welke doorlooptijd, welke inspanning van uw kant, tegen welk tarief? Bestaat dat document niet, dan is uw exitclausule een intentie en geen procedure. De ervaringen van klanten die daadwerkelijk zijn overgestapt haalt u niet bij uw leverancier op, maar bij de gebruikersvereniging of bij collega-instellingen.
Klaar om dit voor uw organisatie te vertalen naar actie?
Krijg binnen 2 á 3 minuten uw eerste inzichten in de digitale soevereiniteitrisico's van uw organisatie middels onze gratis Quick Scan. Of neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.