Definitieve bevindingen MC/Lelystad

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Juliana van Stolberglaan 4-10 TEL FAX INTERNET Definitieve bevindingen MC/Lelystad z

2 Voorgeschiedenis Het College bescherming persoonsgegevens (CBP) en de Inspectie voor de Gezondheidszorg (IGZ) hebben in 2007 bij MC/Lelystad (voorheen: IJsselmeer Ziekenhuizen, locatie Lelystad) een onderzoek ingesteld naar de veilige toepassing van ICT en in het bijzonder de mate waarin de normen voor de informatiebeveiliging worden nageleefd. Bij brief van 16 juli 2008 is MC/Lelystad het rapport met de definitieve bevindingen en de conclusie naar aanleiding van het onderzoek toegezonden. IGZ en CBP concluderen dat er geen sprake is van een passend beveiligingsniveau zoals bedoeld in artikel 13 Wbp en dat evenmin is voldaan aan de voorwaarden om verantwoorde zorg te leveren zoals bedoeld in artikel 2 van de Kwaliteitswet zorginstellingen. In de brief van 16 juli 2008 is MC/Lelystad meegedeeld dat IGZ en CBP om die reden verwachten dat er een Plan van Aanpak is opgesteld, waarin onder andere uiteengezet dient te worden wat het ziekenhuis onderneemt om de in het rapport opgesomde tekortkomingen op te lossen. Het zo nodig (opnieuw) uitvoeren van een risico-analyse dient deel uit te maken van het plan. Bij brief van 20 oktober 2008 heeft MC/Lelystad IGZ zijn Plan van Aanpak toegezonden, welk plan in kopie naar het CBP is gestuurd. Beide toezichthouders hebben het plan beoordeeld en geconcludeerd dat de door het ziekenhuis voorgenomen maatregelen onvoldoende zijn. Bij brief van 26 maart 2009 heeft het CBP het ziekenhuis in kennis gesteld van zijn voornemen om handhavend op te treden. Tijdens de hoorzitting op 28 april 2009 is het ziekenhuis door het CBP in de gelegenheid gesteld om mondeling een zienswijze te geven ten aanzien van dit voorgenomen besluit. Last onder dwangsom Op 2 juni 2009 heeft het College bescherming persoonsgegevens (CBP) MC/Lelystad de volgende last onder dwangsom opgelegd: "Het CBP sommeert het ziekenhuis om voor 1 september 2009 de volgende maatregelen te treffen: - het uitvoeren van een risico-analyse - het opstellen van een rapportage van de risico-analyse - het opstellen van een functieprofiel informatiebeveiligingsfunctionaris, met de strekking dat deze functionaris fungeert als coördinator op het gebied van - het aanstellen of aanwijzen van een informatiebeveiligingsfunctionaris; - het aanwijzen van een portefeuillehouder informatiebeveiliging binnen de Raad van Bestuur. Als toelichting op deze maatregelen wordt verwezen naar de NEN 7510, die als een gezaghebbende en sectorale uitwerking van artikel 13 Wbp wordt beschouwd."

3 Op 31 augustus 2009 heeft MC/Lelystad het CBP op de hoogte gebracht van de uitvoering van deze maatregelen. Het CBP heeft aan de hand van deze informatie onderzocht of MC/Lelystad per 1 september 2009 aan de last heeft voldaan. Op 5 november 2009 heeft het CBP aan MC/Lelystad de voorlopige bevindingen van het onderzoek toegezonden. MC/Lelystad heeft hierop bij brief van 23 november 2009 gereageerd. Bespreking van de reactie van MC/Lelystad 1. MC/Lelystad schrijft dat men heeft aangenomen dat de uitgevoerde risico-analyse "aansluit bij de vraag die er ligt vanuit het CBP" (brief MC Groep 23 november 2009). Gezien de tekst van de last had MC/Lelystad zich bij het uitvoeren van de vereiste maatregelen echter moeten richten naar de NEN 7510 norm. De NEN 7510 bevat een definitie van het begrip "risico-analyse", zodat hierover bij het ziekenhuis geen onduidelijkheid had hoeven te bestaan. De door het ziekenhuis uitgevoerde inventarisatie bevat niet de elementen van een risico-analyse zoals vermeld in de definitie in NEN Het ziekenhuis had dus niet mogen aannemen dat deze inventarisatie "aansluit bij de vraag die er ligt vanuit het CBP". 2. Het ziekenhuis merkt op dat "het CBP vraagt om een risico-analyse specifiek gericht op de ICT-risico's die de MC Groep loopt" (brief MC Groep 23 november 2009). Dit is een onvolledige en daardoor deels onjuiste weergave van hetgeen het CBP heeft gesteld: een toets aan de NEN 7510 meet de mate waarin de organisatorische processen voldoen aan NEN 7510 maar geeft geen - of hooguit beperkt - inzicht in de concrete ICT-risico s die het ziekenhuis loopt (brief CBP 5 november 2009). In bovenstaand citaat wordt door het CBP aangegeven waarom de inventarisatie van MC/Lelystad niet volstaat als risico-analyse. Het ontbreken van inzicht in de concrete ICT-risico's die het ziekenhuis loopt is daarbij het meest in het oog springend manco. Hiermee is niet bedoeld te zeggen dat aan andere dan ICT-risico's geen aandacht moet of mag worden besteed. 3. Het ziekenhuis komt ten slotte "graag met [het CBP] in gesprek [...] om te zien of deze methode [bedoeld wordt: de methode die thans bij MC/Lelystad wordt gehanteerd om tot een nieuwe risico-analyse te komen] wel volledig aansluit bij de vraag van het CBP" (brief MC Groep 23 november 2009). MC/Lelystad is op 30 november 2009 telefonisch ingelicht dat het CBP niet aan dit verzoek zal voldoen, omdat het aan de verantwoordelijke zelf is om te bezien op welke wijze aan de last wordt voldaan. Het behoort niet tot de taak van de toezichthouder hierbij behulpzaam te zijn. Bij het ziekenhuis had overigens geen onduidelijkheid hoeven te bestaan over het begrip "risico-analyse", aangezien de NEN 7510 hiervan een definitie geeft (zie ook onder 1).

4 De reactie van MC/Lelystad vormt geen aanleiding de bevindingen aan te passen. Bevindingen Maatregelen 1 en 2: het uitvoeren van een risico-analyse het opstellen van een rapportage van de risico-analyse informatiebeveiliging MC/Lelystad heeft een document "Risicoanalyse informatiebeveiliging" opgesteld, maar dit is ondanks de titel van het document feitelijk geen risico-analyse. Het door MC/Lelystad ingeschakelde X heeft aan de hand van de "checklist norm informatiebeveiliging in de zorg NEN 7510" in kaart gebracht hoe informatiebeveiliging volgens NEN 7510 in de dagelijkse praktijk toegepast wordt binnen de MC/Groep. Het resultaat van deze inventarisatie wordt door MC/Lelystad ten onrechte als een risico-analyse gezien: een toets aan de NEN 7510 meet de mate waarin de organisatorische processen voldoen aan NEN 7510 maar geeft geen - of hooguit beperkt - inzicht in de concrete ICT-risico s die het ziekenhuis loopt. De definitie van een risico-analyse luidt als volgt: "beoordeling van de bedreigingen voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid van het optreden van deze bedreigingen" (NEN 7510 par ). MC/Lelystad heeft geen risico-analyse uitgevoerd volgens de definitie in NEN 7510 waardoor de basis voor de informatiebeveiliging bij MC/Lelystad nog steeds ontbreekt. Maatregel 3: het opstellen van een functieprofiel informatiebeveiligingsfunctionaris, met de strekking dat deze functionaris fungeert als coördinator op het gebied van informatiebeveiliging Deze maatregel is getroffen (functieprofiel vastgesteld op 28 juli 2009). Maatregel 4: het aanstellen of aanwijzen van een informatiebeveiligingsfunctionaris Deze maatregel is getroffen (besluit RvB MC/Lelystad van 7 juli 2009). Maatregel 5: het aanwijzen van een portefeuillehouder informatiebeveiliging binnen de Raad van Bestuur Deze maatregel is getroffen (besluit RvB MC/Lelystad van 7 juli 2009). Conclusie MC/Lelystad heeft geen risico-analyse informatiebeveiliging uitgevoerd. Hierdoor is niet voldaan aan de eerste twee in de last genoemde maatregelen. De volgende maatregelen zijn wel getroffen:

5 -MC/Lelystad heeft een functieprofiel informatiebeveiligingsfunctionaris opgesteld met de strekking dat deze functionaris fungeert als coördinator op het gebied van -MC/Lelystad heeft een informatiebeveiligingsfunctionaris aangewezen; -MC/Lelystad heeft een portefeuillehouder informatiebeveiliging binnen de Raad van Bestuur aangewezen. Hiermee is voldaan aan de laatste drie in de last genoemde maatregelen. Aldus vastgesteld op 30 december 2009, Het College bescherming persoonsgegevens, Voor het College, mw. mr. dr. J. Beuving collegelid