Waarom dit model belangrijk is

Iedere zorgorganisatie moet aantoonbaar voldoen aan de eisen van de NEN 7510. Voor jeugdhulpaanbieders geldt de ISO 27001. De IGJ gebruikt het volwassenheidsmodel tijdens haar toezicht om te beoordelen hoe ver organisaties zijn met informatiebeveiliging en welke verbeteringen eventueel nodig zijn. Tegelijkertijd is het model een waardevol hulpmiddel voor organisaties zelf. Het maakt zichtbaar waar risico's liggen en welke vervolgstappen nodig zijn om te groeien naar een volwassen informatiebeveiligingsniveau.

‍

Vier niveaus van volwassenheid

Het model onderscheidt vier niveaus:

‍

🔴 Niveau 1 | Nauwelijks geregeld
Informatiebeveiliging krijgt weinig tot geen structurele aandacht.

🟠 Niveau 2 | Ad hoc beveiligd
Er zijn maatregelen genomen, maar zonder duidelijke samenhang of onderbouwing.

🟡 Niveau 3 | Gestructureerd beveiligd
Risico's, maatregelen en beleid zijn grotendeels ingericht en vastgelegd.

🟢 Niveau 4 | Aantoonbaar beheerst
Informatiebeveiliging is onderdeel van de organisatie, wordt continu verbeterd én is aantoonbaar in lijn met de norm

‍

Hoe hoger het niveau, hoe beter informatiebeveiliging binnen de organisatie is ingericht. Alleen op niveau 4 voldoet een organisatie aantoonbaar aan de eisen van de NEN 7510 of ISO 27001.

‍

Meer dan alleen techniek

Wat het model sterk maakt, is dat het niet alleen naar technische maatregelen kijkt. Informatiebeveiliging wordt beoordeeld op vier onderdelen:

• Risico's;

• Beheersmaatregelen;

• Documentatie;

• Verbetercyclus (PDCA).

‍

Pas wanneer alle vier de onderdelen op hetzelfde niveau zijn ingericht, bereikt de organisatie dat volwassenheidsniveau. Het laagst scorende onderdeel bepaalt dus het uiteindelijke niveau van de organisatie.

‍

De grootste valkuil: maatregelen zonder basis

In de praktijk zien wij vaak organisaties die al technische maatregelen hebben getroffen, zoals multifactor-authenticatie, back-ups of beveiligde verbindingen. Toch blijkt regelmatig dat risicoanalyses ontbreken, beleid niet volledig is vastgelegd of dat er geen structurele evaluatie plaatsvindt.

‍

Juist daar legt het volwassenheidsmodel de nadruk op. Informatiebeveiliging draait niet alleen om technologie, maar ook om governance, bewustwording, procesinrichting en aantoonbaarheid. Zonder deze onderdelen blijft informatiebeveiliging kwetsbaar, ook wanneer de techniek op orde lijkt.

‍

Wat betekent niveau 4 in de praktijk?

Organisaties die niveau 4 bereiken beschikken onder andere over:

Dit niveau vraagt dus om meer dan een verzameling documenten. Het vereist een aantoonbaar werkend managementsysteem waarin informatiebeveiliging continu wordt bewaakt en verbeterd.

• Een volledige risicoanalyse van de organisatie;

• Een actueel informatiebeveiligingsbeleid;

• Een Verklaring van Toepasselijkheid (Statement of Applicability);

• Vastgelegde beheersmaatregelen en verantwoordelijkheden;

• Uitgevoerde audits en managementbeoordelingen;

• Bewijs dat beheersmaatregelen daadwerkelijk worden uitgevoerd en gecontroleerd;

• Een werkend ISMS waarin informatiebeveiliging continu wordt verbeterd volgens de PDCA-cyclus.

‍

Hoe begin je?

De IGJ adviseert organisaties om stapsgewijs te werken. Begin met het inventariseren van de belangrijkste risico's, voer passende maatregelen in, leg deze vast en neem ze vervolgens op in de verbetercyclus. Voor veel zorgorganisaties is het verstandig om te starten bij de meest kritische informatiestromen, zoals het EPD, ECD of gegevensuitwisseling met ketenpartners.

‍

Van voldoen naar beheersen

Het volwassenheidsmodel laat mooi zien dat informatiebeveiliging geen project is, maar een continu proces. Organisaties die alleen gericht zijn op "voldoen aan de norm" lopen het risico belangrijke risico's over het hoofd te zien. Organisaties die informatiebeveiliging daadwerkelijk beheersen, bouwen aan een structureel veilige en betrouwbare informatievoorziening voor cliënten, patiënten en medewerkers.

Bij Certifi zien wij het volwassenheidsmodel dan ook niet alleen als een meetinstrument, maar vooral als een praktische routekaart. Het helpt organisaties om realistische stappen te zetten naar een volwassen, aantoonbaar en toekomstbestendig informatiebeveiligingsniveau.

‍

Benieuwd waar uw organisatie staat?

Het IGJ-volwassenheidsmodel biedt een laagdrempelige eerste beoordeling. Wilt u vervolgens de vertaalslag maken naar NEN 7510-compliance, een ISMS of een interne audit? Dan helpen wij je graag verder.

‍

Bekijk hier het model van de IGJ