NEN 7513: logging in de zorg uitgelegd

NEN 7513 is de Nederlandse norm voor logging in de zorg. De norm beschrijft wat een zorginformatiesysteem moet vastleggen als iemand een patiëntdossier opent, erin zoekt of gegevens deelt met een andere zorgaanbieder. Zo is achteraf na te gaan wie wanneer welke gegevens heeft gezien.

Voor zorgaanbieders is logging geen keuze. De regelgeving verwijst naar NEN 7513, en patiënten mogen opvragen wie hun gegevens heeft ingezien. Een goed ingerichte logging maakt die vraag beantwoordbaar. En ze laat zien dat u zorgvuldig met vertrouwelijke gegevens omgaat.

Hieronder leest u wat de norm vraagt, waarom hij verplicht is en wat er veranderde in de versie van 2024. Daarna gaat het over bewaren, controleren en de taakverdeling met uw leverancier. NEN 7513 is een onderdeel van het bredere veld van informatiebeveiliging in de zorg.

Wat NEN 7513 vastlegt

De norm richt zich op drie soorten gebeurtenissen rond persoonlijke gezondheidsinformatie: toegang, zoeken en uitwisselen.

Per gebeurtenis schrijft het systeem een logregel. Die bevat gegevens over de gebeurtenis zelf en over de gebruiker en diens rol. Ook het toegangspunt, het bronsysteem en de betrokken cliënt of het dossier worden vastgelegd.

Wat er niet in staat, is de medische inhoud. Een logregel bevat alleen verwijzingen naar het dossier, geen gezondheidsinformatie als zodanig. De norm schrijft voor welke gegevens ten minste worden gelogd, zodat zorgaanbieders en cliënten de gebeurtenissen kunnen inzien.

Waarom logging volgens NEN 7513 verplicht is

Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt dat de logging van een zorginformatiesysteem moet voldoen aan NEN 7513. Dat geldt voor de zorgaanbieder als verantwoordelijke voor het systeem. Het geldt ook voor wie verantwoordelijk is voor een elektronisch uitwisselingssysteem.

Het besluit hoort bij de Wabvpz, de wet met aanvullende regels voor persoonsgegevens in de zorg. Sinds 1 juli 2020 kan een patiënt op grond van die wet een kosteloos elektronisch afschrift vragen. Daarin staat wie bepaalde informatie heeft ingezien of opgevraagd, en op welke datum.

Logging is daarmee meer dan een technisch hulpmiddel. Het is de basis voor verantwoording, aan de patiënt, aan de toezichthouder en aan uzelf. De Autoriteit Persoonsgegevens verwacht bovendien dat zorgaanbieders controleren wie welk dossier raadpleegt. Logging zonder controle is dus niet genoeg.

Wat er veranderde in NEN 7513:2024

De huidige versie verscheen eind 2024 en vervangt die van 2018. De norm is kosteloos te downloaden bij NEN. Dit zijn de belangrijkste wijzigingen:

• Internationale basis. De norm bouwt nu voort op NEN-EN-ISO 27789, de internationale norm voor audit trails in elektronische patiëntdossiers, met aanvullingen voor Nederland.
• Uitwisselen als derde gebeurtenis. Naast toegang en zoeken wordt nu ook het uitwisselen met derden gelogd. Nieuwe velden maken het mogelijk een verzoek en het antwoord daarop te traceren.
• Nederlandse velden. Nieuwe velden leggen vast op basis waarvan toegang werd verleend: het autorisatieprotocol, de behandelrelatie en het toestemmingsprofiel. Een autorisatieprotocol bepaalt welke zorgverleners welke gegevens mogen zien, en onder welke voorwaarden. Ook de controles bij de gebeurtenis worden vastgelegd.
• Weergave voor de cliënt. De norm houdt een apart hoofdstuk over hoe de logging wordt getoond, omdat de cliënt die moet kunnen begrijpen.

In 2025 verscheen daarnaast NPR 7523, een praktijkrichtlijn bij de norm. Die vertaalt de eisen uit NEN 7513 naar toepasbare afspraken voor zorgaanbieders en softwareleveranciers.

Hoe lang u logbestanden bewaart

De minister heeft in 2019 in de Staatscourant vastgelegd dat logging ten minste vijf jaar wordt bewaard. De termijn telt vanaf het moment dat de logregel wordt geschreven.

Vijf jaar is een ondergrens. U mag langer bewaren als u dat kunt onderbouwen, maar niet onbeperkt: ook logbestanden bevatten persoonsgegevens. Leg uw keuze vast, met de reden erbij.

Let op het verschil met het dossier zelf. Voor het medisch dossier geldt in principe een bewaartermijn van twintig jaar. Dat staat in de WGBO, de wet op de geneeskundige behandelingsovereenkomst. Logbestanden en dossiers hebben dus elk hun eigen termijn.

Logging controleren in de praktijk

Logging levert pas iets op als iemand ernaar kijkt. Een praktische aanpak heeft twee sporen.

• Steekproeven. Kies op vaste momenten een aantal dossiers en loop na wie ze heeft ingezien. Past dat bij de rol en de behandelrelatie van die medewerker?
• Signalen. Laat het systeem opvallende patronen melden. Denk aan inzage in het dossier van een collega, inzage buiten de eigen afdeling of een medewerker die ongewoon veel dossiers opent.

Een melding betekent niet automatisch dat er iets mis is. De logging alleen zegt niet of een inzage terecht was. Daarvoor kijkt u ook naar rooster, rol en behandelrelatie. Wel moet de reden te achterhalen zijn.

Leg vast wie de controle uitvoert, hoe vaak en wat er gebeurt bij een afwijking. Bewaar ook de verslagen van uw controles. Daarmee laat u een auditor of toezichthouder zien dat de logging bestaat én wordt gebruikt. Bepaal daarnaast wie de logging zelf mag inzien, want ook dat onderwerp behandelt de norm.

Vraagt een patiënt wie zijn dossier heeft bekeken, dan wilt u dat snel en begrijpelijk kunnen beantwoorden. Daarvoor moet de logging per cliënt te filteren zijn. En de uitkomst moet leesbaar zijn voor iemand zonder kennis van het systeem. De Wabvpz vraagt dat het overzicht elektronisch en kosteloos kan. Geef er een korte uitleg bij: een doktersassistent of waarnemer kan terecht hebben meegekeken.

Wat de leverancier regelt en wat u zelf regelt

NEN 7513 heeft twee doelgroepen. Voor ontwikkelaars van zorgsoftware bevat de norm eisen waaraan hun systemen moeten voldoen. Zorgaanbieders krijgen aanwijzingen voor het loggen en voor het gebruik van de logging. Beide kanten hebben dus een taak.

• Het systeem. Logt het alle drie de soorten gebeurtenissen, ook uitwisseling met andere zorgaanbieders? En vult het de Nederlandse velden uit de versie van 2024?
• De bescherming van de logging. Logbestanden moeten beschikbaar, vertrouwelijk en ongewijzigd blijven. Niemand mag een logregel ongemerkt kunnen aanpassen of verwijderen.
• De afspraken. Leg in het contract vast welke versie van de norm het systeem ondersteunt. Spreek ook af hoe lang de logging bewaard blijft en hoe u erbij kunt.
• Het beleid. Beschrijf welke inzage u als ongewenst of onrechtmatig ziet. Zorg dat medewerkers weten wat wel en niet mag.

Werkt u met meerdere systemen of met een cloudleverancier? Controleer dan of de logging uit die systemen samen een volledig beeld geeft. Een vraag van een patiënt gaat over zijn gegevens, niet over één applicatie.

NEN 7513 naast NEN 7510, de Wegiz en securitymonitoring

NEN 7513 werkt een deel uit van de maatregel over logging in NEN 7510-2. U heeft dus beide nodig: NEN 7510 voor het geheel van uw informatiebeveiliging, NEN 7513 voor de details van de logging. Dezelfde maatregel over logging staat ook in Annex A van ISO 27001.

Met de Wegiz groeit het aantal uitwisselingen tussen zorgaanbieders. Juist die uitwisselingen worden sinds de versie van 2024 ook gelogd. De norm is herzien binnen hetzelfde normprogramma als de Wegiz-normen, als functie die voor alle uitwisselingen geldt.

Let op het verschil met technische logging. NEN 7513 gaat over acties op patiëntgegevens. Logging van servers, netwerken en beveiligingssystemen, bedoeld om storingen en aanvallen te zien, valt buiten deze norm. Die hoort bij uw security monitoring. In de praktijk vullen ze elkaar aan: de een kijkt naar verdachte aanmeldingen, de ander naar wie welk dossier opende.

Veelgestelde vragen over NEN 7513

Is NEN 7513 verplicht?

Ja, voor zorgaanbieders die elektronisch met patiëntgegevens werken. Het Besluit elektronische gegevensverwerking door zorgaanbieders schrijft voor dat de logging van zorginformatiesystemen aan NEN 7513 voldoet. Logging is ook een maatregel binnen NEN 7510-2, dus bij een toetsing van uw informatiebeveiliging komt het terug.

Hoe lang moet ik logbestanden bewaren?

Ten minste vijf jaar, gerekend vanaf het moment dat de logregel wordt geschreven. Langer mag, als u dat onderbouwt. Voor het medisch dossier zelf geldt een aparte termijn van in principe twintig jaar.

Mag een patiënt opvragen wie zijn dossier heeft ingezien?

Ja. Sinds 1 juli 2020 kan een patiënt kosteloos een elektronisch afschrift vragen. Daarin staat wie bepaalde informatie heeft ingezien of opgevraagd, en wanneer. Zorg dat u dat overzicht snel en begrijpelijk kunt leveren.

Is NEN 7513 gratis?

Ja. NEN 7513:2024 is kosteloos te downloaden bij NEN. De praktijkrichtlijn NPR 7523, die helpt bij de toepassing, is een apart document.

Hoe vaak moet ik de logging controleren?

Dat hangt af van uw omvang en uw risico’s. Belangrijker dan het precieze ritme is dat u regelmatig en aantoonbaar controleert. De Autoriteit Persoonsgegevens verwacht dat zorgaanbieders nagaan wie welk dossier raadpleegt, zodat onterechte inzage op tijd opvalt.