HIPAA · Amerikaanse Security Rule
HIPAA voor Amerikaanse gezondheidsgegevens.
HIPAA beschermt gezondheidsinformatie in de Verenigde Staten. Europese bedrijven die Amerikaanse zorgorganisaties bedienen, moeten vaak als business associate aan de Security Rule voldoen. Met Basenorm beheer je de waarborgen op je ISO 27001-ISMS.
Gehost in Nederland. Je data blijft in de EU.In het kort
- Soort
- Amerikaanse federale wetGehandhaafd door het HHS Office for Civil Rights
- Geldt voor
- Covered entities en business associatesDie beschermde gezondheidsinformatie verwerken
- Security Rule
- Drie soorten waarborgenAdministratief, fysiek en technisch
- Contract
- Business associate agreementTussen een covered entity en haar leveranciers
01 / Wat HIPAA vraagt
Wat HIPAA
van je vraagt.
De Security Rule vraagt om waarborgen voor elektronische beschermde gezondheidsinformatie. De Breach Notification Rule regelt wat je doet na een datalek.
- 1Risicoanalyse
De risico’s voor de vertrouwelijkheid, integriteit en beschikbaarheid van gezondheidsinformatie beoordelen.
- 2Administratieve waarborgen
Beveiligingsbeheer, training van medewerkers en continuïteitsplanning.
- 3Fysieke waarborgen
Toegang tot gebouwen, werkplekken en apparaten beheersen.
- 4Technische waarborgen
Toegangsbeheer, auditmaatregelen, integriteit en beveiliging van verzending.
- 5Melding van datalekken
Betrokkenen en de toezichthouder informeren na een lek van onbeveiligde gezondheidsinformatie.
- 6Business associate agreements
Contracten met leveranciers die beschermde gezondheidsinformatie verwerken.
02 / Met je ISMS
HIPAA op wat je al hebt.
| Onderwerp | Je ISO 27001-ISMS | Wat HIPAA toevoegt |
|---|---|---|
| Risico | Risicobeoordeling voor informatiebeveiliging | Een risicoanalyse gericht op beschermde gezondheidsinformatie |
| Waarborgen | Annex A-maatregelen | Koppeling aan de administratieve, fysieke en technische waarborgen |
| Incidenten | Incidentbeheer | De regels voor het melden van datalekken |
| Leveranciers | Maatregelen voor leveranciersrelaties | Business associate agreements |
ISO 27001 dekt veel van de waarborgen. HIPAA voegt specifieke eisen voor gezondheidsinformatie en eigen meldregels toe.
03 / De beoordeling
HIPAA SECURITY RULEHoe HIPAA
wordt beoordeeld.
Er bestaat geen officiële HIPAA-certificering. Organisaties tonen naleving aan met hun eigen documentatie, risicoanalyse en waar nodig een onafhankelijke beoordeling.
Lees meer over ISO 27001Zelf vastgelegd. Je legt je waarborgen en risicoanalyse zelf vast.
Onafhankelijke toets. Klanten vragen soms om een onafhankelijke beoordeling van je waarborgen.
HHS Office for Civil Rights. Handhaaft HIPAA en onderzoekt klachten en datalekken.
HIPAA is een Amerikaanse federale wet. De Security Rule en de Breach Notification Rule zijn uitgevaardigd door het Amerikaanse Department of Health and Human Services.
04 / In Basenorm
Hoe Basenorm je helpt.
Unified Control Library
Zie welke van je ISO 27001-maatregelen ook meetellen voor de HIPAA-waarborgen.
02Governance Graph
Verbind systemen met gezondheidsinformatie, leveranciers, maatregelen en eigenaren.
03AskNorman
Vraag wat er nog openstaat voor HIPAA, in Basenorm of via MCP vanuit ChatGPT, Claude of Perplexity. Je controleert zelf de onderbouwing.
05 / De vragen
Vragen over
HIPAA.
Geldt HIPAA voor een Europees bedrijf?
Als je beschermde gezondheidsinformatie verwerkt voor een Amerikaanse covered entity, bijvoorbeeld als softwareleverancier, ben je meestal een business associate en geldt de Security Rule voor jou.
Bestaat er een HIPAA-certificering?
Nee. Er is geen officiële certificering. Je toont naleving aan met je documentatie, risicoanalyse en waar nodig een onafhankelijke beoordeling.
Is ISO 27001 genoeg voor HIPAA?
Niet op zichzelf. Veel waarborgen overlappen, maar HIPAA heeft specifieke eisen voor gezondheidsinformatie en eigen meldregels.
Tekent Basenorm business associate agreements?
Vraag ons team naar je specifieke situatie. Basenorm zelf is gehost in Nederland en verwerkt je gegevens onder een verwerkersovereenkomst.
Plan een demo
Beheer HIPAA op je ISMS.
In een demo bekijken we je Amerikaanse klanten, je waarborgen en wat je kunt hergebruiken.
- Welke ISO 27001-maatregelen meetellen voor HIPAA.
- Hoe je je risicoanalyse vastlegt.
- Hoe je HIPAA naast je andere normen beheert.
Gehost in Nederland. Je data blijft in de EU.