Kiteworks ist nach NEN 7510-1:2024 für den Schutz von Gesundheitsdaten in den Niederlanden zertifiziert
NEN 7510-1:2024 verpflichtet niederländische Gesundheitsdienstleister, Gesundheitseinrichtungen und Verarbeiter personenbezogener Gesundheitsdaten – darunter Krankenhäuser, Pflegeeinrichtungen, Organisationen für psychische Gesundheit und Einzelpraxen –, ein zertifiziertes Informationssicherheits-Managementsystem gemäß der offiziellen NEN 7510-1:2024-Norm aufzubauen und zu betreiben.
Kiteworks verfügt bereits über diese Zertifizierung: Zivver, inzwischen Teil von Kiteworks, ist auf dem Zertifikat NL 3069.1.1 gelistet, das von der durch die RvA akkreditierten Brand Compliance B.V. ausgestellt und auf der offiziellen Zertifizierungsseite der NEN bestätigt wurde. Damit erfüllt das ISMS die Anforderungen der Norm. Die Plattform vereint doppelte Verschlüsselung, zero-trust-Architektur und eine Data Policy Engine zur Durchsetzung rollen- und attributbasierter Zugriffe und bietet Unternehmen einen zertifizierten Weg zur Compliance.
Zugriffssteuerung und Verschlüsselung von Gesundheitsdaten an jedem Endpunkt
Gesundheitseinrichtungen müssen steuern, wer an jedem Zugangspunkt auf personenbezogene Gesundheitsdaten zugreift – von der Anmeldung medizinischer Fachkräfte bis zu Remote-Sitzungen. Dieser Standard fordert Multi-Faktor-Authentifizierung für jedes System mit Gesundheitsdaten, verschlüsselte Wechseldatenträger und Backups sowie eine konsequente Trennung von Aufgaben. Ohne zentrales Identitätsmanagement und Verschlüsselungsschlüssel-Verwahrung fällt es Unternehmen schwer, das Prinzip der minimalen Rechte umzusetzen und gleichzeitig SSO, externe Nutzer und zero-trust Netzwerksegmentierung zu unterstützen.
Nachweis kontinuierlicher ISMS-Verbesserung ohne fragmentierte Nachweise
Um eine kontinuierliche Verbesserung gemäß diesem Standard nachzuweisen, sind messbare Sicherheitsziele, regelmäßige Risikoanalysen, laufende Kontrollüberwachung und Überprüfung von Lieferantenänderungen erforderlich – alles belegt durch dokumentierte Nachweise.
Cloud-Governance-Regeln nach A.5.23 verlangen zudem, dass Unternehmen exakt nachverfolgen, wo Gesundheitsdaten gespeichert sind und wer darauf zugreifen kann.
Die Zusammenstellung dieser Nachweise aus isolierten Systemen und die Durchsetzung von Verantwortlichkeiten über Compliance-Teams und Lieferanten hinweg überfordern die meisten vorhandenen Tools.
Erkennen, Reagieren, Nachweisen von Vorfällen unter Zeitdruck
Um die Anforderungen an das Incident Response zu erfüllen, müssen Sicherheitsereignisse erkannt, mit dokumentierten Verfahren darauf reagiert, rechtssichere Nachweise gesichert und Schwachstellen sowie Kapazitäten nachverfolgt werden – inklusive Uhrzeitsynchronisierung und Logfile-Analyse gemäß A.8.15. Die Koordination dieser Aufgaben über verschiedene Monitoring-Tools, die Sicherstellung der Beweiskraft und ein zuverlässiger Meldekanal für Mitarbeitende stellen Teams ohne zentrale Security Operations Plattform vor große Herausforderungen.
Zero-Trust-Zugriffssteuerung mit kundeneigenen Verschlüsselungsschlüsseln
Die Data Policy Engine von Kiteworks erzwingt ABAC– und RBAC-Kontrollen mit minimalen Rechten. SCIM, LDAP/SAML SSO und das Management externer Nutzer automatisieren den Identitätslebenszyklus.
Multi-Faktor-Authentifizierung erfolgt über RADIUS, PIV/CAC und OTP.
Doppelte Verschlüsselung im ruhenden Zustand, kundeneigene Schlüssel und HSM-Integration sorgen dafür, dass der Schlüsselbesitz beim Unternehmen bleibt – und erfüllen die Vorgabe zur Verschlüsselung von Wechseldatenträgern und Backups.
SafeVIEW, SafeEDIT und ein zero-trust-Perimeter mit integrierten Firewalls und KI-basierter Intrusion Detection trennen Administratoren- und Endnutzerrollen.
Konsolidierte Compliance-Berichte und Kontrolle über Datensouveränität
Die Data Policy Engine von Kiteworks operationalisiert Zugriffssteuerung mit ABAC- und RBAC-Kontrollen. Compliance-Berichte zu Audit-Log, Bedrohungen von innen und außen, DSGVO und HIPAA liefern messbare Nachweise zur Wirksamkeit der Kontrollen. Umfassende Audit-Logs mit SIEM-Feeds bündeln Aktivitäten in einem zentralen Stream. Rollenbasierter Admin-Zugriff weist eine eigene Compliance-Rolle zu und trennt Aufgabenbereiche. Datensouveränität und Geofencing speichern und routen Daten im zugewiesenen Land des Nutzers, während kundeneigene Schlüssel und Single-Tenant-Private-Cloud den Schlüsselbesitz sichern.
Echtzeit-SIEM-Feeds und rechtssichere Beweissicherung
Umfassende Audit-Logs mit SIEM-Feeds bündeln jedes Sicherheitsereignis in einem zentralen, nicht gedrosselten Stream – in Echtzeit an ArcSight, QRadar, Splunk und LogRhythm. KI-basierte Erkennung von Angriffen und Anomalien identifiziert verdächtige Aktivitäten, bevor es zu einer Datenpanne kommt. Legal Hold und eDiscovery–Zugriffssteuerungen, beschränkt auf Data Leak Investigator Admins, sichern Beweise gemäß A.5.28. Sichere Datenformulare bieten Mitarbeitenden einen Meldekanal. NTP-Uhrzeitsynchronisation und SNMP-Health-Monitoring erfassen Zeitstempel, Kapazitäten und Schwachstellen.
Häufig gestellte Fragen
Gesundheitseinrichtungen müssen eine Multi-Faktor-Authentifizierung für alle Systeme mit Gesundheitsdaten durchsetzen, Wechseldatenträger und Backups verschlüsseln, Aufgaben klar trennen und ein zentrales Identitätsmanagement mit Verschlüsselungsschlüssel-Verwaltung implementieren, um Least-Privilege-Zugriff, SSO und zero-trust-Segmentierung zu ermöglichen.
Sie müssen messbare Sicherheitsziele definieren, regelmäßige Risikoanalysen durchführen, Kontrollen fortlaufend überwachen, Lieferantenwechsel steuern und dokumentierte Nachweise führen – einschließlich der genauen Erfassung von Speicherorten und Zugriffen auf Gesundheitsdaten gemäß Cloud-Governance-Regeln wie A.5.23.
Teams müssen Ereignisse erkennen, dokumentierte Reaktionsprozesse befolgen, rechtssichere Nachweise sichern, Schwachstellen und Kapazitäten nachverfolgen, Uhren synchronisieren und Protokolle gemäß A.8.15 analysieren – und das alles über verschiedene, nicht integrierte Tools hinweg, ohne eine einheitliche Security-Operations-Plattform.
Kiteworks nutzt seine Data Policy Engine für ABAC– und RBAC-Kontrollen mit Least-Privilege-Standards, automatisiert das Identitätsmanagement via SCIM/LDAP/SAML SSO, unterstützt MFA über RADIUS/PIV/CAC/OTP, bietet doppelte Verschlüsselung im ruhenden Zustand mit kundeneigenen Schlüsseln und HSM-Integration und erzwingt Rollentrennung durch SafeVIEW, SafeEDIT sowie einen zero-trust-Perimeter mit KI-basierter Intrusion Detection.
Featured Resources
Einfache und sichere Freigabe von Google Docs
Einfache und sichere Freigabe von Google Docs
Umgehen Sie Fallstricke bei der OneDrive-Freigabe in Ihrem Office 365®-Rollout
Umgehen Sie Fallstricke bei der OneDrive-Freigabe in Ihrem Office 365®-Rollout
E-Mail-Verschlüsselung allein reicht nicht aus