Wat zijn de eisen van NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector. De norm beschrijft welke maatregelen organisaties moeten nemen om patiëntgegevens en andere gevoelige zorginformatie adequaat te beschermen. NEN 7510 is gebaseerd op de internationale ISO 27001-norm, maar specifiek toegespitst op de eisen en risico’s van de Nederlandse gezondheidszorg. In dit artikel beantwoorden we de meest gestelde vragen over de norm, van verplichte toepassingsgebieden tot certificering en implementatie.

Voor welke organisaties is NEN 7510 verplicht?

NEN 7510 is verplicht voor alle organisaties die patiëntgegevens verwerken binnen de Nederlandse gezondheidszorg. Dit omvat ziekenhuizen, huisartsenpraktijken, apotheken, ggz-instellingen en thuiszorgorganisaties. Maar ook ICT-leveranciers en softwarebedrijven die systemen leveren aan zorgorganisaties vallen onder de reikwijdte van de norm, omdat zij indirect toegang hebben tot gevoelige zorgdata.

De verplichting is verankerd in Nederlandse wet- en regelgeving. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de AVG schrijven voor dat zorgorganisaties passende technische en organisatorische maatregelen treffen. NEN 7510 geldt daarbij als de erkende invulling van die verplichting. Toezichthouders zoals de Inspectie Gezondheidszorg en Jeugd (IGJ) en de Autoriteit Persoonsgegevens hanteren de norm als referentiekader bij audits en onderzoeken.

Voor organisaties buiten de zorg is NEN 7510 niet wettelijk verplicht, maar de norm kan wel als contractuele eis worden gesteld door opdrachtgevers of inkooppartijen die actief zijn in de zorgketen. Als jouw organisatie data uitwisselt met zorginstellingen, is het verstandig om de norm serieus te nemen, ook zonder formele verplichting. Meer informatie over de NEN 7510 compliance vind je op onze website.

Welke eisen stelt NEN 7510 aan informatiebeveiliging?

NEN 7510 stelt eisen aan het opzetten, implementeren, bewaken en continu verbeteren van een informatiebeveiligingsmanagementsysteem (ISMS). De norm dekt alle aspecten van informatiebeveiliging, van beleid en risicobeheer tot toegangscontrole, incidentbeheer en fysieke beveiliging.

De kern van de norm bestaat uit een aantal domeinen die organisaties moeten adresseren:

• Informatiebeveiligingsbeleid: Een gedocumenteerd beleid dat door het management is vastgesteld en gecommuniceerd.
• Risicobeoordeling en risicobehandeling: Het systematisch identificeren van risico’s voor patiëntgegevens en het nemen van passende maatregelen.
• Toegangsbeheer: Alleen bevoegde personen hebben toegang tot gevoelige informatie, met strikte authenticatie- en autorisatieprocedures.
• Incidentbeheer: Procedures voor het detecteren, melden en afhandelen van beveiligingsincidenten en datalekken.
• Continuïteitsbeheer: Maatregelen om de beschikbaarheid van zorgsystemen en patiëntdata te waarborgen, ook bij storingen of calamiteiten.
• Leveranciersbeheer: Eisen aan externe partijen die toegang hebben tot systemen of data van de zorgorganisatie.

Naast deze domeinen bevat NEN 7510 specifieke aanvullingen die relevant zijn voor de zorgsector, zoals eisen rondom het medisch beroepsgeheim en de uitwisseling van patiëntgegevens via elektronische systemen. De norm schrijft niet precies voor welke technische oplossing je kiest, maar wel welk resultaat je moet bereiken.

Wat is het verschil tussen NEN 7510, NEN 7512 en NEN 7513?

NEN 7510, NEN 7512 en NEN 7513 zijn drie aanvullende normen die samen het Nederlandse normenstelsel voor informatiebeveiliging in de zorg vormen. NEN 7510 is de basisnorm voor het ISMS, terwijl NEN 7512 en NEN 7513 specifieke deelgebieden uitwerken.

NEN 7510 is de overkoepelende norm die de volledige aanpak van informatiebeveiliging beschrijft. Het is de norm waarop organisaties zich kunnen laten certificeren en die als fundament dient voor de andere twee normen.

NEN 7512 richt zich specifiek op de vertrouwensbasis bij gegevensuitwisseling in de zorg. De norm beschrijft welke eisen gelden voor de betrouwbare en veilige uitwisseling van patiëntgegevens tussen zorgverleners, bijvoorbeeld via zorginformatiesystemen of het LSP (Landelijk Schakelpunt). Het gaat hier om authenticatie, autorisatie en logging bij gegevensuitwisseling.

NEN 7513 gaat over logging van toegang tot patiëntdossiers. De norm beschrijft welke handelingen moeten worden vastgelegd, hoe lang loggegevens bewaard moeten worden en hoe patiënten inzage kunnen krijgen in wie hun dossier heeft geraadpleegd. Dit sluit direct aan op het recht van patiënten om te weten wie hun gegevens heeft ingezien.

Kort samengevat: NEN 7510 is het fundament, NEN 7512 regelt veilige gegevensuitwisseling en NEN 7513 regelt de logging en transparantie van toegang tot patiëntdossiers. De drie normen vullen elkaar aan en worden in de praktijk vaak samen geïmplementeerd.

Hoe werkt de certificering voor NEN 7510?

Certificering voor NEN 7510 verloopt via een onafhankelijke, geaccrediteerde certificerende instelling. De instelling beoordeelt of jouw organisatie voldoet aan de eisen van de norm door middel van een audit. Bij een positief resultaat ontvang je een certificaat dat doorgaans drie jaar geldig is, met jaarlijkse tussentijdse audits.

Het certificeringsproces verloopt in grote lijnen als volgt:

1. Voorbereiding en gap-analyse: Breng in kaart waar jouw organisatie nu staat ten opzichte van de normeisen. Identificeer de ontbrekende maatregelen en stel een implementatieplan op.
2. Implementatie: Voer de benodigde technische en organisatorische maatregelen door, documenteer beleid en procedures en train medewerkers.
3. Interne audit: Voer een interne beoordeling uit om te controleren of het ISMS correct functioneert en of alle normeisen zijn gedekt.
4. Directiebeoordeling: Het management beoordeelt de werking van het ISMS en stelt verbeteringen vast.
5. Externe audit fase 1: De certificerende instelling beoordeelt de documentatie en het ISMS op papier.
6. Externe audit fase 2: De auditor bezoekt de organisatie om te toetsen of de maatregelen ook in de praktijk werken.
7. Certificaatuitgifte: Bij voldoende bevindingen wordt het NEN 7510-certificaat uitgereikt.

Certificering is niet altijd verplicht, maar wordt steeds vaker geëist door opdrachtgevers, zorgverzekeraars en inkooppartijen. Bovendien biedt een certificaat aantoonbaar bewijs richting toezichthouders dat jouw organisatie informatiebeveiliging serieus neemt.

Wat zijn de gevolgen van non-compliance met NEN 7510?

Organisaties die niet voldoen aan NEN 7510 lopen risico op toezichthoudende maatregelen, reputatieschade en financiële gevolgen. De Autoriteit Persoonsgegevens kan bij een datalek onderzoeken of de organisatie voldoende maatregelen had getroffen en bij onvoldoende beveiliging een boete opleggen op grond van de AVG.

Naast juridische gevolgen zijn er ook operationele risico’s. Zorgorganisaties die niet voldoen aan de norm lopen een verhoogd risico op datalekken, ransomware-aanvallen en verstoringen van kritieke zorgsystemen. De gevolgen daarvan reiken verder dan financiële schade: een cyberaanval op een zorginstelling kan directe impact hebben op de patiëntveiligheid.

Contractuele gevolgen zijn eveneens reëel. Steeds meer zorginstellingen en zorgverzekeraars eisen in hun inkoopvoorwaarden dat leveranciers aantoonbaar voldoen aan NEN 7510. Non-compliance kan betekenen dat contracten niet worden verlengd of dat je wordt uitgesloten van aanbestedingen. In 2026 neemt deze druk verder toe, mede door de bredere Europese aandacht voor cyberweerbaarheid in kritieke sectoren zoals de zorg.

Hoe begin je met de implementatie van NEN 7510?

Begin met een gap-analyse: vergelijk de huidige beveiligingssituatie van jouw organisatie met de eisen van NEN 7510 en breng in kaart welke maatregelen ontbreken of onvoldoende zijn. Dit geeft een helder beeld van de prioriteiten en de benodigde investering.

Een succesvolle implementatie vraagt om betrokkenheid van het management, duidelijk eigenaarschap van processen en een realistisch plan van aanpak. Enkele praktische stappen om mee te beginnen:

• Stel een informatiebeveiligingsbeleid op dat door de directie is vastgesteld.
• Voer een risicoanalyse uit op de verwerking van patiëntgegevens binnen jouw organisatie.
• Inventariseer welke systemen, applicaties en leveranciers toegang hebben tot gevoelige data.
• Documenteer bestaande maatregelen en identificeer de lacunes ten opzichte van de norm.
• Stel een verbeterplan op met duidelijke prioriteiten, verantwoordelijkheden en een tijdlijn.

Implementatie hoeft niet in één keer perfect te zijn. NEN 7510 vraagt om een plan-do-check-act-cyclus: je bouwt het ISMS stap voor stap op en verbetert het continu op basis van audits, incidenten en veranderende risico’s. Voor organisaties zonder interne beveiligingsexpertise is het inschakelen van een externe adviseur een effectieve manier om sneller resultaat te boeken. Een virtual CISO kan hierbij een waardevolle rol spelen als strategische begeleider.

Hoe Hofsecure helpt met NEN 7510 compliance

Wij begrijpen dat NEN 7510 voor veel organisaties een flinke opgave is, zeker als je geen volledig intern beveiligingsteam hebt. Vanuit onze achtergrond in de zorgsector, defensie en online retail helpen wij organisaties pragmatisch en doelgericht op weg naar aantoonbare compliance. Wat wij concreet voor je doen:

• Gap-analyse: We brengen snel en overzichtelijk in kaart waar jouw organisatie nu staat ten opzichte van de NEN 7510-eisen.
• Implementatiebegeleiding: We helpen je beleid, procedures en technische maatregelen op orde te brengen, zonder onnodige complexiteit.
• CISO as a Service: Voor organisaties zonder interne CISO leveren we strategische beveiligingsleiding op maat, afgestemd op jouw sector en risicoprofiel.
• Auditvoorbereiding: We bereiden jouw organisatie voor op de externe certificeringsaudit, zodat je goed beslagen ten ijs komt.
• Continu advies: Na certificering ondersteunen we je bij het onderhouden en verbeteren van je ISMS.

Wil je weten hoe Hofsecure jouw organisatie kan helpen met NEN 7510? Neem contact op voor een vrijblijvend gesprek. We denken graag met je mee over de eerste stap.