Hoe lang duurt NEN 7510 certificering?

Een NEN 7510 certificering duurt gemiddeld tussen de drie en twaalf maanden, afhankelijk van de omvang van je organisatie, de volwassenheid van je bestaande informatiebeveiliging en de beschikbare interne capaciteit. Organisaties die al werken met een informatiebeveiligingsmanagementsysteem (ISMS) of een vergelijkbare norm zoals ISO 27001 kunnen het traject aanzienlijk verkorten. In dit artikel beantwoorden we de meest gestelde vragen over de doorlooptijd, de fases en het moment waarop je klaar bent voor de audit.

Wat bepaalt de doorlooptijd van een NEN 7510 certificering?

De doorlooptijd van een NEN 7510 certificering wordt bepaald door vier hoofdfactoren: de huidige volwassenheid van je informatiebeveiliging, de omvang en complexiteit van je organisatie, de beschikbare interne capaciteit en de snelheid waarmee je een certificerende instelling kunt plannen. Organisaties die beginnen zonder enige beveiligingsstructuur hebben doorgaans zes tot twaalf maanden nodig. Organisaties met een bestaand ISMS kunnen dit terugbrengen tot drie tot zes maanden.

Naast deze factoren speelt ook de sector een rol. NEN 7510 is specifiek ontwikkeld voor de zorg- en welzijnssector en stelt eisen aan alle organisaties die persoonlijke gezondheidsinformatie beheren. Denk aan zorginstellingen, ICT-leveranciers in de zorg, zorgverzekeraars, gemeenten met taken in de Wmo of jeugdzorg, en softwareontwikkelaars die aan zorginstellingen leveren. Hoe meer ketenpartners betrokken zijn bij de gegevensuitwisseling, hoe meer afstemming nodig is en hoe langer het traject kan duren.

Een praktische factor die de doorlooptijd ook beïnvloedt, is de beschikbaarheid van auditcapaciteit bij de certificerende instelling. Plan de overgangsaudit of initiële audit daarom ruim van tevoren in, zodat je geen vertraging oploopt door bezette agenda’s.

Welke fases doorloop je tijdens het NEN 7510 traject?

Een NEN 7510 traject verloopt in zes herkenbare fases, van de nulmeting tot de uiteindelijke certificering. Elke fase bouwt voort op de vorige, en het overslaan van een stap leidt vrijwel altijd tot vertraging of herwerk later in het proces.

1. Nulmeting en gap-analyse: Je brengt in kaart wat er al aanwezig is op het gebied van informatiebeveiliging en waar de grootste tekortkomingen zitten ten opzichte van de norm.
2. Opzetten of actualiseren van het ISMS: Je stelt het informatiebeveiligingsmanagementsysteem op, inclusief de Verklaring van Toepasselijkheid, beleid, procedures, risicobeoordeling en risicobehandelplan.
3. Implementatie en toetsing van beheersmaatregelen: Nieuwe of aangepaste maatregelen worden ingevoerd en getoetst via interne audits.
4. Training en bewustwording: Medewerkers worden geïnformeerd over wijzigingen, rollen worden verduidelijkt en incidentprocedures worden geactualiseerd.
5. Interne audit en management review: Op basis van NEN 7510 voer je een interne audit uit. Bevindingen worden op directieniveau besproken en verbeteracties worden vastgelegd.
6. Externe audit en certificering: De certificerende instelling voert de officiële audit uit. Bij een positief oordeel ontvang je het NEN 7510 certificaat.

Houd er rekening mee dat certificering alleen mogelijk is tegen NEN 7510-1, de norm die de eisen aan het ISMS beschrijft. NEN 7510-2, NEN 7512 en NEN 7513 zijn aanvullende normen zonder eigen certificatieschema.

 

 

Hoe lang duurt de voorbereiding op de NEN 7510 audit?

De voorbereiding op de NEN 7510 audit duurt gemiddeld drie tot negen maanden. Dit is de periode tussen de nulmeting en het moment waarop je de externe audit inplant. De exacte duur hangt sterk af van hoe volledig het ISMS al is ingericht en hoe snel de organisatie de benodigde beheersmaatregelen kan implementeren en aantoonbaar borgen.

Een veelgemaakte fout is het onderschatten van de tijd die nodig is voor interne audits en de management review. Deze stappen zijn niet alleen een formaliteit: ze zijn bedoeld om te bewijzen dat het systeem daadwerkelijk werkt en dat de directie actief betrokken is bij informatiebeveiliging. Zonder gedocumenteerde bevindingen en aantoonbare verbeteracties zal een externe auditor tekortkomingen signaleren.

Praktisch gezien is het verstandig om de interne audit en management review minimaal vier tot zes weken voor de externe audit af te ronden. Zo heb je nog tijd om eventuele bevindingen op te lossen voordat de certificerende instelling langskomt.

Wat is het verschil tussen NEN 7510 en ISO 27001 qua certificeringstijd?

Het certificeringstraject voor NEN 7510 en ISO 27001 heeft een vergelijkbare doorlooptijd, maar NEN 7510 vereist extra inspanning door de zorgspecifieke eisen. Waar ISO 27001 generiek toepasbaar is voor alle sectoren, voegt NEN 7510 aanvullende beheersmaatregelen toe die specifiek gericht zijn op de bescherming van persoonlijke gezondheidsinformatie. Dit betekent meer werk in de implementatiefase.

NEN 7510-1 is inhoudelijk gebaseerd op ISO/IEC 27001 en NEN 7510-2 op de combinatie van ISO/IEC 27002 en ISO/IEC 27799. Organisaties die al ISO 27001 gecertificeerd zijn, hebben daarmee een sterke basis voor NEN 7510. De aanvullende inspanning zit dan vooral in het implementeren van de zorgspecifieke maatregelen uit Annex A van NEN 7510-2 en het aantonen van de aansluiting op wet- en regelgeving zoals de Wabvpz en de Wegiz.

Voor organisaties die beide normen willen combineren, is een combinatietraject een efficiënte keuze. Zo voorkom je dubbel werk en kun je de doorlooptijd aanzienlijk verkorten ten opzichte van twee afzonderlijke trajecten.

Wanneer is een organisatie klaar voor de NEN 7510 audit?

Een organisatie is klaar voor de NEN 7510 audit wanneer het ISMS volledig gedocumenteerd en aantoonbaar operationeel is, een interne audit en management review zijn afgerond, en alle kritieke tekortkomingen zijn opgelost. De Verklaring van Toepasselijkheid moet actueel zijn en alle geselecteerde beheersmaatregelen moeten aantoonbaar geïmplementeerd zijn.

Concreet betekent dit dat je de volgende zaken op orde hebt:

• Een actuele risicobeoordeling en een gedocumenteerd risicobehandelplan
• Gedocumenteerde beleids- en proceduredocumenten die aansluiten op NEN 7510:2024
• Bewijs van training en bewustwording bij medewerkers
• Een afgeronde interne audit met gedocumenteerde bevindingen
• Een management review met vastgelegde verbeteracties
• Een ingeplande externe audit bij een erkende certificerende instelling

Let op de overgangsdeadline: organisaties die al gecertificeerd zijn op basis van een oudere versie van NEN 7510 moeten hun certificering vóór 20 februari 2027 hebben omgezet naar NEN 7510:2024. Plan de overgangsaudit daarom ruim op tijd in om vertraging te voorkomen.

Hoe lang blijft een NEN 7510 certificaat geldig?

Een NEN 7510 certificaat is doorgaans drie jaar geldig. Gedurende deze periode voert de certificerende instelling jaarlijkse tussentijdse audits (surveillance-audits) uit om te controleren of het ISMS nog steeds voldoet aan de norm. Na drie jaar volgt een hercertificeringsaudit om de geldigheid te verlengen.

De surveillance-audits zijn minder uitgebreid dan de initiële certificeringsaudit, maar ze zijn wel verplicht en vereisen voorbereiding. Organisaties die hun ISMS actief onderhouden, interne audits uitvoeren en management reviews documenteren, doorlopen deze tussentijdse controles doorgaans zonder problemen.

Informatiebeveiliging in de zorg is geen eenmalig project maar een continu proces. De herziene NEN 7510:2024, gepubliceerd op 16 december 2024, legt nog nadrukkelijker de nadruk op organisatiebrede borging en aantoonbaar management commitment. Organisaties die informatiebeveiliging structureel inbedden in hun bedrijfsvoering, zullen niet alleen hun certificaat behouden maar ook beter voorbereid zijn op aanvullende wet- en regelgeving zoals de Cyberbeveiligingswet, die in 2026 naar verwachting in werking treedt.

Hoe Diks Process Support helpt met NEN 7510 certificering

Wij begeleiden organisaties in de zorg- en welzijnssector van de eerste nulmeting tot en met het behalen van het NEN 7510 certificaat. We werken niet voor je, maar samen met je, zodat kennis en eigenaarschap binnen jouw organisatie blijven. Onze aanpak is praktisch, stapsgewijs en volledig afgestemd op jouw situatie.

Wat wij voor je doen:

• Uitvoeren van een gap-analyse om te bepalen waar je nu staat en wat er nog nodig is
• Opzetten of actualiseren van je ISMS, inclusief Verklaring van Toepasselijkheid en risicobeoordelingen
• Implementeren van beheersmaatregelen passend bij NEN 7510:2024
• Begeleiden van interne audits en management reviews
• Voorbereiden op de externe certificeringsaudit
• Ondersteunen bij de aansluiting op NIS2 en andere relevante wet- en regelgeving

Wil je weten hoe lang een NEN 7510 traject duurt voor jouw organisatie? Neem contact op en we kijken samen naar de beste aanpak.

 

Gerelateerde artikelen

• Is ISO 45001 nuttig als je al VCA hebt?
• Hoe beveilig ik patiëntdata bij thuiswerken?
• Hoe houd ik mijn NEN 7510 certificering actueel na de eerste audit?
• Wat verandert er in NEN 7510:2024?
• Wat doe je als klanten twijfelen aan de betrouwbaarheid van je bedrijf?
• Hoe betrek je medewerkers actief bij kwaliteitsverbetering?
• Hoe onderscheid je je als bedrijf met ISO 9001 bij aanbestedingen?
• Wat zijn de eisen voor leveranciersbeheer binnen ISO 9001?
• Wanneer schakel ik een interim kwaliteitsmanager in?
• Wat kost een interim HSE manager per maand?