Hoe lang is een NEN 7510 certificaat geldig?

Een NEN 7510 certificaat is drie jaar geldig. Na deze drie jaar moet je een hercertificeringsaudit doorlopen om het certificaat te verlengen. Tussentijds vinden jaarlijkse surveillanceaudits plaats om te controleren of je informatiebeveiligingsmanagementsysteem (ISMS) nog steeds voldoet aan de norm. In dit artikel beantwoorden we de meest gestelde vragen over de geldigheid, verlenging en kosten van een NEN 7510 certificaat.

Hoe vaak moet een NEN 7510 certificaat worden verlengd?

Een NEN 7510 certificaat moet elke drie jaar worden verlengd via een hercertificeringsaudit. Deze driejarige certificatiecyclus is standaard voor managementsysteemnormen zoals NEN 7510. Naast de hercertificering na drie jaar vinden er ook jaarlijkse surveillanceaudits plaats, doorgaans in het eerste en tweede jaar na de initiële certificering of hercertificering.

De cyclus ziet er in de praktijk als volgt uit:

• Jaar 1: Initiële certificering of hercertificering
• Jaar 2: Eerste surveillanceaudit
• Jaar 3: Tweede surveillanceaudit
• Jaar 4: Hercertificeringsaudit (start nieuwe driejarige cyclus)

Tijdens de surveillanceaudits controleert de certificerende instelling of je ISMS nog steeds functioneert zoals vereist. Ze kijken onder andere naar de uitkomsten van interne audits, de resultaten van managementreviews en de opvolging van eerder geconstateerde verbeterpunten. Surveillanceaudits zijn minder uitgebreid dan een volledige hercertificeringsaudit, maar ze zijn zeker geen formaliteit.

Organisaties die zowel een NEN 7510 certificering als een ISO 27001 certificaat nastreven, hoeven geen dubbele auditlasten te dragen. Het certificatieschema NCS 7510 voorziet hierin, zodat gecombineerde trajecten efficiënter verlopen.

Wat gebeurt er als een NEN 7510 certificaat verloopt?

Als een NEN 7510 certificaat verloopt zonder tijdige verlenging, verlies je de officiële certificaatstatus. Dit betekent dat je niet langer kunt aantonen dat je organisatie voldoet aan de NEN 7510 norm, wat directe gevolgen kan hebben voor contracten, aanbestedingen en het vertrouwen van ketenpartners in de zorg.

Voor zorginstellingen, ICT-leveranciers in de zorg en andere organisaties die persoonlijke gezondheidsinformatie verwerken, is een geldig certificaat vaak een voorwaarde voor samenwerking. Zorgverzekeraars, gemeenten en andere ketenpartners stellen NEN 7510 certificering regelmatig als eis. Verlies van certificering kan er dus toe leiden dat je bepaalde opdrachten of samenwerkingsverbanden niet meer kunt uitvoeren.

Daarnaast geldt in 2026 een extra urgentie: op 16 december 2024 is de herziene NEN 7510:2024 gepubliceerd. Organisaties met een bestaand certificaat op basis van de oude versie moeten vóór 20 februari 2027 een overgangsaudit hebben afgerond. Wie dit niet tijdig doet, raakt niet alleen het certificaat kwijt, maar mist ook de aansluiting op actuele wetgeving zoals de NIS2-richtlijn, die naar verwachting in het tweede kwartaal van 2026 wordt geïmplementeerd via de Nederlandse Cyberbeveiligingswet.

 

 

Hoe verloopt een NEN 7510 hercertificeringsaudit?

Een NEN 7510 hercertificeringsaudit is een volledige beoordeling van je ISMS door een onafhankelijke certificerende instelling. De auditor beoordeelt of je informatiebeveiliging nog steeds voldoet aan alle eisen van de norm en of het systeem effectief wordt onderhouden en verbeterd. De audit bestaat doorgaans uit een documentbeoordeling en een locatiebezoek.

Een goede voorbereiding op de hercertificeringsaudit omvat de volgende stappen:

1. ISMS actualiseren: Zorg dat beleid, procedures, risicobeoordeling en de Verklaring van Toepasselijkheid up-to-date zijn.
2. Beheersmaatregelen toetsen: Controleer via interne audits of nieuwe of aangepaste maatregelen daadwerkelijk zijn geïmplementeerd.
3. Training en bewustwording: Informeer medewerkers over eventuele wijzigingen, verduidelijk rollen en actualiseer incidentprocedures.
4. Interne audit uitvoeren: Voer een interne audit uit op basis van de actuele norm en bespreek bevindingen tijdens een managementreview.
5. Overgangsaudit plannen: Plan de hercertificeringsaudit tijdig met de certificerende instelling.

Bijlage C van NEN 7510-2 biedt een handig handvat voor het formuleren van vragen bij interne audits, wat de voorbereiding aanzienlijk vergemakkelijkt. Het aantal auditordagen dat de certificerende instelling inzet, wordt bepaald aan de hand van het certificatieschema NCS 7510, dat richtlijnen bevat voor de berekening op basis van de omvang en complexiteit van je organisatie.

Voor organisaties die ook werken aan ISO 27001 certificering, is het goed te weten dat de auditlast gecombineerd kan worden. Beide normen delen een gemeenschappelijke basis, waardoor je niet twee volledig aparte trajecten hoeft te doorlopen.

Wat zijn de kosten van het verlengen van een NEN 7510 certificaat?

De kosten van het verlengen van een NEN 7510 certificaat zijn afhankelijk van de omvang van je organisatie, de complexiteit van je processen en activiteiten, en of je al andere managementsystemen hebt gecertificeerd. Er is geen vaste prijs: prijsopgaven vraag je op bij de bij NEN aangesloten conformiteitsbeoordelende instellingen.

Factoren die de kosten beïnvloeden zijn onder andere:

• Omvang van de organisatie: Meer medewerkers en locaties betekent doorgaans meer auditordagen.
• Complexiteit van processen: Organisaties met uitgebreide ICT-infrastructuren of meerdere systemen voor gegevensverwerking vereisen een uitgebreidere beoordeling.
• Gecombineerde certificering: Organisaties die zowel NEN 7510 als ISO 27001 certificeren, worden niet geconfronteerd met dubbele auditlasten. Dit kan de totale kosten aanzienlijk verlagen.
• Voorbereiding en intern werk: Hoe beter je interne processen op orde zijn, hoe soepeler de audit verloopt en hoe kleiner de kans op herbezoeken of aanvullende beoordelingen.

Naast de directe auditkosten moet je ook rekening houden met de tijd en inzet die intern nodig zijn voor voorbereiding, het bijhouden van documentatie en het uitvoeren van interne audits. Een goed ingericht ISMS dat continu wordt onderhouden, verlaagt de totale inspanning bij elke hercertificering.

Wanneer moet je beginnen met de voorbereiding op verlenging?

Je begint het beste minimaal zes maanden voor het verlopen van je NEN 7510 certificaat met de voorbereiding op verlenging. Dit geeft je voldoende tijd om het ISMS te actualiseren, interne audits uit te voeren, een managementreview te houden en de hercertificeringsaudit in te plannen bij de certificerende instelling.

In de praktijk is het verstandig om de voorbereiding als een doorlopend proces te zien in plaats van een eenmalige inspanning vlak voor de verloopdatum. Organisaties die hun ISMS actief onderhouden, merken dat de hercertificering veel minder belastend is. Denk aan:

• Het regelmatig bijwerken van risicobeoordelingen en het risicobehandelplan
• Het uitvoeren van periodieke interne audits, ook buiten de verplichte cyclus
• Het bijhouden van incidentregistraties en de opvolging van verbeteracties
• Het actueel houden van de Verklaring van Toepasselijkheid

Voor organisaties die nog moeten overstappen naar NEN 7510:2024, is de tijdsdruk in 2026 extra groot. De overgangsperiode loopt tot 20 februari 2027, wat betekent dat je nu al moet beginnen met de gap-analyse en het actualiseren van je ISMS. Een interne audit training kan daarbij helpen om je team goed voor te bereiden op de herziene norm.

Hoe Diks Process Support helpt met NEN 7510 certificering

Wij begeleiden organisaties in de zorg- en welzijnssector bij het behalen én behouden van hun NEN 7510 certificaat. Of je nu voor het eerst wilt certificeren, toe bent aan hercertificering of moet overstappen naar de herziene NEN 7510:2024, wij staan naast je gedurende het hele traject. Concreet helpen wij je met:

• Een heldere gap-analyse om te bepalen waar je nu staat ten opzichte van de norm
• Het opzetten of actualiseren van je ISMS, inclusief beleid, procedures en Verklaring van Toepasselijkheid
• Het uitvoeren of begeleiden van interne audits en managementreviews
• De voorbereiding op de hercertificeringsaudit of overgangsaudit
• Ondersteuning bij gecombineerde trajecten, zoals NEN 7510 in combinatie met ISO 27001
• Interim ondersteuning als je tijdelijk behoefte hebt aan een ervaren security officer

We werken niet vóór je, maar met je. Dat betekent dat we kennis overdragen, jouw team versterken en zorgen dat de certificering ook na ons vertrek geborgd blijft. Wil je weten hoe we jouw organisatie kunnen ondersteunen? Neem contact op en we bespreken samen de mogelijkheden.

 

Gerelateerde artikelen

• Geldt NEN 7510 voor thuiszorgorganisaties?
• Wat kost een cyberaanval een zorgorganisatie gemiddeld?
• Kan mijn zorgorganisatie aansprakelijk worden bij een datalek?
• Zorgopdrachtgevers vragen om een certificaat, welke heb ik nodig?
• Ik weet niet waar ik moet beginnen met informatiebeveiliging, wat doe ik?
• ISO 27001 zelf implementeren of uitbesteden?
• Welke certificeringsinstelling kies je voor ISO 9001?
• Hoe weet je of jouw veiligheidsaanpak écht werkt?
• Hoe documenteer je SCL processen correct?
• Wat kost een interim veiligheidskundige per dag?