Voor wie is NEN 7510 bedoeld?

NEN 7510 is bedoeld voor alle organisaties die gezondheidsgegevens verwerken, opslaan of uitwisselen binnen de Nederlandse zorgsector. Denk aan ziekenhuizen, huisartsenpraktijken, apotheken, GGZ-instellingen, thuiszorgorganisaties en ICT-leveranciers die systemen aan de zorg leveren. De norm stelt eisen aan het informatiebeveiligingssysteem van die organisaties, zodat patiëntgegevens aantoonbaar goed worden beschermd. In dit artikel beantwoorden we de meest gestelde vragen over de reikwijdte, de verplichtingen en de eerste stappen richting NEN 7510.

Welke organisaties vallen onder NEN 7510?

NEN 7510 is van toepassing op alle organisaties die in Nederland betrokken zijn bij de verwerking van gezondheidsinformatie. Dit omvat zorgaanbieders zoals ziekenhuizen, huisartsenpraktijken, tandartsen, apotheken, verpleeghuizen, GGZ-instellingen en thuiszorgorganisaties. Maar ook ICT-leveranciers, softwareleveranciers en andere ketenpartners die toegang hebben tot patiëntgegevens vallen binnen de scope.

De norm maakt geen onderscheid op basis van de omvang van een organisatie. Een kleine huisartsenpraktijk met een elektronisch patiëntendossier valt er net zo goed onder als een groot academisch ziekenhuis. Wat telt, is of een organisatie gezondheidsgegevens verwerkt in de zin van de wet. Daarbij speelt ook de NIS2-richtlijn een rol: zorginstellingen die als essentiële entiteit worden aangemerkt, krijgen te maken met aanvullende verplichtingen die goed aansluiten op de eisen van NEN 7510.

Concreet kun je de volgende typen organisaties onderscheiden die onder de norm vallen:

• Zorgaanbieders die direct patiëntenzorg verlenen
• Laboratoria en diagnostische centra
• Apothekers en farmaceutische dienstverleners
• GGD’en en publieke gezondheidsdiensten
• ICT- en softwareleveranciers met toegang tot zorgsystemen
• Administratieve dienstverleners die zorgdata verwerken

Wat is het verschil tussen NEN 7510 en ISO 27001?

NEN 7510 en ISO 27001 zijn beide normen voor informatiebeveiliging, maar NEN 7510 is specifiek ontwikkeld voor de Nederlandse zorgsector. ISO 27001 is een algemene internationale norm die voor elke sector toepasbaar is. NEN 7510 bouwt voort op de principes van ISO 27001, maar voegt zorgspecifieke eisen en beheersmaatregelen toe die aansluiten op de unieke risico’s van het werken met patiëntgegevens.

In de praktijk betekent dit dat een organisatie die NEN 7510 implementeert, grotendeels voldoet aan de structuur van ISO 27001. Beide normen vereisen een Information Security Management System (ISMS), een risicoanalyse en een Verklaring van Toepasselijkheid. Het verschil zit in de diepgang en de specifieke beheersmaatregelen: NEN 7510 schrijft aanvullende eisen voor rondom toegangsbeheer tot patiëntdossiers, logging, beschikbaarheid van zorginformatie en de omgang met medische gegevens.

Een praktisch voordeel: organisaties die zowel een NEN 7510-certificaat als een ISO 27001-certificaat nastreven, worden niet geconfronteerd met dubbele auditlasten. Het certificatieschema voor NEN 7510 voorziet hierin, waardoor gecombineerde trajecten efficiënt kunnen worden ingericht.

Is NEN 7510 verplicht of vrijwillig?

NEN 7510 is in de meeste gevallen niet wettelijk verplicht als norm op zich, maar in de praktijk is naleving ervan voor veel zorgorganisaties feitelijk onvermijdelijk. Diverse wet- en regelgeving, zoals de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de AVG, verplichten zorgorganisaties om passende technische en organisatorische maatregelen te treffen voor de beveiliging van patiëntgegevens. NEN 7510 geldt als de erkende standaard om aan die verplichting invulling te geven.

Daarnaast stellen steeds meer zorgverzekeraars, inkooporganisaties en samenwerkingspartners NEN 7510-certificering als contractuele eis. Voor ICT-leveranciers die willen aansluiten op zorginformatienetwerken, is certificering in veel gevallen een harde voorwaarde. De norm is dus weliswaar formeel vrijwillig, maar de markt en de regelgeving maken naleving in de praktijk noodzakelijk voor elke organisatie die serieus in de zorg wil opereren.

Wat zijn de gevolgen als een zorgorganisatie NEN 7510 niet naleeft?

Als een zorgorganisatie NEN 7510 niet naleeft, loopt zij meerdere risico’s tegelijk. Het meest directe risico is een datalek of beveiligingsincident waarbij patiëntgegevens worden blootgesteld. De gevolgen daarvan zijn niet alleen reputatieschade, maar ook een meldplicht bij de Autoriteit Persoonsgegevens en de mogelijkheid van hoge boetes op grond van de AVG.

Naast de juridische en financiële risico’s zijn er ook operationele consequenties. Zorgorganisaties die niet kunnen aantonen dat zij voldoen aan de informatiebeveiligingseisen, kunnen worden uitgesloten van aanbestedingen, samenwerkingsverbanden of aansluiting op regionale en nationale zorginformatienetwerken. Dat kan directe gevolgen hebben voor de continuïteit van de zorgverlening.

Op de langere termijn groeit ook de druk vanuit toezichthouders. De Inspectie Gezondheidszorg en Jeugd (IGJ) betrekt informatiebeveiliging steeds vaker bij haar toezicht op de kwaliteit en veiligheid van zorg. Organisaties die structureel achterblijven op dit vlak, riskeren aanwijzingen of verscherpt toezicht.

Hoe begint een organisatie met NEN 7510?

Een organisatie begint met NEN 7510 door eerst de huidige stand van informatiebeveiliging in kaart te brengen via een nulmeting of gap-analyse. Daarmee wordt duidelijk op welke punten de organisatie al voldoet aan de norm en waar nog werk te verzetten valt. Vanuit die analyse wordt een implementatieplan opgesteld dat stapsgewijs leidt naar een werkend ISMS en uiteindelijk naar certificering.

De aanpak bestaat in de kern uit de volgende stappen:

1. Nulmeting uitvoeren: breng de huidige situatie in kaart en vergelijk deze met de eisen van NEN 7510.
2. ISMS opzetten of actualiseren: stel beleid, procedures, een risicobeoordeling en een risicobehandelplan op.
3. Beheersmaatregelen implementeren: voer nieuwe of aangepaste maatregelen door en toets deze via interne audits.
4. Training en bewustwording: informeer medewerkers over hun rol, de wijzigingen in beleid en de incidentprocedures.
5. Interne audit en directiebeoordeling: voer een interne audit uit op basis van NEN 7510 en bespreek bevindingen op directieniveau.
6. Certificeringsaudit plannen: schakel een gecertificeerde instelling in en plan de externe audit tijdig in.

Een handig startpunt is het NEN Connect-platform, waar NEN 7510-1 en NEN 7510-2 kosteloos beschikbaar zijn dankzij een overeenkomst tussen het ministerie van VWS en NEN. Via dit platform zijn ook aanvullende tools beschikbaar, zoals een compliance tool en een risicotool, die de eerste stappen concreet ondersteunen.

Hoe wij helpen met NEN 7510-certificering

Wij begeleiden zorgorganisaties van de eerste nulmeting tot en met een succesvol gecertificeerd ISMS. Onze aanpak is praktisch en stapsgewijs: we werken samen met jouw team, passen ons aan de omvang en complexiteit van jouw organisatie aan en zorgen dat de norm daadwerkelijk in de praktijk landt.

Wat wij voor je doen:

• Uitvoeren van een gap-analyse om de afstand tot NEN 7510 inzichtelijk te maken
• Opstellen of actualiseren van beleid, procedures en de Verklaring van Toepasselijkheid
• Begeleiden van de risicoanalyse en het risicobehandelplan
• Ondersteunen bij interne audits en de voorbereiding op de externe certificeringsaudit
• Verzorgen van training en bewustwording voor medewerkers en management
• Interim ondersteuning als interim security officer bij capaciteitsgebrek

Wil je weten hoe we jouw organisatie kunnen ondersteunen bij NEN 7510-certificering? Neem dan gerust contact met ons op voor een vrijblijvend gesprek.

Gerelateerde artikelen

• Wat zijn de voordelen van NEN 7510 certificering?
• Hoe haal ik NEN 7510 zonder dat het mijn organisatie overbelast?
• Hoe herstel ik vertrouwen na een datalek in mijn zorgorganisatie?
• Wat betekent risicogebaseerd denken in ISO 9001?
• Waarom werken toolboxmeetingen vaak niet?
• Hoe kies je de juiste SCL adviseur?
• Wat is het verschil tussen SCL en ISO 45001?
• Wat kost een interim veiligheidskundige per dag?
• Wat doet een interim KAM manager bij ons in de praktijk?
• Wat is een geïntegreerd managementsysteem met ISO 27001?