Wat verwachten ziekenhuizen van leveranciers op het gebied van beveiliging?

Ziekenhuizen stellen strenge beveiligingseisen aan leveranciers die toegang hebben tot patiëntgegevens of zorgsystemen. De kern van die eisen draait om aantoonbare informatiebeveiliging: leveranciers moeten kunnen bewijzen dat zij persoonsgegevens en medische informatie op een verantwoorde manier beheren. In de praktijk betekent dit dat ziekenhuizen steeds vaker vragen om naleving van NEN 7510, een verwerkersovereenkomst en bij voorkeur een erkend certificaat. In dit artikel beantwoorden we de meest gestelde vragen over wat ziekenhuizen precies verwachten en hoe je als leverancier aan die verwachtingen voldoet.

Welke beveiligingseisen stellen ziekenhuizen aan leveranciers?

Ziekenhuizen verwachten van leveranciers dat zij aantoonbaar voldoen aan informatiebeveiliging conform NEN 7510, een werkende verwerkersovereenkomst kunnen overleggen en beschikken over beleid voor toegangsbeheer, incidentrespons en continuïteit. Deze eisen gelden voor iedere leverancier die persoonlijke gezondheidsinformatie verwerkt of toegang heeft tot zorgsystemen.

De reden voor deze strenge eisen is helder: ziekenhuizen werken met bijzonder gevoelige gegevens. Patiëntdossiers, behandelgeschiedenissen, medicatiegegevens en diagnostische informatie vallen allemaal onder persoonlijke gezondheidsinformatie. Als leverancier maak je onderdeel uit van de keten van zorgverleners, ICT-partners en andere partijen die gezamenlijk die informatie verwerken. Een zwakke schakel in die keten kan leiden tot datalekken, verstoringen van zorgprocessen en ernstige gevolgen voor patiënten.

Concreet vragen ziekenhuizen leveranciers doorgaans om:

• Een informatiebeveiligingsbeleid dat aansluit op NEN 7510
• Een actueel risicobeheerproces met gedocumenteerde risicobehandeling
• Technische maatregelen zoals versleuteling, toegangscontrole en logging
• Procedures voor het melden en afhandelen van beveiligingsincidenten
• Een continuïteitsplan dat regelmatig wordt getest
• Aantoonbare bewustwording en training van medewerkers

Waarom is NEN 7510 zo belangrijk voor leveranciers in de zorg?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en is wettelijk verankerd via de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Leveranciers die persoonlijke gezondheidsinformatie verwerken, zijn verplicht deze norm toe te passen. Ziekenhuizen gebruiken NEN 7510 als referentiekader om te beoordelen of een leverancier betrouwbaar en verantwoord omgaat met gevoelige zorgdata.

De norm is niet alleen relevant voor zorginstellingen zelf. ICT-leveranciers, softwareontwikkelaars, zorgverzekeraars en andere ketenpartners die persoonlijke gezondheidsinformatie verwerken, vallen allemaal onder de reikwijdte van NEN 7510. Dit maakt de norm tot een gemeenschappelijke taal in de zorgsector: ziekenhuizen en leveranciers hanteren dezelfde beveiligingsstandaard.

Bovendien sluit de herziene versie NEN 7510:2024, gepubliceerd op 16 december 2024, nauw aan op ISO/IEC 27001:2022 en houdt rekening met actuele dreigingen zoals cloudomgevingen en cyberaanvallen. De norm bevat ook een mapping naar de Europese NIS2-richtlijn, die naar verwachting in het tweede kwartaal van 2026 als Cyberbeveiligingswet in Nederland van kracht wordt. Leveranciers die nu voldoen aan NEN 7510, lopen daarmee al vooruit op die aankomende wetgeving.

 

 

Hoe beoordelen ziekenhuizen de beveiliging van een leverancier?

Ziekenhuizen beoordelen de beveiliging van een leverancier op basis van documentatie, audits en certificaten. Ze kijken of een leverancier beschikt over een aantoonbaar werkend informatiebeveiligingsmanagementsysteem (ISMS), een actuele Verklaring van Toepasselijkheid (VvT) en gedocumenteerde procedures voor risicobeheer en incidentafhandeling. Een NEN 7510-certificaat geldt daarbij als sterk bewijs van naleving.

In de praktijk verloopt de beoordeling vaak in meerdere stappen. Tijdens de aanbesteding of contractonderhandeling vraagt een ziekenhuis om een vragenlijst of beveiligingsscan. Daarna kan een leveranciersaudit volgen waarbij een interne of externe auditor de beveiligingsmaatregelen ter plaatse toetst. De Inspectie Gezondheidszorg en Jeugd (IGJ) verwacht van zorgaanbieders dat zij dit soort controles uitvoeren bij partijen die toegang hebben tot patiëntgegevens.

Belangrijk om te weten: een individuele applicatie of softwareoplossing kan niet zelfstandig NEN 7510-compliant zijn. De norm richt zich op organisaties, niet op producten. Als leverancier ben jij verantwoordelijk voor de beschikbaarheid, vertrouwelijkheid en integriteit van de gegevens die via jouw systemen worden verwerkt. Dat vraagt om een organisatiebrede aanpak van informatiebeveiliging, niet alleen technische maatregelen.

Wat staat er in een verwerkersovereenkomst met een ziekenhuis?

Een verwerkersovereenkomst met een ziekenhuis legt vast hoe een leverancier als verwerker omgaat met persoonsgegevens namens het ziekenhuis als verwerkingsverantwoordelijke. De overeenkomst beschrijft de doeleinden van de verwerking, de beveiligingsmaatregelen die de leverancier treft, de meldplicht bij datalekken en de afspraken over sub-verwerkers en gegevensverwijdering.

Een verwerkersovereenkomst is verplicht op grond van de Algemene Verordening Persoonsgegevens (AVG). Voor zorgdata geldt daarbij extra aandacht, omdat het gaat om bijzondere persoonsgegevens. Een ziekenhuis zal in de verwerkersovereenkomst doorgaans opnemen:

• Een beschrijving van de verwerkte gegevens en de verwerkingsdoeleinden
• De verplichting om passende technische en organisatorische beveiligingsmaatregelen te treffen
• De meldplicht bij datalekken, inclusief termijnen en procedures
• Afspraken over het inschakelen van sub-verwerkers en de goedkeuring daarvoor
• Het recht van het ziekenhuis om audits uit te voeren of te laten uitvoeren
• Afspraken over het verwijderen of teruggeven van gegevens na afloop van het contract

Het is goed om te weten dat NEN 7510-certificering een deel van de AVG-eisen afdekt, maar niet volledig. Een verwerkersovereenkomst is altijd een aanvulling op je beveiligingsbeleid, niet een vervanging ervan.

Welk certificaat helpt leveranciers aan ziekenhuizen te leveren?

Het meest relevante certificaat voor leveranciers die aan ziekenhuizen willen leveren is NEN 7510-certificering. Dit certificaat toont aantoonbaar aan dat een organisatie voldoet aan de Nederlandse norm voor informatiebeveiliging in de zorg. Certificering is niet wettelijk verplicht, maar ziekenhuizen en de IGJ beschouwen het als de meest betrouwbare manier om naleving te bewijzen.

Certificering vindt plaats op basis van NEN 7510-1, het deel van de norm dat de eisen aan het ISMS beschrijft. De certificerende instelling moet geaccrediteerd zijn door de Raad voor Accreditatie (RvA). Leveranciers die ook een ISO 27001-certificaat nastreven, hoeven geen dubbele auditlast te doorlopen: het certificatieschema voor NEN 7510 houdt hier rekening mee.

Naast NEN 7510 kan het voor sommige leveranciers relevant zijn om ook te kijken naar aanverwante normen zoals NEN 7512 (vertrouwensbasis voor elektronische gegevensuitwisseling) en NEN 7513 (logging van toegang tot patiëntdossiers). Deze normen kennen geen eigen certificatieschema, maar zijn wel onderdeel van het bredere normenkader dat ziekenhuizen hanteren bij de beoordeling van leveranciers.

Hoe Diks Process Support helpt met NEN 7510-certificering

Wij begeleiden leveranciers stap voor stap naar NEN 7510-certificering, van de eerste GAP-analyse tot en met de overgangsaudit. Onze aanpak is praktisch en gericht op resultaat: we werken niet vóór je, maar samen met je. Zo zorgen we dat informatiebeveiliging niet alleen op papier klopt, maar ook echt werkt binnen jouw organisatie.

Wat wij voor jou doen:

• GAP-analyse om te bepalen waar jouw huidige ISMS afwijkt van NEN 7510:2024
• Opstellen of actualiseren van beleid, procedures en de Verklaring van Toepasselijkheid
• Begeleiding bij risicobeoordeling en risicobehandeling
• Ondersteuning bij interne audits en managementreviews
• Begeleiding tijdens het certificatietraject met de certificerende instelling
• Interim ondersteuning via een interim security officer indien gewenst

Ben je leverancier in de zorgsector en wil je weten wat NEN 7510-certificering voor jouw organisatie betekent? Neem contact op en we kijken samen naar de beste aanpak.

 

Gerelateerde artikelen

• Wie bewaakt de veiligheid tijdens een onderhoudsstop?
• Hoe beveilig ik patiëntdata bij thuiswerken?
• Ik ben al NEN 7510 gecertificeerd, wat moet ik nu doen voor de nieuwe versie?
• Waarom eisen opdrachtgevers steeds vaker ISO 9001?
• Wat betekent risicogebaseerd denken in ISO 9001?
• Wat zijn de kosten van ISO 9001 onderhoud?
• Wat doe je als medewerkers veiligheidsregels negeren?
• Wat is het verschil tussen een interim KAM manager en een KAM coördinator?
• Wat is een ISO 27001-audit?
• Wat is het verschil tussen een interim expert en een consultant?