NEN 7510 certificering

NEN 7510 bestaat uit twee delen: NEN 7510-1 bevat de eisen voor het informatiebeveiligingsmanagementsysteem en NEN 7510-2 beschrijft bijbehorende beheersmaatregelen. Samen dienen ze om persoonlijke gezondheidsinformatie aantoonbaar te beschermen. De norm geldt voor zorgaanbieders en is ook relevant voor leveranciers en ketenpartners die gezondheidsinformatie verwerken.

NEN 7510-certificering biedt drie belangrijke voordelen: betere bescherming van gezondheidsinformatie, aantoonbaar vertrouwen richting patiënten en opdrachtgevers, en een sterkere positie bij zorgaanbestedingen. Daarnaast zorgt het ISMS voor structureel risicobeheer en continue verbetering. Het certificaat is drie jaar geldig, met jaarlijkse surveillance-audits om te controleren of het systeem blijft werken.

Kies NEN 7510 wanneer je organisatie persoonlijke gezondheidsinformatie verwerkt binnen de Nederlandse zorg; kies ISO 27001 voor brede, internationale informatiebeveiliging in iedere sector. NEN 7510 bouwt voort op ISO 27001 en voegt zorgspecifieke eisen toe. Organisaties die beide markten bedienen, kunnen de twee certificeringen combineren binnen één ISMS en één gecombineerde audit.

Een cyberaanval kost een zorgorganisatie gemiddeld € 10.000 tot € 100.000 of meer, afhankelijk van de omvang van het incident en de getroffen systemen. De schade bestaat uit technisch herstel, operationele stilstand, juridische ondersteuning, meldingen, mogelijke boetes en reputatieschade. Bij langdurige uitval of verlies van patiëntgegevens kunnen de totale kosten aanzienlijk hoger oplopen.

Diks Process Support in Boxtel begeleidt softwareleveranciers die voor zorgorganisaties werken bij NEN 7510-certificering. Het bureau is sinds 2018 actief en heeft in totaal meer dan 1.006 bedrijven geholpen met certificering en procesondersteuning. Bij NEN 7510 helpt Diks je onder meer met het beoordelen van bestaande beveiligingsmaatregelen, het inrichten van het managementsysteem en de voorbereiding op de externe audit.

Met een nulmeting toets je of je organisatie al voldoet aan NEN 7510:2024. Vergelijk het bestaande ISMS, beleid, risico’s en bewijsstukken met de 93 beheersmaatregelen en zorgspecifieke eisen. Leg per onderdeel vast wat voldoet, deels voldoet of ontbreekt. De uitkomst vormt een concreet verbeterplan voor de resterende afwijkingen.

Een NEN 7510-certificeringstraject verloopt meestal in zeven stappen: nulmeting, scopebepaling, risicoanalyse, implementatie van maatregelen, interne audit, managementreview en externe certificeringsaudit. De organisatie bouwt daarmee een werkend ISMS op en verzamelt bewijs dat beleid en maatregelen in de praktijk functioneren. Een onafhankelijke certificerende instelling voert de uiteindelijke audit uit.

Ja, NEN 7510 is goed te combineren met ISO 27001. Beide normen gebruiken dezelfde structuur voor een ISMS; NEN 7510 voegt zorgspecifieke eisen toe. In één traject kun je de zes implementatiestappen, documentatie, risicoanalyse, interne audit en managementreview combineren. Ook een gecombineerde certificeringsaudit is mogelijk, waardoor dubbel werk en auditbelasting afnemen.

Met een bestaand, goed werkend informatiebeveiligingssysteem duurt de transitie naar NEN 7510:2024 meestal 3 tot 6 maanden. Moet je het systeem grondig herzien, reken dan op 6 tot 12 maanden. Een gap-analyse laat zien wat nog ontbreekt. Plan ook tijdig de interne audit en de transitieaudit bij je certificerende instelling.

Pak NEN 7510 in stappen aan. Wijs 1 interne verantwoordelijke aan, begin met je belangrijkste risico’s en gebruik processen die al werken. Specialistische taken, zoals de gap-analyse of auditvoorbereiding, kun je laten begeleiden. Houd management en medewerkers betrokken: zij moeten de maatregelen zelf toepassen. Reken voor een volledig traject op ongeveer 6 tot 12 maanden.

Bij de overgang naar NEN 7510:2024 begin je met 4 stappen: vergelijk je huidige informatiebeveiligingssysteem met de nieuwe norm, actualiseer je risicoanalyse, pas beleid en maatregelen aan en plan een interne audit. Leg per verschil vast wie het oplost en wanneer. Heb je al een NEN 7510-certificaat? Dan moet je vóór 20 februari 2027 gecertificeerd zijn volgens de nieuwe versie.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, waarmee Nederland NIS2 uitvoert. Werk je al volgens NEN 7510, dan heb je een basis voor risicobeheer en informatiebeveiliging. Valt jouw organisatie onder de wet, controleer dan de aanvullende verplichtingen, zoals registratie en de eerste melding van een significant incident binnen 24 uur. NEN 7510-certificering dekt die verplichtingen niet automatisch af.

Ja, ook zonder grote IT-afdeling kun je NEN 7510 behalen. De norm vraagt om aantoonbare beheersing van informatiebeveiligingsrisico’s, niet om een minimale teamgrootte. Wijs 1 verantwoordelijke aan, betrek de directie en breng je belangrijkste risico’s in kaart. Voor specialistisch werk kun je externe ondersteuning inschakelen, terwijl je organisatie zelf verantwoordelijk blijft voor de uitvoering en het onderhoud.

Ja, NEN 7510 kan helpen bij aanbestedingen in de zorg, vooral als je toegang hebt tot patiëntgegevens. Met een geldig NEN 7510-certificaat laat je zien dat je informatiebeveiliging onafhankelijk is beoordeeld. Of certificering een harde eis is, verschilt per opdracht. Controleer daarom de aanbestedingsstukken: soms vraagt de opdrachtgever om een certificaat, soms om ander aantoonbaar bewijs.

Doorloop 5 stappen: maak een gap-analyse, stel een actieplan op, pas je informatiebeveiligingssysteem aan, voer een interne audit uit en plan de transitieaudit. Bestaande certificaathouders moeten vóór 20 februari 2027 volgens NEN 7510:2024 gecertificeerd zijn. Stem de auditplanning tijdig af met je certificerende instelling, zodat je huidige certificaat geldig blijft tijdens de overgang.

NEN 7510 is de norm voor informatiebeveiliging in de zorg. NIS2 is een Europese richtlijn die via de Cyberbeveiligingswet verplichtingen oplegt aan organisaties die eronder vallen. Beide behandelen risico’s, incidenten en toegangsbeheer. NEN 7510 geeft je daarmee een basis, maar voldoet niet automatisch aan alle wettelijke eisen.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. NEN staat voor Nederlands Normalisatie-instituut, 7510 is het nummer van de norm. De norm bouwt voort op ISO 27001 en voegt eisen toe voor de bescherming van patiëntgegevens. Een organisatie met een NEN 7510-certificaat laat zien dat ze zorggegevens aantoonbaar veilig verwerkt.

NEN 7510 regelt hoe je informatiebeveiliging binnen een zorgorganisatie organiseert en verbetert. NEN 7512 richt zich op betrouwbare elektronische gegevensuitwisseling tussen zorgpartijen, bijvoorbeeld tussen een huisarts en een ziekenhuis. De 2 normen vullen elkaar aan: met NEN 7510 beheer je de algemene risico’s rond gezondheidsinformatie; met NEN 7512 maak je afspraken over veilige uitwisseling. Je kunt je laten certificeren voor NEN 7510, maar voor NEN 7512 bestaat geen apart certificaat.

Ja, NEN 7510 geldt ook voor ICT-leveranciers in de zorg zodra zij patiëntgegevens verwerken of beheren, of toegang hebben tot systemen waarin die gegevens staan. Denk aan leveranciers van EPD's en andere zorgsoftware, clouddiensten met patiëntdata en netwerkbeheer voor zorginstellingen. Of certificering formeel nodig is, hangt af van de contracten met je zorgklanten. Steeds meer zorginstellingen stellen NEN 7510-certificering als harde eis aan hun ICT-leveranciers. Heb je al ISO 27001, dan bouw je daarop voort.

Bij een datalek meld je dit in de meeste gevallen binnen 72 uur bij de Autoriteit Persoonsgegevens, gerekend vanaf het moment dat je organisatie ervan op de hoogte is. Dat geldt als het lek waarschijnlijk een risico vormt voor de betrokkenen. Je kunt eerst melden wat je weet en de melding later aanvullen. Leg elk datalek vast in je interne datalekregister, ook als melden niet nodig is. Bij een hoog risico informeer je ook de betrokkenen zelf.

Lees meer in datalek melden bij de Autoriteit Persoonsgegevens.