NEN 7510 uitgelegd: voor wie de norm verplicht is, wat de IGJ verwacht en wat er in 2024 veranderde

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en de enige norm waarnaar de zorgwetgeving rechtstreeks verwijst. Sinds 16 december 2024 is er een nieuwe versie die de structuur van ISO 27001:2022 volgt, en op 20 februari 2027 verloopt de overgangstermijn voor bestaande certificaten. Dit artikel beschrijft wat er in de twee delen van de norm staat, welke organisaties eraan moeten voldoen en op grond waarvan, wat de Inspectie Gezondheidszorg en Jeugd bedoelt met aantoonbaar voldoen, wat er in 2024 is veranderd, hoe certificering onder het schema NCS 7510 werkt en op welke punten zorgorganisaties en hun leveranciers in de praktijk vastlopen.

Twee delen, en de aanvullende normen 7512 en 7513

NEN 7510 bestaat uit twee delen. NEN 7510-1 bevat de eisen aan het managementsysteem voor informatiebeveiliging en volgt daarin de tekst van ISO 27001: de hoofdstukken 4 tot en met 10 over context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering, plus Annex A met de maatregelen. Dat is het deel waartegen wordt gecertificeerd en waarop een auditor afwijkingen schrijft. NEN 7510-2 is de implementatierichtlijn: de Nederlandse weergave van ISO 27002, gecombineerd met de zorgspecifieke maatregelen uit ISO 27799. Wie ISO 27001 kent, herkent de opbouw direct. Het verschil zit in de zorgspecifieke laag en in de status van die richtlijn, waarover hieronder meer.

Twee normen hangen eronder. NEN 7512:2022 gaat over de vertrouwensbasis voor gegevensuitwisseling: welke zekerheden partijen elkaar moeten bieden voordat zij elektronisch patiëntgegevens uitwisselen, met vijf niveaus van eisen aan beschikbaarheid, integriteit en vertrouwelijkheid. NEN 7513:2024 gaat over logging, het vastleggen van acties op persoonlijke gezondheidsinformatie, en is gebaseerd op de internationale norm ISO 27789 voor audit trails van elektronische patiëntdossiers. Beide normen werken specifieke eisen uit NEN 7510 verder uit. Je kunt er niet los tegen certificeren.

De drie normen zijn kosteloos in te zien via NEN Connect, op grond van een overeenkomst tussen het ministerie van VWS en NEN. Er bestaat geen Engelse versie; de internationale tegenhangers ISO 27001, ISO 27002, ISO 27799 en ISO 27789 zijn wel in het Engels beschikbaar.

Voor wie de norm verplicht is, en waar dat staat

De verplichting staat niet in NEN 7510 zelf maar in het Besluit elektronische gegevensverwerking door zorgaanbieders, een algemene maatregel van bestuur onder de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz), in werking sinds 1 januari 2018. Artikel 3 bepaalt dat een zorgaanbieder overeenkomstig NEN 7510 en NEN 7512 zorgt voor een veilig en zorgvuldig gebruik van zijn zorginformatiesysteem en van het elektronisch uitwisselingssysteem waarop hij is aangesloten. Dezelfde eis geldt voor de verantwoordelijke voor zo'n uitwisselingssysteem. Artikel 5 schrijft voor dat de logging van beide soorten systemen voldoet aan NEN 7513. Artikel 4 verplicht om in beleid en procedures de termen en definities van de normen te gebruiken, en artikel 6 dat je de stand van de techniek blijft volgen en je daarover verantwoordt.

Het Besluit noemt geen jaartal bij de normen. Artikel 7 zegt dat steeds de laatste uitgave geldt en dat de minister van VWS in de Staatscourant bekendmaakt vanaf welke datum een nieuwe uitgave van toepassing is, desnoods met een verschillende datum voor bestaande en nieuwe systemen. Dat is de juridische route; de praktische deadline komt uit het certificatieschema en staat verderop.

De doelgroep is breder dan ziekenhuizen en huisartsen. NEN omschrijft haar als alle organisaties die persoonlijke gezondheidsinformatie verwerken, ongeacht aard en omvang. Dat omvat gemeenten die medische gegevens verwerken voor de Wmo en de jeugdzorg, en leveranciers die zorgdata hosten, beheren of via koppelingen uitwisselen. Voor een rechtspersoon die geen zorgaanbieder is maar wel een elektronisch uitwisselingssysteem beheert, gaat het Besluit een stap verder: een onafhankelijke organisatie moet na onderzoek hebben vastgesteld dat de rechtspersoon en het systeem aan NEN 7510 en NEN 7512 voldoen, in een auditrapport dat niet ouder is dan vijf jaar. Voor jeugdhulpaanbieders geldt een uitzondering: de IGJ verwijst hen op grond van de Jeugdwet naar ISO 27001.

Twee misverstanden komen vaak terug. Het eerste is dat een kleine praktijk buiten de norm valt; dat is niet zo, de eis maakt geen onderscheid naar omvang. Het tweede is dat software of een browser NEN 7510-compliant kan zijn. De norm richt zich op organisaties, niet op producten. De zorgaanbieder stelt eisen aan zijn leverancier en de leverancier toont via specificaties en bewijs aan dat hij eraan voldoet.

Wat de IGJ bedoelt met aantoonbaar voldoen

Twee toezichthouders kijken mee. De Autoriteit Persoonsgegevens benadert de norm vanuit de bescherming van persoonsgegevens en richt zich op vertrouwelijkheid en integriteit. De IGJ ziet informatiebeveiliging als randvoorwaarde voor de continuïteit en kwaliteit van zorg: een ransomware-aanval of een stroomstoring raakt de patiëntveiligheid direct. In 2025 startten beide toezichthouders een onderzoek naar hetzelfde gehackte laboratorium, en dat laat zien dat de rolverdeling in de praktijk naast elkaar bestaat.

De IGJ verwacht dat een zorgaanbieder aantoonbaar werk maakt van een managementsysteem voor informatiebeveiliging dat aan NEN 7510 voldoet, met een continuïteitsplan dat regelmatig wordt getest, en dat het managementsysteem en de maatregelen uit Annex A regelmatig door een onafhankelijke en deskundige auditor worden beoordeeld. Onafhankelijk betekent hier: iemand met kennis van de norm, van het auditen van een managementsysteem en van de zorg, die zelf niet betrokken is bij het beleid en de uitvoering. Dat kan een interne auditor zijn, een externe specialist of een medewerker van een andere zorgorganisatie. Een certificaat is een manier om dit te laten zien; de IGJ stelt het niet als eis.

Aantoonbaar betekent in de praktijk dat de maatregel werkt en niet alleen bestaat. Een informatiebeveiligingsbeleid met de juiste titel is geen bewijs; een logbestand, een incidentregistratie, een getest continuïteitsplan en een interview met de medewerker die de maatregel uitvoert wel. Hoe je dat bewijs organiseert staat in het artikel over bewijslast bij een IT-audit. En let op de grens met de AVG: NEN 7510 dekt een deel van de AVG-eisen af, niet het geheel. Een register van verwerkingen of een DPIA komt niet uit de norm.

NEN 7510:2024: wat er veranderde

De herziene delen 1 en 2 zijn op 16 december 2024 gepubliceerd. De aanleiding was de herziening van ISO 27001 en ISO 27002 in 2022. Deel 1 volgt daardoor de geharmoniseerde structuur van ISO 27001:2022, en Annex A is opnieuw ingedeeld in de vier thema's organisatorisch, mensen, fysiek en technologisch, met 93 maatregelen in plaats van 114 en met doelstellingen en attributen per maatregel. De mappingcijfers en de elf nieuwe maatregelen uit die ISO-herziening staan in het artikel over ISO 27001:2022; ze gelden een op een voor NEN 7510. Ook het klimaatamendement uit 2024 is meegenomen: de organisatie moet in haar contextanalyse bepalen of klimaatverandering een relevant onderwerp is.

Bovenop de 93 algemene maatregelen kent NEN 7510-2:2024 acht zorgspecifieke maatregelen, en bij veertien algemene maatregelen staat een zorgspecifieke aanvulling. Een deel daarvan loopt vooruit op NIS2: noodcommunicatie (5.42), externe incidentrapportage (5.43), managementtraining (6.9) en zero trust (8.35). Bijlage E van deel 2 bevat een mapping van de norm naar de eisen van NIS2, wat nuttig is voor zorgaanbieders die onder de Cyberbeveiligingswet vallen; de IGJ is daar de toezichthouder voor de zorgsector. Wie niet onder die wet valt, blijft gewoon aan NEN 7510 gebonden.

De verandering met de meeste gevolgen voor de audit is de status van de implementatierichtlijn. In de versie van 2017 was deel 2 vrijblijvend. In 2024 geldt comply or explain: neem je een maatregel op in de Verklaring van Toepasselijkheid maar wijk je af van de zorgspecifieke richtlijn, dan leg je vast hoe je de doelstelling van die maatregel wel bereikt. Een auditor mag daarnaar vragen. Afwijkingen worden alleen geschreven op de eisen uit deel 1 (hoofdstukken 4 tot en met 10 en Annex A), maar een Verklaring van Toepasselijkheid die is gekopieerd uit een ISO 27001-traject en de zorgspecifieke richtlijn negeert, komt de stage 1 niet ongeschonden door.

De overgangstermijn en hoe certificering werkt

NEN certificeert niet zelf. NEN beheert het certificatieschema NCS 7510 en sluit licenties met certificerende instellingen, die voor dit schema door de Raad voor Accreditatie geaccrediteerd moeten zijn. Het schema legt vast hoe het certificatieproces verloopt, welke competenties de auditors moeten hebben en hoe het aantal auditdagen wordt berekend. Gecertificeerd wordt tegen NEN 7510-1. De organisatie bepaalt zelf de scope, maar de primaire zorgprocessen van het betreffende onderdeel moeten erin zitten. Wie naast zorgdata ook andere informatie verwerkt en daarom ook ISO 27001 nodig heeft, hoeft volgens het schema niet twee keer dezelfde audit te ondergaan. Welke van de twee je nodig hebt, en wanneer beide, staat in ISO 27001 versus NEN 7510.

Het herziene schema NCS 7510:2025 is op 20 februari 2025 gepubliceerd. Vanaf die datum konden certificerende instellingen bij de Raad voor Accreditatie een scope-uitbreiding aanvragen; zonder die uitbreiding mogen zij geen certificaten tegen NEN 7510:2024 afgeven. Bestaande certificaathouders kregen twee jaar: op 20 februari 2027 moet elk certificaat zijn omgezet. Wie nu een eerste certificering start, doet dat rechtstreeks tegen de versie van 2024. Het traject zelf verloopt zoals bij ISO 27001, met een stage 1 op documentatie en gereedheid, een stage 2 op werking, en daarna een driejarige cyclus met surveillance-audits. Dat proces staat stap voor stap beschreven in het ISO 27001-stappenplan.

Wie de organisatie bij de implementatie heeft geadviseerd, kan haar niet ook certificeren. Dat onafhankelijkheidsbeginsel geldt onder accreditatie voor elke certificerende instelling. Een adviseur of interne auditor levert dus gereedheid; het certificaat komt van een geaccrediteerde instelling. Hoe wij zorgorganisaties naar dat punt begeleiden staat op de pagina over compliance.

Waar het in de praktijk vastloopt

Het eerste patroon is logging zonder controle. NEN 7513 en artikel 5 van het Besluit schrijven voor dat toegang tot het dossier wordt vastgelegd, en de meeste zorginformatiesystemen doen dat. Wat ontbreekt is de tweede helft: iemand die de logging periodiek beoordeelt op rechtmatigheid, een procedure voor het afhandelen van onterechte inzage en een werkwijze voor de patiënt die op grond van de Wabvpz opvraagt wie toegang tot zijn gegevens heeft gehad. Een auditor vraagt eerst naar die beoordeling en de opvolging ervan, en pas daarna naar het logbestand.

Het tweede patroon is een scope die ophoudt bij het EPD. Zorgdata staat ook in thuiszorg-apps, in medische apparatuur met een netwerkaansluiting, in de mailbox van de secretaresse en bij de leverancier die de back-ups beheert. Een risicobeoordeling die alleen het dossiersysteem meeneemt, mist de plekken waar incidenten in de praktijk ontstaan.

Het derde patroon zit bij leveranciers. Een verwerkersovereenkomst is een contract, geen beheersmaatregel, en een ISO 27001-certificaat van de leverancier zegt alleen iets als de scope op dat certificaat de dienst en de zorgdata omvat. Wie een leverancier beoordeelt, leest de scopetekst, de Verklaring van Toepasselijkheid en het meest recente auditrapport, en legt vast welke zorgspecifieke maatregelen bij de leverancier liggen. Hoe je dat structureel inricht staat in het artikel over third party risk management.

Het vierde patroon is de Verklaring van Toepasselijkheid uit een ISO 27001-sjabloon. De 93 maatregelen staan erin, de acht zorgspecifieke maatregelen en de veertien aanvullingen niet, en bij afwijkingen van de zorgspecifieke richtlijn ontbreekt de uitleg. Onder comply or explain is dat precies het document waar een auditor als eerste naar kijkt. Wie een gap-analyse laat uitvoeren voor de transitie naar de versie van 2024, laat die beginnen bij deel 2 en niet bij deel 1.

Bronnen: Besluit elektronische gegevensverwerking door zorgaanbieders (Staatsblad 2017, 446, geconsolideerde tekst op wetten.overheid.nl), NEN, Informatiebeveiliging in de zorg (veelgestelde vragen over NEN 7510:2024, NCS 7510:2025 en de overgangstermijn), IGJ, Vragen over NEN 7510.