Geldt NEN 7510 voor huisartsen?

NEN 7510 is verplicht in de zorg en geldt ook voor huisartsenpraktijken, inclusief solopraktijken. De norm stelt concrete eisen aan de beveiliging van patiëntgegevens en is direct gekoppeld aan wettelijke verplichtingen zoals de AVG en de Wabvpz. In dit artikel beantwoorden we de meest gestelde vragen over NEN 7510 voor de huisartsenpraktijk: voor wie de norm geldt, wat de gevolgen zijn bij niet-naleving, welke maatregelen je moet treffen en of certificering van jouw huisartsenpraktijk noodzakelijk is.

Voor welke zorgverleners is NEN 7510 verplicht?

NEN 7510 is van toepassing op alle organisaties in de Nederlandse zorgsector die patiëntgegevens verwerken, opslaan of uitwisselen. Dat omvat ziekenhuizen, apotheken, GGZ-instellingen, thuiszorgorganisaties én huisartsenpraktijken. De norm maakt geen onderscheid op basis van de omvang van de organisatie: ook een solopraktijk valt binnen de reikwijdte.

De verplichting vloeit voort uit meerdere bronnen. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verplicht zorgaanbieders om adequate technische en organisatorische maatregelen te treffen voor de beveiliging van medische gegevens. NEN 7510 geldt daarbij als de erkende norm om aan die verplichting invulling te geven. Wie werkt volgens NEN 7510 voor de zorg, toont aan dat informatiebeveiliging structureel is geregeld.

Voor een solopraktijk gelden dezelfde normeisen als voor een grote zorginstelling, maar de omvang en complexiteit van de te treffen maatregelen is uiteraard anders. Het comply-or-explain-principe maakt het mogelijk om bepaalde beheersmaatregelen niet toe te passen als je kunt onderbouwen waarom ze niet relevant zijn voor jouw situatie. Een solohuisarts zonder eigen serverinfrastructuur heeft bijvoorbeeld andere risico’s dan een zorggroep met tientallen medewerkers en meerdere locaties. Voor zorggroepen en gezondheidscentra kan certificering bovendien een contractuele eis zijn vanuit zorgverzekeraars of koepelorganisaties, terwijl een solopraktijk daar minder snel mee te maken krijgt.

Daarnaast speelt de Wet elektronische gegevensuitwisseling in de zorg (Wegiz) een rol. Deze wet stimuleert gestandaardiseerde digitale uitwisseling van zorggegevens, waarbij beveiliging een randvoorwaarde is. Voor huisartsen die gebruikmaken van een huisartseninformatiesysteem (HIS) of digitaal verwijzen, is NEN 7510 daarmee een praktische noodzaak, niet alleen een formele eis.

Wat zijn de gevolgen als een huisarts niet voldoet aan NEN 7510?

Als een huisartsenpraktijk niet voldoet aan NEN 7510, loopt zij het risico op sancties vanuit de Autoriteit Persoonsgegevens (AP), reputatieschade bij datalekken en verlies van vertrouwen bij patiënten. Omdat NEN 7510 invulling geeft aan de beveiligingsverplichting uit de AVG en de Wabvpz, kan niet-naleving worden beschouwd als een overtreding van die wetgeving.

De AP heeft de bevoegdheid om bij geconstateerde overtredingen boetes op te leggen. Bij een datalek waarbij blijkt dat er geen passende beveiligingsmaatregelen waren getroffen, kan dit leiden tot aanzienlijke financiële gevolgen. Patiëntgegevens zijn bijzondere persoonsgegevens en genieten de hoogste bescherming onder de AVG. Een huisarts draagt hiervoor als verwerkingsverantwoordelijke een zware verantwoordelijkheid.

Praktisch gezien kan een gebrek aan informatiebeveiliging ook leiden tot operationele problemen. Denk aan ransomware-aanvallen op het HIS, ongeautoriseerde toegang tot patiëntdossiers of storingen in de digitale communicatie met apothekers en specialisten. De gevolgen zijn dan niet alleen juridisch, maar raken direct de continuïteit van de zorgverlening.

Stel: een medewerker van jouw praktijk klikt op een phishingmail. Ransomware versleutelt het HIS, waardoor je geen toegang meer hebt tot patiëntdossiers. Afspraken kunnen niet worden opgezocht, recepten niet worden uitgeschreven en verwijzingen niet worden verstuurd. Je bent verplicht het datalek te melden bij de AP binnen 72 uur. Als achteraf blijkt dat er geen logging was conform NEN 7513 en geen verwerkersovereenkomst met de ICT-leverancier, staat je praktijk juridisch zwak. Dit scenario is geen hypothetisch worst case: het komt regelmatig voor in de Nederlandse eerstelijnszorg.

Welke concrete maatregelen vraagt NEN 7510 van een huisartsenpraktijk?

NEN 7510 vraagt van een huisartsenpraktijk dat zij een informatiebeveiligingsmanagementsysteem (ISMS) inricht, risico’s identificeert en beheersmaatregelen treft op het gebied van toegangsbeveiliging, incidentbeheer, continuïteit en bewustwording. De norm is gebaseerd op ISO/IEC 27001 en bevat aanvullende zorgspecifieke maatregelen.

In de praktijk betekent dit onder andere:

• Een risicoanalyse uitvoeren op alle systemen en processen waarbij patiëntgegevens betrokken zijn
• Toegangsrechten tot het HIS inrichten op basis van het principe van minimale rechten
• Medewerkers trainen in veilig omgaan met patiëntinformatie en het herkennen van phishing
• Procedures opstellen voor het melden en afhandelen van datalekken
• Logging inrichten conform NEN 7513, zodat aantoonbaar is wie toegang heeft gehad tot een patiëntdossier
• Afspraken vastleggen met leveranciers van software en ICT-diensten (verwerkersovereenkomsten)
• Een Verklaring van Toepasselijkheid (VvT) opstellen, waarin per beheersmaatregel staat of deze van toepassing is en hoe eraan wordt voldaan

De meeste huisartsenpraktijken beginnen met een GAP-analyse: een inventarisatie van wat al geregeld is en wat nog ontbreekt ten opzichte van de NEN 7510-eisen. Vervolgens wordt op basis van een risicoanalyse bepaald welke maatregelen prioriteit hebben. Daarna volgen de beleids- en procedurestap, de technische inrichting (zoals toegangsbeveiliging en logging conform NEN 7513) en de training van medewerkers. De VvT is het sluitstuk: daarin documenteer je per beheersmaatregel hoe jouw praktijk eraan voldoet of waarom een maatregel niet van toepassing is. Dit gestructureerde stappenplan maakt informatiebeveiliging in de zorg behapbaar, ook voor kleinere praktijken.

NEN 7510 werkt met een comply or explain-principe: niet elke maatregel hoeft van toepassing te zijn op een kleine huisartsenpraktijk, maar je moet per maatregel documenteren waarom je er wel of niet voor kiest en hoe de onderliggende doelstelling alsnog wordt bereikt. Dat maakt de norm flexibel toepasbaar, maar vraagt wel om een bewuste en gedocumenteerde aanpak.

Wat kost de implementatie van NEN 7510 voor een huisartsenpraktijk?

De tijdsinvestering hangt sterk af van de uitgangssituatie van jouw praktijk. Een solopraktijk zonder bestaand beveiligingsbeleid heeft doorgaans meer werk aan de voorkant dan een praktijk die al verwerkersovereenkomsten heeft afgesloten en een HIS met toegangsbeveiliging gebruikt. Reken in het eerste jaar op een combinatie van inventarisatie, beleidsontwikkeling en training. In de jaren daarna gaat het vooral om beheer, periodieke risicoanalyse en het bijhouden van wijzigingen in de norm of wetgeving.

Naast de tijdsinvestering zijn er ook kosten verbonden aan de implementatie. De bepalende factoren zijn de omvang van de praktijk, het aantal medewerkers en locaties, de complexiteit van de gebruikte ICT-omgeving en de mate waarin al bestaande maatregelen aansluiten op de NEN 7510-eisen. Een praktijk die al werkt met een goed ingericht HIS en actuele verwerkersovereenkomsten, heeft een kortere weg te gaan dan een praktijk die vrijwel van nul begint. Externe ICT-leveranciers en hun contractuele verplichtingen spelen ook een rol: zijn die al conform de norm ingericht, dan scheelt dat aanzienlijk.

Het onderscheid tussen eenmalige implementatiekosten en doorlopende beheerslasten is belangrijk om realistisch te plannen. De initiële implementatie vraagt de meeste inspanning: het uitvoeren van een GAP-analyse, het opstellen van beleid en procedures en het trainen van medewerkers. Daarna zijn de doorlopende lasten beperkter: jaarlijkse risicoanalyses, het actueel houden van documentatie en eventuele hercertificering. Het comply-or-explain-principe van NEN 7510 zorgt ervoor dat een kleine praktijk niet hetzelfde hoeft te doen als een groot ziekenhuis.

Hoe verhoudt NEN 7510 zich tot de AVG voor huisartsen?

NEN 7510 en de AVG vullen elkaar aan: de AVG stelt de wettelijke verplichting om persoonsgegevens adequaat te beveiligen, en NEN 7510 geeft daar praktische invulling aan voor de zorgsector. Voor huisartsen betekent dit dat wie aantoonbaar werkt volgens NEN 7510, een sterke basis heeft om te voldoen aan de beveiligingsvereisten van de AVG.

De AVG verplicht verwerkingsverantwoordelijken, zoals huisartsen, om passende technische en organisatorische maatregelen te nemen. Wat “passend” is, wordt niet door de AVG zelf gedefinieerd. NEN 7510 vult dat in voor de zorg en biedt daarmee een erkend referentiekader. Bij een onderzoek door de AP of bij een datalek kan een huisarts aantonen dat zij de norm volgt, wat haar positie aanzienlijk versterkt.

Daarnaast sluit NEN 7510:2024 ook aan op de NIS2-richtlijn, die naar verwachting in het tweede kwartaal van 2026 in Nederland wordt omgezet naar de Cyberbeveiligingswet (Cbw). Hoewel huisartsenpraktijken mogelijk niet direct onder de NIS2-verplichting vallen, biedt het werken volgens NEN 7510 al een stevige voorbereiding op toekomstige regelgeving. Meer weten over informatiebeveiliging in bredere zin? Bekijk ook onze pagina over informatiebeveiliging.

De overeenkomsten en verschillen tussen NEN 7510 en de aankomende Cyberbeveiligingswet zijn voor huisartsenpraktijken en zorggroepen relevant om te begrijpen:

• Doelgroep: NEN 7510 richt zich op alle zorgaanbieders die patiëntgegevens verwerken, terwijl de Cbw primair gericht is op aanbieders van essentiële en belangrijke diensten. Huisartsenpraktijken vallen momenteel mogelijk niet direct onder de Cbw, maar zorggroepen en koepelorganisaties kunnen dat wel.
• Verplichtingsbasis: NEN 7510 is een door de overheid erkende norm die via de Wabvpz en AVG indirect verplicht is. De Cbw wordt een directe wettelijke verplichting met eigen handhavingsmechanismen.
• Inhoudelijke eisen: Beide frameworks vragen om risicoanalyse, incidentbeheer en toegangsbeveiliging. NEN 7510 voegt zorgspecifieke eisen toe, zoals NEN 7513-logging, die in de Cyberbeveiligingswet niet expliciet zijn opgenomen.
• Tijdlijn: NEN 7510:2024 is nu van kracht. De Cbw wordt naar verwachting in het tweede kwartaal van 2026 van kracht.

De overeenkomsten tussen NEN 7510 en NIS2 maken dat wie nu investeert in NEN 7510-compliance, tegelijkertijd een stevige basis legt voor toekomstige verplichtingen vanuit de Cyberbeveiligingswet.

Moet een huisarts zich laten certificeren voor NEN 7510?

Een huisarts is wettelijk niet verplicht om een NEN 7510-certificaat te behalen. De verplichting betreft het naleven van de norm, niet het certificeren eraan. Certificering is een vrijwillige stap die aantoonbaar maakt dat de praktijk structureel voldoet aan de eisen, maar het ontbreken van een certificaat betekent niet automatisch dat je buiten de wet opereert.

Toch zijn er goede redenen om certificering te overwegen. Een certificaat geeft patiënten, ketenpartners en zorgverzekeraars een objectief bewijs dat informatiebeveiliging serieus wordt genomen. Certificering verloopt via een externe audit door een geaccrediteerde certificerende instelling, waarbij non-conformiteiten uitsluitend worden vastgesteld op basis van de eisen uit NEN 7510-1, hoofdstukken 4 tot en met 10, en de bijbehorende Annex A.

Voor huisartsenpraktijken die deel uitmaken van een groter samenwerkingsverband, zoals een gezondheidscentrum of een zorggroep, kan certificering bovendien een vereiste zijn vanuit de koepelorganisatie of vanuit contractuele afspraken met zorgverzekeraars. In dat geval is het geen keuze, maar een voorwaarde om te kunnen samenwerken.

Praktijken die nog niet gecertificeerd zijn en willen starten, kunnen de normen NEN 7510-1 en NEN 7510-2 kosteloos downloaden via het NEN Connect-platform, dankzij een overeenkomst tussen het ministerie van VWS en NEN. Dat verlaagt de drempel om te beginnen aanzienlijk.

Nu je weet wat NEN 7510 van jouw praktijk vraagt, is de vraag: waar begin je? Een goede eerste stap is het downloaden van NEN 7510-1 en NEN 7510-2 via het NEN Connect-platform, dat gratis toegang biedt dankzij de overeenkomst tussen VWS en NEN. Daarmee krijg je inzicht in de volledige normtekst en kun je een eerste inschatting maken van wat er al geregeld is en wat nog aandacht vraagt. Wil je die analyse niet alleen doen, dan is professionele begeleiding een efficiënte manier om snel en gericht te starten.

Hoe Diks Process Support helpt met NEN 7510 voor jouw praktijk

Wij begrijpen dat informatiebeveiliging voor een huisartsenpraktijk niet het eerste is waar je aan denkt. Toch is het een onderwerp dat je niet kunt negeren. Wij helpen huisartsen en andere zorgverleners om NEN 7510 op een praktische, behapbare manier te implementeren, zonder onnodige bureaucratie.

Wat wij voor jou kunnen doen:

• Een GAP-analyse uitvoeren om te bepalen waar jouw praktijk nu staat ten opzichte van de NEN 7510-eisen
• Helpen bij het opstellen van een Verklaring van Toepasselijkheid (VvT) die past bij de omvang en complexiteit van jouw praktijk
• Beleid, procedures en risicoanalyses opstellen die aansluiten op de dagelijkse werkpraktijk
• Medewerkers informeren en trainen over informatiebeveiliging in de zorg
• Interne audits begeleiden en ondersteunen bij de voorbereiding op een externe certificeringsaudit
• Adviseren over de samenhang tussen NEN 7510, de AVG, NIS2 en andere relevante wet- en regelgeving

We werken niet voor je, maar met je. Dat betekent dat we aansluiten bij wat er al is, stap voor stap werken en zorgen dat jij en je team de aanpak begrijpen en kunnen borgen. Neem gerust contact met ons op om te bespreken wat NEN 7510 voor jouw praktijk betekent en hoe we je daarbij kunnen ondersteunen.

Gerelateerde artikelen

• Hoe vergelijk je offertes van ISO 27001-adviseurs?
• Hoe herstel ik vertrouwen na een datalek in mijn zorgorganisatie?
• Hoe zorg je dat medewerkers taken altijd op dezelfde manier uitvoeren?
• Hoe onderhoud je ISO 9001 certificering?
• Wat zijn de juridische aspecten van ISO 9001?
• Wat zijn de juridische aspecten van SCL?
• Hoe bereid je je voor op ISO 27001-wijzigingen in 2026?
• Welke ervaring moet een interim HSE officer hebben?
• Is een interim expert duurder dan een vaste medewerker?
• Wat zijn de voordelen van een interim expert?