Hoe weet ik of mijn organisatie al voldoet aan NEN 7510:2024?

Of jouw organisatie al voldoet aan NEN 7510:2024, hangt af van hoe goed je informatiebeveiliging aansluit op de eisen uit de norm. De snelste manier om dat te weten te komen is een nulmeting: een gestructureerde analyse van je huidige situatie, afgezet tegen alle controls en beheersmaatregelen uit de norm. In dit artikel beantwoorden we de meest gestelde vragen over NEN 7510-conformiteit, van de kernvereisten tot de doorlooptijd van een implementatietraject.

Wat zijn de belangrijkste eisen van NEN 7510:2024?

NEN 7510:2024 vereist dat zorginstellingen en aanverwante organisaties een volledig ingericht informatiebeveiligingsbeheersysteem (ISMS) hebben, gebaseerd op risicobeheer, aantoonbaar beleid en een set van specifieke beheersmaatregelen gericht op de bescherming van patiënt- en cliëntgegevens. De norm is gebaseerd op ISO 27001, maar bevat aanvullende, sectorspecifieke eisen voor de zorg.

De norm bestaat uit twee delen. NEN 7510-1 beschrijft de managementsysteemeisen: leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. NEN 7510-2 bevat de concrete beheersmaatregelen, ook wel controls genoemd, die betrekking hebben op onderwerpen als toegangsbeheer, cryptografie, fysieke beveiliging, leveranciersbeheer en incidentbeheer.

Belangrijke aandachtspunten binnen de norm zijn:

• Een gedocumenteerde risicoanalyse en risicobehandeling
• Een informatiebeveiligingsbeleid dat door de directie is vastgesteld
• Aantoonbare bewustwording en training van medewerkers
• Procedures voor het melden en afhandelen van beveiligingsincidenten
• Beheersmaatregelen voor toegang tot systemen met patiëntgegevens
• Continuïteitsplanning voor kritische informatiesystemen

De 2024-versie sluit nauwer aan op de herziene ISO 27001-structuur en bevat geactualiseerde controls die beter aansluiten op moderne dreigingen zoals cloudgebruik en thuiswerken.

Hoe voer je een nulmeting uit voor NEN 7510?

Een nulmeting voor NEN 7510 is een systematische vergelijking van je huidige beveiligingspraktijk met alle eisen uit de norm. Je brengt per eis in kaart of die volledig is ingevuld, gedeeltelijk aanwezig is of ontbreekt. Het resultaat is een helder overzicht van conformiteitsgaten, ook wel een gapanalyse genoemd.

Een effectieve nulmeting volg je stap voor stap:

1. Stel de scope vast: Welke systemen, locaties en processen vallen onder het ISMS?
2. Verzamel documentatie: Denk aan beleidsdocumenten, procedures, logbestanden en contracten met leveranciers.
3. Interview sleutelfunctionarissen: Spreek met de ICT-afdeling, HR, de directie en proceseigenaren.
4. Toets aan de norm: Loop alle eisen uit NEN 7510-1 en de controls uit NEN 7510-2 systematisch door.
5. Scoor de conformiteit: Gebruik een schaal van “niet aanwezig” tot “volledig geïmplementeerd” per eis.
6. Prioriteer de knelpunten: Koppel elk gat aan een risico en stel een actieplan op.

Een nulmeting is geen eenmalige exercitie. Het is ook een nulmeting in de letterlijke zin: het startpunt van je verbetertraject. Hoe gedetailleerder je de huidige situatie in kaart brengt, hoe realistischer je planning wordt.

 

 

Welke afdeling is verantwoordelijk voor NEN 7510-compliance?

NEN 7510-compliance is geen verantwoordelijkheid van één afdeling, maar vereist betrokkenheid van de hele organisatie. De eindverantwoordelijkheid ligt bij de directie of het bestuur, omdat de norm expliciet eist dat het topmanagement het informatiebeveiligingsbeleid vaststelt en uitdraagt. De dagelijkse coördinatie ligt doorgaans bij een functionaris informatiebeveiliging (FG of CISO) of een aangewezen kwaliteits- of beveiligingscoördinator.

In de praktijk zijn meerdere afdelingen direct betrokken:

• ICT: Technische beheersmaatregelen, toegangsbeheer en incidentdetectie
• HR: Bewustwording, onboarding en screeningsprocedures
• Inkoop en contractbeheer: Leveranciersbeveiliging en verwerkersovereenkomsten
• Zorginhoudelijke afdelingen: Correcte omgang met patiëntdossiers en systemen
• Directie: Beleid, middelen en managementreview

Organisaties die NEN 7510 succesvol implementeren, zorgen dat informatiebeveiliging niet als een ICT-project wordt gezien, maar als een organisatiebrede verantwoordelijkheid. Een interne of externe security officer kan helpen om die verbinding tussen afdelingen te leggen en te bewaken.

Wat zijn veelvoorkomende knelpunten bij NEN 7510-conformiteit?

De meest voorkomende knelpunten bij NEN 7510-conformiteit zijn onvoldoende documentatie, ontbrekend bewustzijn bij medewerkers en een risicoanalyse die niet actueel is of te oppervlakkig is uitgevoerd. Veel organisaties hebben de technische maatregelen redelijk op orde, maar schieten tekort op de procesmatige en organisatorische kant van de norm.

Specifieke struikelblokken die we regelmatig tegenkomen:

• Ontbrekende of verouderde risicoanalyse: De norm vereist een actuele, gedocumenteerde risicoanalyse. Veel organisaties hebben dit eenmalig gedaan, maar niet bijgehouden.
• Onvolledige leveranciersbeheersing: Zorgorganisaties werken met veel externe leveranciers die toegang hebben tot patiëntgegevens. Verwerkersovereenkomsten en beveiligingseisen voor leveranciers zijn vaak niet volledig geregeld.
• Geen aantoonbare bewustwording: Medewerkers weten niet altijd wat de regels zijn rondom informatiebeveiliging, of er is geen registratie van trainingen en bewustwordingsactiviteiten.
• Zwakke incidentprocedures: Incidenten worden niet consequent geregistreerd of geanalyseerd, waardoor leereffecten uitblijven.
• Directiebetrokkenheid ontbreekt: De norm vereist aantoonbare betrokkenheid van het management. Als informatiebeveiliging volledig bij ICT ligt, is dat een non-conformiteit.

Wanneer is een externe audit verplicht voor NEN 7510?

Een externe audit is verplicht wanneer je organisatie een officieel NEN 7510-certificaat wil behalen of wanneer opdrachtgevers, zorgverzekeraars of toezichthouders certificering als voorwaarde stellen. Zonder certificeringsambities ben je niet wettelijk verplicht een externe audit te laten uitvoeren, maar de norm zelf schrijft wel interne audits voor als onderdeel van het managementsysteem.

Voor certificering doorloop je een tweefasige externe audit bij een geaccrediteerde certificerende instelling:

• Fase 1 (documentatiereview): De auditor beoordeelt of je documentatie en ISMS-opzet voldoen aan de normeisen.
• Fase 2 (implementatieaudit): De auditor toetst of de maatregelen daadwerkelijk in de praktijk worden toegepast.

Na certificering volgen jaarlijkse surveillance-audits en na drie jaar een hercertificeringsaudit. Naast externe certificering kan het ook zinvol zijn om voorafgaand aan de officiële audit een interne audit of een onafhankelijke pre-audit te laten uitvoeren. Dat geeft je de kans om resterende knelpunten te adresseren voordat de certificerende instelling langskomt. Meer over de opzet van een NEN 7510-certificeringstraject lees je op onze expertisepagina.

Hoe lang duurt het om NEN 7510-conform te worden?

De doorlooptijd om NEN 7510-conform te worden varieert doorgaans tussen de zes maanden en twee jaar, afhankelijk van de omvang van de organisatie, de huidige volwassenheid van informatiebeveiliging en de beschikbare capaciteit. Kleine organisaties met een beperkte scope en een redelijke basisbeveiliging kunnen sneller klaar zijn dan grote zorgconcerns met complexe systemen en veel locaties.

De belangrijkste factoren die de doorlooptijd bepalen:

• Resultaat van de nulmeting: Hoe groter de gapanalyse, hoe meer werk er verzet moet worden.
• Interne capaciteit: Heeft je organisatie mensen die dit erbij kunnen doen, of is externe ondersteuning nodig?
• Scope van het ISMS: Een beperkte scope versnelt het traject aanzienlijk.
• Betrokkenheid van de directie: Besluitvorming gaat sneller als het management actief meedoet.
• Leverancierstrajecten: Het afsluiten van verwerkersovereenkomsten en het beoordelen van leveranciers kost tijd.

Een realistisch implementatietraject begint met een nulmeting, gevolgd door een prioriteitsplan, implementatiefase, interne audit en ten slotte de externe certificeringsaudit. Plan die fases bewust en houd rekening met de doorlooptijden van certificerende instellingen voor het inplannen van de externe audit.

Hoe Diks Process Support helpt bij NEN 7510-conformiteit

Wij begeleiden zorgorganisaties en aanverwante bedrijven van nulmeting tot certificering voor NEN 7510. Dat doen we niet door kant-en-klare sjablonen te leveren, maar door echt naast je te staan en samen met jouw team de norm te vertalen naar de dagelijkse praktijk van jouw organisatie.

Wat wij voor je kunnen doen:

• Een grondige nulmeting uitvoeren en de resultaten helder rapporteren
• Een realistisch implementatieplan opstellen met concrete acties en eigenaren
• Beleid, procedures en werkinstructies opstellen die aansluiten op jouw organisatie
• Medewerkers bewust maken van informatiebeveiliging via praktische sessies
• Interne audits uitvoeren ter voorbereiding op de externe certificeringsaudit
• Ondersteuning bieden als interim security officer wanneer je tijdelijk extra capaciteit nodig hebt
• Het volledige certificeringstraject begeleiden tot en met het behalen van het certificaat

Wil je weten waar jouw organisatie nu staat en wat er nodig is om NEN 7510-conform te worden? Neem contact met ons op en we kijken samen naar de beste aanpak voor jouw situatie.

 

Gerelateerde artikelen

• Hoe win ik aanbestedingen in de zorg als kleinere aanbieder?
• Hoe werkt een NEN 7510 certificeringstraject?
• Hoe herstel ik vertrouwen na een datalek in mijn zorgorganisatie?
• Hoe voorkom je veelgemaakte ISO 9001 fouten?
• Hoe werkt ISO 9001 in de IT sector?
• Hoe train je leidinggevenden in SCL principes?
• Hoe pas je SCL aan bij bedrijfsgroei?
• Wanneer heb ik een interim KAM coördinator nodig?
• Wat kost een interim kwaliteitsmanager per dag?
• Hoe snel kan een interim HSE officer starten?