Wat is een NEN 7510 audit?

Een NEN 7510 audit is een formele beoordeling waarbij wordt getoetst of een zorgorganisatie voldoet aan de NEN 7510-norm voor informatiebeveiliging in de zorg. Tijdens zo’n audit controleert een onafhankelijke certificerende instelling of je organisatie de juiste maatregelen heeft getroffen om patiëntgegevens en andere gevoelige informatie te beschermen. In dit artikel beantwoorden we de meest gestelde vragen over de NEN 7510 audit, van de verplichting tot de gevolgen als je de audit niet haalt.

Waarom is een NEN 7510 audit verplicht in de zorg?

Een NEN 7510 audit is verplicht in de zorg omdat zorgorganisaties wettelijk verplicht zijn om aantoonbaar te voldoen aan de NEN 7510-norm. Deze norm is in Nederland de erkende standaard voor informatiebeveiliging in de zorgsector en sluit aan op Europese wetgeving zoals de AVG. Zonder een geldige NEN 7510-certificering kunnen zorgorganisaties in 2026 niet voldoen aan de eisen van zorgverzekeraars, toezichthouders en opdrachtgevers.

De verplichting vloeit voort uit het feit dat zorgorganisaties dagelijks omgaan met bijzondere persoonsgegevens: medische dossiers, diagnoses, behandelplannen en andere gevoelige informatie. De overheid en toezichthouders zoals de Inspectie Gezondheidszorg en Jeugd (IGJ) verwachten dat organisaties kunnen aantonen dat zij deze gegevens adequaat beveiligen. Een audit biedt dat bewijs op een gestructureerde en onafhankelijke manier.

Daarnaast stellen veel opdrachtgevers en samenwerkingspartners in de zorg een geldig NEN 7510-certificaat als voorwaarde voor samenwerking of contractverlening. De audit is dus niet alleen een wettelijke verplichting, maar ook een praktische drempel die bepaalt of je als organisatie toegang krijgt tot bepaalde markten en opdrachten.

Wat wordt er precies gecontroleerd tijdens een NEN 7510 audit?

Tijdens een NEN 7510 audit wordt gecontroleerd of je organisatie een volledig en werkend informatiebeveiligingsmanagementsysteem (ISMS) heeft ingericht op basis van de NEN 7510-norm. De auditor beoordeelt zowel de opzet als de werking en effectiviteit van de beveiligingsmaatregelen die je hebt getroffen.

Concreet kijkt de auditor naar de volgende gebieden:

• Beleid en organisatie: Heeft je organisatie een vastgesteld informatiebeveiligingsbeleid en zijn verantwoordelijkheden duidelijk belegd?
• Risicoanalyse: Is er een actuele risicoanalyse uitgevoerd en zijn de uitkomsten vertaald naar concrete maatregelen?
• Toegangsbeheer: Wie heeft toegang tot welke systemen en gegevens, en hoe wordt dit beheerd en gecontroleerd?
• Fysieke beveiliging: Zijn serverruimtes, werkplekken en apparatuur adequaat beveiligd?
• Incidentbeheer: Hoe gaat je organisatie om met beveiligingsincidenten en datalekken?
• Bewustzijn en training: Zijn medewerkers getraind en bewust van hun rol in informatiebeveiliging?
• Continuïteit: Zijn er plannen voor herstel bij calamiteiten of uitval van systemen?

De auditor baseert zijn beoordeling op documentatie, interviews met medewerkers en directe observatie van processen. Het gaat er niet alleen om dat beleid op papier bestaat, maar ook dat het daadwerkelijk in de praktijk wordt toegepast.

Hoe lang duurt een NEN 7510 audit en wat kost het?

De doorlooptijd en kosten van een NEN 7510 audit hangen af van de omvang en complexiteit van je organisatie. Een audit bij een kleine zorgorganisatie kan één tot twee dagen in beslag nemen, terwijl grotere instellingen met meerdere locaties of systemen rekening moeten houden met een meerdaags traject.

De kosten bestaan uit twee componenten. Ten eerste zijn er de kosten voor de voorbereiding, waarbij je organisatie intern of met externe ondersteuning het ISMS op orde brengt. Ten tweede zijn er de auditkosten van de certificerende instelling zelf. Die kosten variëren afhankelijk van de instelling en de omvang van de audit. Het is verstandig om vooraf een offerte op te vragen bij meerdere geaccrediteerde certificerende instellingen.

Naast de initiële certificeringsaudit zijn er ook jaarlijkse surveillance-audits en een hercertificeringsaudit na drie jaar. Houd hier bij je planning en budgettering rekening mee, zodat je certificering geldig blijft.

Wat is het verschil tussen een interne en externe NEN 7510 audit?

Het verschil tussen een interne en externe NEN 7510 audit zit in wie de audit uitvoert en wat het doel is. Een interne audit wordt uitgevoerd door of namens de eigen organisatie en dient als voorbereiding en zelfevaluatie. Een externe audit wordt uitgevoerd door een onafhankelijke, geaccrediteerde certificerende instelling en leidt tot een officieel certificaat.

Interne NEN 7510 audit

Bij een interne audit beoordeelt je organisatie zelf of het ISMS voldoet aan de NEN 7510-eisen. Dit kan worden gedaan door een interne auditor of door een externe adviseur die in opdracht van de organisatie werkt. Het doel is om zwakke plekken te identificeren voordat de officiële externe audit plaatsvindt. Een goede interne audit vergroot de kans op een succesvolle certificering aanzienlijk. De interne audit training kan hierbij een waardevolle stap zijn voor medewerkers die deze rol op zich nemen.

Externe NEN 7510 audit

De externe audit wordt uitgevoerd door een geaccrediteerde certificerende instelling. Deze auditor heeft geen belang bij de uitkomst en beoordeelt objectief of je organisatie voldoet aan de norm. Alleen een positieve externe audit leidt tot het officiële NEN 7510-certificaat dat je kunt overleggen aan opdrachtgevers, toezichthouders en samenwerkingspartners.

Welke documenten moet een organisatie klaar hebben voor een NEN 7510 audit?

Voor een NEN 7510 audit moet je organisatie een volledig gedocumenteerd informatiebeveiligingsmanagementsysteem kunnen overleggen. De auditor verwacht dat alle relevante beleidsdocumenten, procedures en registraties actueel, goedgekeurd en aantoonbaar in gebruik zijn.

De meest essentiële documenten zijn:

• Informatiebeveiligingsbeleid: Een vastgesteld en ondertekend beleidsdocument dat de scope en doelstellingen beschrijft
• Risicoanalyse en risicobehandelingsplan: Een actueel overzicht van geïdentificeerde risico’s en de maatregelen die je hebt genomen
• Verklaring van toepasselijkheid (Statement of Applicability): Een overzicht van welke beheersmaatregelen van toepassing zijn en waarom
• Procedures voor toegangsbeheer, incidentbeheer en back-up: Gedocumenteerde werkwijzen die medewerkers daadwerkelijk volgen
• Interne auditrapportages: Bewijs dat je organisatie zichzelf periodiek evalueert
• Directiebeoordeling: Verslagen waaruit blijkt dat het management het ISMS actief bewaakt en bijstuurt
• Bewijs van training en bewustwording: Aanwezigheidsregistraties, e-learningcertificaten of andere bewijsstukken

Zorg dat alle documenten een versienummer en goedkeuringsdatum hebben. Een auditor controleert niet alleen of documenten bestaan, maar ook of ze up-to-date zijn en daadwerkelijk worden gebruikt in de dagelijkse praktijk.

Wat gebeurt er als een organisatie de NEN 7510 audit niet haalt?

Als een organisatie de NEN 7510 audit niet haalt, ontvangt zij een auditrapport met daarin de tekortkomingen. Deze worden ingedeeld als afwijkingen of verbeterpunten. Bij afwijkingen moet je organisatie binnen een afgesproken termijn aantonen dat de tekortkomingen zijn opgelost, waarna een heraudit of documentatiebeoordeling plaatsvindt.

Er zijn twee typen bevindingen:

• Majeure afwijkingen: Ernstige tekortkomingen die betekenen dat het systeem als geheel niet functioneert. Een certificaat wordt niet afgegeven totdat deze zijn opgelost.
• Mineure afwijkingen: Kleinere tekortkomingen die binnen een bepaalde termijn moeten worden verholpen. Een certificaat kan soms wel worden afgegeven onder voorbehoud van herstel.

Het niet halen van de audit heeft ook praktische gevolgen. Zonder geldig certificaat kun je als zorgorganisatie mogelijk niet voldoen aan contractuele verplichtingen, verlies je toegang tot bepaalde opdrachten of loop je het risico op sancties van toezichthouders. Het is daarom verstandig om goed voorbereid aan een audit te beginnen en eventuele tekortkomingen ruim van tevoren te identificeren en aan te pakken.

Hoe Diks Process Support helpt met NEN 7510 certificering

Wij begeleiden zorgorganisaties van begin tot eind bij het behalen en behouden van de NEN 7510-certificering. Dat doen we niet door voor je te werken, maar samen met jou, zodat de kennis en het systeem echt in jouw organisatie verankerd worden.

Wat we voor je doen:

• Een nulmeting uitvoeren om te bepalen waar je nu staat ten opzichte van de NEN 7510-norm
• Het opzetten of verbeteren van je informatiebeveiligingsmanagementsysteem (ISMS)
• Alle benodigde documentatie opstellen en implementeren
• Een interne audit uitvoeren als voorbereiding op de externe certificeringsaudit
• Medewerkers trainen en bewust maken van hun rol in informatiebeveiliging
• Begeleiding tijdens de externe audit en nazorg na certificering

Wil je weten hoe we jouw organisatie kunnen helpen bij de NEN 7510-certificering? Neem dan contact op voor een vrijblijvend gesprek via onze contactpagina.

Gerelateerde artikelen

• Is ISO 45001 haalbaar zonder HSE-afdeling?
• Ik verlies opdrachten omdat ik geen certificering heb, wat kan ik doen?
• Hoe overtuig ik de directie om te investeren in informatiebeveiliging?
• Waarom verliezen we aanbestedingen aan concurrenten met een certificaat?
• Hoe meet je klanttevredenheid volgens ISO 9001?
• Wat verwachten grote opdrachtgevers van jouw veiligheidsbeleid?
• Hoe bouw je een veiligheidscultuur op de werkvloer?
• Wie is ISO 27001-gecertificeerd?
• Hoe onderhoud je ISO 27001 na certificering?
• Hoe lang duurt een gemiddelde interim opdracht?