Wat is NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector. De norm beschrijft hoe zorgorganisaties patiëntgegevens en andere gevoelige informatie betrouwbaar moeten beheren en beveiligen. NEN 7510 is gebaseerd op de internationale ISO 27001-standaard, maar specifiek aangepast aan de eisen en context van de Nederlandse gezondheidszorg. In dit artikel beantwoorden we de meest gestelde vragen over NEN 7510, van de achtergrond en eisen tot certificering en kosten.

Waarom is NEN 7510 specifiek voor de zorgsector ontwikkeld?

NEN 7510 is specifiek voor de zorgsector ontwikkeld omdat patiëntgegevens bijzonder gevoelige persoonsgegevens zijn die extra bescherming vereisen. In de zorg wisselen tientallen partijen dagelijks medische informatie uit, van huisartsen en ziekenhuizen tot apothekers en thuiszorgorganisaties. Die complexe informatieketen vraagt om een norm die verder gaat dan algemene informatiebeveiliging.

De zorgsector heeft te maken met een unieke combinatie van risico’s. Een datalek met medische gegevens kan niet alleen financiële schade veroorzaken, maar ook directe gevolgen hebben voor de veiligheid en privacy van patiënten. Denk aan het uitlekken van een psychiatrische diagnose of het ongeoorloofd inzien van medicatiegegevens. Juist omdat de gevolgen zo ingrijpend kunnen zijn, is er een sectorspecifieke norm ontwikkeld die de bijzondere aard van zorgdata erkent en adresseert.

NEN 7510 bouwt voort op de structuur van ISO 27001, maar voegt zorgspecifieke maatregelen en richtlijnen toe die aansluiten bij de dagelijkse praktijk van zorginstellingen. Hierdoor sluit de norm direct aan op wet- en regelgeving zoals de Wet op de geneeskundige behandelingsovereenkomst (WGBO) en de AVG.

Wat zijn de belangrijkste eisen van NEN 7510?

De belangrijkste eisen van NEN 7510 draaien om het opzetten, implementeren en continu verbeteren van een informatiebeveiligingsbeheersysteem, ook wel een ISMS (Information Security Management System) genoemd. De norm vereist dat een zorgorganisatie risico’s systematisch identificeert, beoordeelt en beheerst op basis van een gedocumenteerde aanpak.

De norm bestaat uit twee delen. NEN 7510-1 beschrijft de managementeisen voor het ISMS, vergelijkbaar met ISO 27001. NEN 7510-2 bevat een uitgebreide set beheersmaatregelen die specifiek zijn afgestemd op de zorgsector. Bijlage C van NEN 7510-2 biedt bovendien een handig hulpmiddel voor het formuleren van vragen bij interne audits, wat de praktische toepassing van de norm ondersteunt.

Concrete eisen waaraan een zorgorganisatie moet voldoen zijn onder andere:

• Een vastgesteld informatiebeveiligingsbeleid dat door de directie wordt gedragen
• Een risicoanalyse en risicobehandeling voor alle relevante informatiesystemen
• Toegangsbeveiliging en autorisatiebeheer voor patiëntgegevens
• Procedures voor het melden en afhandelen van beveiligingsincidenten
• Bewustwording en training van medewerkers op het gebied van informatiebeveiliging
• Regelmatige interne audits en managementreviews
• Aantoonbare continue verbetering van het ISMS

Voor welke organisaties is NEN 7510 verplicht?

NEN 7510 is verplicht voor alle organisaties die patiëntgegevens verwerken als onderdeel van hun primaire zorgproces. Dit geldt in ieder geval voor ziekenhuizen, huisartspraktijken, apotheken, ggz-instellingen, verpleeg- en verzorgingshuizen en thuiszorgorganisaties. Ook ICT-leveranciers die systemen leveren aan de zorg kunnen onder de reikwijdte van de norm vallen.

De verplichting is verankerd in het Besluit elektronische gegevensuitwisseling in de zorg (Begiz), dat zorgaanbieders verplicht te voldoen aan NEN 7510 bij het elektronisch uitwisselen van patiëntgegevens. Daarnaast stellen zorgverzekeraars en toezichthouders zoals de Inspectie Gezondheidszorg en Jeugd (IGJ) NEN 7510-conformiteit steeds vaker als voorwaarde voor contractering of als onderdeel van hun toezicht.

Ook organisaties die niet formeel verplicht zijn, kiezen steeds vaker bewust voor NEN 7510-certificering. Een certificaat is een aantoonbaar bewijs van zorgvuldig informatiebeheer en versterkt het vertrouwen van patiënten, partners en opdrachtgevers.

Wat is het verschil tussen NEN 7510 en ISO 27001?

Het belangrijkste verschil tussen NEN 7510 en ISO 27001 is de doelgroep en de sectorspecifieke uitwerking. ISO 27001 is een internationale norm die van toepassing is op elke organisatie die informatiebeveiliging serieus wil aanpakken. NEN 7510 is specifiek ontwikkeld voor de Nederlandse zorgsector en bevat aanvullende maatregelen die aansluiten op de bijzondere aard van medische gegevens en zorgprocessen.

In de praktijk zijn de twee normen nauw verwant. NEN 7510-1 is inhoudelijk grotendeels gelijk aan ISO 27001, terwijl NEN 7510-2 aanvullende, zorgspecifieke beheersmaatregelen toevoegt bovenop de maatregelen uit ISO 27001 Annex A. Dit betekent dat een organisatie die NEN 7510 implementeert, tegelijkertijd grotendeels aan ISO 27001 voldoet.

Voor organisaties die beide certificaten willen behalen, is er goed nieuws: het certificatieschema voor NEN 7510 is zo ingericht dat je niet geconfronteerd wordt met dubbele auditlasten. Een gecombineerd traject is dan ook een efficiënte keuze. Meer informatie over de NEN 7510 certificering vind je op de expertisepagina.

Hoe verloopt een NEN 7510 certificeringstraject?

Een NEN 7510 certificeringstraject verloopt in een aantal vaste stappen, van de eerste nulmeting tot de uiteindelijke certificatieaudit door een onafhankelijke certificerende instelling. Het traject vraagt om een gestructureerde aanpak waarbij beleid, processen en medewerkers stap voor stap worden meegenomen.

Een typisch certificeringstraject ziet er als volgt uit:

1. Nulmeting: Breng de huidige staat van informatiebeveiliging in kaart en bepaal de afstand tot de norm.
2. Scope bepalen: Stel vast welke systemen, processen en locaties onder het ISMS vallen.
3. Risicoanalyse: Identificeer en beoordeel informatiebeveiligingsrisico’s en stel een risicobehandeling op.
4. Implementatie: Voer de benodigde maatregelen en procedures in en documenteer deze aantoonbaar.
5. Interne audit: Voer een interne audit uit om te toetsen of het ISMS werkt zoals bedoeld.
6. Managementreview: De directie beoordeelt de werking van het ISMS en stuurt bij waar nodig.
7. Certificatieaudit: Een geaccrediteerde certificerende instelling voert een externe audit uit en beoordeelt of de organisatie voldoet aan NEN 7510.

Voor medewerkers die betrokken zijn bij het ISMS zijn er gerichte trainingen beschikbaar. De training De norm verklaard behandelt de inhoud van de norm en de vertaling naar de eigen organisatie. De training In de praktijk richt zich op het implementeren en onderhouden van een ISMS. De training Auditen van informatiebeveiliging bereidt medewerkers voor op het organiseren en uitvoeren van interne audits. Deze drie trainingen zijn ook als gecombineerde leergang van drie modules beschikbaar, wat een efficiënte voorbereiding op certificering mogelijk maakt.

Wat kost NEN 7510 certificering voor een zorgorganisatie?

De kosten van NEN 7510 certificering variëren sterk en zijn afhankelijk van de omvang van de organisatie, de complexiteit van de processen en activiteiten, en eventuele bestaande gecertificeerde managementsystemen. Er is geen vaste prijs: elke situatie vraagt om een eigen berekening.

De totale investering bestaat doorgaans uit twee onderdelen. Ten eerste de interne kosten voor het implementeren van het ISMS, zoals de inzet van medewerkers, het uitvoeren van risicoanalyses en het opstellen van documentatie. Ten tweede de externe kosten voor de certificatieaudit door een certificerende instelling.

Het certificatieschema NCS 7510 bevat richtlijnen voor de berekening van het benodigde aantal auditordagen, wat de basis vormt voor de offertes van certificerende instellingen. Prijsopgaven kun je opvragen bij de bij NEN aangesloten conformiteitsbeoordelende instellingen. Organisaties die zowel een NEN 7510-certificaat als een ISO 27001-certificaat nastreven, hoeven geen dubbele auditlasten te verwachten, omdat het certificatieschema hier rekening mee houdt. Dit maakt een gecombineerd traject financieel aantrekkelijk.

Hoe wij helpen met NEN 7510 certificering

Wij begeleiden zorgorganisaties van de eerste nulmeting tot en met de succesvolle certificatieaudit. Onze aanpak is praktisch en stapsgewijs: we werken niet voor je, maar met je samen. Zo zorgen we dat NEN 7510 niet alleen op papier klopt, maar ook echt leeft binnen jouw organisatie.

Wat wij voor jou doen:

• Uitvoeren van een nulmeting om de afstand tot de norm inzichtelijk te maken
• Opstellen en implementeren van een passend informatiebeveiligingsbeleid en ISMS
• Begeleiden bij risicoanalyses en het formuleren van beheersmaatregelen
• Ondersteunen bij interne audits en managementreviews
• Begeleiden van het certificeringstraject van begin tot eind
• Verzorgen van trainingen voor medewerkers en interne auditoren
• Bieden van interim ondersteuning als interim security officer wanneer dat nodig is

Wil je weten wat NEN 7510 certificering voor jouw organisatie betekent en wat de eerste stap is? Neem contact met ons op en we denken graag vrijblijvend met je mee.

Gerelateerde artikelen

• Wie bewaakt de veiligheid tijdens een onderhoudsstop?
• Wat kost NEN 7510 certificering?
• Hoe weet ik of mijn ICT-leverancier patiëntdata veilig verwerkt?
• Hoe voorkom je miscommunicatie tussen afdelingen over kwaliteitseisen?
• Wat doe je als klanten twijfelen aan de betrouwbaarheid van je bedrijf?
• Wat gebeurt als een ISO 27001-certificaat verloopt?
• Wat doe je als een opdrachtgever vraagt om bewijs van veiligheidscultuur?
• Wat is het verschil tussen SCL trede 4 en trede 5?
• Hoe snel kan een interim kwaliteitsmanager starten?
• Hoe bereid je je voor op ISO 27001-wijzigingen in 2026?