Is NEN 7510 verplicht? Voor wie de norm geldt

De norm is specifiek ontwikkeld voor de Nederlandse zorgsector en sluit aan op de gevoeligheid van medische informatie. Patiëntgegevens behoren tot de meest privacygevoelige persoonsgegevens die er bestaan.

Is NEN 7510 verplicht?

NEN 7510 is in de zorg niet altijd wettelijk verplicht, maar voor veel zorginstellingen geldt wel een indirecte verplichting via wet- en regelgeving. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verplicht zorgaanbieders namelijk om passende technische en organisatorische maatregelen te treffen voor informatiebeveiliging, en NEN 7510 geldt daarbij als de erkende norm.

NEN 7510 is de norm zelf: een set eisen en richtlijnen voor informatiebeveiliging in de zorg. NEN 7510 certificering is het formele bewijs dat een onafhankelijke partij heeft vastgesteld dat jouw organisatie aan die norm voldoet. Voldoen aan de norm is verplicht; het behalen van een certificaat is in de meeste gevallen niet wettelijk verplicht, maar biedt wel aantoonbaar bewijs van naleving.

NEN 7510 is wettelijk verplicht voor zorgaanbieders die vallen onder de Wabvpz. Deze wet stelt dat zorgaanbieders die elektronisch patiëntendossiers bijhouden of gegevens uitwisselen, moeten voldoen aan een norm voor informatiebeveiliging. De overheid wijst NEN 7510 expliciet aan als de norm waaraan voldaan moet worden.

Het onderscheid is praktisch belangrijk. Je kunt als zorginstelling intern werken aan informatiebeveiliging conform NEN 7510 zonder dat je daarvoor een certificaat aanvraagt. Maar een certificaat geeft externe partijen, zoals opdrachtgevers, toezichthouders en samenwerkingspartners, zekerheid dat jouw informatiebeveiligingsmanagement onafhankelijk is getoetst.

Wat is NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector. De norm beschrijft hoe zorgorganisaties patiëntgegevens en andere gevoelige informatie betrouwbaar moeten beheren en beveiligen. NEN 7510 is gebaseerd op de internationale ISO 27001-standaard, maar specifiek aangepast aan de eisen en context van de Nederlandse gezondheidszorg.

In de praktijk zijn de twee normen nauw verwant. NEN 7510-1 is inhoudelijk grotendeels gelijk aan ISO 27001, terwijl NEN 7510-2 aanvullende, zorgspecifieke beheersmaatregelen toevoegt bovenop de maatregelen uit ISO 27001 Annex A. Dit betekent dat een organisatie die NEN 7510 implementeert, tegelijkertijd grotendeels aan ISO 27001 voldoet. Lees meer over het verschil tussen ISO 27001 en NEN 7510.

Meer informatie over de NEN 7510 certificering vind je op de expertisepagina.

Voor welke organisaties geldt NEN 7510?

Je organisatie valt onder NEN 7510 als je patiëntgegevens verwerkt of beheert in de context van zorgverlening. De kernvraag is: heeft jouw organisatie toegang tot medische of persoonlijke gezondheidsdata van patiënten? Als het antwoord ja is, dan is NEN 7510 relevant voor jou, ongeacht of je een directe zorgaanbieder bent of een ondersteunende partij in de zorgketen.

Ziekenhuizen

Voor specifieke sectoren, zoals ziekenhuizen die zijn aangesloten bij bepaalde netwerken of systemen, geldt de norm in de praktijk als een harde eis. Daarbij speelt ook de NIS2-richtlijn een rol: zorginstellingen die als essentiële entiteit worden aangemerkt, krijgen te maken met aanvullende verplichtingen die goed aansluiten op de eisen van NEN 7510.

Huisartsen

De norm maakt geen onderscheid op basis van de omvang van de organisatie: ook een solopraktijk valt binnen de reikwijdte. Het comply-or-explain-principe maakt het mogelijk om bepaalde beheersmaatregelen niet toe te passen als je kunt onderbouwen waarom ze niet relevant zijn voor jouw situatie. Een solohuisarts zonder eigen serverinfrastructuur heeft bijvoorbeeld andere risico’s dan een zorggroep met tientallen medewerkers en meerdere locaties.

Thuiszorg

De norm is van toepassing op alle organisaties die patiëntgegevens verwerken binnen de Nederlandse gezondheidszorg, en thuiszorg valt daar expliciet onder. Voor thuiszorgorganisaties is de verplichting extra relevant omdat medewerkers vaak werken vanuit wisselende locaties, via mobiele apparaten en met toegang tot gevoelige dossiers op afstand. Die gedistribueerde werkwijze vergroot het risico op datalekken en maakt een goed informatiebeveiligingsmanagementsysteem (ISMS) onmisbaar.

Kleine zorgorganisaties

De norm is schaalbaar en toepasbaar op organisaties van elke omvang, van een kleine huisartsenpraktijk tot een grote ziekenhuisgroep. De vereisten zijn hetzelfde, maar de manier waarop je ze invult pas je aan op de grootte en complexiteit van je eigen organisatie. Voor kleine zorgorganisaties betekent dit niet dat je een uitgebreid IT-team nodig hebt.

ICT- en softwareleveranciers

Niet alleen zorgaanbieders zelf, maar ook hun leveranciers en verwerkers vallen onder NEN 7510 wanneer zij toegang hebben tot patiëntgegevens.

Wat eist NEN 7510 van je organisatie?

De belangrijkste eisen van NEN 7510 richten zich op het opzetten, implementeren, bewaken en continu verbeteren van een managementsysteem voor informatiebeveiliging, specifiek toegespitst op de zorg. De norm omvat beheersmaatregelen op het gebied van toegangsbeheer, risicoanalyse, incidentbeheer, fysieke beveiliging en bewustwording van medewerkers.

NEN 7510 bestaat uit twee delen. Het eerste deel, NEN 7510-1, beschrijft de eisen voor het managementsysteem zelf. Het tweede deel, NEN 7510-2, bevat uitgebreide richtlijnen en beheersmaatregelen die organisaties kunnen implementeren om aan de eisen te voldoen. Samen vormen ze een compleet raamwerk voor informatiebeveiliging in de zorg.

Daarnaast vereist de norm dat het management actief betrokken is bij informatiebeveiliging en dat er een duidelijk informatiebeveiligingsbeleid wordt vastgesteld en onderhouden. Lees ook wat er verandert met de nieuwe versie NEN 7510:2024.

Wie houdt toezicht op informatiebeveiliging in de zorg?

Als een zorginstelling tekortschiet in informatiebeveiliging, kan de Inspectie Gezondheidszorg en Jeugd (IGJ) ingrijpen met formele maatregelen zoals een aanwijzing, bevel of zelfs een boete. De IGJ houdt toezicht op de naleving van wettelijke verplichtingen rondom informatiebeveiliging in de zorg, waaronder de verplichting om te voldoen aan NEN 7510.

De IGJ verwacht dat zorginstellingen aantoonbaar kunnen maken dat zij voldoen aan NEN 7510. Een NEN 7510-certificaat is daarvoor een erkende en krachtige manier, maar ook zonder certificaat moet een instelling kunnen bewijzen dat de beveiliging op orde is. Instellingen die geen enkel bewijs kunnen overleggen, lopen het grootste risico op een formele maatregel.

NEN 7510 en de AVG

NEN 7510 en de AVG vullen elkaar aan: NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en geeft concreet invulling aan de technische en organisatorische beveiligingsmaatregelen die de AVG vereist voor de bescherming van persoonsgegevens. Beide kaders richten zich op het beschermen van gevoelige informatie, maar vanuit een ander vertrekpunt.

Waar de AVG zegt dat je “passende maatregelen” moet treffen, geeft NEN 7510 aan welke maatregelen dat zijn binnen de zorgsector. Beide verplichten organisaties om datalekken te registreren en, afhankelijk van de ernst, te melden bij de Autoriteit Persoonsgegevens.

Een NEN 7510-certificaat geldt niet als formeel bewijs van volledige AVG-compliance, maar het is wel een sterk signaal dat een organisatie informatiebeveiliging serieus neemt.