Wat is NEN 7510? Informatiebeveiliging in de zorg

Wat is NEN 7510? Het is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe een organisatie die met gezondheidsgegevens werkt, die gegevens beschermt: beschikbaar als ze nodig zijn, juist en volledig, en alleen in te zien door wie dat mag.

NEN 7510 bouwt voort op ISO 27001 en ISO 27002, met aanvullingen voor de zorg. Iedere zorgaanbieder moet volgens de norm werken, van ziekenhuis tot eenmanspraktijk. Een certificaat is niet verplicht. Zoekt u begeleiding in plaats van uitleg, kijk dan bij onze aanpak voor NEN 7510.

Op deze pagina leest u hoe de norm is opgebouwd en wat de huidige versie is. Daarna gaat het over voor wie hij geldt en over het verschil tussen voldoen en certificeren. Ook ziet u hoe de norm samenhangt met andere normen en wetten, en hoe u begint.

Wat is NEN 7510 precies?

NEN 7510 bestaat uit twee delen. NEN 7510-1 beschrijft de eisen aan het managementsysteem voor informatiebeveiliging, het ISMS. NEN 7510-2 werkt die eisen uit in beheersmaatregelen en richtlijnen voor de zorg.

Een ISMS is de manier waarop u besluiten neemt over beveiliging. Wie gaat waarover, hoe beoordeelt u risico’s, welke maatregelen kiest u en hoe controleert u of ze werken? Meer daarover leest u in wat een ISMS is.

Deel 2 is gebaseerd op ISO 27002 en op ISO 27799, de internationale richtlijn voor informatiebeveiliging in de zorg. Daardoor gaat de norm concreet in op zorgsituaties. Denk aan de omgang met patiëntgegevens en het bewaken van wie welk dossier inziet.

De huidige versie: NEN 7510:2024

De actuele versies van beide delen verschenen in december 2024. Ze vervangen de versie uit 2017, die in 2020 nog een aanvulling kreeg. De nieuwe versie sluit aan op ISO 27001 en ISO 27002 uit 2022.

Bent u al gecertificeerd tegen de oude versie? Dan moet uw certificaat volgens NEN uiterlijk 20 februari 2027 zijn omgezet naar NEN 7510:2024. Plan die omzetting dus tijdig in.

Begin 2026 verscheen een wijzigingsblad op deel 2. Daarmee sluit de norm aan op de definitieve versie van ISO 27799. Een aantal zorgspecifieke maatregelen is aangescherpt. En een bijlage koppelt de maatregelen nu aan de Cyberbeveiligingswet in plaats van aan NIS2. Deel 1 is niet gewijzigd. Beide delen zijn kosteloos te downloaden bij NEN.

Voor wie NEN 7510 geldt

De norm geldt voor alle zorgaanbieders, groot en klein. Ook kleinere zorgaanbieders en eenmanszaken moeten voldoen, zegt de Inspectie Gezondheidszorg en Jeugd. Een fysiotherapeut met een eigen praktijk heeft dus dezelfde plicht als een ziekenhuis. Wel mag de invulling passen bij de omvang.

De verplichting staat sinds 2008 in de wet. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verwijst via een besluit naar NEN 7510. Datzelfde besluit vraagt ook om NEN 7512 voor veilige gegevensuitwisseling en NEN 7513 voor logging.

Ook de AVG telt mee. Die vraagt passende beveiliging van persoonsgegevens. Voor de zorg wijst de Autoriteit Persoonsgegevens naar NEN 7510 als de norm die beschrijft hoe dat moet.

Levert u aan de zorg, bijvoorbeeld als softwareleverancier of hostingbedrijf? Dan krijgt u meestal via het contract met NEN 7510 te maken. NEN rekent leveranciers van zorg-ICT ook met zoveel woorden tot de organisaties waarop de norm zich richt.

Voldoen is verplicht, certificeren niet

Een NEN 7510-certificaat is niet wettelijk verplicht. Ook de Cyberbeveiligingswet schrijft het niet voor. U moet wel kunnen aantonen dat u volgens de norm werkt.

Aantonen betekent: laten zien dat uw ISMS werkt. Er draait een cyclus van plannen, uitvoeren, controleren en bijsturen, en die laat u regelmatig toetsen. Naast interne audits gaat de norm uit van onafhankelijke beoordelingen. Volgens de IGJ is dat ten minste eens per drie jaar nodig.

Een certificaat is de meest herkenbare manier om dat te laten zien, omdat een onafhankelijke instelling uw systeem periodiek toetst. Zonder certificaat kan ook, mits u het bewijs op een andere manier rond heeft. Denk aan een onafhankelijke beoordeling, verslagen van interne audits en een directiebeoordeling met besluiten.

De IGJ houdt toezicht op de naleving. Bij kleine zorgaanbieders gebeurt dat met een digitale vragenlijst en een vervolgbrief. In 2026 begon de inspectie daarmee bij vijftig willekeurig gekozen huisartsenpraktijken, verspreid over het land.

Wat de keuze voor een certificaat bepaalt, is vaak de buitenwereld. Vraagt een opdrachtgever, verzekeraar of ketenpartner erom, dan is certificeren de kortste route. Wat daarbij komt kijken, leest u bij NEN 7510-certificering.

Hoe NEN 7510, NEN 7512 en NEN 7513 samenhangen

NEN 7510 is de basis. Twee andere normen werken een specifiek onderdeel verder uit.

Logging is daarbij geen los project. NEN 7513 werkt een deel uit van de maatregel over logging in NEN 7510-2, dus u heeft ze allebei nodig. Hoe dat werkt, leest u in NEN 7513 en logging.

Voor het uitwisselen van gegevens tussen zorgaanbieders geldt daarnaast de Wegiz. Die wet bepaalt hoe gegevens elektronisch en gestandaardiseerd worden gedeeld, en raakt daarmee direct aan NEN 7512 en NEN 7513.

Het verschil met ISO 27001

NEN 7510-1 volgt de opbouw en de eisen van ISO 27001. Wie zijn ISMS volgens ISO 27001 heeft ingericht, herkent dus vrijwel alles.

Het verschil zit in deel 2 en in de context. NEN 7510-2 voegt maatregelen en richtlijnen voor de zorg toe, bijvoorbeeld over toegang tot patiëntgegevens en het bewaken daarvan. En de norm sluit aan op Nederlandse zorgwetgeving, zoals de Wabvpz.

Heeft u al een ISO 27001-certificaat? Dan is de stap naar NEN 7510 vooral een kwestie van de zorgspecifieke onderdelen invullen en aantonen. Welke van de twee u nodig heeft, hangt af van wie erom vraagt. In de zorg is NEN 7510 de norm waar de wet naar verwijst. Of ISO 27001 daarnaast nodig is, leest u in is ISO 27001 verplicht.

NEN 7510 en de Cyberbeveiligingswet

Een deel van de zorg valt ook onder de Cyberbeveiligingswet (CBW), de Nederlandse invulling van de Europese NIS2-richtlijn. De Cyberbeveiligingswet is van kracht. De wet vraagt passende maatregelen en een meldplicht voor significante incidenten.

Een NEN 7510-certificaat is voor de CBW niet verplicht. Wel dekt een werkend ISMS volgens de norm een groot deel van wat de wet onder de zorgplicht verstaat. Sinds het wijzigingsblad van 2026 bevat NEN 7510-2 een bijlage die de maatregelen koppelt aan de CBW. Zo ziet u snel waar de overlap zit en waar nog iets ontbreekt. De eisen zelf staan in de NIS2 zorgplicht.

Zo begint u met NEN 7510

Begin niet bij de lijst met maatregelen, maar bij uw informatiestromen. De IGJ raadt kleine zorgaanbieders aan om per informatiestroom en per systeem te bekijken wat er mis kan gaan. Begin bij de meest kritische, zoals het elektronisch patiëntendossier.

Leg daarna naast elkaar wat er al ligt en wat de norm vraagt. Bij de meeste organisaties is dat meer dan verwacht: wachtwoordbeleid, back-ups, afspraken met leveranciers. Wat vaak ontbreekt, is de samenhang en het bewijs dat het werkt.

Vergeet de mensen niet. Medewerkers die weten wat er van hen wordt verwacht, maken het verschil. Een NEN 7510-training helpt om de norm te vertalen naar de eigen praktijk.

Veelgestelde vragen over NEN 7510

Is NEN 7510 verplicht?

Werken volgens de norm is verplicht voor iedere zorgaanbieder, via de Wabvpz en het bijbehorende besluit. Een certificaat is niet verplicht. U moet wel kunnen aantonen dat uw informatiebeveiliging volgens de norm is ingericht en werkt.

Geldt NEN 7510 ook voor een kleine praktijk?

Ja. De IGJ is daar duidelijk over: ook kleinere zorgaanbieders en eenmanszaken moeten voldoen. De invulling mag passen bij uw omvang, maar u moet aantoonbaar met informatiebeveiliging bezig zijn.

Wat is het verschil tussen NEN 7510 en ISO 27001?

NEN 7510-1 volgt ISO 27001. NEN 7510-2 bouwt op ISO 27002 en voegt maatregelen voor de zorg toe, gebaseerd op ISO 27799. Daarnaast sluit de norm aan op de Nederlandse zorgwetgeving.

Wat betekent NEN 7510:2024 voor een bestaand certificaat?

Certificaten tegen de oude versie moeten uiterlijk 20 februari 2027 zijn omgezet naar NEN 7510:2024. Vergelijk uw huidige maatregelen op tijd met de nieuwe versie. Dan komt u niet onder tijdsdruk te staan.

Kost de norm geld?

Nee. NEN 7510-1 en NEN 7510-2 zijn kosteloos te downloaden bij NEN, net als NEN 7513. Wat wel tijd en geld kost, is het inrichten en onderhouden van het systeem.