Wat is NEN 7510 en voor wie geldt de norm

Op deze pagina

• Wat is NEN 7510?

• Waarom is NEN 7510 belangrijk?

• Voor wie geldt NEN 7510?

• Is NEN 7510 verplicht?

• Is een NEN 7510-certificaat verplicht?

• Welke onderwerpen behandelt NEN 7510?

• Wat vraagt NEN 7510 van de directie?

• Welke rol heeft een ICT-leverancier?

• Maakt NEN 7510 een organisatie volledig veilig?

• Hoe begin je met NEN 7510?

• NEN 7510 en Encis

Wat is NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe zorgorganisaties en andere beheerders van persoonlijke gezondheidsinformatie hun informatiebeveiliging moeten organiseren.

Het doel is dat gezondheidsinformatie:

• vertrouwelijk wordt behandeld;

• juist en volledig blijft;

• beschikbaar is wanneer deze nodig is.

NEN 7510 gaat daarom verder dan het installeren van antivirussoftware, een firewall of een back-up. De norm kijkt naar de volledige manier waarop een organisatie informatiebeveiliging aanstuurt, uitvoert en controleert.

Daarbij gaat het bijvoorbeeld om:

• verantwoordelijkheden binnen de organisatie;

• informatiebeveiligingsbeleid;

• risicoanalyses;

• gebruikersaccounts en toegangsrechten;

• beveiliging van apparaten en systemen;

• afspraken met ICT-leveranciers;

• het melden en behandelen van incidenten;

• back-ups en herstelprocedures;

• periodieke controles;

• voortdurende verbetering.

De huidige norm bestaat uit NEN 7510-1:2024 en NEN 7510-2:2024. In 2026 is deel 2 aangevuld met een amendement. De vernieuwde norm sluit aan op actuele internationale normen voor informatiebeveiliging en bevat aanvullende eisen voor de zorgsector.

Waarom is NEN 7510 belangrijk?

Informatiebeveiliging in de zorg gaat niet alleen over privacy. Een storing, verkeerde instelling, menselijke fout of cyberaanval kan ook gevolgen hebben voor de kwaliteit en continuïteit van de zorg.

Een behandelaar moet op het juiste moment toegang hebben tot de juiste informatie. Een zorgorganisatie moet erop kunnen vertrouwen dat gegevens niet ongewenst zijn gewijzigd. Ook moet duidelijk zijn wie bepaalde informatie mag bekijken.

NEN 7510 richt zich daarom op drie belangrijke onderdelen.

Vertrouwelijkheid

Alleen bevoegde personen mogen informatie bekijken en gebruiken.

Een medewerker hoort alleen toegang te hebben tot gegevens die nodig zijn voor het uitvoeren van de eigen werkzaamheden. Hetzelfde geldt voor externe leveranciers die systemen beheren of ondersteunen.

Integriteit

Informatie moet juist en volledig blijven.

Onjuiste of ongecontroleerd gewijzigde gezondheidsinformatie kan gevolgen hebben voor diagnoses, behandelingen en medicatie. Organisaties moeten daarom kunnen controleren wie informatie heeft toegevoegd, bekeken of gewijzigd.

Beschikbaarheid

Informatie en systemen moeten beschikbaar zijn wanneer zorgverleners deze nodig hebben.

Dat vraagt onder andere om betrouwbare systemen, goede back-ups, herstelprocedures en plannen voor onverwachte uitval.

Voor wie geldt NEN 7510?

NEN 7510 is bedoeld voor zorgaanbieders en voor organisaties die persoonlijke gezondheidsinformatie beheren of verwerken.

De omvang van de organisatie maakt daarbij niet automatisch verschil. Een kleine praktijk kan net zo goed onder de norm vallen als een groot ziekenhuis. De risico’s, systemen en benodigde maatregelen kunnen natuurlijk wel verschillen.

Zorgaanbieders

Zorgaanbieders die persoonsgegevens verwerken in digitale zorgsystemen moeten aantoonbaar volgens NEN 7510 werken.

Denk onder andere aan:

• ziekenhuizen;

• huisartsenpraktijken;

• huisartsenposten;

• tandartspraktijken;

• apotheken;

• fysiotherapiepraktijken;

• ggz-instellingen;

• thuiszorgorganisaties;

• verpleeghuizen;

• gehandicaptenzorgorganisaties;

• klinieken;

• laboratoria;

• zelfstandige behandelcentra;

• arbodiensten.

Ook kleinere zorgaanbieders vallen binnen de reikwijdte van de norm. Een beperkt aantal medewerkers of een kleine ICT-omgeving betekent dus niet dat NEN 7510 niet van toepassing is.

De manier waarop een kleine praktijk de norm toepast, hoeft niet hetzelfde te zijn als bij een ziekenhuis. Maatregelen moeten passen bij de omvang, risico’s en werkzaamheden van de organisatie.

ICT-leveranciers en andere dienstverleners

Ook organisaties die zelf geen zorg verlenen, kunnen met NEN 7510 te maken krijgen.

Dit geldt vooral voor partijen die persoonlijke gezondheidsinformatie opslaan, beheren, verwerken of uitwisselen. Denk bijvoorbeeld aan:

• leveranciers van elektronische patiëntendossiers;

• leveranciers van elektronische cliëntendossiers;

• softwareleveranciers voor de zorg;

• hosting- en cloudleveranciers;

• ICT-beheerders;

• managed service providers;

• datacenters;

• back-upleveranciers;

• leveranciers van laboratoriumsystemen;

• partijen die digitale gegevensuitwisseling verzorgen.

Niet iedere leverancier heeft dezelfde rol. Een leverancier die alleen apparatuur aflevert, heeft andere verantwoordelijkheden dan een ICT-partner met beheerdersrechten die accounts, back-ups, werkplekken en netwerken beheert.

De precieze verantwoordelijkheden hangen af van de dienstverlening, de toegang tot gegevens en de afspraken met de zorgorganisatie.

Is NEN 7510 verplicht?

Zorgaanbieders moeten aantoonbaar volgens NEN 7510 werken. De Inspectie Gezondheidszorg en Jeugd houdt toezicht op de informatiebeveiliging binnen zorgorganisaties.

Aantoonbaar werken volgens de norm betekent dat een organisatie niet alleen maatregelen moet nemen, maar ook moet kunnen laten zien dat deze maatregelen in de praktijk goed werken.

Een zorgorganisatie moet bijvoorbeeld kunnen aantonen dat:

• informatiebeveiligingsrisico’s zijn onderzocht;

• verantwoordelijkheden zijn vastgelegd;

• medewerkers passende toegangsrechten hebben;

• beveiligingsmaatregelen zijn ingevoerd;

• incidenten worden geregistreerd en opgevolgd;

• back-ups en herstelprocedures zijn ingericht;

• controles en evaluaties plaatsvinden;

• verbeterpunten daadwerkelijk worden uitgevoerd.

Alleen zeggen dat informatiebeveiliging goed is geregeld, is dus niet voldoende.

Is een NEN 7510-certificaat verplicht?

Een veelvoorkomend misverstand is dat iedere zorgorganisatie verplicht een NEN 7510-certificaat moet hebben.

Dat is niet het geval.

Een zorgorganisatie moet wel aantoonbaar volgens NEN 7510 werken en de informatiebeveiliging regelmatig onafhankelijk laten beoordelen. Certificering is een specifieke manier om dat aan te tonen, maar niet de enige mogelijkheid.

Bij een certificering controleert een onafhankelijke certificerende instelling of het managementsysteem voor informatiebeveiliging aan de norm voldoet. Tijdens de geldigheidsduur van het certificaat volgen periodieke controles.

Een certificaat kan belangrijk zijn richting:

• toezichthouders;

• opdrachtgevers;

• zorgverzekeraars;

• samenwerkingspartners;

• klanten en cliënten;

• inkopers;

• auditors.

Ook kunnen opdrachtgevers, samenwerkingspartners of aanbestedingen certificering als contractuele voorwaarde stellen.

De belangrijkste vraag is daarom niet alleen of een certificaat formeel verplicht is. Een organisatie moet vooral kunnen onderbouwen dat zij volgens de norm werkt en dat de gekozen maatregelen daadwerkelijk functioneren.

Welke onderwerpen behandelt NEN 7510?

NEN 7510 bestaat uit twee delen.

NEN 7510-1: het managementsysteem

Het eerste deel bevat eisen voor het managementsysteem voor informatiebeveiliging. Dit wordt ook wel een Information Security Management System of ISMS genoemd.

Daarbij gaat het onder andere om:

• beleid;

• rollen en verantwoordelijkheden;

• risicoanalyses;

• doelstellingen;

• beschikbare mensen en middelen;

• interne controles;

• directiebeoordelingen;

• verbetermaatregelen.

Het managementsysteem zorgt ervoor dat informatiebeveiliging geen verzameling losse technische oplossingen wordt. Beleid, uitvoering, controle en verbetering moeten met elkaar samenhangen.

NEN 7510-2: beveiligingsmaatregelen

Het tweede deel gaat in op de maatregelen waarmee organisaties hun risico’s kunnen beheersen.

Denk bijvoorbeeld aan:

• identiteits- en toegangsbeheer;

• veilige werkplekken;

• beveiliging van netwerken;

• logging en monitoring;

• back-ups;

• incidentbeheer;

• leveranciersmanagement;

• bedrijfscontinuïteit;

• fysieke beveiliging;

• bescherming van cloudomgevingen;

• beheer van kwetsbaarheden.

Niet iedere maatregel hoeft bij iedere organisatie op precies dezelfde manier te worden ingericht. De organisatie moet op basis van risico’s bepalen welke maatregelen nodig zijn en gemaakte keuzes kunnen onderbouwen.

Wat vraagt NEN 7510 van de directie?

Informatiebeveiliging wordt nog regelmatig gezien als een verantwoordelijkheid van de ICT-afdeling of externe ICT-leverancier. Dat is te beperkt.

De directie blijft verantwoordelijk voor de manier waarop de organisatie informatiebeveiliging aanstuurt.

Dat betekent onder andere dat de directie:

• beleid vaststelt;

• verantwoordelijkheden verdeelt;

• voldoende mensen en middelen beschikbaar stelt;

• risico’s laat onderzoeken;

• keuzes over maatregelen en risico’s beoordeelt;

• de voortgang periodiek controleert;

• erop toeziet dat verbeteringen worden uitgevoerd.

Een ICT-leverancier kan technische maatregelen uitvoeren en beheren. De bestuurlijke verantwoordelijkheid van de zorgorganisatie kan echter niet volledig worden uitbesteed.

Welke rol heeft een ICT-leverancier?

Een ICT-leverancier kan een zorgorganisatie ondersteunen bij een belangrijk deel van de technische informatiebeveiliging.

Denk bijvoorbeeld aan:

• het beveiligen van Microsoft 365;

• het instellen van multifactor-authenticatie;

• het beheren van accounts en toegangsrechten;

• het beveiligen en beheren van werkplekken;

• het installeren van beveiligingsupdates;

• netwerk- en firewallbeheer;

• monitoring;

• back-ups;

• herstelprocedures;

• logging;

• ondersteuning bij beveiligingsincidenten.

Daarbij moeten de zorgorganisatie en de ICT-leverancier duidelijke afspraken maken.

Wie controleert bijvoorbeeld of back-ups goed worden uitgevoerd? Wie verwijdert de accounts en toegangsrechten van vertrekkende medewerkers? Hoe snel wordt een beveiligingsincident gemeld? En welke informatie ontvangt de directie over risico’s, incidenten en verbeterpunten?

Zonder duidelijke verantwoordelijkheden kunnen belangrijke maatregelen tussen de zorgorganisatie en leverancier in komen te liggen.

Maakt NEN 7510 een organisatie volledig veilig?

Nee. Geen enkele norm kan garanderen dat een organisatie nooit te maken krijgt met een storing, menselijke fout, datalek of cyberaanval.

NEN 7510 helpt wel om risico’s structureel te beheersen. Een organisatie brengt risico’s in kaart, neemt passende maatregelen en controleert regelmatig of deze maatregelen goed werken.

Een organisatie die NEN 7510 goed toepast, weet bijvoorbeeld:

• welke informatie en systemen belangrijk zijn;

• welke risico’s aanwezig zijn;

• wie verantwoordelijk is;

• welke maatregelen zijn genomen;

• wat er moet gebeuren bij een incident;

• hoe gegevens en systemen worden hersteld;

• welke leveranciers toegang hebben;

• welke verbeteringen nog nodig zijn.

NEN 7510 gaat daarom vooral over grip, aantoonbaarheid en voortdurende verbetering.

Hoe begin je met NEN 7510?

Werken volgens NEN 7510 begint niet met het aanvragen van een certificaat. Eerst moet duidelijk zijn hoe de organisatie met informatie, systemen en risico’s omgaat.

1. Bepaal de scope: Breng in kaart welke locaties, afdelingen, systemen, processen en leveranciers binnen de beoordeling vallen.

2. Inventariseer informatie en systemen: Bepaal welke persoonlijke gezondheidsinformatie wordt verwerkt, waar deze informatie staat en wie toegang heeft.

3. Voer een risicoanalyse uit: Onderzoek welke dreigingen en kwetsbaarheden aanwezig zijn en wat de gevolgen van een incident kunnen zijn.

4. Controleer bestaande maatregelen: Bekijk welke organisatorische, technische en fysieke maatregelen al zijn ingevoerd.

5. Maak een verbeterplan: Bepaal welke maatregelen nog nodig zijn. Stel prioriteiten op basis van risico, urgentie en uitvoerbaarheid.

6. Leg verantwoordelijkheden vast: Maak duidelijk wie verantwoordelijk is voor beleid, systemen, incidenten, leveranciers en verbeteracties.

7. Laat de werking beoordelen: Laat onafhankelijk controleren of de organisatie aantoonbaar volgens de norm werkt en of de maatregelen in de praktijk functioneren.

8. Blijf controleren en verbeteren: Informatiebeveiliging is nooit klaar. Systemen, medewerkers, dreigingen, leveranciers en wettelijke eisen blijven veranderen.

NEN 7510 en Encis

Encis beheert niet alleen ICT, maar zorgt er ook voor dat dit veilig gebeurt. Informatiebeveiliging en gegevensbescherming zijn daarom belangrijke onderdelen van onze dienstverlening.

Encis is zelf gecertificeerd voor ISO 27001 en NEN 7510. In 2025 zijn beide certificeringen voor het zevende jaar op rij opnieuw behaald na een audit door KIWA.

Lees meer over onze ISO 27001- en NEN 7510-certificering . Je kunt ook het nieuwsbericht bekijken over de hercertificering van Encis voor ISO 27001 en NEN 7510 .

Dat betekent niet dat een klant door de samenwerking met Encis automatisch volledig aan NEN 7510 voldoet. De zorgorganisatie blijft zelf verantwoordelijk voor het beleid, de risicoanalyse, interne processen en de aantoonbaarheid van de genomen maatregelen.

Wel werk je met een ICT-partner die de eisen rond informatiebeveiliging in de zorg kent en zelf aantoonbaar volgens deze normen werkt.

We ondersteunen organisaties onder andere bij het beheren en beveiligen van:

• Microsoft 365-omgevingen ;

• gebruikersaccounts en toegangsrechten binnen een veilige moderne werkplek ;

• werkplekken en dagelijks ICT-beheer ;

• netwerken en beveiligde verbindingen ;

• firewalls en andere securityoplossingen ;

• veilige cloudomgevingen ;

• back-ups en herstelvoorzieningen .

Hulp nodig bij de technische informatiebeveiliging?

Wil je weten welke technische maatregelen binnen jouw ICT-omgeving aandacht nodig hebben?

Onze specialisten kijken naar de inrichting van onder andere je werkplekken, Microsoft 365-omgeving, netwerk, toegangsbeheer en back-ups. Zo krijg je inzicht in technische risico’s en mogelijke verbeteringen.

Neem contact op met Encis