NEN 7510: informatiebeveiliging in de zorg, helder uitgelegd
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Deze kennisbron legt uit wat de norm inhoudt, voor wie die geldt, welke eisen er gelden, wat er veranderde in de versie van 2024 en hoe u de norm in de praktijk invoert en toetst.
Waar bent u naar op zoek?
Gezondheidsgegevens zijn bijzondere persoonsgegevens, en de gevolgen van een storing zijn hier direct merkbaar in de behandelkamer. Een onbereikbaar dossier betekent geen omzetverlies, maar een behandeling zonder volledig beeld. NEN 7510 vertaalt dat naar een managementsysteem: u bepaalt wat beschermd moet worden, u weegt risico's vanuit de zorgverlening en u toont aan dat de maatregelen werken.
De norm is geen checklist die u eenmalig afvinkt en ook geen technische productlijst. Het is een cyclus van plannen, uitvoeren, beoordelen en verbeteren, waarbij het bewijs uit de dagelijkse praktijk komt: beleid dat leeft, autorisaties die kloppen, incidenten die worden geëvalueerd.
De norm in het kort
- 2
- Delen: eisen aan het managementsysteem en beheersmaatregelen
- 4
- Thema's in NEN 7510-2:2024, van organisatorisch tot technologisch
- 3 jaar
- Looptijd van een certificaat, met jaarlijkse controleaudits
- 1 norm
- Die beleid, mensen, processen en techniek tegelijk raakt
NEN 7510 in zeven hoofdstukken
Elk hoofdstuk beantwoordt een eigen vraag en verwijst door naar de onderwerpen die daarop aansluiten. U kunt bij het begin starten of direct naar het onderwerp gaan dat u zoekt.
- 01
Wat is NEN 7510
Definitie, doel, reikwijdte en de verhouding tot ISO 27001.
Lees meer → - 02
De eisen van de norm
Twaalf onderdelen, van beleid en risicoanalyse tot techniek en verbetering.
Lees meer → - 03
De herziening van 2024
Waarom de norm is herzien en wat er inhoudelijk is veranderd.
Lees meer → - 04
Wetgeving en toezicht
Wet, norm, certificering en toezicht uit elkaar gehaald.
Lees meer → - 05
Implementatie in vier fasen
Een praktische route in vier fasen, met acties per fase.
Lees meer → - 06
Pentesten en technische security testing
Testvormen, opbrengst en de plaats van AI binnen security testing.
Lees meer → - 07
Veelgestelde vragen
Veertien vragen met korte, feitelijke antwoorden.
Lees meer →
Belangrijke data rond NEN 7510
Drie momenten die bepalen welke normversie geldt en welke verplichtingen daarnaast spelen.
16 december 2024
Huidige normversie gepubliceerd
NEN publiceerde NEN 7510-1:2024 en NEN 7510-2:2024, afgestemd op ISO/IEC 27001:2022 en ISO/IEC 27002:2022.
15 augustus 2026
Cyberbeveiligingswet in werking
De Nederlandse uitwerking van de NIS2-richtlijn geldt vanaf deze datum. Of uw organisatie eronder valt, hangt af van type zorg en omvang.
Overgangstermijn
Van de versie 2017 naar 2024
Certificaten op basis van NEN 7510:2017 met A1:2020 worden binnen de overgangstermijn omgezet. Certificerende instellingen noemen hiervoor doorgaans 20 februari 2027.
Hoe toetst u of maatregelen ook echt werken
NEN 7510 vraagt om beheer van technische kwetsbaarheden en om het beoordelen van de effectiviteit van maatregelen. Technische security testing is daarvoor een van de middelen. Het hoofdstuk legt uit welke testvormen er zijn, wanneer welke vorm nuttig is, wat een onderzoek moet opleveren en welke rol AI daarbij speelt.
- Vulnerability scan
- Geautomatiseerd zoeken naar bekende kwetsbaarheden, breed en periodiek
- Security assessment
- Beoordeling van configuratie, architectuur en inrichting tegen een kader
- Pentest
- Handmatige verificatie van kwetsbaarheden en het combineren tot aanvalspaden
- Red teaming
- Aanvalssimulatie gericht op een doel, inclusief detectie en respons
Wat is NEN 7510, en geldt de norm voor ons?
Vier vragen die het vaakst worden gesteld. De volledige lijst met veertien vragen staat op een eigen pagina.
01Wat is NEN 7510?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe organisaties die persoonlijke gezondheidsinformatie verwerken hun informatiebeveiliging inrichten, beoordelen en verbeteren. Deel 1 stelt eisen aan het managementsysteem, deel 2 beschrijft de beheersmaatregelen. De opzet is gebaseerd op ISO/IEC 27001 en ISO/IEC 27002, met aanvullingen voor de zorg.
02Voor wie is NEN 7510 bedoeld?
Voor zorgaanbieders en voor organisaties die namens hen gezondheidsgegevens verwerken. Denk aan ziekenhuizen, huisartsen- en tandartspraktijken, GGZ-instellingen, langdurige zorg, apotheken en laboratoria, maar ook aan zorg-ICT-leveranciers, hostingpartijen en beheerorganisaties. De omvang van de organisatie bepaalt niet of de norm relevant is, wel hoe zwaar de invulling uitpakt.
03Is NEN 7510 verplicht?
Zorgaanbieders die elektronisch gegevens uitwisselen moeten aantoonbaar werken volgens NEN 7510, NEN 7512 en NEN 7513. Dat volgt uit de Wabvpz en het onderliggende besluit. Certificering zelf is geen algemene wettelijke verplichting: die wordt meestal gevraagd door ketenpartners, zorgverzekeraars of aanbestedingen. Voldoen aan de norm en gecertificeerd zijn is dus niet hetzelfde.
04Wat is het verschil tussen NEN 7510 en ISO 27001?
ISO/IEC 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging en geldt voor elke sector. NEN 7510 neemt die structuur over en voegt eisen en richtlijnen toe die specifiek gelden voor gezondheidsinformatie, zoals toegang op basis van een behandelrelatie, logging van dossierinzage en uitwisseling in de zorgketen. Een organisatie met ISO 27001 heeft een groot deel van het werk gedaan, maar voldoet daarmee niet automatisch aan NEN 7510.
Van uitleg naar uitvoering
De hoofdstukken hangen samen. Begin bij de betekenis van de norm, ga daarna naar de eisen, en gebruik het implementatiehoofdstuk om te bepalen in welke volgorde u die invoert.
- Wat is NEN 7510
- De eisen van de norm
- Implementatie in vier fasen
Elk hoofdstuk is ook los te lezen.