NEN 7510:2024
NEN 7510-1:2024 en NEN 7510-2:2024 zijn op 16 december 2024 gepubliceerd en vormen de huidige versie van de norm. Dit hoofdstuk legt uit waarom de norm is herzien, wat er is gewijzigd en wat de overgang betekent voor organisaties met een certificaat.
- Gepubliceerd
- 16 december 2024
- Afgestemd op
- ISO/IEC 27001:2022
- Structuur
- Vier thema's
Waarom de norm is herzien
NEN 7510:2024 is de huidige versie van de norm. NEN publiceerde NEN 7510-1:2024 en NEN 7510-2:2024 op 16 december 2024. De herziening was nodig omdat de internationale normen waarop NEN 7510 is gebaseerd, ISO/IEC 27001 en ISO/IEC 27002, in 2022 zijn vernieuwd. Daarnaast speelden actuele cyberdreigingen en nieuwe Europese regelgeving een rol.
Inhoudelijk blijft de kern gelijk: een risicogestuurd managementsysteem voor informatiebeveiliging in de zorg. Wat verandert, is de structuur, de indeling van de maatregelen en de nadruk op aantoonbaarheid in de praktijk.
Normen worden periodiek tegen het licht gehouden om te bepalen of ze nog aansluiten bij de praktijk, bij wetgeving en bij internationale afspraken. Voor NEN 7510 kwamen die drie aanleidingen samen.
- Wat gelijk blijft
- Het uitgangspunt van risicogestuurd werken, de plicht om keuzes te onderbouwen en de cyclus van plannen, uitvoeren, beoordelen en verbeteren.
- Wat werk oplevert
- Het opnieuw opstellen van de Verklaring van Toepasselijkheid, het bijwerken van verwijzingen in beleid en het aanscherpen van bewijs rond monitoring en ketenbeheer.
- Wat vaak wordt onderschat
- De doorlooptijd. Een herijkte risicobeoordeling raakt vrijwel elk document en vraagt afstemming met zorgmanagers en leveranciers.
De belangrijkste wijzigingen
De kern van de norm blijft gelijk. De structuur, de indeling van de maatregelen en de eisen aan onderbouwing veranderen wel.
- 01
Aangesloten op ISO/IEC 27001:2022
De norm volgt de Harmonized Structure, de opzet die ook de herziene ISO-managementsysteemnormen gebruiken. Combineren met andere managementsystemen wordt daardoor eenvoudiger.
- 02
Vier thema's in plaats van veertien hoofdstukken
De maatregelen in deel 2 zijn heringedeeld naar organisatorisch, mensen, fysiek en technologisch, in lijn met ISO/IEC 27002:2022.
- 03
Comply or explain
De implementatierichtlijn is niet langer vrijblijvend. In de Verklaring van Toepasselijkheid geeft u aan of u eraan voldoet, of u onderbouwt hoe u het beveiligingsdoel anders bereikt.
- 04
Vergelijking met NIS2
De herziene norm bevat een koppeling met de verplichtingen uit NIS2, zodat organisaties kunnen zien welke onderdelen elkaar overlappen.
- 05
Klimaatverandering in de context
Klimaatverandering is toegevoegd als factor die u meeneemt bij het bepalen van de context van de organisatie en bij de risicobeoordeling.
- 06
Meer nadruk op aantoonbaarheid
Monitoring, incidentrespons en ketenbeveiliging moeten in de praktijk werken. Een beschrijving zonder werkend proces is bij een audit onvoldoende.
Wat de overgang betekent
Organisaties met een certificaat op basis van NEN 7510:2017 inclusief wijzigingsblad A1:2020 stappen binnen de overgangstermijn over naar de versie van 2024. Certificerende instellingen noemen daarvoor doorgaans 20 februari 2027 en hanteren binnen die termijn hun eigen planning.
Wacht niet tot de geplande hercertificering. Een herijkte risicobeoordeling en een nieuwe Verklaring van Toepasselijkheid raken vrijwel elk document en vragen afstemming met zorgmanagers en leveranciers.
- 01
Voer een gap-analyse uit tussen uw huidige managementsysteem en de eisen van NEN 7510-1:2024.
- 02
Herijk de scope en de risicobeoordeling, inclusief de contextfactoren die zijn toegevoegd.
- 03
Stel de Verklaring van Toepasselijkheid opnieuw op volgens de vier thema's van deel 2.
- 04
Werk beleid en onderliggende regelingen bij waar nummering of formulering wijzigt.
- 05
Toets of incidentmanagement, leveranciersbeheer en monitoring aantoonbaar functioneren.
- 06
Stem de auditplanning af met uw certificerende instelling; die hanteert een eigen planning binnen de overgangstermijn.
De eisen zelf staan uitgewerkt in hoofdstuk 02. Loopt uw traject samen met verplichtingen uit de Cyberbeveiligingswet, kijk dan bij wetgeving en toezicht: de herziene norm bevat een vergelijking met NIS2, waardoor veel bewijs dubbel bruikbaar is.
Wat is verplicht, en wat vraagt de markt
Wetgeving, norm, certificering, toezicht en contractuele eisen worden vaak door elkaar gehaald. Hoofdstuk 04 haalt ze uit elkaar en legt uit wat voor wie geldt.
- Wabvpz en AVG
- Cyberbeveiligingswet
- Toezicht
Inclusief nuance over de vraag of certificering verplicht is.