Wat wel geldt
Zorgaanbieders moeten gezondheidsgegevens passend beveiligen en moeten kunnen aantonen dat zij werken volgens NEN 7510. Toezichthouders gebruiken de norm daarbij als referentiekader.
Hoofdstuk 04
Wetgeving en toezicht
Is NEN 7510 verplicht? Het antwoord hangt af van wat u precies bedoelt. Dit hoofdstuk haalt wetgeving, norm, certificering, toezicht en contractuele eisen uit elkaar en laat zien hoe ze samenhangen.
- Grondslag
- Wabvpz en AVG
- Cyberbeveiligingswet
- Sinds 15 augustus 2026
- Toezicht
- IGJ en AP
Vijf begrippen die vaak door elkaar lopen
Rond NEN 7510 lopen vijf dingen door elkaar die beter uit elkaar gehouden kunnen worden: wetgeving, de norm zelf, certificering, toezicht en contractuele eisen. Die laatste zijn in de praktijk vaak de directe aanleiding om aan de slag te gaan.
De korte samenvatting: wetgeving verplicht zorgaanbieders om gezondheidsgegevens passend te beveiligen en verwijst daarvoor naar normen als NEN 7510. Een certificaat is geen algemene wettelijke verplichting, maar wel het meest gebruikte bewijsmiddel richting ketenpartners en opdrachtgevers.
- Wetgeving
- Regels met een wettelijke grondslag, zoals de AVG en de Wabvpz. Naleving is niet vrijblijvend en toezichthouders kunnen handhaven.
- Norm
- Een afspraak over hoe je iets goed doet, opgesteld door belanghebbenden via NEN. Een norm is op zichzelf geen wet, maar kan door wetgeving worden aangewezen.
- Certificering
- Een onafhankelijke instelling toetst of uw managementsysteem aan de norm voldoet. Vrijwillig, tenzij een opdrachtgever of aanbesteding het eist.
- Toezicht
- Overheidsinstanties controleren of organisaties zich aan wettelijke verplichtingen houden en kunnen maatregelen opleggen.
- Contractuele eisen
- Afspraken met verzekeraars, ketenpartners of opdrachtgevers. Vaak strenger en concreter dan de wet zelf.
Het Nederlandse kader
Verschillende wetten raken informatiebeveiliging in de zorg. Ze stellen zelden concrete technische eisen, maar verwijzen naar normen of vragen om passende maatregelen.
Wabvpz en het onderliggende besluit
De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg en het bijbehorende besluit verwijzen voor zorgaanbieders die elektronisch gegevens uitwisselen naar NEN 7510, NEN 7512 en NEN 7513. Het gaat om aantoonbaar werken volgens die normen, niet om het bezit van een certificaat.
AVG, in het bijzonder artikel 32
De AVG vraagt om passende technische en organisatorische maatregelen bij het verwerken van persoonsgegevens. Voor gezondheidsgegevens, een bijzondere categorie, ligt die lat hoger. NEN 7510 is in Nederland de gebruikelijke manier om te onderbouwen dat die afweging zorgvuldig is gemaakt.
Wkkgz en Wegiz
De Wkkgz verplicht tot het leveren van goede zorg, wat betrouwbare informatievoorziening veronderstelt. De Wegiz stelt eisen aan elektronische gegevensuitwisseling tussen zorgaanbieders en werkt door in de systemen en koppelingen die u gebruikt.
Cyberbeveiligingswet en NIS2
De Cyberbeveiligingswet is de Nederlandse omzetting van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. Niet elke zorgaanbieder valt eronder: dat hangt af van het type zorg, de omvang van de organisatie en de wet waaronder zorg wordt geleverd. Valt u eronder, dan gelden onder meer een zorgplicht, een meldplicht en registratie bij het NCSC.
Toezicht en handhaving
De Inspectie Gezondheidszorg en Jeugd houdt toezicht op informatiebeveiliging bij zorgaanbieders. De Autoriteit Persoonsgegevens beoordeelt de verwerking en beveiliging van persoonsgegevens en de afhandeling van datalekken. Voor organisaties onder de Cyberbeveiligingswet komt daar sectoraal toezicht bij.
Is NEN 7510 verplicht?
Deze vraag levert vaak te stellige antwoorden op. De nuance zit in het onderscheid tussen voldoen aan de norm en gecertificeerd zijn.
Wat niet algemeen geldt
Er bestaat geen algemene wettelijke plicht voor iedere zorgorganisatie om gecertificeerd te zijn. Certificering wordt meestal gevraagd via contracten, aanbestedingen of ketenpartners.
Wat per organisatie verschilt
Of de Cyberbeveiligingswet van toepassing is, hangt af van sector, omvang en het type zorg. Laat dit beoordelen in plaats van het aan te nemen.
Cyberbeveiligingswet
Vier verplichtingen voor organisaties die onder de wet vallen
De Cyberbeveiligingswet is de Nederlandse omzetting van NIS2 en geldt sinds 15 augustus 2026. Of uw organisatie eronder valt, hangt af van het type zorg, de omvang en de wet waaronder zorg wordt geleverd. Werkt u al volgens NEN 7510, dan overlappen veel maatregelen; de herziene norm bevat daarvoor een vergelijking met NIS2.
Registratieplicht
Organisaties die onder de wet vallen, melden zich aan in het entiteitenregister bij het NCSC, inclusief de internetdomeinen waarvoor zij verantwoordelijk zijn.
Zorgplicht
Risicoanalyses en passende maatregelen voor continuïteit en informatiebeveiliging, uitdrukkelijk inclusief risico's in de toeleveranciersketen.
Meldplicht in stappen
Een vroegtijdige waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen een maand.
Bestuurlijke verantwoordelijkheid
Het bestuur keurt maatregelen goed, houdt toezicht op de uitvoering en volgt scholing. Deze verantwoordelijkheid is niet over te dragen aan een afdeling.
Welke eisen daar inhoudelijk achter zitten, staat in de eisen van NEN 7510. Hoe u dat praktisch aanpakt, leest u bij implementatie in vier fasen.
Volgende hoofdstuk
Van eisen naar een werkend systeem
Hoofdstuk 05 beschrijft de route: eerst de huidige situatie begrijpen, dan risico's bepalen, vervolgens maatregelen invoeren en tot slot controleren, testen en verbeteren.
- Vier fasen
- Acties per fase
- Certificering
Naar het implementatietraject→
Inclusief doorlooptijd en kostenverdeling.