NEN 7510-2 gewijzigd in 2026: wat betekent dit voor jou?
Toch is het slim om te weten wat er in NEN 7510-2 is aangepast, want je auditor kan er tijdens je volgende audit naar vragen. Hieronder zetten we de wijzigingen op een rij, met per punt wat je er nu mee kunt.
Wat is NEN 7510-2 ook alweer?
NEN 7510 bestaat uit twee delen. NEN 7510-1 bevat de eisen aan je managementsysteem, zoals de hoofdstukken over context, leiderschap, planning en verbetering die je kent van ISO 27001. NEN 7510-2 bevat de beheersmaatregelen zelf, met de zorgspecifieke aanvullingen op de maatregelen uit Annex A. Denk aan eisen rond de toegang tot patiëntgegevens, het melden van incidenten en de training van personeel.
De update volgt op de herziening van ISO 27799 in 2025, de internationale norm waarop NEN 7510-2 is gebaseerd. De wijziging is officieel een amendement op de versie van 2024 en heet daarom NEN 7510-2:2024+A1:2026. Er komen geen beheersmaatregelen bij. Acht bestaande zorgspecifieke richtlijnen zijn aangescherpt of verduidelijkt.
Wat is er gewijzigd in NEN 7510-2 (A1:2026)?
Twee van de acht aangepaste richtlijnen zijn alleen anders geformuleerd. De andere zes hebben gevolgen voor je ISMS (je managementsysteem voor informatiebeveiliging).
- A.5.12 Classificeren van persoonlijke gezondheidsinformatie: aanvulling, met extra aandacht voor genetische en biometrische gegevens.
- A.5.15 Rolgebaseerd toegangsbeleid: tekst geherstructureerd, geen nieuwe eis.
- A.5.16 Identiteitsbeheer: nadere uitwerking van "beroepsmatige competenties", die je bij de registratie van gebruikers moet verifiëren.
- A.5.30 ICT-continuïteit in de zorg: aanscherping, want noodprocedures horen in het continuïteitsplan.
- A.5.34 Toegangsbeperking tot gezondheidsinformatie: voorbeelden uitgebreid, geen nieuwe eis.
- A.6.3 Bewustwording, opleiding en training: nieuw is de expliciete aandacht voor social engineering.
- A.6.8 Melden van beveiligingsgebeurtenissen: nieuw is dat melden laagdrempelig en desgewenst anoniem moet kunnen.
- A.6.9 Training voor het management: nieuw is dat crisissimulaties een verplicht onderdeel zijn.
Daarnaast zijn er een paar kleinere wijzigingen. De term "directie" heet in de hele norm nu "topmanagement" en de norm is qua opmaak omgezet van tabellen naar lopende tekst. Ook zijn de informatieve bijlagen C, D en E bijgewerkt. In bijlage E verwijst de norm nu naar de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit, waar eerst NIS2 stond.
Welke wijzigingen vragen om actie?
1. Social engineering in je bewustwordingstraining (§6.3)
De norm zegt nu expliciet dat zorgmedewerkers een doelwit zijn van social engineering. Denk aan iemand die zich aan de telefoon voordoet als collega-zorgverlener, familielid van een patiënt of medewerker van de politie of een school. Je bewustwordingstraining moet hierop ingaan en medewerkers moeten weten hoe ze zo'n poging melden.
2. Incidenten melden zonder angst (§6.8)
Organisaties moeten het vroeg melden van incidenten stimuleren, zonder dat medewerkers bang hoeven te zijn voor beschuldigingen. De norm vraagt je zelfs om na te denken over een anonieme meldmogelijkheid, met technische waarborgen die de identiteit van de melder beschermen.
Twijfelen medewerkers nu of ze een fout wel durven te melden? Dan is dit een goed moment om je meldproces tegen het licht te houden. Onze incidentmeldprocedure kun je daarbij als leidraad gebruiken.
3. Crisissimulaties voor het management (§6.9)
Trainingen voor het management moeten voortaan crisissimulaties bevatten, gericht op cyberincidenten zoals een ransomware-aanval of een datalek. Een jaarlijkse presentatie over informatiebeveiliging is dus niet meer genoeg. Denk aan een tabletop-oefening, waarin het management aan tafel een nagespeelde crisis doorloopt en echt beslissingen moet nemen.
4. Beroepsmatige competenties verifiëren (§5.16)
Identiteitsbeheer gaat in de zorg verder dan een gebruikersnaam en een wachtwoord. Geeft je organisatie een zorgverlener toegang tot gezondheidsinformatie, dan moet je zijn of haar beroepsmatige competenties verifiëren bij een relevante registratie-instantie, zoals het BIG-register of een ander beroepsregister. Digitale certificaten (zoals de UZI-pas) kunnen daarbij helpen.
In de praktijk betekent dit dat HR en het toegangsbeheer goed op elkaar moeten aansluiten. Leg vast wie de registratie controleert, op welk moment en hoe je dat bewaart, zodat je het tijdens de audit kunt laten zien.
5. Noodprocedures in je continuïteitsplan (§5.30)
Noodprocedures moeten nu echt onderdeel zijn van je continuïteitsplan. Een plan dat er alleen "rekening mee houdt" voldoet dus niet meer.
6. Genetische en biometrische gegevens (§5.12)
Bij het classificeren van gezondheidsinformatie vraagt de norm extra aandacht voor genetische en biometrische gegevens. Verwerkt jullie organisatie zulke gegevens? Kijk dan of ze in je classificatieschema een eigen plek hebben.
Wanneer moet je over naar NEN 7510:2024?
Los van deze update loopt er nog een andere deadline. Heb je een certificaat op basis van NEN 7510:2017, dan moet de overstap naar NEN 7510:2024 uiterlijk 20 februari 2027 rond zijn. Veel zorgorganisaties plannen hun transitie-audit in dezelfde periode, dus het is verstandig om die nu al met je certificerende instelling af te stemmen. Met onze mapping voor de transitie naar NEN 7510:2024 zie je snel wat er voor jullie verandert.
Wat kun je nu doen?
- Leg je bewustwordingstraining naast de voorbeelden van social engineering uit de norm en vul aan wat ontbreekt.
- Kijk kritisch naar je meldproces voor incidenten en overweeg een anonieme meldroute.
- Plan een crisissimulatie voor je management, met een concreet scenario zoals ransomware.
- Controleer of je bij het aanmaken van accounts de beroepsregistratie verifieert en leg vast hoe je dat doet.
- Check of je noodprocedures echt in je continuïteitsplan staan.
- Vervang "directie" door "topmanagement" in je beleidsdocumenten, zodat je terminologie aansluit bij de norm.
- Werk je nog met NEN 7510:2017? Plan dan je transitie naar de versie van 2024.
Wil je dit stap voor stap afvinken? We hebben onze NEN 7510-checklist en de NEN 7510-mapping bijgewerkt op de nieuwe versie van NEN 7510-2, zodat je per wijziging ziet waar je ISMS al aan voldoet.
Veelgestelde vragen over de wijziging van NEN 7510-2
Moet ik mijn NEN 7510-certificaat opnieuw aanvragen?
Nee, je certificaat blijft geldig. Certificering vindt plaats tegen NEN 7510-1 en die norm is niet gewijzigd.
Zijn er nieuwe beheersmaatregelen bijgekomen?
Nee, er zijn geen nieuwe beheersmaatregelen. Acht bestaande zorgspecifieke richtlijnen zijn aangescherpt of verduidelijkt.
Vanaf wanneer geldt de nieuwe versie van NEN 7510-2?
De gewijzigde versie geldt sinds 27 maart 2026. Officieel heet hij NEN 7510-2:2024+A1:2026, omdat het om een amendement op de versie van 2024 gaat.
Kan een auditor mij hierop bevragen?
Ja, auditoren kunnen tijdens je audit vragen hoe je NEN 7510-2 toepast, ook als je certificaat formeel tegen NEN 7510-1 wordt getoetst.
Wanneer moet ik over naar NEN 7510:2024?
Heb je nog een certificaat op basis van NEN 7510:2017, dan moet de overstap uiterlijk 20 februari 2027 rond zijn.
Hulp nodig bij de wijzigingen in NEN 7510-2?
Elke zorgorganisatie heeft een eigen uitgangspositie, dus wat deze wijzigingen voor jullie betekenen, verschilt per organisatie. Wil je weten waar jullie staan? Plan dan hieronder een vrijblijvend adviesgesprek; dan kijken we samen wat er nodig is.
.avif)
