Wat is NEN 7510 en is het verplicht?

Wat is NEN 7510?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is gebaseerd op de internationale norm ISO 27001 en voegt daar zorgspecifieke eisen aan toe. Die eisen gaan vooral over de bescherming van patiëntgegevens en de continuïteit van zorgprocessen.

NEN 7510 bestaat uit twee delen. NEN 7510-1 beschrijft de eisen aan je managementsysteem voor informatiebeveiliging (ISMS). NEN 7510-2 bevat de beheersmaatregelen, met de zorgspecifieke aanvullingen op de maatregelen uit ISO 27001. Wil je de verschillen precies weten? Lees dan ons artikel over de verschillen tussen ISO 27001 en NEN 7510.

Welke versie van NEN 7510 geldt nu?

Sinds 16 december 2024 geldt NEN 7510-1:2024. Ben je nog gecertificeerd op NEN 7510:2017, dan moet je uiterlijk 20 februari 2027 over zijn op de nieuwe versie. Wat er in 2024 is veranderd, lees je in ons artikel over de vernieuwde NEN 7510:2024.

In maart 2026 is NEN 7510-2 daarnaast aangevuld met een amendement (NEN 7510-2:2024+A1:2026). Daarin zijn acht zorgspecifieke richtlijnen aangescherpt, bijvoorbeeld over social engineering en anoniem melden. Alle details staan in onze blog over de wijzigingen in NEN 7510-2.

Voor wie is NEN 7510?

NEN 7510 is bedoeld voor alle organisaties die met persoonlijke gezondheidsinformatie werken. Denk aan:

• Ziekenhuizen
• Huisartsenpraktijken
• Apotheken
• Zorgverzekeraars
• Medische laboratoria
• Fysiotherapiepraktijken
• Tandartspraktijken
• Verpleeg- en verzorgingshuizen
• Instellingen in de geestelijke gezondheidszorg
• Leveranciers van de zorg, zoals softwarebedrijven en hostingpartijen

Waarom is informatiebeveiliging belangrijk in de zorg?

Zorgorganisaties werken elke dag met informatie die veel gevoeliger is dan in de meeste andere sectoren. Dat zie je terug op drie punten:

• Privacy van patiënten: medische dossiers bevatten zeer persoonlijke informatie over iemands gezondheid.
• Financiële gegevens: zorginstellingen bewaren ook gegevens over facturen, verzekeringen en betalingen van patiënten.
• Betrouwbare zorg: als iemand zonder toestemming medische gegevens inziet of wijzigt, komt de kwaliteit van de zorg in gevaar.

Waarom kiezen organisaties voor NEN 7510-certificering?

Met een NEN 7510-certificaat laat je zien dat je informatiebeveiliging aantoonbaar op orde is. Dat geldt voor zorginstellingen en net zo goed voor leveranciers die medische gegevens verwerken. Klanten, zorgverzekeraars en opdrachtgevers bij aanbestedingen vragen er steeds vaker om, dus met een certificaat voldoe je meteen aan hun verwachtingen.

Is NEN 7510 verplicht?

Voor zorgaanbieders is werken volgens NEN 7510 verplicht. Het Besluit elektronische gegevensverwerking door zorgaanbieders (Begz) schrijft voor dat zorgaanbieders volgens NEN 7510 en NEN 7512 zorgen voor een veilig gebruik van hun zorginformatiesysteem en de systemen waarmee ze gegevens uitwisselen.

Een certificaat vraagt de wet niet. Met een certificaat toon je wel aan dat je aan de norm voldoet. Daarom vragen klanten en zorgverzekeraars er vaak om. De Inspectie Gezondheidszorg en Jeugd (IGJ) houdt toezicht op de informatiebeveiliging in de zorg.

Daarnaast heb je als zorgorganisatie te maken met andere wet- en regelgeving:

• de AVG (Algemene Verordening Gegevensbescherming);
• de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en het Begz;
• de Wet gebruik burgerservicenummer in de zorg;
• de Wet elektronische gegevensuitwisseling in de zorg (Wegiz);
• de Cyberbeveiligingswet, die sinds 15 augustus 2026 de Wbni vervangt en voor veel zorgorganisaties geldt.

Werk je met ICT-leveranciers, dan blijf je zelf verantwoordelijk voor de beveiliging van de gegevens. Leg daarom in een (verwerkers)overeenkomst vast welke eisen je aan je leverancier stelt.

Hoe verhoudt NEN 7510 zich tot ISO 27001?

NEN 7510 is een aanvulling op ISO 27001 en ISO 27002, aangepast aan de zorg. In de praktijk betekent dit:

• De hoofdstukken 4 tot en met 10 van NEN 7510-1 hebben dezelfde opbouw als ISO 27001.
• NEN 7510-2 volgt de 93 beheersmaatregelen uit ISO 27002:2022. Daarvan zijn er 14 aangepast voor de zorg.
• Daarnaast bevat de norm 8 extra zorgspecifieke maatregelen, waardoor je op 101 beheersmaatregelen uitkomt.

Ben je al ISO 27001-gecertificeerd, dan heb je dus al een groot deel van het werk gedaan.

Wat zijn NEN 7512 en NEN 7513?

Naast NEN 7510 zijn er twee normen die aanvullende eisen stellen:

• NEN 7512 gaat over veilige elektronische communicatie en gegevensuitwisseling in de zorg.
• NEN 7513 gaat over het vastleggen (loggen) van wie wanneer welk dossier heeft ingezien.

Hoe helpt Fendix bij NEN 7510?

We hebben al veel zorgorganisaties geholpen met informatiebeveiliging, van de implementatie van NEN 7510 tot onafhankelijke interne audits. Een paar voorbeelden:

• GGZ Westelijk Noord-Brabant: we voerden voor de hele organisatie een GAP-analyse uit om te bepalen wat er nodig was voor NEN 7510-certificering.
• SPL: deze start-up bouwt digitale infrastructuur voor zorginstellingen en behaalde met onze begeleiding binnen zes maanden ISO 27001 en NEN 7510.
• Stap & Care Groep: deze zorgorganisatie werd gecertificeerd voor ISO 27001 en NEN 7510.
• RIBW: we leveren een Functionaris Gegevensbescherming en begeleiden de implementatie van NEN 7510.
• Bravis ziekenhuis: we verzorgen de jaarlijkse onafhankelijke interne audit.
• Waarneemapp: deze veilige omgeving voor huisartsen om waarnemingen uit te wisselen, toont met NEN 7510 aan dat de informatiebeveiliging op orde is.

Wil je zelf aan de slag? Met onze NEN 7510-checklist zie je snel waar jullie staan. Werk je ook met ISO 27001, kijk dan in onze gids over ISO 27001 of download de ISO 27001-checklist.

Wil je weten wat NEN 7510 voor jullie organisatie betekent? Plan dan hieronder een vrijblijvend adviesgesprek, dan kijken we samen wat er nodig is.