Security awareness in de zorg: wat vraagt NEN 7510?

Wat vraagt NEN 7510 over security awareness?

NEN 7510 legt vast welke maatregelen zorgorganisaties nemen om informatiebeveiliging te beheersen. De norm is gebaseerd op ISO 27001 en bewustwording is daarin een vast onderdeel. Alle medewerkers (en waar relevant ook ingehuurde krachten) krijgen een passende training bij indiensttreding en daarna regelmatig bijscholing over het beleid en de procedures voor informatiebeveiliging.

Waarom is security awareness in de zorg zo belangrijk?

De zorg hoort al jaren bij de sectoren met de meeste datalekmeldingen bij de Autoriteit Persoonsgegevens (AP). In 2023 kreeg de AP in totaal 25.694 meldingen binnen. Dat zijn alleen de lekken die gemeld zijn, want veel datalekken komen nooit aan het licht.

Een groot deel van die incidenten begint bij een menselijke fout, zoals een e-mail naar de verkeerde ontvanger of een klik op een phishinglink. Medewerkers spelen dus een grote rol in de beveiliging van gevoelige gegevens. Daarom loont het om te investeren in bewustwording, want daarmee bescherm je de privacy en veiligheid van patiënten.

Welke eisen stelt NEN 7510 aan bewustwording?

In NEN 7510:2024 staat bewustwording in beheersmaatregel A.6.3 Bewustwording, opleiding en training. In de versie van 2017 was dat A.7.2.2. De algemene eis komt uit ISO 27001: alle medewerkers en, voor zover relevant, ingehuurde krachten krijgen een passende training en regelmatig bijscholing over het beleid en de procedures die voor hun functie gelden.

De zorgspecifieke aanvulling gaat een stap verder. Organisaties die persoonlijke gezondheidsinformatie verwerken, geven al bij de introductie van nieuwe medewerkers training over informatiebeveiliging. Ook houden ze iedereen die met gezondheidsinformatie werkt op de hoogte van wijzigingen in beleid en procedures. Dat geldt ook voor ingehuurde krachten, onderzoekers, studenten en vrijwilligers. Medewerkers moeten daarnaast weten wat de gevolgen zijn als ze de procedures niet naleven.

Nieuw sinds 2026: social engineering

Sinds de wijziging van NEN 7510-2 in maart 2026 (A1:2026) noemt de norm social engineering expliciet als risico voor zorgorganisaties. Denk aan iemand die zich aan de telefoon voordoet als collega-zorgverlener, familielid van een patiënt of politieagent. Je bewustwordingstraining moet hierop ingaan, inclusief het melden van zulke pogingen. Wat er verder is veranderd, lees je in onze blog over de wijzigingen in NEN 7510-2.

Bij welke andere maatregelen speelt bewustwording een rol?

De norm vraagt ook dat je voldoende maatregelen neemt voor de risico's uit je risicoanalyse. Denk aan malware, continuïteit, het melden van incidenten of het beheersen van je leveranciers. Bij al die onderwerpen helpt het als medewerkers weten waar ze op moeten letten.

Neem het beperken van malware als voorbeeld. Daarvoor zijn meerdere acties nodig:

• Zorg dat updates en patches altijd op tijd worden geïnstalleerd en richt voldoende netwerkscheiding in.
• Stel duidelijke regels op voor het installeren van software.
• Zorg voor detectie, zodat je verdachte activiteiten vroeg opmerkt.
• Maak een reactieplan voor wat je doet bij een malware-infectie.
• Beveilig apparaten goed, bijvoorbeeld door ze te versleutelen.
• Beperk het gebruik van verwijderbare media zoals USB-sticks, in lijn met maatregel A.7.10 over opslagmedia (in de versie van 2017 was dat A.8.3).
• Beheer en beperk de toegang tot gegevens en bestanden.

Ook het melden van incidenten hangt sterk af van bewustwording. Sinds 2026 vraagt NEN 7510-2 dat medewerkers incidenten laagdrempelig en desgewenst anoniem kunnen melden. Onze incidentmeldprocedure kun je daarbij als leidraad gebruiken.

Hoe vergroot je security awareness in je zorgorganisatie?

Begin met een bewustwordingstraining bij de indiensttreding van nieuwe medewerkers en maak daar daarna een doorlopend proces van. Als je het hele jaar door traint, blijven medewerkers alert op nieuwe dreigingen zoals phishing, ransomware en social engineering.

Een handig hulpmiddel daarbij is Guardey, een platform dat medewerkers traint met spelelementen. Ook onze Cybersecurity Awareness Escape Room is een goede aanvulling. Zo wordt trainen leerzaam en leuk, waardoor medewerkers steeds beter worden in het herkennen van risico's.

Wil je weten hoe jullie security awareness ervoor staat en wat NEN 7510 van jullie vraagt? Plan dan hieronder een vrijblijvend adviesgesprek, dan kijken we samen wat er nodig is.