NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Deel 1 bevat de eisen aan het managementsysteem, deel 2 de beheersmaatregelen. Het Besluit elektronische gegevensverwerking door zorgaanbieders maakt de norm bindend voor zorginformatiesystemen en uitwisselingssystemen. Sinds augustus 2026 noemt de Cyberbeveiligingsregeling voor de zorg de norm als route naar de zorgplicht.
Laatst bijgewerkt op
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en bestaat uit twee delen. Deel 1 beschrijft de eisen aan het managementsysteem: beleid, verantwoordelijkheden, risicobeoordeling en verbetering. Deel 2 is de catalogus met beheersmaatregelen. NEN omschrijft die catalogus als ISO/IEC 27002, aangevuld met ISO 27799 en samengebracht in deel 2.
Van deel 1 geldt NEN 7510-1:2024, gepubliceerd op 1 december 2024 en definitief. NEN kondigde die herziening aan op 16 december 2024. De uitgave is nauw afgestemd op de recentste edities van ISO/IEC 27001 en ISO/IEC 27002 en op het toenmalige normontwerp voor ISO/IEC 27799, en volgt de indeling en de teksten van die internationale normen.
Bij deel 2 is een tussenstap nodig. De losse uitgave NEN 7510-2:2024 is per 1 maart 2026 ingetrokken en vervangen door NEN 7510-2:2024+A1:2026, dat diezelfde dag verscheen. Het amendement scherpt zorgspecifieke beheersmaatregelen aan, werkt de bijlagen C, D en E bij en sluit weer aan op de definitieve ISO 27799. Bijlage E draagt sindsdien een mapping tussen deel 2 en de Cyberbeveiligingswet, waar eerder de NIS2-richtlijn stond.
In deel 2 herken je die toevoegingen aan een eigen kopje, "Zorgspecifieke beheersmaatregel". De implementatierichtlijnen erbij zijn geen harde eisen: NEN ziet ze als goede praktijken onder een regime dat neerkomt op pas toe of leg uit.
De primaire doelgroep bestaat uit organisaties die werken met persoonlijke gezondheidsinformatie, en NEN zegt uitdrukkelijk dat de norm geldt ongeacht de aard en de omvang van de organisatie. Een tandartspraktijk hoort er dus bij, net als een academisch ziekenhuis; alleen de invulling verschilt.
Deel 1 uit 2024 benoemt twee doelgroepen. Cluster Z zijn de zorgaanbieders zelf: NEN noemt ziekenhuizen, thuiszorgorganisaties, verzorgings- en verpleeghuizen, huisartsen, fysiotherapeuten en tandartsen. Cluster B zijn de beheerders van persoonlijke gezondheidsinformatie, die de gegevens niet voor eigen zorgverlening gebruiken maar er wel voor zorgdragen.
Voor leveranciers hangt alles op het woord structureel. Wie de gegevens slechts incidenteel verwerkt treedt volgens NEN in veel gevallen niet op als beheerder. Ontbreekt de rechtmatigheid voor verwerking, dan kan en mag van die leverancier geen NEN 7510-1-certificaat worden gevraagd; ISO 27001 (versie 2022) geldt daar als gelijkwaardig. Beheert hij de gegevens wel structureel, dan is een verwerkersovereenkomst verplicht en mag de norm worden vereist.
| Organisatie | Grondslag | Wat er van je wordt verwacht |
|---|---|---|
| Zorgaanbieder (cluster Z) | Artikel 3, tweede lid, besluit uit 2017 | Veilig en zorgvuldig gebruik van het zorginformatiesysteem, overeenkomstig NEN 7510 en 7512 |
| Verantwoordelijke voor een uitwisselingssysteem | Artikel 3, eerste lid | Dezelfde plicht, gericht op het uitwisselingssysteem |
| Beheerder van een elektronisch uitwisselingssysteem, geen zorgaanbieder | Artikel 3, vierde lid | Een onafhankelijke organisatie stelt na onderzoek vast dat systeem en rechtspersoon voldoen |
| Leverancier met structureel beheer (cluster B) | Verwerkersovereenkomst | De opdrachtgever mag de norm vragen; hosting van een ECD of EPD hoort hier meestal bij |
| Leverancier zonder rechtmatige verwerking | Geen grondslag | Geen zorgcertificaat eisen; ISO 27001 telt hier als gelijkwaardig |
De verplichting komt niet uit de norm maar uit een besluit. Het Besluit van 10 november 2017, gepubliceerd als Staatsblad 2017, 446, stelt nadere regels over functionele, technische en organisatorische maatregelen bij elektronische gegevensverwerking door en tussen zorgaanbieders. Dat besluit wijst de norm aan.
Artikel 3 doet het werk. Het tweede lid draagt de zorgaanbieder op om overeenkomstig het bepaalde in NEN 7510 en NEN 7512 te zorgen voor een veilig en zorgvuldig gebruik van het zorginformatiesysteem. Het eerste lid legt dezelfde plicht bij de verantwoordelijke voor een elektronisch uitwisselingssysteem. Van een beheerder van een elektronisch uitwisselingssysteem die zelf geen zorgaanbieder is vraagt het vierde lid een onafhankelijk onderzoek naar beide normen.
Twee dingen vallen op. Het besluit is genomen gelet op artikel 26 van de inmiddels vervallen Wet bescherming persoonsgegevens, dus op oud recht. En de route loopt om: de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) verwijst via dit besluit naar de norm. De zorgregeling van augustus 2026 bevestigt die keten.
Voor je afbakening telt vooral dat de plicht een beperkt bereik heeft. De regelgever schrijft zelf dat de verplichting vanuit de Wabvpz enkel gericht is op elektronische uitwisselingssystemen en zorginformatiesystemen. De zorgplicht uit de Cyberbeveiligingswet gaat over alle netwerk- en informatiesystemen die een entiteit gebruikt voor haar werkzaamheden of haar dienstverlening. De privacywetgeving vraagt om passende maatregelen zonder norm: NEN 7510 helpt die passendheid te onderbouwen, maar is er geen eis uit.
Het besluit uit 2017 noemt NEN 7512 en NEN 7513 in één adem met de hoofdnorm en omschrijft ze als nadere invulling daarvan. NEN 7513 staat er bijvoorbeeld in als de nadere invulling betreffende het vastleggen van acties op elektronische patiëntdossiers. Het is één set, geen drie losse keuzes.
NEN 7512:2022 verscheen op 1 juli 2022 en gaat over de vertrouwensbasis voor gegevensuitwisseling: hoe partijen die gegevens delen weten met wie zij te maken hebben. Het toepassingsgebied is de elektronische communicatie in de zorg, tussen zorgverleners en zorginstellingen onderling en met patiënten en cliënten, met zorgverzekeraars en andere betrokkenen.
NEN 7513:2024 verscheen op 1 december 2024 en verving de uitgave uit 2018, die is ingetrokken. Het doel van logging is concreet: te allen tijde kunnen achterhalen wie toegang heeft gehad tot een dossier, volgens welke regels die toegang is verleend en welke handelingen daarna zijn verricht.
Over de bewaartermijn is apart besloten. Een ministerieel besluit van 27 juni 2019, Staatscourant 2019, 38007, bepaalt op grond van artikel 5, tweede lid dat een logregel ten minste vijf jaar wordt bewaard vanaf het moment waarop hij wordt geschreven. De norm zelf houdt een ruimere bandbreedte aan: minimaal twee jaar tot maximaal de bewaartermijn van het medisch dossier.
Aan de aanschaf hoeft het niet te liggen. Dankzij een overeenkomst tussen het ministerie van VWS en NEN zijn deze drie normen kosteloos beschikbaar.
Hier zit het hardnekkigste misverstand. NEN stelt dat zorginstellingen en andere beheerders van gezondheidsinformatie wettelijk verplicht zijn aantoonbaar aan de norm te voldoen. Aantoonbaar voldoen is iets anders dan een certificaat hebben. De zorgregeling zegt het met zoveel woorden: het behalen van een certificering toont aan dat een entiteit aan de norm voldoet, maar is in dezen geen vereiste.
Kies je wel voor certificering, dan loopt dat langs een vast schema. NCS 7510:2025 stelt de eisen aan instellingen die audits voor certificatie van beveiligingsmanagementsystemen in de zorg uitvoeren. De Raad voor Accreditatie accepteerde dat schema en houdt toezicht op de aangesloten certificerende instellingen. Daarnaast geldt het Specifiek Accreditatie Protocol SAP-C025 van 9 september 2025. Gecertificeerde organisaties komen in het NEN 7510 register, en tijdens de looptijd komt de certificerende organisatie regelmatig controleren.
De overgang naar de uitgave van 2024 heeft een harde datum. Certificaathouders zijn uiterlijk tot 20 februari 2027 tegen de oude norm gecertificeerd, dus NEN 7510-1:2017+A1:2020 op schema NCS 7510:2018. Certificerende instellingen moeten uiterlijk op diezelfde datum geaccrediteerd zijn voor NEN 7510:2024, gebaseerd op NCS 7510:2025.
Twee inhoudelijke eisen bepalen of certificering kan. De scope moet ten minste één primair zorgproces omvatten, want ondersteunende diensten alleen zijn onvoldoende. En de rechtmatigheid van de verwerking moet bij elke audit aantoonbaar zijn; is die er niet, dan volgt geen certificering en moet een lopend certificaat worden ingetrokken.
Het toezicht op de Cyberbeveiligingswet ligt voor deze sector bij de Inspectie Gezondheidszorg en Jeugd. De zorgregeling wijst de ambtenaren van die inspectie aan als toezichthouder in de zin van artikel 68, eerste lid van de wet.
De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en de gezondheidszorg staat in bijlage I bij de richtlijn, tussen de sectoren van zeer kritiek belang. Voor de zorg volgde een eigen regeling: de Cyberbeveiligingsregeling voor de zorg van 12 augustus 2026, twee dagen later gepubliceerd in Staatscourant 2026, 28763. Zij geldt voor de sector Gezondheidszorg en voor de subsector vervaardiging van medische hulpmiddelen en hulpmiddelen voor in-vitrodiagnostiek.
Het scharnierpunt is artikel 2.1, met drie manieren om aan de zorgplicht te voldoen: aantoonbaar voldoen aan NEN 7510, aantoonbaar voldoen aan NEN-ISO-IEC 27001 en 27002, of een gelijkwaardig beschermingsniveau bereiken. De keuze voor de zorgnorm viel bewust, om regeldruk te verminderen en dubbele lasten te voorkomen; de norm is in 2024 juist herzien om beter aan te sluiten bij wat de NIS2-richtlijn aan zorgplicht vraagt.
Wie eronder valt volgt de definitie van zorgaanbieder uit de Wkkgz. Entiteiten die daar niet onder vallen omdat zij alleen jeugdhulp of maatschappelijke ondersteuning aanbieden, blijven buiten de reikwijdte. Essentieel of belangrijk volgt uit sector en omvangscriteria, niet uit het type zorg.
De regeling maakt concreet wanneer een incident significant is: onder meer als een kritisch bedrijfsproces langer dan vier uur gedeeltelijk of geheel stil ligt, als sprake is van blijvend letsel, ziekenhuisopname of overlijden van een persoon, of als de vertrouwelijkheid van bijzondere persoonsgegevens of BSN-nummers is aangetast door een vermoedelijk kwaadwillende handeling. Voorziene gevolgen van gepland onderhoud vallen er buiten.
De meldketen kent drie momenten: een vroegtijdige waarschuwing binnen 24 uur, daarna de melding binnen 72 uur en tot slot een eindrapport binnen een maand. In die eerste waarschuwing vraagt de regeling twee dingen extra: hoe het incident is ontdekt en welke ondersteuning nodig is vanuit het CSIRT. Z-CERT vervult die taken feitelijk, maar was bij publicatie nog niet aangewezen; tot dat moment acteert het NCSC als CSIRT. Een aantal GGD’en valt onder twee sectoren en dus onder twee CSIRT’s.
De sectorregeling werkt alleen de zorgplicht en de meldingen uit. De registratie van entiteiten en wat er van het bestuur wordt gevraagd staan in de wet zelf.
De twee normen lijken sterk op elkaar en dat is geen toeval. NEN 7510 is gebaseerd op ISO/IEC 27001 en ISO/IEC 27002, met ISO 27799 erbij. Beide kennen dezelfde twee hoofdcomponenten: een managementsysteem en een catalogus met beheersmaatregelen. ISO 27799 levert de aanscherpingen op ISO 27002 die speciaal voor de zorg zijn geschreven.
| Onderwerp | ISO 27001 | NEN 7510 |
|---|---|---|
| Reikwijdte | Sectorneutraal, bruikbaar door elke organisatie | Organisaties die met persoonlijke gezondheidsinformatie werken, ongeacht aard en omvang |
| Verplichting | Vrijwillig; geen Nederlandse wet schrijft de norm rechtstreeks voor | Aangewezen in het besluit uit 2017 voor zorginformatie- en uitwisselingssystemen |
| Extra zorgmaatregelen | 93 beheersmaatregelen in bijlage A; de zorgspecifieke aanvullingen komen uit ISO 27799 | Dezelfde basis, aangevuld met ISO 27799 en herkenbaar aan een eigen kopje |
| Certificaat | Cyclus van drie jaar met tussentijdse controles | Schema NCS 7510:2025, onder toezicht van de Raad voor Accreditatie |
| Wie erom vraagt | Klanten en aanbestedingen in vrijwel elke sector | Zorgaanbieders richting hun leveranciers, en de keten rond zorginformatiesystemen |
In officiële teksten kom je meer dan één aanduiding tegen voor ISO 27001. De ministeriële regeling citeert NEN-ISO-IEC 27001, de Nederlandse overname van ISO 27001 (versie 2022). Daarnaast bestaat NEN-EN-ISO/IEC 27001:2023, de Europese overname: gelijk aan de mondiale versie, met een Europees voorwoord erbij en een ander jaartal doordat die publicatie een jaar later viel. Dezelfde norm dus.
In één richting is dat bevestigd. Voor een leverancier buiten de doelgroep, zonder rechtmatige structurele verwerking, telt ISO 27001 als gelijkwaardig en mag geen zorgcertificaat worden geëist. De omgekeerde richting staat er niet: een zorgaanbieder die onder het besluit uit 2017 valt, streept die plicht niet weg met een ISO-certificaat. Onder de Cyberbeveiligingswet ligt dat anders, want daar is ISO 27001 met 27002 een toegestane route.
De inhoud bepaal je hoe dan ook zelf. De norm stelt dat elke organisatie die persoonlijke gezondheidsinformatie verwerkt een eigen risicoanalyse moet uitvoeren. Twee vergelijkbare instellingen met hetzelfde certificaat kunnen dus heel andere maatregelen treffen.
De volgorde begint niet bij maatregelen maar bij afbakening. Pas als je rol en je systemen vaststaan, is te bepalen hoeveel werk er ligt.
De gratis domeinscan laat zien wat je servers nu al prijsgeven over certificaten, beveiligingsheaders, DNSSEC en e-mail, met per uitkomst de norm waarvoor het als bewijs meetelt.
Daarna volgt werk met bewijsstukken die ergens moeten landen. Het platform kent NEN 7510, NEN 7512 en NEN 7513 als kaders naast de andere normen, zodat per onderwerp zichtbaar is wat nog open staat, wie het oppakt en welk document het afdekt. De overige normen staan op de gidsenpagina.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Begin zelf met het platform of ga de diepte in met onze mensen. Allebei brengen ze je ICT in control.