Security en privacy in de zorg

Welke regels gelden voor security en privacy in de zorg?

Een zorgorganisatie werkt met meerdere kaders tegelijk. Alle zorgaanbieders moeten voldoen aan de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Die wet schrijft voor dat ze hun informatiebeveiliging inrichten volgens NEN 7510, en de IGJ houdt daar toezicht op. Voor aanbieders van jeugdhulp schrijft de Jeugdwet de norm ISO 27001 voor, of een vergelijkbare norm. NEN 7510 is zelf op ISO 27001 gebaseerd.

De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden en geldt in de zorg voor organisaties van een bepaalde omvang. De IGJ is daarvan toezichthouder en controleert op de zorgplicht, de registratieplicht en de meldplicht voor (cyber)incidenten. Voor gezondheidsgegevens geldt daarnaast de AVG, met de Uitvoeringswet AVG (UAVG). De Autoriteit Persoonsgegevens (AP) geeft uitleg over grondslagen en over datalekken.

Deze stand is gecontroleerd op 5 november 2026.

Wat is NEN 7510?

NEN 7510 is de norm voor informatiebeveiliging in de zorg. Hij is vooral gericht op organisaties die persoonlijke gezondheidsinformatie verwerken. De actuele versies zijn NEN 7510-1 en NEN 7510-2, die NEN op 16 december 2024 heeft gepubliceerd. Wie ISO 27001 al kent, herkent de basis, want NEN 7510 is erop gebaseerd.

De Wabvpz verwijst via het Besluit elektronische gegevensverwerking door zorgaanbieders naar NEN 7510. Zorgaanbieders zijn wettelijk verplicht aantoonbaar aan die norm te voldoen. Certificering zelf is niet verplicht. Meer over de norm staat op de NEN-pagina over informatiebeveiliging in de zorg.

Volgens NEN moeten alle bestaande NEN 7510-certificaten per 20 februari 2027 zijn omgezet naar de versie van 2024. Het certificatieschema heet NCS 7510:2025. Certificering voor de nieuwe versie hangt af van de accreditatie van de certificerende instellingen.

Op grond van een afspraak tussen het ministerie van VWS en NEN zijn NEN 7510, NEN 7512 en NEN 7513 kosteloos beschikbaar. NEN 7512 gaat over de vertrouwensbasis voor gegevensuitwisseling. NEN 7513 gaat over logging, het vastleggen van acties op elektronische patiëntdossiers. Beide normen vullen NEN 7510 aan, en certificering ervoor is niet mogelijk.

NEN 7510-2 bevat in bijlage E een mapping van NEN 7510 naar de eisen in NIS2.

Wat betekent de Cyberbeveiligingswet voor zorgorganisaties?

De Cyberbeveiligingswet implementeert NIS2 in Nederland en is op 15 augustus 2026 in werking getreden. Bijlage I van de NIS2-richtlijn noemt gezondheidszorg onder de zeer kritieke sectoren. Het kader van NIS2 en de Cyberbeveiligingswet legt uit hoe dat in Nederland is uitgewerkt.

In de gezondheidszorg geldt de Cbw voor zorgaanbieders, EU-referentielaboratoria, organisaties die onderzoek en ontwikkeling doen naar geneesmiddelen, en aanverwante bedrijven zoals farmaceutische bedrijven en fabrikanten van medische hulpmiddelen. Dat geldt wanneer zij een bepaalde omvang hebben. Volgens de IGJ zijn het aantal fte of de jaaromzet en het balanstotaal daarvoor bepalend. De zorgplicht in de Cbw komt volgens de IGJ voor een groot deel overeen met NEN 7510.

De RDI schrijft dat gezondheidszorg geen RDI-sector is. Het vervaardigen van medische hulpmiddelen valt volgens de RDI onder de Inspectie Gezondheidszorg en Jeugd.

Zorgorganisaties die onder de Cbw vallen, melden significante incidenten op het gebied van cyberveiligheid bij het NCSC. De termijnen zijn binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een officiële (vervolg)melding en binnen één maand een eindverslag. De IGJ ontvangt de melding ook. Inspecteurs beoordelen de impact en kunnen een vervolgonderzoek naar de zorgplicht starten. Zie ook de meldingen van significante incidenten bij de IGJ.

Artikel 24 van de Cbw legt de verantwoordelijkheid bij het bestuur, dat de maatregelen goedkeurt. Ieder bestuurslid beschikt over kennis en vaardigheden om risico's te beoordelen en heeft een certificaat van deelname aan een training. Bestuursleden voldoen daaraan binnen twee jaar na de inwerkingtreding van die bepaling.

Wat doet Z-CERT?

Z-CERT is het expertisecentrum cybersecurity in de zorg. Na een significant incident kan een organisatie volgens de IGJ rekenen op hulp van Z-CERT. Z-CERT ontvangt de melding van het incident en speelt volgens de IGJ de belangrijkste rol bij het herstel.

Bij een significant incident krijgen het NCSC, de IGJ en Z-CERT dus de melding. Een incidentteam in een zorginstelling werkt daardoor binnen een keten van partijen, dus het helpt om die keten vooraf te kennen.

Waarom zijn gezondheidsgegevens bijzonder onder de AVG?

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Artikel 9 van de AVG verbiedt de verwerking ervan, tenzij je aan strenge eisen voldoet. Een grondslag hebben is dan niet genoeg, zoals de AP uitlegt bij de grondslagen van de AVG. Lees meer over de AVG voor privacy-professionals.

De UAVG bevat een uitzondering voor hulpverleners en instellingen voor gezondheidszorg. Artikel 30 lid 3 van de UAVG bepaalt dat het verbod niet geldt voor zover de verwerking noodzakelijk is voor een goede behandeling of verzorging van de betrokkene, of voor het beheer van de instelling of beroepspraktijk. Volgens lid 4 verwerken alleen personen die door ambt, beroep of wettelijk voorschrift, of krachtens een overeenkomst, tot geheimhouding zijn verplicht de gegevens. Dat maakt de toegang tot een dossier een vraag van noodzaak en geheimhouding.

Artikel 35 van de AVG verplicht tot een gegevensbeschermingseffectbeoordeling (DPIA) bij onder meer grootschalige verwerking van bijzondere categorieën van gegevens. Artikel 37 verplicht een functionaris voor gegevensbescherming (FG) als de kerntaak bestaat uit grootschalige verwerking van die gegevens.

Bij een datalek met gezondheidsgegevens verwacht je volgens de AP in ieder geval een hoog risico. Hoe je dat meldt, staat in het artikel over de meldplicht datalekken.

Welke functies horen bij de zorg?

De functies lijken op die in andere sectoren, maar de zorgcontext verandert wat je dagelijks doet. De namen en grenzen verschillen per organisatie en per type zorgaanbieder.

• Information security officer en CISO: bewaakt het informatiebeveiligingsbeleid en de verantwoording over NEN 7510 en de Cbw. Bij grotere zorginstellingen kan deze functie naast een privacy officer staan. Zie de rolgids information security officer.
• Privacy officer en functionaris gegevensbescherming (FG): adviseert over het gebruik van patiëntgegevens, voert DPIA's uit of begeleidt ze, en is aanspreekpunt bij datalekken. De geheimhoudingsplicht van zorgverleners maakt de afweging over wie wat mag zien specifiek. Zie de rolgids privacy officer en de rolgids data protection officer.
• Compliance officer en grc-consultant: stelt vast welke normen en wetten gelden en wie daarop wordt gecontroleerd, zoals NEN 7510, de Cbw en de AVG. Bij sommige organisaties is deze taak samengevoegd met de ISO-functie. Zie de rolgids compliance officer.
• IT-auditor: toetst of het managementsysteem werkt. Bij zorgorganisaties kan dat een NEN 7510-audit of een certificeringsaudit zijn, en certificering is niet verplicht. Zie de rolgids IT-auditor.
• Security engineer en IAM-engineer: richt autorisaties, toegang tot dossiers en logging in. NEN 7513 beschrijft de logging van acties op elektronische patiëntdossiers, dus wie die logging inricht, werkt met die norm. Lees het artikel over identity and access management en de rolgids IAM-engineer.
• SOC-analist en incident responder: bewaken en handelen incidenten af. De melding verloopt in drie stappen, dus een incidentteam moet snel kunnen vaststellen of iets significant is.
• OT-security specialist en security-specialist medische apparatuur: medische apparatuur kan verbonden zijn en lastig te patchen. Het vervaardigen van medische hulpmiddelen valt onder de IGJ. Zie de rolgids OT-security specialist en het artikel over IEC 62443.
• Business continuity manager: werkt aan de continuïteit van zorgprocessen. Zie de rolgids business continuity manager en de vacatures met business continuity.
• Security awareness specialist: zorgmedewerkers werken met veel systemen en wisselende diensten. Training en bewustwording kunnen een groot deel van het werk zijn. De Cbw vraagt ook training van bestuurders.
• Life sciences en medtech: de sector omvat naast zorgaanbieders ook farmaceutische bedrijven en fabrikanten van medische hulpmiddelen. Voor hen speelt de Cbw als ze een bepaalde omvang hebben.

Vacatures in deze sector staan onder zorg en life sciences. Een overzicht van de functies in het hele vakgebied staat in wie doet wat in security, risk en compliance.

Een werkdag in de zorg verschilt op een paar punten van die in commerciële sectoren. Het primaire proces is zorg, niet IT. Een maatregel die zorgverleners in de praktijk belemmert, kan worden omzeild. Het werk bestaat daarom voor een deel uit afwegen: veiligheid tegen het gemak waarmee een zorgverlener bij een dossier komt.

Gegevens zijn bijzonder. Wat je ontwerpt, test of monitort kan gezondheidsgegevens raken. Beroepsgeheim en AVG gelden naast elkaar, en je legt uit waarom iemand wel of niet bij gegevens mag. Je werkt samen met sectorale partijen zoals Z-CERT en de IGJ, en de omvang van organisaties verschilt sterk. Een ziekenhuis, een huisartsenpraktijk en een jeugdzorgaanbieder hebben andere middelen.

Wie uit een andere sector komt, kent ISO 27001 waarschijnlijk al, want NEN 7510 is erop gebaseerd. Nieuw zijn de zorgcontext, de gezondheidsgegevens en de IGJ als toezichthouder. Wie in de zorg werkt, kan doorstromen naar sectoren met bijzondere persoonsgegevens, zoals verzekeraars.