NEN 7510: informatiebeveiliging in de zorg uitgelegd

Wat is NEN 7510?

NEN 7510 beschrijft hoe een zorgorganisatie haar informatiebeveiliging inricht. De norm hoort bij het vakgebied cybersecurity en geldt voor de zorgsector. De kern is een managementsysteem voor informatiebeveiliging, het ISMS (information security management system). Ook beschrijft de norm een reeks beheersmaatregelen waarmee je risico's kunt wegnemen of kleiner maken.

Het Besluit elektronische gegevensverwerking door zorgaanbieders omschrijft de norm als de norm voor het organisatorisch en technisch inrichten van de informatiebeveiliging in de zorg. Een managementsysteemnorm beschrijft dus hoe je informatiebeveiliging organiseert: beleid, risicoanalyse, maatregelen, controle, verbetering en wie waarvoor verantwoordelijk is. Het is geen productlijst en geen technische handleiding.

De norm werkt met een kwaliteitscyclus. Eerst maak je een risicoanalyse om te bepalen met welke bedreigingen je te maken hebt. Daarna besluit je welke maatregelen nodig zijn (plan), voer je ze uit (do), controleer je regelmatig of ze het gewenste resultaat hebben (check) en verbeter je waar nodig (act).

NEN geeft de norm uit en beheert hem. Dankzij een overeenkomst tussen het ministerie van VWS en NEN zijn NEN 7510, NEN 7512 en NEN 7513 kosteloos beschikbaar. Je vindt ze op de NEN-pagina over informatiebeveiliging in de zorg.

Is NEN 7510 verplicht voor de zorg?

Ja, voor elke zorgaanbieder die gegevens van personen verwerkt in een zorginformatiesysteem. Volgens de IGJ geldt dat ook voor kleine zorgaanbieders en eenmanszaken. Zij moeten kunnen laten zien dat ze werken volgens de norm. Die plicht geldt ook als je organisatie niet onder de Cyberbeveiligingswet valt.

De IGJ legt uit waar de verplichting vandaan komt. Sinds 2008 staat in de wet dat zorgaanbieders zich aan NEN 7510 moeten houden, namelijk via de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). De Regeling Gebruik Burgerservicenummer in de zorg verwijst expliciet naar de norm. Het Besluit elektronische gegevensverwerking door zorgaanbieders doet dat ook. Volgens artikel 3, tweede lid, van dat besluit zorgt een zorgaanbieder overeenkomstig NEN 7510 en NEN 7512 voor een veilig en zorgvuldig gebruik van het zorginformatiesysteem en van het elektronisch uitwisselingssysteem waarop hij is aangesloten. Het besluit berust op artikel 15j, eerste lid, van de Wabvpz en geldt in de huidige versie vanaf 1 oktober 2020. Het trad oorspronkelijk in werking op 1 januari 2018.

Volgens de IGJ kunnen problemen in de informatiebeveiliging de continuïteit van de zorg direct raken. Het gaat bovendien om gegevens waar mensen veel aan gelegen ligt. Voor aanbieders van jeugdhulp geldt een norm die sterk lijkt op NEN 7510: ISO 27001, opgenomen in de regeling Jeugdwet.

Een NEN 7510-certificaat is geen eis. De wet stelt het niet, en de Cyberbeveiligingswet en de norm zelf ook niet. Wel moet je kunnen laten zien dat je volgens de norm werkt. Hoe dat kan, staat in de sectie hieronder over het aantonen.

Wat staat er in NEN 7510 en wat zijn NEN 7512 en NEN 7513?

NEN 7510 is een managementsysteemnorm. Ze sluit aan bij ISO/IEC 27001 en ISO/IEC 27002, en is voor de zorg aangevuld met eigen eisen. Vacatures waarin ISO 27001 voorkomt, staan op de skillpagina.

In december 2024 is de norm herzien als NEN 7510:2024. Die versie is afgestemd op de nieuwste versies van ISO/IEC 27001 en ISO/IEC 27002, en op het ontwerp ISO/IEC DIS 27799, met aanvullende eisen voor de zorgsector. De norm bestaat uit twee delen: NEN 7510-1 en NEN 7510-2.

Hoofdstuk 4 tot en met 10 gaan over het ISMS, het managementsysteem zelf. Annex A beschrijft de beheersmaatregelen. Een onafhankelijke beoordeling kijkt naar beide: naar het managementsysteem en naar de maatregelen die daarbij horen.

NEN 7512 en NEN 7513 zijn aanvullingen op NEN 7510, zoals het Besluit ze omschrijft. NEN 7512 is de nadere invulling voor de veiligheid van gegevensuitwisseling tussen partijen in de zorg. NEN 7513 is de nadere invulling voor het vastleggen van acties op elektronische patiëntdossiers, ook wel logging genoemd. De eisen per hoofdstuk en per maatregel staan in de normen zelf, die NEN kosteloos beschikbaar stelt.

Hoe toon je aan dat je werkt volgens NEN 7510?

Werken volgens NEN 7510 betekent volgens de IGJ dat je ISMS goed werkt en dat je organisatie de informatiebeveiliging regelmatig onafhankelijk laat beoordelen. Het systeem moet dus ook zelf controleren en verbeteren, want die stappen horen bij de cyclus. Daarom kijkt de IGJ ook naar bewijs dat het systeem in de praktijk werkt, en niet alleen naar papier.

Een onafhankelijke beoordeling wordt gedaan door een expert met kennis van de norm, van het auditen van een ISMS en van de zorg. Die persoon is zelf niet betrokken bij het informatiebeveiligingsbeleid en de uitvoering. Dat kan een interne auditor zijn, een externe specialist of een medewerker van een andere zorgorganisatie. Het rapport onderscheidt kritieke afwijkingen, niet-kritieke afwijkingen en verbeterpunten. Hoe vaak je dat laat doen, hangt onder meer af van hoe snel de organisatie verandert, maar het is ten minste 1 keer per 3 jaar.

Een beoordeling ziet er in de praktijk zo uit:

Een middelgrote zorgorganisatie laat bijvoorbeeld regelmatig door een interne auditor van een zusterorganisatie toetsen of haar ISMS werkt. De auditor kijkt naar de hoofdstukken over het managementsysteem, naar de toegepaste maatregelen uit Annex A en naar bewijs, zoals logbestanden van toegang tot het patiëntendossier of notulen van een risicoanalyse. Het rapport noemt afwijkingen en verbeterpunten, en de organisatie plant de opvolging. Dit is een illustratie, niet de enige manier.

Een certificaat is één manier om te laten zien dat je werkt volgens de norm. NEN certificeert zelf niet, maar is schemabeheerder. Certificerende instellingen voor het schema moeten geaccrediteerd zijn door de Raad voor Accreditatie.

Ook leveranciers tellen mee. Volgens de IGJ is het niet voldoende dat ICT-leveranciers volgens NEN 7510 werken. De zorgaanbieder blijft zelf verantwoordelijk voor de informatiebeveiliging, moet de eisen voor informatiebeveiliging in de contracten met leveranciers opnemen en moet de dienstverlening van leveranciers beoordelen. Ook de eigen bedrijfsprocessen tellen mee, zoals controles bij het aannemen van personeel en het geven van toegang tot informatiesystemen.

Wat is de relatie met de Cyberbeveiligingswet en Z-CERT?

De Cyberbeveiligingswet (Cbw) is de Nederlandse vertaling van de NIS2-richtlijn en kent een zorgplicht. Volgens de IGJ voldoe je met NEN 7510 al voor een groot deel aan de eisen van die zorgplicht. Voor de meldplicht, de termijnen en de boetes onder de wet lees je het artikel over NIS2 en de Cyberbeveiligingswet.

De Cyberbeveiligingsregeling voor de zorg is vastgesteld op 12 augustus 2026 door de Minister van Langdurige Zorg, Jeugd en Sport en op 14 augustus 2026 gepubliceerd in Staatscourant 2026, 28763. Ze geldt voor de sector gezondheidszorg en de subsector vervaardiging van medische hulpmiddelen, met medische hulpmiddelen voor in-vitrodiagnostiek. In de huidige vorm geldt ze vanaf 6 oktober 2026. Artikel 2.1 bepaalt dat de maatregelen uit artikel 21, eerste lid, van de Cbw en hoofdstuk 4 van het Cyberbeveiligingsbesluit op een van drie manieren aantoonbaar moeten zijn: voldoen aan NEN 7510, voldoen aan NEN-ISO-IEC 27001 en 27002, of een gelijkwaardig beschermingsniveau hebben. De volledige regeling staat op wetten.overheid.nl.

NEN 7510 is de zorgspecifieke route. ISO 27001 en 27002 zijn de algemene internationale normen. Het gelijkwaardige beschermingsniveau laat ruimte voor een organisatie die een ander kader gebruikt, mits zij dat aantoonbaar kan maken. Aantoonbaar betekent dat je het kunt laten zien, bijvoorbeeld met een onafhankelijke beoordeling.

De IGJ is de toezichthouder. In artikel 3.1 en 3.2 van de regeling zijn ambtenaren van de Inspectie Gezondheidszorg en Jeugd aangewezen als autoriteit en als toezichthouder voor de sector gezondheidszorg en de subsector vervaardiging van medische hulpmiddelen.

Z-CERT is op maandag 5 oktober 2026 officieel aangewezen als CSIRT (Computer Security Incident Response Team) voor de zorgsector en voor de subsector medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek. Dat gebeurde via een wijzigingsregeling van de Cyberbeveiligingsregeling voor de zorg. Op 1 oktober zijn nieuwe statuten getekend, waardoor Z-CERT een rechtspersoon met een wettelijke taak is. Voor die aanwijzing voerde Z-CERT de CSIRT-taken al in de praktijk uit. Artikel 1a.1 van de regeling noemt Stichting Z-CERT als CSIRT voor de sector. Volgens artikel 1a.4 houdt de minister toezicht op de uitvoering van die wettelijke taken door Z-CERT.

Z-CERT is een stichting zonder winstoogmerk met als missie "Nederlandse zorg digitaal veilig". De afdeling Operations ondersteunt bij cyberincidenten en informeert en adviseert deelnemers over nieuwe kwetsbaarheden en dreigingen. Het CSIRT en de toezichthouder hebben dus elk een eigen rol: Z-CERT helpt bij incidenten en dreigingen, en het toezicht op zorgorganisaties ligt bij de IGJ.

Organisaties moeten zelf beoordelen of ze onder de Cbw vallen, op grond van onder meer type dienstverlening en omvang. Organisaties die eronder vallen moesten zich voor 15 augustus 2026 via MijnNCSC registreren in het entiteitenregister van het NCSC. Z-CERT krijgt de gegevens dan door en een overeenkomst is niet nodig. Daarnaast kan een zorginstelling zich via een overeenkomst voor de Academy-diensten aansluiten. Elke zorginstelling in Nederland kan dat.

Hoe verhoudt NEN 7510 zich tot de AVG, ISO 27001 en de BIO?

De AVG eist passende technische of organisatorische maatregelen om persoonsgegevens te beschermen. NEN 7510 beschrijft die maatregelen voor de zorg en bevat daarnaast andere maatregelen voor informatiebeveiliging. Werken volgens de AVG is daarom niet automatisch werken volgens NEN 7510. Meer over de AVG voor privacy professionals vind je in de kennisbank, en vacatures waarin de AVG voorkomt staan op de skillpagina.

De IGJ en de Autoriteit Persoonsgegevens (AP) zien allebei toe op informatiebeveiliging. De AP let vooral op de beveiliging van persoonsgegevens. De IGJ let op de invloed op de kwaliteit van de zorg, waarvoor de beschikbaarheid van informatie belangrijk is. Over gegevenslekken in de zorg lees je meer bij de meldplicht voor datalekken.

Voor wie in een zorgorganisatie werkt, zijn NEN 7510, de AVG en de Cyberbeveiligingswet drie lagen die elkaar raken. De norm geeft de inrichting, de AVG gaat over persoonsgegevens en de wet over weerbaarheid, melden en toezicht. Eén managementsysteem kan bewijs voor alle drie leveren, maar elk heeft eigen toezicht. Voldoen aan NEN 7510 dekt de andere twee daarmee niet vanzelf af: de IGJ spreekt zelf van een groot deel van de zorgplicht, niet van alles. Het vakgebied compliance en privacy laat zien hoe die lagen in functies samenkomen.

ISO 27001 en 27002 zijn de basis van NEN 7510, en de Cyberbeveiligingsregeling noemt ze als een van de drie opties. Wat ISO 27001 precies is, lees je in het artikel over ISO 27001.

De Baseline Informatiebeveiliging Overheid 2 (BIO2, versie 1.3, Staatscourant 2026, 7416) noemt NEN 7510 Informatiebeveiliging in de zorg als norm waarmee de BIO op het noodzakelijke niveau wordt gebracht. Volgens de BIO2 kunnen beheersmaatregelen uit ISO 27002 en de BIO worden vervangen of gecombineerd met maatregelen uit andere normen, zoals NEN 7510 voor zorginformatie. Meer over de BIO vind je bij de BIO-uitleg.

Hoe pakt een kleine zorgaanbieder het aan?

De IGJ geeft kleine zorgaanbieders vier stappen. Eén: breng de informatiebeveiligingsrisico's in kaart, per informatiestroom en informatiesysteem, voor beschikbaarheid, integriteit en vertrouwelijkheid. Twee: bedenk en implementeer passende beheersmaatregelen. Drie: breng de documentatie op orde met een helder beleid, de geïdentificeerde risico's, de genomen maatregelen en de verbeterpunten. Vier: neem informatiebeveiliging op in de kwaliteitscyclus en evalueer regelmatig.

Begin bij de grootste of meest kritieke informatiestromen, zoals het elektronisch patiëntendossier (EPD) of het elektronisch cliëntendossier (ECD), medicatieoverzichten of de uitwisseling met ketenpartners. Kijk daarna naar kleinere stromen, zoals HR-informatie. Voor het in kaart brengen van risico's op gezondheidsgegevens helpt het artikel over DPIA uitvoeren.

De IGJ houdt toezicht bij kleine zorgaanbieders met een digitale vragenlijst en een vervolgbrief, met het volwassenheidsmodel informatiebeveiliging. In 2026 is de IGJ daarmee gestart bij 50 willekeurige huisartsenpraktijken. Het toezicht heeft twee doelen: een goed beeld krijgen van de informatiebeveiliging bij kleine zorgaanbieders, en hen gerichte informatie geven om die te versterken.

Neem een huisartsenpraktijk met een EPD, een koppeling voor medicatieoverzichten en een extern ICT-bedrijf. Stap één is opschrijven welke systemen en informatiestromen er zijn en wat er mis kan gaan, te beginnen bij het EPD. Stap twee is maatregelen kiezen, bijvoorbeeld wie toegang heeft en hoe de back-ups werken. Stap drie is beleid en risico's vastleggen. Stap vier is eens per jaar kijken of het nog klopt. Het ICT-bedrijf levert technische maatregelen, maar de praktijk blijft verantwoordelijk.

Welke functies werken met NEN 7510?

De term NEN 7510 kan op vacaturepagina's voorkomen, net als ISMS of informatiebeveiliging zorg. Het werk eromheen zit bij een aantal functies. Hoe de taken precies verdeeld zijn, verschilt per zorgorganisatie.

De information security officer richt het informatiebeveiligingsbeleid en het ISMS in, bewaakt de maatregelen en bereidt onafhankelijke beoordelingen voor. Je ziet de functie op de vacaturepagina voor information security officers. Op de werkgeverspagina zie je welke werkgevers deze functie hebben, en de rolgids beschrijft het werk.

De privacy officer en de functionaris voor gegevensbescherming bewaken de omgang met persoonsgegevens. Ze werken samen met de information security officer, omdat de AVG en NEN 7510 elkaar raken. Zie de vacatures voor privacy officers en functionarissen voor gegevensbescherming.

De compliance officer houdt overzicht van wet- en regelgeving voor de zorgorganisatie en van de bewijsvoering richting toezichthouders. Zie de vacatures voor compliance officers.

De IT-auditor voert onafhankelijke beoordelingen uit of toetst of het ISMS werkt zoals beschreven. Zie de vacatures voor IT-auditors en de rolgids voor IT-auditors.

De security manager en de risk manager sturen op maatregelen en op risico's, en rapporteren aan het management. Zie de vacatures voor security managers en risk managers.

Wie in de zorg wil werken aan informatiebeveiliging, vindt de sector ook op de pagina security en privacy in de zorg. Het volledige overzicht van artikelen staat in de kennisbank.