Eisen en maatregelen van NEN 7510

NEN 7510 bestaat uit twee delen. Je certificeert alleen tegen deel 1. Deel 1 (managementsysteem) bevat de eisen aan je managementsysteem voor informatiebeveiliging (ISMS). Bijlage A van deel 1 bevat de lijst met beheersmaatregelen. Deel 2 (beheersmaatregelen) is ISO 27002 samen met de zorgnorm ISO 27799. Het geeft per maatregel uitleg en richtlijnen voor de zorg.

Een auditor schrijft een afwijking alleen op de eisen uit hoofdstuk 4 tot en met 10 van deel 1. Hij schrijft er ook een op de maatregelen in bijlage A van deel 1. Deel 2 gebruikt hij om te begrijpen hoe je een maatregel invult. Je kunt beide delen kosteloos downloaden via NEN Connect. Dat komt door een afspraak tussen het ministerie van VWS en NEN.

De editie die nu geldt is NEN 7510-1:2024 samen met NEN 7510-2:2024+A1:2026. De minister heeft die in de Staatscourant per 1 juni 2026 van toepassing verklaard. Dat geldt voor het Besluit elektronische gegevensverwerking door zorgaanbieders. De aanvulling van 2026 veranderde alleen deel 2. Die kreeg scherpere zorgrichtlijnen en een koppeling met de Cyberbeveiligingswet in bijlage E. Een certificaat op de versie van 2017 geldt hooguit tot 20 februari 2027. Wat er tussen 2017 en 2024 veranderde, lees je bij de overgang naar NEN 7510:2024.

Hoofdstuk 4 tot en met 10 vragen hetzelfde als ISO 27001. Je kent je risico's. De leiding stuurt. Je neemt maatregelen, je controleert en je verbetert. Per hoofdstuk staat bij de eisen van ISO 27001 wat dat inhoudt. Wat de zorg eraan toevoegt, zit vooral in deze punten:

NEN 7510 heeft 101 maatregelen. Dat zijn de 93 van ISO 27002, verdeeld over de vier thema's organisatie, mensen, fysiek en technologie. Daarbij komen acht maatregelen voor de zorg. Die acht nummeren door na de lijst van ISO 27002. Vier van die acht noemt NEN hier. De norm nam ze op vooruitlopend op de Europese NIS2-richtlijn:

Bij een aantal bestaande maatregelen voegt deel 2 richtlijnen voor de zorg toe. De aanvulling van 2026 scherpte er onder meer acht aan. Voorbeelden zijn extra aandacht voor genetische en biometrische gegevens (5.12), voor het volgen van wie gegevens inziet (5.34) en voor social engineering in bewustzijn en training (6.3). Er kwamen in 2026 geen nieuwe maatregelen bij.

Bij een maatregel volg je de zorgrichtlijn uit deel 2. Of je legt uit hoe je het doel van de maatregel op een andere manier bereikt. Dat heet comply or explain. Je mag dus afwijken van de richtlijn. Dan moet je dat wel kunnen uitleggen, want de auditor kan tijdens de audit naar die uitleg vragen.

Een kleine praktijk waarvan het patiëntdossier bij een leverancier draait, vult een richtlijn soms anders in dan deel 2 beschrijft. Dat kan bijvoorbeeld via afspraken in het contract met die leverancier. Leg die keuze vast. Dat kan bijvoorbeeld als toelichting in je verklaring van toepasselijkheid. Wat er verder in je documenten moet staan, lees je bij de verplichte documenten voor NEN 7510.

Het Besluit elektronische gegevensverwerking door zorgaanbieders maakt twee aanvullende normen verplicht. Het gaat om iedereen die een zorginformatiesysteem gebruikt. Artikel 5 eist dat de logging van je systeem voldoet aan NEN 7513. Je legt dan vast wie een elektronisch patiëntdossier heeft ingezien of gewijzigd. Zo kun je controleren of dat mocht. Artikel 3 eist veilig gebruik van je systemen volgens NEN 7510 en NEN 7512. NEN 7512 is de norm voor een vertrouwde uitwisseling van gegevens tussen zorgpartijen.

Een patiënt mag op grond van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (artikel 15e) vragen wie zijn gegevens via een uitwisselingssysteem heeft ingezien of beschikbaar gesteld. Hij mag ook vragen wanneer dat was. Zonder goede logging kun je die vraag niet beantwoorden. Tegen NEN 7512 en NEN 7513 kun je niet certificeren. Die normen werken eisen uit NEN 7510 verder uit. De auditor mag ze bij je audit gebruiken.

Of je een functionaris gegevensbescherming (FG) nodig hebt, staat in de AVG. Je NEN 7510-certificaat verandert daar niets aan. Artikel 37 van de AVG verplicht een FG. Dat geldt als je kernactiviteit bestaat uit het verwerken van gezondheidsgegevens op grote schaal, zoals bij een ziekenhuis. Een individuele arts of zorgverlener verwerkt volgens overweging 91 van de AVG niet op grote schaal.

Heb je een FG, dan geef je die in hoofdstuk 5 een duidelijke plek. Zet die naast de verantwoordelijke voor informatiebeveiliging. De FG houdt toezicht op hoe je met persoonsgegevens omgaat. De verantwoordelijke voor informatiebeveiliging regelt de maatregelen. De AVG staat toe dat de FG andere taken heeft. Die taken mogen niet botsen met zijn toezicht. Geef je hem ook de informatiebeveiliging? Kijk dan of hij zo zijn eigen werk controleert. NEN 7510 dekt een deel van de AVG, maar niet alles.

Voor uitsluiten gelden dezelfde regels als bij ISO 27001. Een eis uit hoofdstuk 4 tot en met 10 sluit je nooit uit. Een maatregel uit bijlage A sluit je alleen uit met een onderbouwing uit je risicoanalyse. Bij NEN 7510 controleert de nationale accreditatie-instantie de certificeerder. De nationale accreditatie-instantie kijkt of de certificeerder die uitsluitingen goed heeft beoordeeld.

Bij twee situaties loopt een uitsluiting vast:

Maatregelen die niet in deel 2 staan, mag je ook toevoegen. Ook dan geef je aan waarom ze van toepassing zijn.

Je toepassingsgebied bepaalt welke certificeerder je mag certificeren. Bij NEN 7510 zijn er geen sectorcodes. Er zijn wel twee groepen. Dat zijn zorginstellingen (cluster Z) en beheerders van gezondheidsgegevens die geen zorginstelling zijn (cluster B). CertificeerWijzer telde op 24 september 2026 in het de nationale accreditatie-instantie-register 10 certificeerders met een accreditatie voor NEN 7510. Noordbeek mag alleen cluster B doen. De andere negen mogen beide clusters doen. Het aantal auditdagen volgt uit ISO/IEC 27006-1 en het schema NCS 7510. NEN beheert dat schema.

Heb je ook klanten die om ISO 27001 vragen? Dan zorgt het schema ervoor dat je met beide certificaten geen dubbele auditlast krijgt. Vraag dat mee in je offerte. Vraag ook naar je toepassingsgebied en de vestigingen die eronder vallen. Zo rekent elke certificeerder met dezelfde gegevens. Bij CertificeerWijzer doe je dat één keer. Dan zie je de offertes van certificeerders naast elkaar die NEN 7510 voor jouw groep mogen doen. De kosten van NEN 7510 gebruik je als ijkpunt.