NEN 7510-certificaat halen: stappen en doorlooptijd

Alleen een zorgaanbieder of een vaste beheerder van gezondheidsgegevens kan een NEN 7510-certificaat halen. Hoe pak je dat aan, en hoe lang ben je ermee bezig? Na het lezen van dit artikel weet je hoe lang het traject duurt, welke stappen bij NEN 7510 anders zijn, wat de auditor in fase 1 en fase 2 bekijkt en waarom je vroeg offertes opvraagt.

Doorlooptijd van NEN 7510-certificering

Hoe lang je traject duurt, hangt vooral af van je risicoanalyse. Ben je leverancier, dan hangt het ook af van een termijn van zes maanden. Begin je vanaf nul, dan reken je op hooguit ongeveer acht maanden tot je certificaat. Dat is inclusief drie tot vier maanden wachttijd bij de certificeerder. Bij NEN 7510 liggen drie dingen vast:

Termijn voor leveranciers. Ben je geen zorginstelling, dan moet je de gezondheidsinformatie al rechtmatig verwerken. Of je hebt haar in de 6 maanden voor de start van fase 2 verwerkt. Zo staat het in NCS 7510:2025. Zonder een klant in de zorg met een verwerkersovereenkomst kun je dus geen fase 2 laten doen.
Werk vóór de audit. De risicoanalyse en de verklaring van toepasselijkheid moeten klaar zijn voordat de auditor komt. Ze moeten ook in de praktijk draaien. Bij NEN 7510 horen zorgspecifieke maatregelen bij die verklaring. ISO 27001 heeft die niet.
De versie van 2024. Een certificaat op NEN 7510:2017 is na 20 februari 2027 niet meer geldig. Begin je nu, dan bouw je meteen op NEN 7510-1:2024. Heb je al een certificaat, dan lees je de termijnen bij de overgang naar NEN 7510:2024.

Stappen naar een NEN 7510-certificaat

Bij elke norm zijn de stappen gelijk, van het toepassingsgebied kiezen tot het besluit van de certificeerder. Bij NEN 7510 zijn drie stappen anders:

Cluster Z of cluster B bij NEN 7510

NCS 7510 kent twee groepen die gecertificeerd mogen worden. Bij je aanvraag toetst de certificeerder in welke groep je valt. Daarnaast controleert de certificeerder of je aan de voorwaarden voldoet:

Cluster Z, zorginstellingen. Dit zijn organisaties en zelfstandige zorgverleners die bedrijfsmatig zorg verlenen. Denk aan ziekenhuizen, thuiszorg, verpleeghuizen, huisartsen, fysiotherapeuten en tandartsen. Je toepassingsgebied moet minstens één primair zorgproces omvatten. Je kunt niet alleen de ondersteunende afdelingen laten certificeren.
Cluster B, beheerders van persoonlijke gezondheidsinformatie. Dit zijn organisaties die geen zorg verlenen, maar wel structureel gezondheidsgegevens beheren voor Nederlandse zorgklanten. Denk aan medische laboratoria, leveranciers van een gehost EPD of ECD, datacenters, back-updiensten en managed service providers. Een buitenlandse organisatie moet een Nederlandse zorgklant hebben. Die voorwaarde geldt bij elke audit, ook na het certificaat. Verwerk je op dat moment, en in de zes maanden ervoor, geen gezondheidsinformatie meer? Dan trekt de certificeerder je certificaat in. Zodra je dat weer doet, kun je opnieuw certificeren.

Kijk je af en toe mee in een dossier? Dan ben je meestal geen beheerder, en kun je niet NEN 7510-gecertificeerd worden. Voor zulke leveranciers ziet NEN ISO 27001 als het gelijkwaardige certificaat. Een zorginstelling mag geen NEN 7510 van je eisen. Twijfel je? Dan geeft je verwerkersovereenkomst met de zorgklant meestal de doorslag.

Risicoanalyse en verklaring van toepasselijkheid bij NEN 7510

De risicoanalyse en de verklaring van toepasselijkheid (VvT) werken zoals bij ISO 27001. Het vertrekpunt is de gezondheidsinformatie die je beheert. Als lijst gebruik je de 101 maatregelen uit bijlage A van NEN 7510-1. Bij cluster B moet de verklaring zorgspecifieke maatregelen bevatten. Die volgen uit je risicoanalyse. Anders krijg je geen certificaat. Je certificaat noemt het versienummer en de datum van je VvT. Houd die dus bij als er iets verandert. Welke maatregelen er zijn, lees je bij de eisen van NEN 7510.

Certificeerder met jouw cluster bij NEN 7510

Een certificeerder mag NEN 7510 alleen doen met een licentie van NEN. Ook heeft hij een accreditatie van de nationale accreditatie-instantie nodig voor jouw cluster. CertificeerWijzer telde op 24 september 2026 in het de nationale accreditatie-instantie-register 10 certificeerders met NEN 7510 in hun accreditatie. Negen van die certificeerders mogen beide clusters doen. Noordbeek mag alleen cluster B. Een zorginstelling kiest dus uit 9 certificeerders. Een leverancier kiest uit 10.

Fase 1 en fase 2 van de NEN 7510-audit

Bij elke norm gelden voor fase 1 en fase 2 dezelfde regels. Afwijkingen, het besluit en je rechten staan bij de certificeringsaudit. Bij NEN 7510 kijkt de auditor in elke fase naar het volgende:

Fase 1. De auditor kijkt naar dezelfde stukken als bij ISO 27001. Bij een zorginstelling controleert de certificeerder of je primaire zorgprocessen in het toepassingsgebied zitten. Bij een leverancier kijkt hij naar je verwerkersovereenkomst.
Fase 2. De auditor bezoekt je organisatie. Hij kijkt of de maatregelen uit je verklaring in de praktijk werken. Dat geldt ook voor de zorgmaatregelen. Hij doet dat met gesprekken en waarnemingen op de werkvloer.

Elke auditor in het team moet alle eisen van NEN 7510-1 kennen. Bij een zorginstelling moet het team ook je zorgprocessen kennen. Het team moet ook de wetten kennen die daarbij horen, zoals de WGBO en de Wkkgz. Het moet ook de regels kennen voor logging en gegevensuitwisseling (NEN 7513 en NEN 7512). Heb je ook ISO 27001 nodig? Dan kan dat in één audit, met per norm een apart certificaat. Alleen een Nederlandstalig certificaat komt in het NEN 7510-register. Hoeveel dagen de audit duurt en wat dat kost, lees je bij de kosten van NEN 7510.

Wachttijd bij NEN 7510-certificeerders

Met 10 certificeerders heb je bij NEN 7510 minder keus in data. Bij ISO 9001 telde CertificeerWijzer op dezelfde peildatum 26 certificeerders. Vraag daarom offertes op zodra je weet dat je NEN 7510 wilt. Vraag in elke offerte naar de eerste datum voor fase 1. Vraag ook of de certificeerder jouw cluster mag doen. Ben je leverancier? Noem dan je zorgklant en je verwerkersovereenkomst in de aanvraag. Zo ziet de certificeerder meteen of je in cluster B past. Past je certificeerder later niet meer? Dan kun je overstappen zonder opnieuw te beginnen.

Met één aanvraag bij CertificeerWijzer bereik je de certificeerders die jouw cluster mogen doen. Zo hoor je vóór je bouwt of jouw organisatie onder NEN 7510 valt. Je hoort ook of ISO 27001 voor jou beter uitkomt.

Bronnen

NCS 7510:2025, certificatieschema NEN 7510, inkijkexemplaar: voorwoord, definities van cluster Z en B (3.1 en 3.2), eisen aan auditoren (7.1.3), certificaten (8.2) en voorwaarden voor cluster B (9.1.1.3.2).
NEN, toelichting op de doelgroepen voor certificering, oktober 2025.
de Nederlandse instantie, SAP-C025-NL versie 2.3, accreditatieprotocol voor NEN 7510-1, 9 september 2025.
NEN, register NEN 7510, stappen en overgangstermijn.
NEN, informatiebeveiliging in de zorg.
de nationale accreditatie-instantie-register van certificeerders voor managementsystemen.