NEN 7510: informatiebeveiliging in de zorg en certificering

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Hij bevat afspraken over hoe je gezondheidsgegevens beschikbaar, juist en vertrouwelijk houdt. De kern is een managementsysteem voor informatiebeveiliging (ISMS). Die kern is hetzelfde als bij ISO 27001. Er komen maatregelen en richtlijnen voor de zorg bij. De norm geldt voor elke omvang. Dat loopt van een eenmanspraktijk tot een ziekenhuis.

NEN 7510 bestaat uit twee delen. De versie die nu geldt is NEN 7510:2024. Die verscheen in december 2024:

Werk je al met ISO 27001? Dan herken je de opbouw. Deel 1 neemt de eisen van ISO 27001 over en voegt er zorgspecifieke maatregelen aan toe. Voorbeelden zijn noodcommunicatie en het melden van incidenten aan de bevoegde instantie. Dankzij een afspraak tussen het ministerie van VWS en NEN download je beide delen gratis via NEN Connect. Wat er in de versie van 2024 veranderde, lees je bij de overgang naar NEN 7510:2024.

Werken volgens NEN 7510 is verplicht voor elke zorgaanbieder. Dat geldt ook voor een kleine praktijk of eenmanszaak. Een certificaat halen is niet verplicht.

De plicht staat in artikel 3 van het Besluit elektronische gegevensverwerking door zorgaanbieders. Daarin staat dat een zorgaanbieder zijn zorginformatiesysteem veilig en zorgvuldig gebruikt. Hij doet dat "overeenkomstig het bepaalde in NEN 7510 en NEN 7512". Volgens artikel 7 geldt altijd de laatste uitgave die de minister bekendmaakt. De minister heeft dat gedaan. Sinds 1 juni 2026 zijn NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026 de wettelijke norm. Voor jeugdhulpaanbieders geldt ISO 27001.

De Inspectie Gezondheidszorg en Jeugd (IGJ) ziet erop toe. Zij zegt het zonder omweg: de wet, de nieuwe Cyberbeveiligingswet en de norm zelf eisen geen certificaat. Wel verwacht de IGJ dat je je ISMS en je maatregelen regelmatig onafhankelijk laat beoordelen. Dat moet minstens één keer per drie jaar. De beoordelaar kent de norm, het auditen en de zorg. Een certificaat is één manier om dat te laten zien. De certificeerder komt elk jaar terug. Hij staat zelf onder toezicht van de nationale accreditatie-instantie.

Bedrijven halen het certificaat om deze redenen:

Je kunt je alleen tegen NEN 7510 laten certificeren als je in een van twee groepen valt. Het schema noemt die groepen clusters:

Valt je organisatie in geen van beide groepen, dan kun je de norm wel gebruiken. Een certificaat krijg je dan niet. Een IT-bedrijf dat maar af en toe een dossier ziet, valt daarbuiten. NEN zegt in zijn toelichting dat een leverancier zonder vaste verwerking geen NEN 7510-certificaat kan krijgen. Een vaste verwerking leg je vast in een verwerkersovereenkomst met een zorgaanbieder. Een zorgaanbieder mag dan ook geen NEN 7510-certificaat eisen. In dat geval is ISO 27001 het gelijkwaardige alternatief. Bij elke audit controleert de certificeerder of die verwerking er nog is. Is die er niet meer, dan trekt hij het certificaat in.

In hoofdstuk 4 tot en met 10 van deel 1 vraagt NEN 7510 hetzelfde als ISO 27001. Je bouwt een ISMS met een risicoanalyse en een verklaring van toepasselijkheid. Geen van die eisen mag je uitsluiten. Wat dat inhoudt, lees je bij wat ISO 27001 eist. Voor de zorg komt er dit bij:

Bij een maatregel die je kiest, geeft deel 2 een richtlijn voor de zorg. Volg je die richtlijn niet? Dan leg je uit hoe je het doel op een andere manier haalt. Dit heet "pas toe of leg uit". De auditor schrijft afwijkingen alleen op de eisen en maatregelen van deel 1. Alle eisen staan bij de eisen van NEN 7510. Welke documenten je op papier moet hebben, staat bij de verplichte documenten.

De duur van een NEN 7510-traject hangt vooral af van je risicoanalyse. Ben je leverancier, dan speelt ook een eis mee. Je moet in de zes maanden voor fase 2 al gezondheidsgegevens verwerken. Begin je vanaf nul, dan duurt het hooguit ongeveer acht maanden. Vraag dus vroeg offertes op. Met 10 certificeerders is je keuze beperkt. De audit verloopt in fase 1 en fase 2, zoals bij elke norm. Bij een zorgaanbieder controleert de auditor in fase 1 ook of je primaire zorgprocessen in je scope zitten. Daarna volgt een cyclus van drie jaar. Elk jaar is er een controle-audit. Na drie jaar volgt een hercertificering. Elke stap staat bij de stappen naar NEN 7510.

Een certificeerder rekent het aantal auditdagen maal zijn dagtarief. Dat tarief ligt tussen €1.000 en €1.800, exclusief btw. Elke certificeerder rekent het aantal dagen met dezelfde regels. Die regels staan in het schema NCS 7510:2025. Dat schema komt bovenop ISO/IEC 27006-1:2024. Dat zijn de regels voor ISO 27001. Voor de zorg telt het schema extra tijd op. Zorgaanbieders krijgen een andere toeslag dan andere beheerders. Elke offerte bevat ook een afdracht aan NEN voor het register. Die betaal je één keer per drie jaar. De hoogte hangt af van je aantal fte. Bij de kosten van NEN 7510 lees je hoe de offerte is opgebouwd en hoe je hem narekent.

Heb je al een NEN 7510-certificaat? Dan kun je naar een andere certificeerder overstappen. Je hoeft dan niet opnieuw te beginnen. Je periode van drie jaar loopt door. Daarvoor moet de nieuwe certificeerder jouw cluster in zijn accreditatie hebben. De algemene regels staan bij overstappen.

Staat je certificaat nog op de versie van 2017? Dan moet je vóór 20 februari 2027 overgaan naar NEN 7510:2024. Daarvoor heb je toch een audit nodig. Daarom is dit ook een logisch moment om offertes te vergelijken.

Alleen een certificeerder mag NEN 7510 certificeren. Die heeft een licentie van NEN en een accreditatie van de nationale accreditatie-instantie voor het schema NCS 7510. NEN certificeert zelf niet. NEN beheert het schema. NEN beheert ook het openbare register NEN 7510. Daarin staat elke gecertificeerde organisatie. Op 24 september 2026 telde CertificeerWijzer 10 certificeerders in het de nationale accreditatie-instantie-register. Zij hebben allemaal een accreditatie voor NEN 7510. Alle tien hadden die accreditatie ook al voor de versie van 2024.

Bij NEN 7510 telt je cluster. De nationale accreditatie-instantie legt de accreditatie vast voor cluster Z, cluster B of beide. Wil een certificeerder zijn scope uitbreiden naar het andere cluster? Dan moet hij daarvoor een nieuwe beoordeling doorlopen. Van de 10 hebben er 9 beide clusters. Op die peildatum mocht Noordbeek Certification alleen beheerders van gezondheidsinformatie certificeren. Zorginstellingen mocht het niet certificeren.

Op zijn lijst noemt NEN nog twee certificeerders met een licentie. Voor die twee is de accreditatie voor de versie van 2024 nog aangevraagd. Ze mogen pas een certificaat afgeven als de nationale accreditatie-instantie die accreditatie toekent. Vraag dat na als je bij een van hen een offerte krijgt.

Kies op deze punten. De regels voor de auditdagen zijn gelijk, maar de uitvoering verschilt:

Meer keuzepunten staan bij certificeerder kiezen. Bij CertificeerWijzer vraag je met één aanvraag offertes op. Je aanvraag gaat alleen naar certificeerders die NEN 7510 voor jouw cluster mogen doen. Het volledige overzicht staat bij certificeerders.

NEN 7510 heeft twee aanvullende normen en een internationale basis:

Je kunt je niet apart laten certificeren voor NEN 7512 en NEN 7513. Een certificeerder certificeert tegen NEN 7510-1. Daarbij mag hij die twee normen gebruiken. Ook deze normen download je gratis via NEN Connect.