Zorginstellingen die persoonlijke gezondheidsinformatie verwerken zijn wettelijk verplicht om aantoonbaar aan NEN 7510 te voldoen. Certificering is niet wettelijk verplicht, maar de IGJ verwacht dat u kunt aantonen dat uw informatiebeveiliging op orde is. In de praktijk is certificering de meest gangbare manier om dat te doen.

NIS2 is Europese wetgeving die verplichtingen oplegt aan aanbieders van essentiële diensten, waaronder de zorg. NEN 7510 is een Nederlandse norm die specifiek gaat over informatiebeveiliging in de zorgsector. De twee vullen elkaar aan: NIS2 stelt bestuurlijke en organisatorische eisen, NEN 7510 beschrijft hoe u informatiebeveiliging concreet inricht voor de zorgcontext.

ISO 27001 is een goede basis, maar dekt niet alle specifieke eisen die voor de zorgsector gelden. NEN 7510 is de sectorspecifieke uitwerking en voegt verplichtingen toe die in ISO 27001 niet staan, zoals specifieke eisen aan logging van patiëntgegevens en ketenafspraken met leveranciers. IGJ en auditors toetsen op NEN 7510, niet op ISO 27001 alleen.

De Cyberbeveiligingswet verplicht zorginstellingen om significante incidenten binnen 24 uur te melden bij de toezichthouder. Dat vraagt om een geteste incidentprocedure én om monitoring die een incident tijdig signaleert. Z-CERT ondersteunt de zorgsector bij het afhandelen van cyberincidenten. Zonder monitoring en een getest plan bent u afhankelijk van geluk.

U bent verantwoordelijk voor de toegang die externe partijen hebben tot uw systemen en patiëntgegevens. Dat betekent: periodieke review van toegangsrechten, contractuele eisen aan leveranciers en aantoonbaar toezicht op de keten. Een zorginstelling mag van leveranciers die toegang hebben tot patiëntgegevens eisen dat zij aantoonbaar voldoen aan NEN 7510.

Dat hangt af van de beschikbare capaciteit en expertise. Veel zorginstellingen hebben een IT-team dat sterk is in de dagelijkse operatie, maar waarbij security, compliance en aantoonbaarheid er structureel bij inschieten. Wij werken regelmatig naast een interne IT-afdeling, als aanvulling, niet als vervanging.

De nieuwe NEN 7510:2025 is gepubliceerd in februari 2025. Zorginstellingen met een bestaand certificaat moeten voor 20 februari 2027 voldoen aan de herziene norm. De nieuwe versie sluit nauwer aan op ISO 27001 en NIS2. Wacht niet tot 2027 met de voorbereiding, want de aanpassing vraagt om een volledige herziening van uw managementsysteem voor informatiebeveiliging.