Dienst

NEN 7510 implementatie

Verplicht voor zorgaanbieders. We zoeken uit wat er bij jou al staat en richten in wat ontbreekt.

NEN 7510: wat het is en wat je ermee moet

Werk je als zorgaanbieder met een elektronisch patiëntendossier, dan schrijft de wet NEN 7510 voor: een besluit onder de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg, verplicht en niet vrijblijvend. De norm vraagt dat je weet welke risico's je loopt met patiëntgegevens, dat je daar passende maatregelen tegenover zet, en dat je kunt laten zien waarom je die keuzes hebt gemaakt. Het scharnierpunt is de verklaring van toepasselijkheid: het document waarin per beheersmaatregel staat of je hem toepast en waarom wel of niet.

De norm toepassen is verplicht, het certificaat halen niet. In de zorg vraagt de markt er wel degelijk om: aanbestedingen, ketenpartners en verzekeraars vragen ernaar bij naam, en wie er geen heeft moet elke keer opnieuw uitleggen dat hij ook zonder aan de norm voldoet.

Wij beginnen met een nulmeting die laat zien waar je staat en wat er in jouw situatie van je gevraagd wordt, en richten daarna in wat ontbreekt, samen met de mensen die er straks mee werken. In de trajecten die wij doen blijken de maatregelen er vaak wel te zijn, maar niet vastgelegd.

Is NEN 7510 verplicht?

Ja, voor zorgaanbieders. Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt dat een zorgaanbieder overeenkomstig NEN 7510 en NEN 7512 zorg draagt voor een veilig en zorgvuldig gebruik van zijn zorginformatiesysteem, en van elk uitwisselingssysteem waarop hij is aangesloten. Die plicht hangt aan het systeem waarin je het dossier bijhoudt, dus zodra je met een EPD of een vergelijkbaar dossier werkt, geldt hij. Hetzelfde besluit stelt daarnaast een aparte eis aan de logging: die moet voldoen aan NEN 7513.

Beheer je als niet-zorgaanbieder een elektronisch uitwisselingssysteem, dan komt daar een derde plicht bij: een onafhankelijke organisatie moet in een auditrapport van niet ouder dan vijf jaar hebben vastgesteld dat jij en je systeem aan NEN 7510 en NEN 7512 voldoen. Dat is een verplichte toets, geen certificaat.

Sinds 15 augustus 2026 komt de Cyberbeveiligingswet daaroverheen. Val je daar als zorgaanbieder onder, dan bepaalt de sectorregeling voor de zorg hoe je aan de zorgplicht voldoet: aantoonbaar NEN 7510, of ISO 27001 en 27002, of iets wat aantoonbaar gelijkwaardig is. Die regeling zegt er met zoveel woorden bij dat een certificaat aantoont dat je aan de norm voldoet, maar geen vereiste is. In de zorg is de Inspectie Gezondheidszorg en Jeugd de toezichthouder onder die wet.

NEN 7510 implementatie in de zorg

Zelf doen of uitbesteden?

Zelf doen kan prima, en vaker dan aanbieders je vertellen. De norm is te koop en te lezen, en het werk zit vooral in doorzetten. Drie dingen moeten dan wel kloppen. Er moet iemand zijn die er structureel uren voor heeft, geen halve dag per maand naast een volle baan. Die iemand moet kunnen doorpakken, want een groot deel van het werk bestaat uit anderen iets laten opschrijven wat ze al doen. En je hebt iemand nodig die tegenwicht geeft, want wie zijn eigen inrichting beoordeelt komt zelden tot de conclusie dat het niet klopt.

Ontbreekt een van die drie, dan loopt een intern traject meestal vast: het begint goed, er wordt beleid geschreven, en dan komt er een fusie of een uitval en ligt het een half jaar stil.

Uitbesteden is niet alles of niets. Je kunt de risicoanalyse en de verklaring van toepasselijkheid laten doen en de rest zelf oppakken, of de uitvoering zelf houden en alleen de toetsing extern beleggen. Wat je niet moet uitbesteden is het eigenaarschap: een norm die alleen bij de adviseur leeft, is bij de volgende audit een stapel papier van iemand die er niet meer is.

Wat NEN 7510 van de directie vraagt

Informatiebeveiliging is in deze norm een verantwoordelijkheid van de leiding, en dat is niet symbolisch bedoeld. De directie stelt het beleid vast, wijst rollen en bevoegdheden toe, maakt middelen vrij en beoordeelt periodiek of het werkt. Dat laatste heet de directiebeoordeling en is een van de eerste dingen waar een auditor naar vraagt, omdat je er in één document aan ziet of een organisatie de norm draagt of alleen heeft ingekocht.

NEN 7510 gaat op één punt verder dan de generieke norm: het management krijgt een eigen training over informatiebeveiliging, toegesneden op de eigen rol en niet dezelfde als die van het personeel. Dat staat er niet voor niets in, want de verantwoordelijkheid laat zich niet doorschuiven naar de ICT-afdeling of naar een leverancier.

Hoeveel tijd dat kost verschilt per organisatie. Het zwaarste zit aan het begin, bij het vaststellen van de scope en de risicobereidheid: keuzes die niemand anders voor je kan maken.

Hoe een traject er in de praktijk uitziet

Neem een zorgorganisatie van vijftig medewerkers, met een EPD, een afsprakensysteem en een ICT-partij die de werkplekken beheert. Zo'n traject begint bij de inventarisatie: welke systemen bevatten het dossier zelf en welke raken het alleen, wie heeft toegang, welke leveranciers kunnen erbij. In de trajecten die wij doen komt er bijna altijd een systeem boven dat niemand meer op het netvlies had. Daarna volgt de risicoanalyse: wat gaat er mis als dit systeem een week uit ligt, als deze gegevens op straat komen of als iemand ze ongemerkt wijzigt. Uit die analyse volgen de maatregelen, en daaruit de verklaring van toepasselijkheid.

Dan begint het inrichten. Dat werk doen wij, met jouw mensen erbij, want beleid dat door een buitenstaander is geschreven en door niemand is gelezen haalt de eerste toetsing niet. In de praktijk zitten we dus bij de teamleider die de autorisaties beheert en bij de ICT-partij die de technische maatregelen uitvoert. Je krijgt geen lijst met verbeterpunten waar je het zelf mee mag uitzoeken.

Hoe lang het duurt, hangt af van waar je begint. Bepalend zijn het aantal systemen en leveranciers, of er al een risicoanalyse ligt, hoeveel tijd de organisatie zelf kan vrijmaken en hoe snel de directie besluiten neemt. Wij werken gefaseerd, zodat je onderweg al iets hebt om te laten zien.

Daarna laten we het niet los. Een norm is geen project met een einddatum: er komt een systeem bij, een leverancier wordt vervangen, iemand verandert van rol. Wij toetsen periodiek of wat er staat nog klopt en zijn het aanspreekpunt zodra er iets verandert of misgaat. Wie het werk doet en wie erop toeziet zijn bij ons twee verschillende mensen, zodat niemand zijn eigen keuzes zit te beoordelen. Dat is precies het onderdeel dat een organisatie er zelden bij krijgt gedaan.

De verklaring van toepasselijkheid

Hier lopen de meeste organisaties op vast, en tegelijk komt hier alles samen. De verklaring van toepasselijkheid, in normtaal de Statement of Applicability, is de lijst met alle beheersmaatregelen van de norm, waarin je per maatregel vastlegt of je hem toepast, hoe, en zo niet waarom niet.

Waarom dat het scharnierpunt is: je kunt hem niet invullen zonder dat de risicoanalyse er echt is, want elke keuze moet ergens op terugslaan. Een auditor leest hem als eerste, omdat hij er in een half uur aan ziet of een organisatie heeft nagedacht of heeft overgeschreven. Een opdrachtgever die om bewijs vraagt, kan er vaak mee uit de voeten zonder dat je je hele dossier hoeft open te leggen.

Bij de zorgspecifieke maatregelen ligt de implementatierichtlijn bovendien vast en geldt comply or explain: pas je hem anders toe, dan onderbouw je dat hier.

Technische en organisatorische maatregelen

Het verschil is simpel: een technische maatregel wordt afgedwongen door een systeem, een organisatorische maatregel door mensen en afspraken.

Voorbeelden van technische maatregelen in de zorg:

  • meervoudige authenticatie op systemen met patiëntgegevens
  • versleuteling van back-ups en van gegevens op USB-sticks en externe schijven
  • netwerkscheiding tussen medische apparatuur, gastnetwerk en kantoorwerkplekken
  • logging van wie welke patiëntgegevens heeft ingezien, gewijzigd of verwijderd

Voorbeelden van organisatorische maatregelen:

  • een toegangsbeleid dat per rol vastlegt wie welke patiëntgegevens mag inzien
  • een procedure voor noodtoegang, met achteraf controle op wie ervan gebruikmaakte
  • beveiligingsafspraken met leveranciers die bij het dossier kunnen
  • een incidentprocedure waarin staat wie gebeld wordt, ook buiten kantooruren
  • een verbod op echte patiëntgegevens in test- en opleidingsomgevingen

Het zwaartepunt van de norm ligt niet bij de techniek. De beheersmaatregelen zijn verdeeld over vier thema's, organisatie, mensen, fysieke ruimte en technologie, en drie daarvan gaan niet over systemen. Dat verklaart waarom trajecten zelden stranden op techniek: techniek is te kopen, een afspraak die iedereen kent en die ook geldt als het druk is moet je maken. Meervoudige authenticatie zet je één keer aan. Bijhouden wie er nog toegang heeft nadat drie mensen zijn vertrokken en er twee zijn bijgekomen, is een proces.

NEN 7510 naast ISO 27001, de AVG en de Cyberbeveiligingswet

NEN 7510 is ISO 27001 met een zorgjas aan. De algemene beheersmaatregelen zijn dezelfde; daar komt een zorgspecifieke laag overheen. Wat je voor ISO 27001 hebt staan, telt dus mee. De wettelijk aangewezen uitgave is sinds 1 juni 2026 NEN 7510-2:2024+A1:2026. Waar de wet naar NEN 7510 verwijst, vallen daar zowel deel 1 (het managementsysteem) als deel 2 (de beheersmaatregelen) onder.

Die zorgspecifieke laag gaat over dingen die buiten de zorg niet spelen: unieke identificatie van de patiënt in alle systemen, controleerbaarheid van wat er op het scherm en op papier verschijnt, alternatieve communicatiekanalen als de ICT uitvalt, extern melden van incidenten bij het meldpunt van de sector, aparte training voor het management, en zero trust als uitgangspunt voor toegang. Daarnaast worden bestaande maatregelen aangescherpt, zoals de meervoudige authenticatie en de NEN 7513-logging hierboven.

De AVG loopt hier logisch in mee: wat je onder NEN 7510 inricht aan toegangsbeheer, logging en leveranciersafspraken is precies wat je onder de AVG moet kunnen aantonen. De Cyberbeveiligingswet voegt er drie dingen aan toe die niet uit de norm volgen: je inschrijven in het landelijke register, melden binnen 24 uur bij een significant incident, en de aanspreekbaarheid van het bestuur. Voor de rest legt de norm die koppeling zelf: bijlage E van deel 2 bevat een mapping tussen NEN 7510 en de Cyberbeveiligingswet.

Op één punt lopen de twee wetten uiteen, en dat wordt onderschat. Onder de Wabvpz geldt NEN 7510 voor je zorginformatiesysteem en de uitwisselingssystemen waarop je bent aangesloten. Onder de Cyberbeveiligingswet geldt de zorgplicht voor al je netwerk- en informatiesystemen, en de toelichting bij de sectorregeling noemt HR-systemen met zoveel woorden. Heb je je EPD op orde, dan ben je dus nog niet automatisch in orde onder de Cyberbeveiligingswet.

De route naar het certificaat

De meeste organisaties die ons bellen hebben de vraag óf ze moeten certificeren al beantwoord. Het certificaat staat vaak al vast als doel, nog voordat er een afweging aan te pas is gekomen.

Wij beginnen daarom meteen bij de vraag wat ervoor nodig is. De inventarisatie en de nulmeting laten zien waar je staat, wat er ontbreekt en welk pad naar de audit loopt. Daaruit volgt de volgorde: wat eerst moet, wat kan wachten, en waar de certificerende instelling straks naar gaat kijken. Dat is het verschil tussen een traject dat in één keer door de audit komt en een traject dat halverwege stilvalt.

Het certificaat zelf is een verklaring van een geaccrediteerde instelling dat je aan de norm voldoet, en niet de wettelijke plicht: die zit in het toepassen van de norm. Dat onderscheid is nuttig als een opdrachtgever meer eist dan de wet vraagt, maar het is geen reden om het certificaat te laten liggen als de markt erom vraagt. Blijkt onderweg dat certificering in jouw situatie niets toevoegt, dan zeggen we dat. Dat komt voor, maar het blijft de uitzondering.

FAQ

Veelgestelde vragen over NEN 7510

Is NEN 7510 verplicht?

Voor zorgaanbieders wel. Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt dat je je zorginformatiesysteem inricht overeenkomstig NEN 7510 en NEN 7512. Val je daarnaast onder de Cyberbeveiligingswet, dan kun je aan de zorgplicht voldoen met NEN 7510, met ISO 27001 en 27002, of met iets wat aantoonbaar gelijkwaardig is.

Moet ik gecertificeerd zijn?

Als zorgaanbieder eist de wet het niet, maar de zorgmarkt vraagt er in de praktijk wel om, en dat is voor de meeste organisaties de reden om het toch te halen. Let op: beheer je als niet-zorgaanbieder een elektronisch uitwisselingssysteem, dan eist de wet onafhankelijke toetsing met een auditrapport. Dat is iets anders dan een certificaat.

Wat is een verklaring van toepasselijkheid?

De lijst met alle beheersmaatregelen van de norm, waarin je per maatregel vastlegt of je hem toepast, hoe, en zo niet waarom niet. Een auditor leest hem als eerste, omdat eruit blijkt of de risicoanalyse er echt is. Bij de zorgspecifieke maatregelen geldt comply or explain: wijk je af, dan onderbouw je dat hier.

Hoe lang duurt een NEN 7510-traject?

Dat hangt af van je startpunt, en dat is geen ontwijkend antwoord: het verschil zit in het aantal systemen en leveranciers, of er al een risicoanalyse ligt, hoeveel tijd je zelf kunt vrijmaken en hoe snel de directie besluiten neemt. Wie al met een norm werkt is sneller klaar dan wie bij nul begint.

Onze ICT-partij regelt de beveiliging. Zijn we dan klaar?

Nee. Je ICT-partij voert een deel van de technische maatregelen uit, maar de norm ligt bij jou. Beleid, risicoafweging, toegangsafspraken en de verantwoordelijkheid van de directie kun je niet uitbesteden. Wat je wel doet, is vastleggen wat de ICT-partij voor je regelt en periodiek toetsen of dat nog klopt.

Wij leveren aan de zorg maar zijn zelf geen zorgaanbieder. Geldt NEN 7510 voor ons?

Niet rechtstreeks. Let op: beheer je zelf een elektronisch uitwisselingssysteem, dan geldt er wél een rechtstreekse plicht, want dan moet een onafhankelijke organisatie vaststellen dat jij en je systeem aan NEN 7510 en NEN 7512 voldoen. Maar je opdrachtgever moet zijn keten beheersen en kan de eisen contractueel bij je neerleggen. Aan de hele norm voldoen hoeft dan niet. Je hebt een onderbouwing nodig die klopt: wat je hebt geregeld op toegang, back-ups en incidenten, en wie er belt als het misgaat.

Deze pagina is bijgewerkt op 20 augustus 2026. Meer lezen: voorbeelden van passende beveiligingsmaatregelen volgens de Autoriteit Persoonsgegevens.

Wil je weten wat NEN 7510 voor jouw zorgorganisatie betekent?

Plan een vrijblijvende kennismaking. We kijken waar je staat en welke stappen logisch zijn.

Plan een NEN 7510-kennismaking