ISO 27001 of NEN 7510: verschillen en overeenkomsten

Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001 · LinkedIn
oktober 2026 · leestijd 7 minuten

"Moeten we ISO 27001 of NEN 7510 doen?" is een van de vragen die ik het vaakst krijg, vooral van zorgaanbieders en van IT-leveranciers die voor de zorg werken. Het korte antwoord: NEN 7510 is geen concurrent van ISO 27001, maar een Nederlandse uitbreiding erop voor de zorg. Wie de verschillen kent, kiest de juiste route en voorkomt dubbel werk.

Wat de twee normen gemeen hebben

Beide normen beschrijven een managementsysteem voor informatiebeveiliging (ISMS): een vaste cyclus van risico's bepalen, maatregelen nemen, controleren en verbeteren. Ze volgen dezelfde hoofdstructuur met de clausules 4 tot en met 10: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering.

De herziene NEN 7510-1:2024 sluit aan op ISO/IEC 27001:2022. De beheersmaatregelen zijn in beide gevallen geordend in vier thema's: organisatorisch, mensen, fysiek en technologisch, met de 93 maatregelen uit Annex A als basis. Een risicoanalyse, een Verklaring van Toepasselijkheid, interne audits en een management review zijn bij beide normen verplichte onderdelen.

De belangrijkste verschillen

Zorgspecifieke eisen

NEN 7510 voegt eisen toe die in de zorg het verschil maken. Toegang tot persoonlijke gezondheidsinformatie moet aansluiten op de behandelrelatie: een zorgverlener ziet alleen de dossiers van cliënten die hij behandelt. Wie wanneer welk dossier inziet of wijzigt, wordt gelogd volgens NEN 7513, en die logging wordt ook gecontroleerd. Daarnaast vraagt de norm aandacht voor medische apparatuur en zorginformatiesystemen, en weegt hij incidenten af op de gevolgen voor de cliënt en de patiëntveiligheid.

Wettelijke verplichting in de zorg

Het Besluit elektronische gegevensverwerking door zorgaanbieders verplicht zorgaanbieders te werken volgens NEN 7510, NEN 7512 en NEN 7513. Een certificaat is niet verplicht, maar wel het sterkste bewijs dat je aan de norm voldoet, bijvoorbeeld richting zorgverzekeraars, ketenpartners en de Inspectie Gezondheidszorg en Jeugd.

Leveranciers van de zorg

NEN 7510 is niet alleen voor zorgaanbieders. Hostingpartijen, leveranciers van elektronische patiëntendossiers, zorgserviceproviders en andere partijen die gezondheidsgegevens beheren, krijgen er via hun klanten mee te maken. Een zorgaanbieder blijft verantwoordelijk voor de gegevens van zijn cliënten en moet daarom kunnen aantonen dat ook de leveranciers in de keten aan de norm voldoen. In de praktijk is een NEN 7510-certificaat voor zulke leveranciers vaak een voorwaarde om zaken te doen met de zorg, of in ieder geval een groot voordeel bij aanbestedingen.

Welke norm past bij jouw organisatie?

De keuze volgt uit twee vragen: verwerk je gezondheidsgegevens, en werk je ook buiten de Nederlandse zorg?

Beide normen in één ISMS

Omdat NEN 7510 voortbouwt op ISO 27001, hoef je geen twee systemen te bouwen. Je richt één ISMS in met één risicoanalyse, één Verklaring van Toepasselijkheid en één intern auditprogramma, en voegt de zorgspecifieke maatregelen en NEN 7512 en NEN 7513 toe. Certificerende instellingen bieden meestal een gecombineerde audit aan, met een beperkte meerprijs ten opzichte van één norm.

Ben je al ISO 27001:2022-gecertificeerd, dan is de stap naar NEN 7510 relatief klein: de basis staat, je vult de zorgspecifieke eisen aan. Heb je een NEN 7510-certificaat op de versie van 2017, plan dan de overgangsaudit naar NEN 7510-1:2024 ruim vóór 20 februari 2027.

Doorlooptijd en kosten

De doorlooptijd is voor beide normen vergelijkbaar: voor de meeste mkb-organisaties 6 tot 12 maanden, korter als de basis al op orde is. De grootste kostenpost zijn de interne uren. Lees meer op de pagina Wat kost ISO 27001 of NEN 7510?

Drie misverstanden

• "Met ISO 27001 voldoe ik automatisch aan NEN 7510." Nee. ISO 27001 dekt de basis, maar de zorgspecifieke eisen, zoals toegang op basis van de behandelrelatie en logging volgens NEN 7513, komen erbij. Een auditor toetst die apart.
• "NEN 7510 is alleen voor ziekenhuizen." Nee. De norm geldt voor alle zorgaanbieders die elektronisch gezondheidsgegevens verwerken, van huisartsenpraktijk tot thuiszorg. Ook leveranciers die gezondheidsgegevens beheren, zoals hostingpartijen en softwareleveranciers, krijgen er via hun klanten mee te maken.
• "Een certificaat is een eindpunt." Nee. Een certificaat is drie jaar geldig, met jaarlijkse controle-audits. Het ISMS moet dus blijven werken. Met onderhoud na certificering en interne audits voorkom je dat het systeem na de eerste audit stilvalt.

Zo begin je

1. Stel vast welke gegevens je verwerkt en welke norm je klanten en aanbestedingen vragen.
2. Bepaal een scherpe scope: welke diensten, locaties en systemen vallen onder het ISMS?
3. Meet waar je staat, bijvoorbeeld met de volwassenheidsscan met NEN 7510-module of de checklist ISO 27001 en NEN 7510.
4. Maak een plan voor de implementatie en reserveer op tijd een auditdatum bij een geaccrediteerde certificerende instelling.

Bronnen: Besluit elektronische gegevensverwerking door zorgaanbieders (Stb. 2017, 446); NEN 7510-1:2024 en NEN 7510-2:2024; ISO/IEC 27001:2022; VeeHa-whitepaper Nut en noodzaak van ISO 27001 en NEN 7510. Voor formele toetsing geldt altijd de actuele normtekst.