NEN 7510-1:2024
Het managementsysteemdeel. Het volgt de opbouw van ISO/IEC 27001:2022 (clausules 4 tot en met 10) en vult die aan met eisen voor de zorgcontext.
Norm · zorg
NEN 7510:2024: implementatie en certificering in de zorg
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zorgaanbieders moeten bij de elektronische verwerking van gezondheidsgegevens aan deze norm voldoen. Sinds de herziening van 2024 sluit de norm aan op ISO 27001:2022. Als NEN 7510-adviseur begeleidt VeeHa de implementatie en de overgang naar NEN 7510:2024, zodat je aantoonbaar en werkbaar aan de norm voldoet en klaar bent voor certificering.
Waarom NEN 7510
Informatiebeveiliging die de zorg ondersteunt
In de zorg draait alles om vertrouwen en beschikbaarheid. Een cliënt moet erop kunnen rekenen dat zijn dossier vertrouwelijk blijft, en een zorgverlener moet de juiste informatie op het juiste moment kunnen inzien. Een datalek of een uitgevallen systeem raakt direct de zorg.
Zorgaanbieders zijn via het Besluit elektronische gegevensverwerking door zorgaanbieders wettelijk verplicht om te voldoen aan NEN 7510, aangevuld met NEN 7512 (vertrouwensbasis voor gegevensuitwisseling) en NEN 7513 (logging van toegang tot dossiers). Een certificaat is niet verplicht, maar wel de duidelijkste manier om het aan te tonen, bijvoorbeeld aan zorgverzekeraars, ketenpartners en de Inspectie.
Ook leveranciers van zorgsoftware, hosting en medische technologie krijgen met NEN 7510 te maken: zorgaanbieders leggen de eisen contractueel bij hen neer. Veel zorg-IT-leveranciers kiezen daarom voor NEN 7510-certificering, vaak in combinatie met ISO 27001.
De norm
Wat NEN 7510:2024 vraagt
Voor de formele toetsing geldt altijd de actuele normtekst en het toepasselijke certificatieschema.
NEN 7510-2:2024
De beheersmaatregelen, gebaseerd op ISO/IEC 27002:2022, met zorgspecifieke aanvullingen, bijvoorbeeld voor toegang tot persoonlijke gezondheidsinformatie.
Zorgspecifieke aandachtspunten
Toegang op basis van de behandelrelatie, logging volgens NEN 7513, medische apparatuur en zorginformatiesystemen, en de gevolgen van incidenten voor de cliënt.
Ketens en leveranciers
Zorg is ketenwerk. Leveranciers van zorgsoftware, hosting en medische technologie moeten ook aan je eisen voldoen.
Overgang
Van NEN 7510:2017 naar NEN 7510:2024
Met de herziening van 2024 is NEN 7510 gelijkgetrokken met ISO/IEC 27001:2022 en ISO/IEC 27002:2022. De zorgspecifieke eisen blijven, maar de structuur van de maatregelen is nieuw. Wie gecertificeerd is op NEN 7510:2017, moet zijn ISMS daarom bijwerken. Certificaten op NEN 7510:2017 zijn geldig tot 20 februari 2027.
- Nieuwe indeling van de maatregelen: vier thema's (organisatorisch, mensen, fysiek en technologisch) in plaats van de oude hoofdstukken. Je Verklaring van Toepasselijkheid moet worden omgezet.
- Nieuwe maatregelen, onder meer voor threat intelligence, informatiebeveiliging bij clouddiensten, ICT-gereedheid voor bedrijfscontinuïteit, het voorkomen van datalekken, monitoring en veilig programmeren.
- Aangescherpte eisen aan het managementsysteem, zoals het plannen van wijzigingen en het vastleggen van criteria voor processen, net als in ISO 27001:2022.
Gap-analyse
We vergelijken je huidige ISMS met NEN 7510:2024 en maken een prioriteitenlijst.
Risicoanalyse en VvT bijwerken
Je risico's en je Verklaring van Toepasselijkheid zetten we om naar de nieuwe indeling.
Nieuwe maatregelen invoeren
Alleen wat ontbreekt, in je eigen omgeving en passend bij je zorgprocessen.
Interne audit en overgangsaudit
Een interne audit op de nieuwe versie, daarna de overgangsaudit door je certificerende instelling. Stem tijdig af of die kan samenvallen met je controle-audit.
Deadline 20 februari 2027
Overgangsaudits moeten vóór die datum zijn afgerond. Certificerende instellingen plannen ruim vooruit, dus begin op tijd.
Gap-analyse NEN 7510:2024
Weet binnen een paar weken wat er voor jouw organisatie verandert en wat het kost.
Vraag een gap-analyse aan over Gap-analyse NEN 7510:2024Aanpak
NEN 7510 begeleiding: van nulmeting tot certificaat
Jan Willem auditeert en implementeert al ruim tien jaar managementsystemen bij zorgorganisaties en ICT-leveranciers in de zorg.
Heb je al ISO 27001 of wil je beide? Omdat NEN 7510 voortbouwt op ISO 27001, richten we één ISMS in dat beide afdekt. Dat scheelt dubbel werk, en je kunt één gecombineerde audit laten uitvoeren.
Nulmeting met NEN-module
Inclusief de zorgspecifieke eisen.
Risicoanalyse vanuit de zorg
Met aandacht voor de gevolgen voor cliënten en de zorgcontinuïteit.
Implementatie
Maatregelen die passen bij zorgprocessen en zorgprofessionals.
Interne audit en certificeringsaudit
Voorbereiding en begeleiding tot je auditklaar bent.
Doe de scan met NEN-module
50 ISMS-vragen plus 10 zorgspecifieke vragen uit NEN 7510:2024. Je ziet direct je score per domein.
Start de scan over Doe de scan met NEN-moduleChecklist NEN 7510 en ISO 27001
57 punten in acht fasen, met de zorgspecifieke punten apart gemarkeerd.
Open de checklist over Checklist NEN 7510 en ISO 27001Veelgestelde vragen
Beantwoord door Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001. Staat je vraag er niet bij? Stel hem gerust; je krijgt binnen 24 uur een reactie.
Is NEN 7510-certificering verplicht?
Voldoen aan NEN 7510 is voor zorgaanbieders wettelijk verplicht bij elektronische gegevensverwerking. Certificering zelf is niet wettelijk verplicht, maar wordt wel vaak gevraagd door zorgverzekeraars en ketenpartners.
Tot wanneer is mijn NEN 7510:2017-certificaat geldig?
Tot 20 februari 2027. Daarvoor moet de overgangsaudit naar NEN 7510:2024 zijn afgerond. Plan die ruim op tijd met je certificerende instelling.
Wat is het verschil tussen NEN 7510 en ISO 27001?
NEN 7510-1:2024 volgt de opbouw van ISO 27001:2022 en NEN 7510-2:2024 die van ISO 27002:2022. NEN 7510 voegt eisen toe voor de zorg, zoals toegang op basis van de behandelrelatie en logging van inzage in dossiers. Lees de vergelijking van beide normen.
Geldt NEN 7510 ook voor leveranciers van zorgsoftware?
Leveranciers die gezondheidsgegevens verwerken voor zorgaanbieders worden er vaak contractueel aan gehouden. Veel zorg-IT-leveranciers kiezen daarom ook voor NEN 7510-certificering.
Wat moet ik met NEN 7513?
NEN 7513 beschrijft hoe je vastlegt wie wanneer welk dossier heeft ingezien of gewijzigd. Die logging moet je ook periodiek controleren.
Hoe lang duurt een NEN 7510-traject?
Een eerste implementatie duurt voor een mkb-zorgorganisatie meestal 6 tot 12 maanden. Een overgang van NEN 7510:2017 naar 2024 gaat sneller, omdat de basis er al staat.
NEN 7510:2024 op orde brengen?
Plan een vrijblijvend kennismakingsgesprek; je krijgt binnen 24 uur een reactie. Jan Willem kijkt met je naar je situatie, je deadline en de beschikbare tijd, en vertelt eerlijk wat haalbaar is.