Technisch kwetsbaarheidsbeheer onder NEN 7510: wat beheersmaatregel 8.8 van zorgorganisaties vraagt
Gepubliceerd op 18 augustus 2026
Een auditor die uw zorgorganisatie tegen NEN 7510 toetst, vraagt onder beheersmaatregel 8.8 hoe u technische kwetsbaarheden beheert. Die eis is niet nieuw: onder ISO 27002:2013 en NEN 7510:2017 heette hetzelfde onderwerp beheersmaatregel 12.6.1. Wat in 2024 veranderde, is de plaats en het nummer. Bij de herziening nam NEN 7510 de structuur en nummering van ISO 27001:2022 over, en kreeg het beheer van technische kwetsbaarheden het nummer 8.8. Voor zorgaanbieders is het daarmee een genummerde, toetsbare beheersmaatregel met een vaste plek in het kader. Deze pagina beschrijft wat 8.8 in de zorgcontext vraagt, waar het verschil zit met een algemene beveiligingsnorm, en hoe u het aantoonbaar maakt in plaats van het alleen op papier te beloven.
NEN 7510 in het kort, en waarom 2024 telt
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Ze bestaat uit twee delen: NEN 7510-1 beschrijft het managementsysteem (hoe u informatiebeveiliging inricht en aanstuurt) en NEN 7510-2 beschrijft de beheersmaatregelen (wat u concreet doet). De norm is toegesneden op organisaties die persoonlijke gezondheidsgegevens verwerken, van ziekenhuizen en ggz-instellingen tot huisartsenposten, zorgsoftwareleveranciers en de partijen die hun infrastructuur verzorgen.
Wat 2024 bijzonder maakt: bij de herziening nam NEN 7510 de structuur en nummering van ISO 27001:2022 over, met de beheersmaatregelen uit de bijbehorende ISO 27002:2022. Diezelfde herziening bracht die beheersmaatregelen onder in vier thema's (organisatorisch, mensen, fysiek, technologisch) en introduceerde de nummering waarin beheersmaatregel 8.8 "beheer van technische kwetsbaarheden" onder de technologische maatregelen valt. Voor de zorg betekent dat: dezelfde 8.8 die een ISO 27001-auditor toetst, staat nu ook in het toetsingskader voor NEN 7510, met de zorgspecifieke weging eromheen.
Wat beheersmaatregel 8.8 vraagt
De kern van 8.8 is drieledig. Een organisatie moet:
- informatie over technische kwetsbaarheden tijdig verkrijgen voor de systemen die zij gebruikt;
- de blootstelling aan die kwetsbaarheden beoordelen;
- passende maatregelen nemen om het bijbehorende risico te beheersen.
Let op wat er níét staat. De norm noemt geen product, geen leverancier en geen scanfrequentie. Ze schrijft een uitkomst voor: u weet welke kwetsbaarheden er spelen, u weet hoe erg ze in uw situatie zijn, en u handelt ernaar. Hóe u dat invult, is aan u, mits u het kunt aantonen. Dat "aantonen" is waar het bij een audit op aankomt, en het is doorgaans lastiger te leveren dan het proces zelf.
Technisch kwetsbaarheidsbeheer is daarmee de zorgvariant van een breder proces. De volledige cyclus (ontdekken, detecteren, prioriteren, herstellen, verifiëren en herhalen) beschrijven we los van de sector in kwetsbaarheidsbeheer: het proces, de norm en hoe u het aantoonbaar op orde krijgt. Deze pagina kijkt naar wat de zorgcontext daaraan toevoegt.
De eerste stap: kwetsbaarheidsinformatie tijdig binnenkrijgen
De eerste pijler van 8.8, "informatie over technische kwetsbaarheden tijdig verkrijgen", is in de zorg concreter in te vullen dan in een generieke organisatie. Naast de algemene bronnen (de CVE-feeds, de beveiligingsadviezen van het NCSC en de waarschuwingen van uw eigen softwareleveranciers) heeft de sector een eigen kanaal: Z-CERT, het sectorale Computer Emergency Response Team voor de Nederlandse zorg, deelt kwetsbaarheids- en dreigingsinformatie met aangesloten zorginstellingen, toegespitst op de systemen en medische apparatuur die in de zorg in gebruik zijn.
Dat "tijdig verkrijgen" is de invoerkant van het proces: het bepaalt of u een acute kwetsbaarheid dagen of pas maanden later oppikt. Een externe meting vult dat aan met de andere kant, uw eigen blootstelling: van welke van die kwetsbaarheden loopt u zelf gevaar, omdat de kwetsbare dienst van buitenaf bereikbaar is?
Wat de zorg anders maakt
Op normniveau is 8.8 in de zorg gelijk aan 8.8 elders. Het verschil zit in de weging, en die weging is in de zorg scherp.
De data is bijzonder. Persoonlijke gezondheidsgegevens zijn onder de AVG een bijzondere categorie persoonsgegevens, met een zwaarder beschermingsregime. Een kwetsbaarheid die toegang tot een patiëntendossier mogelijk maakt, weegt in de risicobeoordeling anders dan eenzelfde kwetsbaarheid in een systeem zonder gevoelige gegevens. NEN 7510 vraagt dat u die weging meeneemt in de risicobeoordeling.
De continuïteit is kritiek. Zorgsystemen die uitvallen, raken direct de zorg zelf. Dat maakt het herstel van kwetsbaarheden een afweging tussen beveiliging en beschikbaarheid: een patch die een klinisch systeem raakt, wordt niet zomaar meteen uitgerold. Juist daarom is het vooraf kennen van de blootstelling belangrijk: u wilt weten wélke systemen kwetsbaar én bereikbaar zijn, zodat het schaarse onderhoudsmoment naar het juiste gat gaat.
De keten is breed en verplicht in beeld. Zorgaanbieders leunen zwaar op leveranciers: EPD-software, hostingpartijen, medische apparatuur met netwerkkoppeling. Een kwetsbaarheid bij een leverancier is een kwetsbaarheid in uw zorgproces. NEN 7510 en, voor de organisaties die eronder vallen, de Cyberbeveiligingswet vragen dat u ook die keten in uw risicobeeld betrekt.
Dat laatste raakt aan een tweede kader. Een deel van de zorg valt onder de Cyberbeveiligingswet, die per 15 augustus 2026 zonder overgangstermijn van kracht is: de sector gezondheidszorg is in NIS2 aangewezen. Voor die organisaties komt de zorgplicht uit de wet bovenop de norm. De twee wijzen dezelfde kant op: beheers uw technische kwetsbaarheden en toon aan dat u het doet.
Het externe aanvalsoppervlak: waar 8.8 en de buitenwereld elkaar raken
Beheersmaatregel 8.8 gaat over álle technische kwetsbaarheden, intern en extern. Deze pagina, en de dienst erachter, richt zich op het externe aanvalsoppervlak: alles wat vanaf het internet zichtbaar is. Daar zijn twee redenen voor die in de zorg extra zwaar wegen.
Ten eerste begint een aanvaller daar. Een aanvaller ziet niet uw interne netwerk, maar wel het portaal waarop patiënten inloggen, de mailserver, het afsprakensysteem, de VPN-ingang. Ten tweede is dat precies de laag die een ketenpartner of auditor zelf kan controleren. Wat van buiten zichtbaar is, is toetsbaar bewijs.
De bevindingen die zo'n externe meting oplevert, zijn in de zorg herkenbaar: verlopen of zwak geconfigureerde TLS-certificaten op een patiëntportaal, ontbrekende SPF-, DKIM- of DMARC-records waardoor mail namens de organisatie te vervalsen is, blootgestelde beheerdiensten, verouderde software met bekende CVE's, en vergeten subdomeinen van een project dat ooit is opgeleverd en nooit opgeruimd. Die laatste categorie, de schaduw-IT die buiten het zicht van de IT-afdeling ontstaat, is in organisaties met veel afdelingen en projecten een terugkerende vindplaats.
Externe metingen dekken niet alles: interne, geauthenticeerde kwetsbaarheden (ontbrekende patches op werkstations, verkeerde configuraties achter de voordeur) vragen om een andere aanpak. Volwaardig invulling geven aan 8.8 kent beide lagen. Maar de buitenkant is de kant die uw ketenpartner, uw auditor en de aanvaller als eerste zien, en het is de kant die zich het makkelijkst laat vertalen naar bewijs.
Papier versus meting: waar de audit op vastloopt
Op papier is technisch kwetsbaarheidsbeheer bij veel zorgorganisaties geregeld: er is beleid, er is een verantwoordelijke, er staat een zin over in het informatiebeveiligingsplan. De vraag die een NEN 7510-auditor stelt, is of u het kunt aantonen. Daar valt het beeld uiteen.
Een beleidsdocument beschrijft dát er beheerd wordt. Een reeks gedateerde metingen laat zien wát er is gevonden, hoe het is geprioriteerd en dat het is opgelost. Dat is het onderscheid tussen administratief aantonen en technisch aantonen, en een auditor die serieus toetst, vraagt naar het tweede. Een scanrapport van een half jaar oud telt hooguit als bewijs dat u ooit heeft gekeken; 8.8 vraagt om een proces dat draait.
Concreet weegt een auditor mee: heeft u zicht op wat er van u aan het internet hangt (ook de vergeten systemen)? Meet u met een vaste cadans in plaats van een keer per jaar? Prioriteert u op werkelijk risico (met exploitkans en blootstelling naast de ernstscore) of alleen op de kale CVSS-score? Krijgt elke bevinding een eigenaar en een termijn? En, de stap die het makkelijkst wordt overgeslagen: hermeet u om te bewijzen dat het gat werkelijk dicht is?
Hoe u het aantoonbaar maakt
De aantoonbaarheid is vaak sneller te verbeteren dan het proces zelf: het proces is er meestal al, en wat ontbreekt is het vastgelegde bewijs. Drie dingen maken een meting bruikbaar als auditbewijs:
- Dateerbaarheid. Elke bevinding is gekoppeld aan een moment. Een reeks metingen over de tijd laat de cyclus zien, niet één momentopname.
- Herleidbaarheid. Een auditor kan nagaan waar een bevinding vandaan komt en dat het rapport sindsdien niet is gewijzigd. Een ondertekend rapport met een betrouwbaar tijdstempel levert dat; een zelf geëxporteerde pdf niet.
- Opvolging. Bij de bevinding hoort zichtbaar wat ermee is gebeurd: hersteld, gemitigeerd, of bewust en onderbouwd geaccepteerd met naam en datum.
Wie die drie op orde heeft, verandert "wij doen aan technisch kwetsbaarheidsbeheer" van een bewering in een controleerbare uitspraak, en dat is precies wat 8.8 bij een audit van u vraagt.
Zelf doen of uitbesteden?
Zorgorganisaties hebben lang niet altijd een eigen securityteam. Het meet- en signaleringsdeel van 8.8 (het externe aanvalsoppervlak ontdekken en detecteren, de bevindingen prioriteren en er leesbaar over rapporteren) laat zich goed uitbesteden; het is repeterend, gereedschapsintensief werk. Wat niet overdraagbaar is, is het besluit wat u met een bevinding doet en de eindverantwoordelijkheid voor het risico. Onder de AVG en, waar van toepassing, de Cyberbeveiligingswet ligt die verantwoordelijkheid bij de organisatie zelf; een externe dienst levert de meting en het bewijs, de afweging blijft bij u.
Vanuit dat perspectief past een externe, meetgedreven dienst bij de aantoonbaarheidseis van 8.8. Exposentry levert dat meet- en signaleringsdeel op basis van OpenKAT, het open-source scanplatform met een Nederlandse overheidsoorsprong: doorlopende scans van uw externe aanvalsoppervlak, met periodieke, forensisch onderbouwde rapportages die u als onderbouwing gebruikt richting uw NEN 7510-auditor, uw ketenpartners of uw verzekeraar. Begin met een nulmeting die inventariseert wat er van u zichtbaar is, en laat die overgaan in een vaste cadans. Bekijk de pakketten of start met een nulmeting om te zien waar u nu staat.
Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.