NEN 7510 Wat de norm van uw zorgorganisatie vraagt, en wat u moet aantonen

Al sinds 2008 moeten zorgaanbieders volgens NEN 7510 werken, van ziekenhuis tot eenmanspraktijk; sinds 1 juni 2026 geldt de versie van 2024. Een certificaat is niet verplicht. Een onafhankelijke beoordeling wel: volgens de inspectie minstens eens per drie jaar.

Door Edward Hasekamp, oprichter van Exposentry · Gepubliceerd op 28 oktober 2026

In het kort

  1. NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Het Besluit elektronische gegevensverwerking door zorgaanbieders verplicht elke zorgaanbieder met een zorginformatiesysteem ernaar te werken. De inspectie benadrukt dat dit ook voor eenmanszaken geldt.
  2. U moet uw informatiebeveiliging regelmatig onafhankelijk laten beoordelen, volgens de inspectie minstens eens per drie jaar. Een certificaat is daarvoor één mogelijke vorm.
  3. Valt u ook onder de Cyberbeveiligingswet, dan kunt u met NEN 7510 aantonen dat u aan de zorgplicht voldoet. De Cyberbeveiligingsregeling voor de zorg erkent dat als een van drie routes.

Wat is NEN 7510?

NEN 7510 is de norm "Medische informatica: informatiebeveiliging in de zorg". Deel 1 beschrijft het managementsysteem voor informatiebeveiliging (het ISMS): risicoanalyse, beleid, rollen, evaluatie en verbetering. Deel 2 bevat de beheersmaatregelen die u op basis van die risicoanalyse kiest, van toegangsbeheer tot back-ups en kwetsbaarhedenbeheer (in de markt vaak kwetsbaarheidsbeheer genoemd).

De norm is in december 2024 herzien en volgt sindsdien de opbouw van ISO/IEC 27001:2022 en 27002:2022. Deel 2 combineert de 93 maatregelen van ISO 27002 met acht zorgspecifieke maatregelen uit ISO 27799, zoals noodcommunicatie (5.42), externe incidentrapportage (5.43), training van het management (6.9) en zero trust (8.35). In maart 2026 verscheen een amendement op deel 2 (A1:2026) dat aansluit op de definitieve ISO 27799 en in bijlage E de koppeling met de Cyberbeveiligingswet legt; deel 1 bleef ongewijzigd.

Naast NEN 7510 bestaan NEN 7512 (veilige gegevensuitwisseling tussen partijen in de zorg) en NEN 7513 (het vastleggen van acties op elektronische patiëntdossiers). Het besluit verwijst naar alle drie. Ze zijn kosteloos in te zien via NEN Connect, op basis van een overeenkomst tussen het ministerie van VWS en NEN; u heeft alleen een account nodig.

Is NEN 7510 verplicht?

Ja. Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt in artikel 3, lid 2, dat een zorgaanbieder "overeenkomstig het bepaalde in NEN 7510 en NEN 7512" zorgt voor een veilig en zorgvuldig gebruik van het zorginformatiesysteem en van het uitwisselingssysteem waarop hij is aangesloten. Artikel 5 eist dat de logging voldoet aan NEN 7513. Het besluit rust op de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz); volgens de inspectie staat de plicht sinds 2008 in de wet.

Zorgaanbieder betekent hier: een zorgaanbieder in de zin van de Wet kwaliteit, klachten en geschillen zorg (Wkkgz), dus een instelling of een solistisch werkende zorgverlener. De Inspectie Gezondheidszorg en Jeugd (IGJ) schrijft dat de norm geldt voor elke zorgaanbieder die gegevens van personen verwerkt in een zorginformatiesysteem, ook kleinere zorgaanbieders en eenmanszaken. Jeugdhulpaanbieders vallen onder de Jeugdwet; voor hen geldt volgens de IGJ ISO 27001.

Het besluit verwijst naar de laatste uitgave van de norm, en de minister maakt in de Staatscourant bekend vanaf wanneer een nieuwe uitgave geldt. Voor de versie van 2024 is dat 1 juni 2026 (Staatscourant 2026, 17743). Een certificaat tegen de versie van 2017 mag nog tot 20 februari 2027 blijven staan; dat is een afspraak in het certificatieschema. De wettelijke norm is sinds 1 juni 2026 de versie van 2024.

Voor wie geldt NEN 7510?

De wet noemt geen beroepsgroepen bij naam; ze vallen eronder via het begrip zorgaanbieder uit de Wkkgz. Bij onder meer deze groepen deed of doet de IGJ onderzoek.

Ziekenhuizen en klinieken
Ook zelfstandige klinieken en huisartsenspoedposten. De IGJ heeft ze al getoetst.
Huisartsen
Ook de solistische praktijk. De IGJ begon in 2026 met toezicht via een digitale vragenlijst bij vijftig willekeurige huisartsenpraktijken.
Apotheken
Apotheken moeten aantoonbaar aan NEN 7510 voldoen; de KNMP publiceerde in maart 2026 een routekaart.
Ggz
In mei 2026 konden 6 van de 87 grotere ggz-organisaties aantonen dat ze volgens NEN 7510 werken.
Ouderenzorg en thuiszorg
Ook deze zorg is zorg in de zin van de Wkkgz; de ouderenzorg is door de IGJ al getoetst.
Fysiotherapie, laboratoria en overige eerstelijnszorg
Gelden als zorgaanbieder; de IGJ kondigde onderzoeken aan bij laboratoria en de eerstelijnszorg.

En de leverancier van zorgsoftware, hosting of IT?

Het besluit legt bij elektronische uitwisselingssystemen eigen plichten op. Wie voor zo'n systeem verantwoordelijk is, moet zelf volgens NEN 7510, NEN 7512 en NEN 7513 werken (artikel 3, lid 1, en artikel 5). Beheert een rechtspersoon die geen zorgaanbieder is zo'n systeem, dan moet een onafhankelijke organisatie in een auditrapport vaststellen dat hij aan NEN 7510 en NEN 7512 voldoet; die vaststelling is hooguit vijf jaar oud (artikel 3, lid 4). Voor andere leveranciers komt de norm via de klant: de IGJ schrijft dat de zorgaanbieder zelf verantwoordelijk blijft, de eisen in de contracten met leveranciers moet opnemen en hun dienstverlening moet beoordelen. Daarnaast kunnen hosting-, cloud- en beheerpartijen zelf onder de Cyberbeveiligingswet vallen (bijlage 1: digitale infrastructuur en beheer van ICT-diensten), en de aansluitvoorwaarden van VECOZO gelden ook voor softwareleveranciers en tussenpartijen.

Wat u als leverancier bijvoegt bij de vragenlijst van een klant →

Is NEN 7510-certificering verplicht?

Nee. Wet, Cyberbeveiligingswet en norm verplichten geen certificaat, schrijft de IGJ. De inspectie vraagt een regelmatige onafhankelijke beoordeling, minstens eens per drie jaar, met verwijzing naar de maatregelen 5.35 en 5.36 van NEN 7510-2:2024. De beoordelaar is niet zelf betrokken bij uw informatiebeveiligingsbeleid: een interne auditor die daarbuiten staat, een externe specialist of een medewerker van een andere zorgorganisatie. Een kleine praktijk zonder zo'n interne functie komt dus uit bij een externe beoordelaar of een collega-praktijk.

Soms vraagt een partij om meer. Zo geldt bij VECOZO sinds 9 maart 2026 de verkorte TPM (Third Party Mededeling) niet meer als aansluitvoorwaarde voor nieuwe partijen. De nieuwe aansluitvoorwaarden vragen NEN 7510- of ISO 27001-certificering, of een assurance-rapportage volgens NOREA-richtlijn 3000A. Partijen die al zijn aangesloten, krijgen volgens VECOZO later bericht. Welke partij welk bewijs inlevert, staat in de aansluitvoorwaarden.

Certificering doet een certificerende instelling met een licentie van NEN, volgens het schema NCS 7510. De Raad voor Accreditatie houdt toezicht op die instellingen. Alleen deel 1 is certificeerbaar; tegen NEN 7512 en NEN 7513 kunt u niet certificeren. Gecertificeerde organisaties staan in het NEN 7510-register.

Als u wilt certificeren: hoe het verloopt

De certificerende instelling beoordeelt uw managementsysteem in twee stappen: eerst de documentatie, daarna een audit op locatie waarbij de auditor uw processen in de praktijk bekijkt. Zolang het certificaat geldig is, komt de instelling regelmatig terug voor controle; in de gangbare certificatiecyclus geldt een certificaat drie jaar, met jaarlijks een controle-audit. Bij afwijkingen kan extra onderzoek, schorsing of intrekking volgen.

Openbare richtprijzen of doorlooptijden publiceert NEN niet. De kosten hangen vooral af van het aantal auditdagen, dat volgt uit de mandagentabel in het schema (omvang, complexiteit, andere certificaten). Daarnaast draagt de certificerende instelling eens per drie jaar een bijdrage aan NEN af, berekend op het aantal fte; die komt op de offerte terug. NEN raadt aan offertes bij meerdere instellingen op te vragen. Bestaande certificaten moeten vóór 20 februari 2027 zijn omgezet naar de versie van 2024.

Toezicht en sancties

De IGJ houdt toezicht op NEN 7510 via de Wabvpz (artikel 15k). Bij overtreding kan de minister een aanwijzing geven of een last onder dwangsom opleggen (artikel 15l). Bij acuut gevaar kan een inspecteur een schriftelijk bevel geven (artikel 15m). Een boete kan de IGJ op grond van de Wabvpz niet opleggen. Dat schreef de inspectie zelf in mei 2026, toen laboratorium Clinical Diagnostics niet aan de wettelijke norm bleek te voldoen.

Boetes komen van de Autoriteit Persoonsgegevens (AP), op grond van de AVG. Artikel 32 vraagt passende beveiliging, en voor een overtreding daarvan geldt een maximum van 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. De AP beboette het HagaZiekenhuis in 2019 voor onvoldoende logcontrole en ontbrekende tweefactorauthenticatie; de rechter verlaagde de boete later tot 350.000 euro. OLVG kreeg in 2021 een boete van 440.000 euro omdat onbevoegde medewerkers medische dossiers konden inzien. IGJ en AP hebben samenwerkingsafspraken: de AP let op de persoonsgegevens, de IGJ op de kwaliteit van zorg.

Valt u onder de Cyberbeveiligingswet, dan kan de minister van VWS als bevoegde autoriteit een boete opleggen; de IGJ houdt toezicht. Op schending van de zorgplicht of de meldplicht staat voor een essentiële entiteit ten hoogste 10 miljoen euro of, als dat hoger is, 2 procent van de wereldwijde jaaromzet (artikel 80), voor een belangrijke entiteit 7 miljoen euro of 1,4 procent (artikel 87).

NEN 7510 en de Cyberbeveiligingswet

Zorgaanbieders staan in bijlage 1 van de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. Zorgaanbieders vanaf middelgrote omvang vallen er rechtstreeks onder, met de zorgplicht van artikel 21 en de meldplicht. Middelgroot betekent 50 medewerkers of meer, of een omzet en balanstotaal boven 10 miljoen euro, gerekend inclusief verbonden ondernemingen. De Cyberbeveiligingsregeling voor de zorg (artikel 2.1) erkent drie manieren om de maatregelen van de zorgplicht aan te tonen: met NEN 7510, met ISO 27001 en 27002, of met een gelijkwaardig beschermingsniveau.

De IGJ is ook onder de Cyberbeveiligingswet de toezichthouder voor de zorg, en Z-CERT is het aangewezen CSIRT voor de sector. Volgens de IGJ voldoet u met NEN 7510 al voor een groot deel aan de zorgplicht. Kleinere zorgaanbieders die buiten de Cyberbeveiligingswet vallen, blijven verplicht volgens NEN 7510 te werken.

De Cyberbeveiligingswet per artikel →Valt uw organisatie onder de wet? →

NEN 7510-checklist: zo pakt u het aan

De norm schrijft geen vaste volgorde voor; deze stappen volgen de opbouw van deel 1 en de verwijzingen in de wet, met per stap het bewijsstuk dat een beoordelaar wil zien.

De norm is risicogestuurd: voor een kleine praktijk zijn reikwijdte, documentatie en maatregelen navenant kleiner. Apotheken vinden een uitgewerkte planning in de routekaart van de KNMP.

  1. 0. Wijs een verantwoordelijke aan en zorg voor commitment

    Iemand trekt het, en het bestuur of de praktijkhouder staat erachter. Zonder dat strandt de rest.

    Bewijs: besluit van bestuur of praktijkhouder, met de belegde rol

  2. 1. Bepaal de reikwijdte en doe een risicoanalyse

    Welke processen, systemen en locaties vallen eronder, en welke risico's lopen de gegevens van patiënten en cliënten? De hoofdstukken 4 tot en met 10 van deel 1 (het managementsysteem) kunt u niet uitsluiten als u zegt aan de norm te voldoen.

    Bewijs: scopedocument en risicoanalyse

  3. 2. Kies uw beheersmaatregelen en leg dat vast

    In de verklaring van toepasselijkheid geeft u per maatregel uit bijlage A aan of hij van toepassing is, waarom wel of niet, en of hij is ingevoerd. Deel 2 beschrijft hoe u elke maatregel invult.

    Bewijs: verklaring van toepasselijkheid

  4. 3. Beveilig de gegevensuitwisseling (NEN 7512)

    Voor elke uitwisseling met andere partijen in de zorg: wie wisselt wat uit, langs welke weg, en hoe stelt u identiteit en vertrouwelijkheid zeker?

    Bewijs: afspraken en technische inrichting per uitwisseling

  5. 4. Leg acties op patiëntdossiers vast (NEN 7513)

    Het besluit eist dat de logging voldoet aan NEN 7513. Controleer daarnaast regelmatig wie welk dossier inzag; mede op het ontbreken van die controle beboette de AP het HagaZiekenhuis, en bij OLVG werd de logging te weinig gecontroleerd.

    Bewijs: lograpportage met verslag van de controle

  6. 5. Beheer technische kwetsbaarheden

    Beheersmaatregel 8.8 vraagt dat u weet welke systemen u heeft en welke vanaf internet bereikbaar zijn, kwetsbaarheidsinformatie volgt, uw blootstelling beoordeelt en op tijd verhelpt. Hier komt de norm het dichtst bij wat een aanvaller van buitenaf ziet.

    Bewijs: overzicht van gevonden kwetsbaarheden met herstel en datum

  7. 6. Laat het onafhankelijk beoordelen

    Minstens eens per drie jaar, volgens de IGJ, door iemand die niet zelf bij uw informatiebeveiliging betrokken is.

    Bewijs: beoordelingsrapport

  8. 7. Registreer en richt het melden in (onder de Cyberbeveiligingswet)

    Registreer uw organisatie bij het NCSC en laat het bestuur de maatregelen goedkeuren. Richt het melden van significante incidenten in: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding.

    Bewijs: registratie bij het NCSC en het meldprotocol

Papier en meting bij beheersmaatregel 8.8

Een managementsysteem staat grotendeels op papier: beleid, risicoanalyse, verklaring van toepasselijkheid. Bij beheersmaatregel 8.8 wil een beoordelaar zien dat u weet wat er van buitenaf bereikbaar is, en dat u gevonden kwetsbaarheden op tijd oppakt. Het eerste toont u mede aan met een gedateerde meting van uw externe aanvalsoppervlak; dat u op tijd herstelt, blijkt uit opeenvolgende metingen naast uw eigen herstelregistratie. Interne systemen en medische apparatuur ziet zo'n meting niet. Werkt u met een EPD in de cloud, dan beheert uw leverancier een groot deel van die buitenkant; vraag hem om zijn bewijs.

Exposentry meet het externe aanvalsoppervlak doorlopend met OpenKAT, de open-source scanner die uit de Nederlandse overheid voortkomt, en levert in een abonnement maandelijks en op verzoek een verzegeld rapport. Dat is één onderdeel van het bewijs bij 8.8. De beoordeling kijkt naar het hele managementsysteem, en een scan vervangt geen NEN 7510-beoordeling.

Beheersmaatregel 8.8 uitgewerkt voor de zorg →Gratis eerste indruk van uw domein (passief) →

Veelgestelde vragen over NEN 7510

Is NEN 7510 verplicht?

Ja, voor elke zorgaanbieder die gegevens van personen verwerkt in een zorginformatiesysteem. Het Besluit elektronische gegevensverwerking door zorgaanbieders (artikel 3) verwijst ernaar, en de IGJ benadrukt dat dit ook voor kleinere zorgaanbieders en eenmanszaken geldt.

Is NEN 7510-certificering verplicht?

Nee. De norm vraagt een regelmatige onafhankelijke beoordeling (maatregelen 5.35 en 5.36); de IGJ noemt minstens eens per drie jaar. Sommige partijen vragen om meer, zoals VECOZO bij nieuwe aansluitingen sinds maart 2026.

Welke versie van NEN 7510 geldt nu?

NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026. De minister maakte in de Staatscourant (2026, 17743) bekend dat deze versie per 1 juni 2026 van toepassing is.

Wat is het verschil tussen NEN 7510 en ISO 27001?

NEN 7510-1 volgt de opbouw van ISO 27001; NEN 7510-2 combineert ISO 27002 met acht zorgspecifieke maatregelen uit ISO 27799. Voor de wettelijke plicht van zorgaanbieders geldt NEN 7510. Voor jeugdhulp geldt ISO 27001, en voor de Cyberbeveiligingswet erkent de zorgregeling beide.

Wat kost de norm?

Niets. NEN 7510, NEN 7512 en NEN 7513 zijn kosteloos in te zien via NEN Connect, op basis van een overeenkomst tussen VWS en NEN. U heeft alleen een account nodig.

Wie houdt toezicht op NEN 7510?

De IGJ houdt toezicht via de Wabvpz en is ook onder de Cyberbeveiligingswet de toezichthouder voor de zorg. De Autoriteit Persoonsgegevens ziet toe op de beveiliging van persoonsgegevens en kan op grond van de AVG boetes opleggen. Z-CERT is het CSIRT voor de zorg.

Geldt NEN 7510 ook voor leveranciers van zorgsoftware?

Het besluit legt eigen plichten alleen op bij elektronische uitwisselingssystemen (de verantwoordelijke en de beheerder). Voor andere leveranciers blijft de zorgaanbieder verantwoordelijk: die moet de eisen in het contract opnemen en de leverancier beoordelen, en vraagt er daarom om. Hosting-, cloud- en beheerpartijen kunnen bovendien zelf onder de Cyberbeveiligingswet vallen.

Bronnen

Verder lezen