ISO 27001 vs. NEN 7510: verschillen en wat zorgorganisaties nodig hebben

ISO 27001 en NEN 7510 zijn allebei normen voor informatiebeveiliging, maar ze zijn geen concurrenten — NEN 7510 is de zorgvertaling van ISO 27001. ISO 27001 is de internationale standaard voor een managementsysteem voor informatiebeveiliging (een ISMS) en geldt voor elke sector. NEN 7510 neemt dat raamwerk vrijwel volledig over en voegt maatregelen toe die specifiek gaan over medische en andere gezondheidsgegevens [2][3]. Voor Nederlandse zorgorganisaties is NEN 7510 de norm die telt: via de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en het Besluit elektronische gegevensverwerking door zorgaanbieders ben je wettelijk verplicht om er aantoonbaar naar te werken [1]. Certificering is daarbij níet verplicht — de IGJ eist wél dat je je informatiebeveiliging regelmatig en onafhankelijk laat toetsen [1]. Kort samengevat: heb je alleen met de zorg te maken, dan is NEN 7510 je vertrekpunt; werk je internationaal of sectoroverstijgend, dan is los ISO 27001 vaak logischer — en beide zijn goed te combineren. Hieronder lees je precies waar ze verschillen en wat jouw organisatie nodig heeft.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wat is ISO 27001?

ISO/IEC 27001 is de internationale norm voor informatiebeveiliging. De kern is geen lijst technische trucs, maar een managementsysteem: een manier om systematisch te bepalen welke informatie je moet beschermen, welke risico's er zijn, en welke maatregelen je daarop neemt — en om dat continu te blijven verbeteren [2]. De norm draait om drie eigenschappen van informatie: beschikbaarheid, integriteit en vertrouwelijkheid.

ISO 27001 is sectorneutraal. Een softwarebedrijf, een accountantskantoor en een ziekenhuis kunnen er allemaal aan voldoen. Juist die brede toepasbaarheid maakt de norm wereldwijd herkenbaar: een ISO 27001-certificaat zegt internationale partners iets, ook buiten Nederland. De actuele versie is ISO/IEC 27001:2022, met de bijbehorende maatregelencatalogus ISO/IEC 27002:2022 [3].

Wat is NEN 7510 en hoe verhoudt die zich tot ISO 27001?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Het is geen losse uitvinding: NEN 7510 bouwt bewust voort op ISO 27001 en voegt daar de zorgcontext aan toe [2][7]. De norm bestaat uit twee delen:

• NEN 7510-1 — beschrijft het managementsysteem en volgt daarin vrijwel één-op-één de eisen van ISO/IEC 27001 [2][3].
• NEN 7510-2 — bevat de beheersmaatregelen, gebaseerd op ISO/IEC 27002 aangevuld met ISO/IEC 27799, de internationale standaard specifiek voor gezondheidsinformatie [2].

De vernieuwde NEN 7510 is gepubliceerd op 16 december 2024 [2]. Daarin stapte de norm over van de oude High Level Structure naar de Harmonized Structure van ISO, wat het combineren met andere managementsystemen makkelijker maakt [3]. De maatregelen in NEN 7510-2 zijn opnieuw geordend in vier categorieën — organisatorisch, mensgericht, fysiek en technologisch — in lijn met ISO/IEC 27002:2022. Het aantal algemene maatregelen ging van 114 naar 82, aangevuld met 11 nieuwe maatregelen uit ISO 27002:2022 (over onder meer clouddiensten en privacy) en zorgspecifieke maatregelen, wat uitkomt op ruwweg 101 beheersmaatregelen [3]. Er zijn bovendien 66 zorgspecifieke implementatierichtlijnen die minder vrijblijvend zijn dan voorheen [3].

Praktisch betekent dit: heb je ISO 27001 al goed ingericht, dan heb je het overgrote deel van NEN 7510 al staan. Het verschil zit in de zorgspecifieke aanvullingen — denk aan strengere eisen rond het loggen van toegang tot patiëntdossiers en het uitwisselen van medische gegevens.

De verschillen op een rij

• Reikwijdte: ISO 27001 geldt voor elke branche; NEN 7510 is toegesneden op de zorg [2].
• Herkomst: ISO 27001 is internationaal; NEN 7510 is Nederlands en verwijst naar Nederlandse en Europese wetgeving [3].
• Inhoud: NEN 7510 = ISO 27001 plus zorgspecifieke maatregelen (via ISO 27799) [2].
• Erkenning: een ISO 27001-certificaat wordt wereldwijd herkend; NEN 7510 is vooral binnen Nederland de gangbare zorgnorm.
• Wettelijke lading: voor Nederlandse zorgaanbieders is werken volgens NEN 7510 wettelijk verankerd; ISO 27001 kent die specifieke verplichting niet [1].

Is NEN 7510 of ISO 27001 verplicht voor jou?

ISO 27001 is op zichzelf nergens wettelijk verplicht — het is een vrijwillige, breed erkende norm. NEN 7510 ligt anders. De Inspectie Gezondheidszorg en Jeugd (IGJ) is er duidelijk over: "Alle zorgaanbieders, ook als uw organisatie niet onder de reikwijdte van de Cbw valt, zijn verplicht te werken volgens NEN 7510" [1]. Die verplichting rust op de Wabvpz (van kracht sinds 2008), de Regeling gebruik burgerservicenummer in de zorg en het Besluit elektronische gegevensverwerking door zorgaanbieders [1].

Deze verplichting staat los van, maar sluit aan op, de AVG. De AVG eist "passende technische en organisatorische maatregelen" voor persoonsgegevens; voor gezondheidsgegevens — een bijzondere categorie — vult NEN 7510 concreet in wat "passend" in de zorg betekent. Het maakt niet uit of je een groot ziekenhuis bent of een solistische praktijk: de norm geldt voor elke zorgaanbieder die persoonlijke gezondheidsinformatie beheert.

Certificering: moet het, en wat verwacht de IGJ?

Hier zit een veelgemaakte denkfout. "Werken volgens NEN 7510" is verplicht, maar een certificaat halen is dat niet. De IGJ stelt het zwart-op-wit: "De wet stelt dit niet verplicht. Ook de nieuwe Cyberbeveiligingswet (Cbw) niet. De NEN 7510 eist dit óók niet" [1]. Wat de inspectie wél verwacht: dat je je informatiebeveiligingssysteem en de maatregelen regelmatig en onafhankelijk laat beoordelen — in de praktijk minstens eens per drie jaar — en dat je kunt aantonen dat je systeem echt werkt [1].

Een certificaat kan handig zijn als bewijsstuk richting opdrachtgevers of ketenpartners, maar het is een middel, geen doel. De onderliggende vraag blijft: kun je laten zien dat je informatiebeveiliging op orde is? Dat aantoonbaarheidsprincipe is precies waar het bij de zorg om draait — en het is niet iets wat een leverancier voor je kan "afkopen" met een keurmerk.

De NEN 7510-familie: 7510, 7512 en 7513

NEN 7510 staat niet alleen. Het vormt samen met twee zusternormen een samenhangend geheel voor de zorg [2][6]:

• NEN 7510 — het managementsysteem: hoe je informatiebeveiliging organiseert en borgt.
• NEN 7512 — de vertrouwensbasis voor gegevensuitwisseling tussen zorgaanbieders onderling en met patiënten, verzekeraars en andere partijen [4][6].
• NEN 7513 — logging: het vastleggen van wie wanneer welke handelingen in een elektronisch patiëntdossier uitvoerde [2][6].

Voor wie AI of andere software in de zorg inzet, is die derde norm veelzeggend. NEN 7513 gaat over controleerbaarheid: kun je achteraf reconstrueren wat er met gegevens is gebeurd? Dat vertaalt zich rechtstreeks naar de eisen die je aan je gereedschap stelt.

Wat betekent dit voor je AI-tools en leveranciers?

Normen als NEN 7510 en NEN 7513 gaan uiteindelijk over twee dingen: waar je gegevens naartoe gaan, en of je kunt aantonen wat ermee gebeurt. Bij AI-tools die spraak omzetten naar verslagen worden die vragen scherp. Verlaat de opname je organisatie richting een cloud? Kun je bewijzen dat een verslag klopt? Wie heeft wat goedgekeurd? Een norm dwingt geen specifieke leverancier af, maar helpt je wél de juiste vragen stellen. Wil je zelf toetsen of gegevens je pand verlaten, dan is een egress-audit een concrete manier om dat te meten in plaats van te geloven. En het bredere plaatje — waarom lokaal verwerken een kleiner aanvalsvlak oplevert — beschrijven we in deze eerlijke risicovergelijking tussen cloud- en lokale AI.

Verbinn is met dit uitgangspunt gebouwd: alle transcriptie en verslaglegging draaien lokaal op één Mac (de Kern) in je eigen pand, elk verslag is een concept tot een mens het goedkeurt, en elke zin is klikbaar naar de letterlijke bronregel. Dat maakt Verbinn niet "NEN 7510-gecertificeerd" — dat kan geen enkel product voor je zijn — maar het is ontworpen om jóuw naleving te ondersteunen in plaats van te bemoeilijken.