NEN 7510 uitgelegd voor niet-ICT'ers: wat de norm wél en niet eist

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. In gewone taal: het is geen technische checklist, maar een manier van werken. De norm vraagt je om systematisch te bepalen welke gegevens je beschermt, welke risico's je loopt en welke maatregelen je daarop neemt — en om dat te blijven verbeteren. De kern draait om drie eigenschappen van informatie: beschikbaarheid, integriteit en vertrouwelijkheid [2]. De norm eist onder meer dat je toegang tot patiëntgegevens beperkt tot wie ze echt nodig heeft, dat je vastlegt en kunt aantonen dat je maatregelen werken, en dat je dit periodiek onafhankelijk laat toetsen [1][2]. Wat de norm níet eist, is minstens zo belangrijk: een NEN 7510-certificaat is niet wettelijk verplicht, ook niet onder de nieuwe Cyberbeveiligingswet [1]. Werken volgens de norm is dat wél — sinds 2008, via de zorgwetgeving [1]. Hieronder lees je in gewone taal wat NEN 7510 concreet van je vraagt, welke mythes je kunt loslaten, en wat de Inspectie (IGJ) van je verwacht.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wat is NEN 7510, in gewone taal?

NEN 7510 is dé Nederlandse norm voor informatiebeveiliging in de zorg. Hij beschrijft hoe organisaties in de zorg hun informatiebeveiliging inrichten [2]. Belangrijk om meteen te snappen: de norm is geen lijst met technische trucjes die je afvinkt. De kern is een managementsysteem — in vakjargon een ISMS (Information Security Management System). Dat klinkt zwaar, maar het betekent iets eenvoudigs: een vaste manier om te bepalen wát je beschermt, wélke risico's er zijn, welke maatregelen je neemt, en om dat continu bij te sturen [2].

De norm draait om drie eigenschappen van gegevens, vaak afgekort als BIV: beschikbaarheid (de gegevens zijn er als je ze nodig hebt), integriteit (ze kloppen en zijn niet ongemerkt gewijzigd) en vertrouwelijkheid (alleen de juiste mensen kunnen erbij) [2]. NEN 7510 is gebaseerd op de internationale norm ISO 27001, maar dan toegespitst op medische en andere gezondheidsgegevens [2]. Hoe die twee zich precies tot elkaar verhouden, lees je in ISO 27001 vs. NEN 7510.

Wat de norm wél eist

Als niet-ICT'er hoef je de norm niet uit je hoofd te kennen. Maar het helpt om de rode draad te herkennen. Op hoofdlijnen vraagt NEN 7510 dit:

• Een werkend managementsysteem. Je moet risico's in kaart brengen, maatregelen kiezen en die blijven evalueren. Geen eenmalig document, maar een cyclus [2].
• Toegang op basis van need-to-know. Medewerkers krijgen alleen toegang tot gegevens die ze voor hun werk nodig hebben — het principe van minimale toegang, met autorisatie op basis van rollen [2][6].
• Aantoonbaarheid. Je moet kunnen láten zien dat je maatregelen bestaan én werken. Beleid op papier is niet genoeg; het moet in de praktijk kloppen [1].
• Vastleggen en logging. Belangrijke handelingen — zeker toegang tot dossiers — leg je vast, zodat je achteraf kunt reconstrueren wat er gebeurde. Voor logging in patiëntdossiers bestaat de zusternorm NEN 7513 [2].
• Concrete beheersmaatregelen. Denk aan toegangscontrole, netwerkbeveiliging, versleuteling en het veilig omgaan met leveranciers en clouddiensten [2][6].

De kortste samenvatting: NEN 7510 vraagt je niet om perfecte techniek, maar om grip — weten waar je gevoelige gegevens zijn, wie erbij kan, en dat kunnen bewijzen.

Wat de norm níet eist (de hardnekkige mythes)

Rond NEN 7510 leven een paar taaie misverstanden. Ze kosten organisaties onnodig geld en stress. De belangrijkste:

• Mythe: "We moeten NEN 7510-gecertificeerd zijn." Nee. Een certificaat is niet wettelijk verplicht — ook niet onder de nieuwe Cyberbeveiligingswet [1]. Werken volgens de norm is wél verplicht; certificeren is één van de manieren om dat te laten zien, maar geen doel op zich [1].
• Mythe: "De norm schrijft precies voor welke software of merken we moeten gebruiken." Nee. NEN 7510 is techniek- en leveranciersneutraal. Hij stelt eisen aan het resultaat (BIV, aantoonbaarheid), niet aan een specifiek product [2].
• Mythe: "Als we NEN 7510 volgen, zijn we ook meteen AVG-klaar." Niet automatisch. De AVG en NEN 7510 staan naast elkaar en overlappen deels, maar een DPIA of andere AVG-verplichting vervalt niet doordat je de norm volgt.
• Mythe: "Het is een eenmalig project." Nee. De norm is bewust een cyclus. Je bent nooit "klaar"; je blijft beoordelen en verbeteren [1][2].

Is NEN 7510 verplicht? En certificering?

Ja, werken volgens NEN 7510 is voor zorgaanbieders wettelijk verplicht. De IGJ verwoordt het zo: "Sinds 2008 staat in de wet dat zorgaanbieders zich moeten houden aan de NEN 7510" [1]. Die plicht rust op de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz), de Regeling gebruik burgerservicenummer in de zorg en het Besluit elektronische gegevensverwerking door zorgaanbieders [1]. Een uitzondering: aanbieders van jeugdzorg moeten volgens de IGJ ISO 27001 volgen in plaats van NEN 7510 [1].

Certificering is een ander verhaal. Op de vraag of een certificaat verplicht is, is de IGJ helder: "Nee. De wet stelt dit niet verplicht. Ook de nieuwe Cyberbeveiligingswet (Cbw) niet" [1]. Een certificaat noemt de inspectie wél "een goede manier om te laten zien dat u werkt volgens de norm" [1]. In de praktijk vragen zorgverzekeraars, grote ketenpartners en opdrachtgevers steeds vaker om een certificaat als contractvoorwaarde [5] — dus voor sommige organisaties is het commercieel bijna onvermijdelijk, ook al is het juridisch niet verplicht. Voor de nieuwe Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) geldt bovendien dat het naleven van NEN 7510 de zorgplicht grotendeels invult [3][4].

Wat de IGJ van je verwacht

De Inspectie Gezondheidszorg en Jeugd houdt toezicht op de naleving. Waar het de inspectie om draait, is niet of je een mooi certificaat aan de muur hebt, maar of je informatiebeveiliging echt werkt. De IGJ vraagt zorgaanbieders om aan te tonen dat hun managementsysteem functioneert en dat de maatregelen doen wat ze moeten doen [1].

Concreet betekent dat: je laat je informatiebeveiliging periodiek onafhankelijk beoordelen. Volgens de IGJ is dat "ten minste 1 keer per 3 jaar nodig" als onderdeel van de verbetercyclus [1]. Zo'n beoordeling kan via een certificerende audit, maar ook via een andere onafhankelijke toetsing [1][5]. De onderliggende vraag blijft steeds dezelfde: kun je bewijzen dat je gegevens veilig zijn — en dat je weet wie er wanneer bij kon? Dat aantoonbaarheidsprincipe kun je niet "afkopen" met een keurmerk van een leverancier; het gaat om jóuw organisatie en jóuw processen.

Wat veranderde er in de 2024-versie?

NEN 7510 is niet in beton gegoten. Op 16 december 2024 verscheen een vernieuwde versie [3]. De belangrijkste wijzigingen op een rij:

• Afgestemd op de nieuwste ISO-normen. De 2024-versie sluit aan op ISO/IEC 27001:2022 en ISO/IEC 27002:2022, plus de internationale zorgstandaard ISO/IEC 27799 [3].
• Nieuwe indeling van maatregelen. De beheersmaatregelen zijn opnieuw geordend in vier categorieën: organisatorisch, mensgericht, fysiek en technologisch [3].
• Aandacht voor moderne risico's. Er zijn maatregelen toegevoegd over onder meer clouddiensten en privacy, in lijn met de vernieuwde ISO-catalogus [3].
• Minder vrijblijvend. De zorgspecifieke implementatierichtlijnen zijn steviger geformuleerd dan in de oude versie [3].

Werk je nu nog met de 2017-versie, dan is dat een goed moment om je beleid tegen het licht te houden. De grote lijn — grip, aantoonbaarheid, toegang op need-to-know — blijft hetzelfde; de details en de ordening zijn moderner.

Wat betekent dit voor je software en AI-tools?

NEN 7510 dwingt geen enkel product af, maar geeft je wél de juiste vragen om aan een leverancier te stellen. Bij tools die spraak omzetten in verslagen worden die vragen scherp: verlaat de opname je organisatie richting een cloud? Wie kan erbij? Kun je aantonen dat een verslag klopt en wie het goedkeurde? Precies de dingen die de norm belangrijk vindt — vertrouwelijkheid, integriteit en aantoonbaarheid — zijn bij een AI-tool niet vanzelfsprekend geregeld.

Verbinn is met dat uitgangspunt gebouwd: alle transcriptie en verslaglegging draaien lokaal op één Mac (de Kern) in je eigen pand, geen woord van het gesprek verlaat de organisatie, elk verslag blijft een concept tot een mens het goedkeurt, en elke zin is klikbaar naar de letterlijke bronregel. Dat maakt Verbinn niet "NEN 7510-gecertificeerd" — dat kan geen enkel product voor je zijn — maar het is ontworpen om jóuw naleving te ondersteunen in plaats van te bemoeilijken. Wil je een leverancier of tool systematisch langs de norm leggen, gebruik dan de praktische mapping om AI-tools aan NEN 7510 te toetsen.