Het gaat niet meer weg

Sinds 2008 is NEN 7510 wettelijk verplicht voor zorgaanbieders via de Wabvpz, en sinds 2023 moeten alle ziekenhuizen aantoonbaar voldoen aan de norm. Zorginstellingen, ziekenhuizen en zorgverzekeraars vragen bij aanbestedingen steeds vaker om een NEN 7510-certificaat als bewijs. Geen certificaat? Dan kom je vaak niet door de eerste selectie.

Daar komt nog iets bij. Per december 2024 is NEN 7510-1:2024 gepubliceerd. Dit is de nieuwste versie van de norm, die nauwer aansluit op ISO 27001:2022. Heb je nog een certificaat op de 2017-versie? Dan heb je tot 20 februari 2027 de tijd om over te stappen. Klinkt ruim. Is het niet.

En dan is er NIS2 nog. Die Europese richtlijn wordt in Nederland omgezet in de Cyberbeveiligingswet en raakt een groot deel van de zorgsector. NEN 7510:2024 sluit structureel aan op de NIS2-eisen (bijlage E van de norm bevat een mappingtabel). Wie werkt volgens NEN 7510 voldoet al aan een groot deel van wat NIS2 vraagt, maar niet automatisch aan alles: NIS2 stelt aanvullende eisen aan meldplicht binnen 24 uur, bestuurlijke aansprakelijkheid en ketenverantwoordelijkheid.

Herken je dit?

• Een klant belt. Aanbesteding ligt op tafel. Ze vragen om NEN 7510. Deadline: zes weken. Op dat moment ben je te laat.
• Je hebt al ISO 27001. Maar de zorginstelling wil specifiek NEN 7510. Wat is nou precies het verschil? En moet je helemaal opnieuw beginnen?
• Je levert EPD-software. Zorgdata verwerk je elke dag. Je weet dat certificering eraan komt, maar waar begin je?

Die vragen beantwoorden we gewoon. Geen vaag verhaal. Gewoon eerlijk. 

Wat is NEN 7510 eigenlijk?

NEN 7510 certificering is de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 en aangevuld met zorgspecifieke eisen.

In de praktijk: het is ISO 27001, maar dan specifiek gemaakt voor de zorgsector. Aangevuld met Nederlandse wetgeving: de Wabvpz en de AVG.

De norm bestaat uit twee delen. NEN 7510-1:2024 beschrijft de eisen voor je informatiebeveiligingsmanagementsysteem, ook wel een ISMS genoemd. NEN 7510-2:2024 bevat de concrete beveiligingsmaatregelen die daarbij horen. Samen vormen ze het kader waarmee je informatiebeveiliging in de zorg aantoonbaar op orde brengt.

Concreet betekent dat: extra eisen rondom logging van patiëntgegevens via NEN 7513, toegangsbeheer bij elektronische patiëntendossiers en ketenafspraken met leveranciers. Dingen die in ISO 27001 niet of anders geregeld zijn.

Heb je al ISO 27001? Dan is de stap naar NEN 7510 kleiner dan je denkt. We doen dat in een gecombineerd traject. Dat scheelt je tijd en kosten. 

 Voor wie is het?

Niet alleen voor grote ziekenhuizen. De norm geldt voor iedereen die patiëntgegevens verwerkt, opslaat of beheert. Denk aan:

• Huisartsenpraktijken en gezondheidscentra
• GGZ-instellingen
• Verpleeghuizen en thuiszorgorganisaties
• Leveranciers van EPD-systemen en zorgapps
• Hostingproviders met zorgdata
• Medische laboratoria
• Administratieve dienstverleners in de zorg

Twijfel je of jouw organisatie eronder valt? Vraag het gewoon. We kijken het gratis met je door.

Wat levert het je op?

Toegang tot aanbestedingen is het meest directe voordeel. Maar er is meer.

Een groot deel van wat de AVG van je vraagt zit al in NEN 7510. Twee vliegen in een klap dus. Een werkend ISMS volgens NEN 7510 vraagt je systematisch risico's in kaart te brengen, maatregelen te nemen en die periodiek te toetsen. Dat verlaagt de kans op datalekken en incidenten, beperkt herstelkosten en downtime, en cyberverzekeraars belonen aantoonbare beveiliging vaak met gunstigere voorwaarden.

Het certificaat geeft patiënten, klanten en ketenpartners vertrouwen. Niet omdat je het zegt, maar omdat een onafhankelijke partij het heeft gecontroleerd.

 Hoe gaat het in zijn werk?

We werken in vijf stappen. Geen verrassingen. Geen vage facturen achteraf. 

• Stap 1 De intake. Vrijblijvend gesprek van een uur. We kijken samen naar je organisatie, je scope en je huidige situatie. Je krijgt daarna een offerte op maat. Geen standaardbedrag, want dat bestaat niet.
• Stap 2 Documentbeoordeling. Een auditor bekijkt je beleid, procedures, risicoanalyse en je verklaring van toepasselijkheid. Je krijgt een rapport terug met wat er nog aangepast moet worden voor de praktijkaudit.
• Stap 3 Praktijkaudit. De auditor komt langs. Hij praat met mensen, bekijkt systemen. De vraag is steeds: klopt wat er op papier staat ook in de praktijk?
• Stap 4 Certificeringscommissie. Drie senior auditors beoordelen het dossier onafhankelijk van elkaar. Een persoon kan nooit alleen besluiten. Dat houdt de waarde van ons certificaat hoog.
• Stap 5 Het certificaat. Drie jaar geldig. Daarna een hercertificering. Tussendoor jaarlijks een lichtere surveillance-audit om te controleren of het ISMS nog werkt.

Wat kost het?

Eerlijk antwoord: het hangt af van je organisatiegrootte, je scope en hoe ver je al bent. Er is geen standaardbedrag. Een offerte op maat geeft je een concreet beeld van wat de audit en het totale traject in jouw situatie kosten.

Wil je een concreet bedrag voor jouw situatie? Vraag een offerte aan. Geen verkoopgesprek. Geen verplichtingen.

 Waarom Noordbeek?

We zijn geen groot internationaal bureau. Geen klant die elk jaar iemand anders aan tafel ziet. Geen audits via een buitenlandse hub.

Onze accreditatie is verleend door de Raad voor Accreditatie (RvA). De RvA is ondertekenaar van de IAF-MLA en ILAC-MRA, waardoor onder accreditatie afgegeven certificaten wereldwijd worden erkend. Onze auditors kennen de zorgsector echt. De zorgauditor kent NEN 7510 van binnen en buiten en weet wat er in de praktijk speelt bij een GGZ-instelling of een EPD-leverancier. Je belt een mens. Geen callcenter, geen ticketsysteem. En voor je begint weet je wat het kost.

Veelgestelde vragen 

Hoe lang duurt een NEN 7510-traject?

Als je al een aardige basis hebt, reken je op 3 tot 6 maanden. Heb je weinig op orde? Dan zit je eerder op 6 tot 9 maanden voorbereiding. Een goede gap-analyse vooraf scheelt veel tijd. Die maken we samen in de intake.

Is het verplicht?

Aantoonbaar voldoen aan de norm is wettelijk verplicht via de Wabvpz. Een certificaat is de meest gebruikelijke manier om dat te bewijzen. In de praktijk vragen ziekenhuizen, GGZ en zorgverzekeraars het actief op bij leveranciers. Zonder certificaat mis je opdrachten.

Kan ik NEN 7510 combineren met ISO 27001?

En we raden het aan. We doen de audits gecombineerd. De overlap tussen de twee normen is groot. Je betaalt niet voor twee aparte trajecten.

Wat verandert er met NEN 7510-1:2024?

De norm sluit nu beter aan op ISO 27001:2022. Meer nadruk op aantoonbaarheid: je moet kunnen laten zien dat je ISMS actueel is en echt werkt. Ook is NCS 7510:2025 gepubliceerd, het certificatieschema waaraan certificerende instellingen moeten voldoen. De transitiedeadline voor organisaties is 20 februari 2027.

Kan ik overstappen van een andere certificerende instelling?

Je gaat niet terug naar fase 1. Je houdt je certificaat en je audit-cyclus. Alleen onze accreditatie staat er voortaan op.

Wat als we de eerste audit niet halen?

Je krijgt een lijst met punten die niet kloppen. Je krijgt tijd om die op te lossen. Daarna een hercontrole op precies die punten. Je betaalt alleen de extra uren.

Klaar voor de eerste stap?

De intake is gratis en vrijblijvend. Geen verkoopgesprek. Gewoon een eerlijk uur over waar je staat en wat erbij komt kijken.