Maak eerst het doel van beide certificaten duidelijk
Vraagt een zorgklant om NEN 7510, terwijl andere klanten ISO 27001 verwachten? Noteer per vraag welke dienst en welke juridische entiteit bedoeld zijn. Controleer ook of de organisatie binnen de NEN-certificeringsdoelgroep valt. NEN noemt zorgaanbieders en andere beheerders die gezondheidsinformatie structureel en rechtmatig verwerken en daarvoor verantwoordelijkheid dragen.
Een gecombineerde aanpak is niet automatisch de juiste keuze. Als slechts een klein, duidelijk afgescheiden onderdeel gezondheidsinformatie beheert, vraagt dat een andere scopebespreking dan een organisatie die volledig op zorgdienstverlening is gericht.
Organiseer wat gemeenschappelijk is één keer
U kunt één werkwijze gebruiken voor documentbeheer, verantwoordelijkheden, verbeteracties en directiebeoordeling. Ook veel informatie over leveranciers, medewerkers en systemen hoeft u niet tweemaal te verzamelen. Houd in het overzicht bij voor welk doel een beoordeling of bewijsstuk bruikbaar is.
Maak bijvoorbeeld één risicoregister waarin zichtbaar blijft welk proces en welk soort informatie een risico raakt. Dat voorkomt dat hetzelfde leveranciersrisico in twee dossiers een andere eigenaar of prioriteit krijgt. De onderbouwing moet wel passen bij beide toepassingen.
Behoud de specifieke beoordeling van zorgprocessen
Gezondheidsinformatie maakt de context concreter. Beschikbaarheid kan gevolgen hebben voor het verlenen van zorg; toegang en uitwisseling raken de vertrouwelijkheid van het dossier. Een bestaande ISO-aanpak is daarom een vertrekpunt, geen reden om de zorgspecifieke analyse over te slaan.
Illustratief: een leverancier bedient zowel handelsbedrijven als zorgorganisaties. Algemene toegangscontroles kunnen hetzelfde zijn, terwijl incidentcommunicatie, uitwisseling en continuïteitsafspraken voor de zorgdienst aanvullende aandacht vragen. Leg die verschillen vast waar medewerkers ze nodig hebben.
Stem de auditplanning vroeg af
Bespreek met een onafhankelijke certificerende instelling welke combinatie mogelijk is en welke bevoegdheden zij heeft voor de actuele normversies. Eén bezoek betekent niet automatisch één certificatiebeslissing of dezelfde scope op beide certificaten. Vraag hoe documentatie, interviews en opvolging worden ingericht.
Plan ook interne toetsing op beide doelen. Controleer niet alleen of een proces bestaat, maar ook of het aan de relevante eisen en uw eigen afspraken voldoet. Afwijkingen krijgen één eigenaar en een zichtbare relatie met de onderdelen waarop zij betrekking hebben.
Een praktisch beslisdocument voor uw organisatie
Leg op één pagina vast waarom u combineert, welke diensten meedoen en welke verschillen blijven. Voeg de belangrijkste afhankelijkheden toe: capaciteit, leveranciersinformatie, wijzigingen aan systemen en de gewenste externe audit. Daarmee kunnen directie en projectteam hetzelfde besluit beoordelen.
Datajuristen helpt deze samenhang uitwerken en de implementatie voorbereiden. Uw organisatie neemt de keuzes over scope en risico's; de onafhankelijke certificerende instelling bepaalt de uitkomst van de externe toets.
Nog een vraag?
Veelgestelde vragen
Krijgen we met ISO 27001 automatisch NEN 7510?
Nee. De certificeringsdoelgroep, scope en relevante NEN-eisen moeten afzonderlijk worden beoordeeld. Overlap in het managementsysteem kan werk besparen, maar levert geen automatisch tweede certificaat op.
Betekent combineren dat de auditkosten halveren?
Dat kan niet vooraf worden aangenomen. De externe instelling bepaalt de benodigde auditinzet. Omvang, complexiteit, scope en de bruikbaarheid van gedeelde processen beïnvloeden de planning.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.