Eerst bepalen of NEN 7510 bij uw organisatie past
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Voor certificering maakt het uit wat uw organisatie precies doet. NEN onderscheidt zorgaanbieders en andere beheerders die persoonlijke gezondheidsinformatie structureel en rechtmatig verwerken en daarvoor verantwoordelijkheid dragen. Alleen incidentele toegang is niet voldoende.
Tijdens de intake brengen we uw rol, gegevensstromen en contractuele eisen in kaart. Levert u bijvoorbeeld een elektronisch patiëntendossier, beheert u gezondheidsinformatie of verricht u een zorgproces? Die antwoorden helpen om de juiste route en reikwijdte te kiezen. Soms is ISO 27001 een passender uitgangspunt.
Vertrek vanuit het zorgproces, niet vanuit de map beleid
De risicoanalyse begint bij het werk dat veilig moet doorgaan. Welke gegevens heeft een behandelaar nodig? Wie moet informatie kunnen wijzigen? Wat gebeurt er als het dossier, de planning of de verbinding met een ketenpartner uitvalt? En hoe voorkomt u dat noodoplossingen nieuwe privacyproblemen veroorzaken?
Een illustratief voorbeeld: een zorgorganisatie gebruikt een cloudapplicatie voor intake en dossiervoering. We bekijken dan niet alleen de applicatie, maar ook ondersteuningstoegang, thuiswerken, uitwisseling met verwijzers en de werkwijze tijdens een storing. Zo sluit beveiliging aan op de werkelijkheid van medewerkers en patiënten.
Risico's, maatregelen en verantwoordelijkheden verbinden
De uitkomst moet bruikbaar zijn voor de mensen die besluiten nemen. We beschrijven risico's in begrijpelijke termen en bespreken de gevolgen voor vertrouwelijkheid, juistheid en beschikbaarheid. Per verbetering wordt zichtbaar wie actie onderneemt, welke middelen nodig zijn en wanneer wordt gecontroleerd of het werkt.
Daarbij helpen we met de onderbouwing van toepasselijke beheersmaatregelen. De directie besluit over prioriteiten en restrisico's; proceseigenaren en IT-verantwoordelijken voeren hun onderdelen uit. Datajuristen ondersteunt de samenhang tussen informatiebeveiliging, privacy, contracten en bestuurlijke besluitvorming.
Van dossierinzage tot leveranciersafspraken
Dagelijkse beslissingen verdienen duidelijke werkafspraken. Wie krijgt toegang tot welke informatie? Wanneer worden rechten opnieuw bekeken? Hoe meldt iemand een incident? Welke informatie kan via welk kanaal worden gedeeld? De antwoorden moeten toepasbaar zijn op de rollen en werksituaties binnen uw organisatie.
We verbinden die afspraken met de relevante leveranciers. Denk aan verantwoordelijkheden voor beheer, incidentcommunicatie, continuïteit, ondersteuning en toegang door derden. Een contract is het begin: de organisatie moet ook kunnen volgen of afspraken worden nagekomen en wat zij doet als dat niet gebeurt.
Test ook wat er gebeurt als de normale route uitvalt
In de zorg kan informatiebeveiliging rechtstreeks raken aan de continuïteit van dienstverlening. Daarom bespreken we welke functies moeten blijven werken, welke alternatieven beschikbaar zijn en wie tijdens een incident de regie voert. Een herstelplan heeft pas betekenis als de betrokken mensen ermee kunnen werken.
Samen met de verantwoordelijke teams bepalen we passende oefeningen en bewijsstukken. Een verslag van een hersteltest moet bijvoorbeeld laten zien wat is getest, wat de uitkomst was en welke verbetering volgt. Een succesvolle technische test sluit niet automatisch alle organisatorische knelpunten af.
Werken met de actuele norm en een haalbare overgang
NEN 7510 heeft een basiseditie uit 2024. NEN publiceerde in maart 2026 een amendement op deel 2. Voor organisaties met een bestaand certificaat vermeldt NEN dat de overgang naar de nieuwe norm vóór 20 februari 2027 moet zijn afgerond. We nemen de toepasselijke versie en auditafspraken daarom expliciet mee in de planning.
Een overgang begint met het beoordelen van wat verandert voor uw scope en maatregelen. Daarna passen we de werkafspraken en bewijsvoering gericht aan. Een bestaand ISO 27001-systeem kan helpen, maar vervangt de zorgspecifieke beoordeling niet.
Aantoonbaarheid, certificering en onderhoud
Aantoonbaar voldoen aan toepasselijke informatiebeveiligingseisen en een certificaat bezitten zijn verschillende vragen. NEN vermeldt dat er geen algemene certificatieplicht voor NEN 7510 is. Een opdrachtgever kan certificering wel als contractuele voorwaarde stellen. Daarom leggen we het doel van het traject vooraf vast.
Datajuristen verzorgt de begeleiding en voorbereiding. Een onafhankelijke certificerende instelling toetst en beslist over certificering. We bereiden interne toetsing en directiebeoordeling voor, helpen bevindingen opvolgen en leggen vast hoe uw organisatie na het traject wijzigingen, risico's en verbeteracties onderhoudt.
Zo pakken we het aan
Een duidelijke stap, op het juiste moment.
- 1
Zorgcontext begrijpen
We bespreken uw processen, gegevensstromen, opdrachtgeverseisen en certificeringsdoelgroep.
- 2
Risico's vertalen
De belangrijkste gevolgen voor zorg, mensen en informatie worden concrete verbeteringen.
- 3
Uitvoering aantonen
Teams voeren afspraken uit en leggen passend bewijs vast.
- 4
Voorbereiden en borgen
Interne toetsing en verbeteringen gaan vooraf aan de onafhankelijke certificatieaudit.
Nog een vraag?
Veelgestelde vragen
Is NEN 7510 alleen bedoeld voor ziekenhuizen?
Nee. Het kader is ook relevant voor andere zorgaanbieders en beheerders van persoonlijke gezondheidsinformatie. Of uw organisatie zich kan laten certificeren, hangt onder meer af van de feitelijke activiteiten en verantwoordelijkheid voor die informatie.
Kunnen wij NEN 7510 combineren met ISO 27001?
Vaak kan één managementsysteem beide doelen ondersteunen. Dat vraagt een bewuste keuze voor scope, gemeenschappelijke processen en zorgspecifieke aanvullingen. De onafhankelijke certificerende instelling beoordeelt beide certificeringsdoelen.
Zijn nieuwe documenten genoeg voor de overstap?
Nee. U moet ook beoordelen wat wijzigingen betekenen voor de praktijk, verantwoordelijkheden en bewijsvoering. Maak tijd voor uitvoering en voor het opvolgen van bevindingen vóór de externe audit.
Neemt Datajuristen het beheer van onze zorg-ICT over?
De begeleiding is gericht op inrichting, samenhang en aantoonbaarheid. Technische beheerwerkzaamheden en specialistische tests worden afzonderlijk afgesproken met de verantwoordelijke IT-partijen.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.