NEN 7510:2024 in de zorg: ben je voorbereid op de nieuwe eisen?

Hoe goed is de informatiebeveiliging binnen jouw zorgorganisatie geregeld? En kun je aantonen dat de genomen maatregelen ook daadwerkelijk werken? Met de vernieuwde NEN 7510:2024 wordt het belang van structurele en aantoonbare informatiebeveiliging opnieuw onderstreept. Voor organisaties met een bestaand NEN 7510-certificaat komt bovendien een belangrijke deadline dichterbij: 20 februari 2027. 

Als NEN 7510:2024-gecertificeerde ICT-partner weet Aster wat er komt kijken bij aantoonbare informatiebeveiliging in de zorg. De vernieuwde norm sluit beter aan op actuele cyberdreigingen, internationale beveiligingsstandaarden en ontwikkelingen zoals NIS2. Wat betekent dit voor jouw zorgorganisatie en welke stappen zijn belangrijk?

Wat is NEN 7510 en waarom is deze norm belangrijk?

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe zorgorganisaties patiënt- en cliëntgegevens moeten beschermen en hoe zij ervoor zorgen dat belangrijke informatie beschikbaar blijft wanneer zorgverleners deze nodig hebben.

Dat gaat verder dan alleen het beveiligen van computers en systemen. Ook afspraken, verantwoordelijkheden, toegangsrechten, risicobeoordelingen en het omgaan met beveiligingsincidenten spelen een belangrijke rol.

Voor zorgaanbieders die persoonsgegevens verwerken in zorginformatiesystemen is werken volgens NEN 7510 wettelijk verplicht. Voor aanbieders die uitsluitend jeugdhulp verlenen, geldt vanuit de Jeugdwet ISO 27001.

Een belangrijk uitgangspunt is dat je niet alleen beveiligingsmaatregelen neemt, maar ook regelmatig controleert of deze effectief zijn. Zo blijft informatiebeveiliging geen eenmalig project, maar een continu verbeterproces.

Wat is er veranderd met NEN 7510:2024?

Op 16 december 2024 verscheen de vernieuwde NEN 7510. Deze versie sluit aan op de actuele internationale normen ISO/IEC 27001 en ISO/IEC 27002 en bevat aanvullende eisen en richtlijnen voor de zorgsector.

De belangrijkste aandachtspunten zijn:

• Risicogestuurde informatiebeveiliging: beveiligingsmaatregelen moeten aansluiten op de risico’s binnen jouw organisatie.
• Toegangsbeheer: medewerkers krijgen uitsluitend toegang tot de systemen en gegevens die zij nodig hebben.
• Beveiligingsincidenten: organisaties moeten verdachte situaties kunnen herkennen, beoordelen en opvolgen.
• Leveranciersbeheer: ook de beveiligingsafspraken met externe ICT-partijen en andere leveranciers verdienen structurele aandacht.
• Aantoonbaarheid: organisaties moeten kunnen laten zien dat maatregelen niet alleen zijn vastgelegd, maar ook in de praktijk functioneren.

Deze onderwerpen waren niet allemaal nieuw binnen NEN 7510, maar de herziene norm actualiseert de eisen en de bijbehorende beheersmaatregelen.

Daarnaast bevat NEN 7510:2024 een duidelijkere koppeling met NIS2. Daarmee biedt de norm een belangrijke basis voor organisaties die ook onder de Cyberbeveiligingswet vallen. Het voldoen aan NEN 7510 betekent echter niet automatisch dat aan alle verplichtingen uit die wet is voldaan.

Onderzoek IGJ: veel zorgorganisaties kunnen informatiebeveiliging niet aantonen

Dat aantoonbare informatiebeveiliging nog lang niet overal vanzelfsprekend is, blijkt uit onderzoek van de Inspectie Gezondheidszorg en Jeugd (IGJ).

Op 27 mei 2026 publiceerde de inspectie de resultaten van een onderzoek onder 87 grotere ggz-organisaties. Slechts 6 van deze organisaties konden aantonen dat zij volgens NEN 7510 werkten. Van de overige organisaties hadden er 40 een concrete streefdatum vastgesteld om aan de norm te voldoen.

De uitkomsten betekenen niet automatisch dat alle andere organisaties onbeveiligd waren. Ze laten wel zien dat het aantonen van een goed functionerend beveiligingsbeleid voor veel zorgorganisaties een uitdaging blijft.

De IGJ benadrukt daarom dat zorgaanbieders hun informatiebeveiliging regelmatig onafhankelijk moeten laten beoordelen en verbeteringen moeten doorvoeren wanneer dat nodig is.

Voor bestuurders en ICT-verantwoordelijken is de belangrijkste vraag dus niet alleen of beveiligingsmaatregelen aanwezig zijn, maar ook of duidelijk is wie ze controleert, hoe afwijkingen worden opgevolgd en welke risico’s nog bestaan.

Vijf aandachtspunten voor jouw zorgorganisatie

1. Breng beveiligingsrisico’s structureel in kaart

Weet je welke systemen binnen jouw organisatie het belangrijkst zijn voor de dagelijkse zorgverlening? En wat er gebeurt wanneer deze systemen tijdelijk niet beschikbaar zijn?

Een actuele risicoanalyse helpt om kwetsbaarheden, afhankelijkheden en mogelijke gevolgen inzichtelijk te maken. Denk bijvoorbeeld aan verouderde software, onvoldoende beveiligde werkplekken of systemen waarvan het functioneren afhankelijk is van één leverancier.

Door risico’s te beoordelen op kans en impact, kun je gerichter investeren in de maatregelen die voor jouw organisatie het belangrijkst zijn.

2. Controleer wie toegang heeft tot patiëntgegevens

Medewerkers hebben toegang nodig tot verschillende applicaties en gegevens. Maar beschikken zij uitsluitend over de rechten die bij hun functie passen?

Bij functiewijzigingen, tijdelijke medewerkers en uitdiensttredingen kunnen toegangsrechten onbedoeld actief blijven. Dat vergroot het risico op ongeautoriseerde toegang tot gevoelige informatie.

Met Identity Management van Aster kun je gebruikersaccounts en toegangsrechten centraal laten beheren via Microsoft Entra ID. Multi-Factor Authentication (MFA) biedt daarnaast een extra beveiligingslaag, zodat medewerkers veilig toegang krijgen tot de systemen die zij nodig hebben.

3. Monitor beveiligingsmeldingen en kwetsbaarheden

Het installeren van antivirussoftware en beveiligingsupdates is belangrijk, maar daarmee ben je er nog niet.

Back-ups kunnen mislukken, beveiligingsinstellingen kunnen veranderen en verdachte activiteiten kunnen onopgemerkt blijven. Daarom is het belangrijk om systemen en beveiligingsmaatregelen regelmatig te controleren.

Met structureel Security Management van Aster worden onder andere back-ups, antivirusbeveiliging en relevante signalen binnen Microsoft 365 en Entra ID gecontroleerd. Zo worden afwijkingen eerder zichtbaar en kunnen passende maatregelen worden genomen.

4. Maak duidelijke afspraken met ICT-leveranciers

Veel zorgorganisaties vertrouwen voor hun dagelijkse ICT op externe partijen. Denk aan cloudleveranciers, softwareontwikkelaars en ICT-beheerders.

Maar wie is verantwoordelijk voor beveiligingsupdates? Wie onderzoekt een incident? En welke afspraken zijn gemaakt over de bescherming en beschikbaarheid van gegevens?

NEN 7510 vraagt aandacht voor de beveiliging binnen de gehele keten. Als zorgorganisatie blijf je zelf verantwoordelijk voor een passende inrichting van de informatiebeveiliging, ook wanneer werkzaamheden zijn uitbesteed.

5. Zorg dat informatiebeveiliging aantoonbaar is

Een beveiligingsbeleid op papier is onvoldoende wanneer niet duidelijk is of de afspraken daadwerkelijk worden nageleefd.

Zorg daarom voor actuele documentatie van risico’s, uitgevoerde controles, beveiligingsincidenten en verbetermaatregelen. Leg ook vast wie verantwoordelijk is voor de opvolging en wanneer maatregelen opnieuw worden beoordeeld.

Periodieke rapportages en onafhankelijke beoordelingen helpen om inzichtelijk te maken waar jouw organisatie staat en welke verbeteringen nog nodig zijn.

Wat betekent de deadline van 20 februari 2027?

Voor zorgorganisaties die al beschikken over een NEN 7510-certificaat is 20 februari 2027 een belangrijke datum.

Volgens de officiële overgangsregeling van NEN moeten bestaande certificaten volgens de vorige normversie vóór 20 februari 2027 zijn omgezet naar certificering volgens NEN 7510:2024.

Belangrijk: dit betekent niet dat iedere zorgorganisatie vóór 20 februari 2027 een certificaat moet behalen. Certificering is niet wettelijk verplicht, maar aantoonbaar werken volgens NEN 7510 wel voor zorgaanbieders waarop de norm van toepassing is.

Ook zonder certificaat moet jouw organisatie de informatiebeveiliging regelmatig onafhankelijk laten beoordelen. Daarmee laat je zien dat het beveiligingsbeleid en de bijbehorende maatregelen daadwerkelijk functioneren.

Beschikt jouw organisatie al over een certificaat? Controleer dan tijdig met de certificerende instelling welke stappen nog nodig zijn voor de overgang.

Hoe weet je of jouw ICT-omgeving voldoende beveiligd is?

Veel zorgorganisaties beschikken al over verschillende beveiligingsmaatregelen. Toch is het niet altijd duidelijk hoe deze maatregelen samen functioneren en welke risico’s nog onvoldoende worden beheerst.

Een goede eerste stap is daarom het beoordelen van de huidige ICT-omgeving. Welke systemen zijn verouderd? Hoe zijn toegangsrechten ingericht? Worden back-ups gecontroleerd? En hoe worden beveiligingsincidenten gesignaleerd en opgevolgd?

Met de IT-audit van Aster brengen we de technische risico’s, kwetsbaarheden en verbeterkansen binnen jouw ICT-omgeving in kaart. Je ontvangt een overzicht van de bevindingen en concrete aanbevelingen met prioriteiten.

Een dergelijke IT-audit kan waardevolle input leveren voor het informatiebeveiligingsbeleid en verdere voorbereiding op NEN 7510. De audit vervangt echter niet de volledige, onafhankelijke NEN 7510-beoordeling van het managementsysteem en alle toepasselijke beheersmaatregelen.

Aster is NEN 7510:2024-gecertificeerd

Aster is gecertificeerd volgens de vernieuwde NEN 7510:2024, evenals ISO 27001 en ISO 9001. Daarmee tonen we aan dat informatiebeveiliging structureel is verankerd in onze werkwijze. We weten uit eigen ervaring wat er komt kijken bij het voldoen aan de eisen van de norm en het aantoonbaar beheren en verbeteren van informatiebeveiliging. Die kennis en ervaring zetten we in om zorgorganisaties te helpen hun ICT-omgeving veilig, betrouwbaar en toekomstbestendig in te richten.

Bereid jouw zorgorganisatie voor op NEN 7510:2024

Goede informatiebeveiliging draait niet alleen om het voldoen aan een norm. Het gaat vooral om het beschermen van gevoelige patiëntgegevens, het beperken van cyberrisico’s en het waarborgen van de continuïteit van zorg.

Met de vernieuwde NEN 7510 en het toenemende toezicht wordt het steeds belangrijker om inzicht te hebben in de beveiligingsstatus van jouw organisatie en aantoonbaar aan verbeteringen te werken.

Wil je weten waar de technische risico’s binnen jouw zorgorganisatie liggen? Met de IT-audit van Aster krijg je inzicht in de huidige staat van jouw ICT-omgeving en concrete verbeterpunten.

Ontdek wat de IT-audit van Aster voor jouw organisatie kan betekenen.