NEN 7510 Certificering

Wat is een NEN 7510 ISMS?

NEN 7510 werkt met een Information Security Management System (ISMS). Een ISMS is geen specifiek softwareprogramma. Het is de samenhangende manier waarop je informatiebeveiliging binnen de organisatie organiseert. In het ISMS leg en borg je bijvoorbeeld:

• beleid voor informatiebeveiliging;
• rollen en verantwoordelijkheden;
• informatiebeveiligingsrisico’s;
• risicobehandelmaatregelen;
• afspraken met leveranciers;
• toegangsbeheer;
• incidentmanagement;
• continuïteit;
• bewustwording van medewerkers;
• monitoring en controles;
• audits en verbeteracties.

Het ISMS moet passen bij de omvang, processen, systemen en risico’s van jouw organisatie. Een kleine zorgpraktijk heeft immers een andere omgeving dan een ziekenhuis of een IT-leverancier die voor tientallen zorginstellingen gezondheidsinformatie verwerkt. Het uitgangspunt blijft hetzelfde: risico’s begrijpen, passende maatregelen nemen, controleren of die maatregelen werken en waar nodig verbeteren.

NEN 7510:2024: de actuele norm

De vernieuwde NEN 7510:2024 is eind 2024 gepubliceerd en sluit aan op de actuele internationale normen voor informatiebeveiliging, waaronder ISO/IEC 27001 en ISO/IEC 27002. De norm bestaat uit twee belangrijke delen:

NEN 7510-1:2024

Dit deel bevat de eisen voor het managementsysteem voor informatiebeveiliging. Hierin staat hoe je informatiebeveiliging structureel organiseert, bestuurt, beoordeelt en verbetert.

NEN 7510-2:2024+A1:2026

Dit deel bevat de beheersmaatregelen voor informatiebeveiliging in de zorg. Het gaat bijvoorbeeld om maatregelen rondom:

• organisatorische beveiliging;
• medewerkers;
• toegangsbeheer;
• leveranciers;
• fysieke beveiliging;
• technologische beveiliging;
• incidenten;
• continuïteit.

In 2026 is een aanvulling op dit tweede deel gepubliceerd. Daardoor is NEN 7510-2:2024+A1:2026 inmiddels de actuele versie van deel 2.

Overstappen naar NEN 7510:2024

Heb je nog een certificering op basis van de vorige NEN 7510? Dan moet je rekening houden met de overgang naar de vernieuwde norm. Bestaande certificaathouders moeten vóór 20 februari 2027 gecertificeerd zijn tegen de nieuwe norm. Daarom is het verstandig om tijdig te beoordelen:

• welke onderdelen van je huidige ISMS al aansluiten;
• waar de nieuwe norm andere of aanvullende eisen stelt;
• welke beheersmaatregelen moeten worden aangepast;
• wat de gevolgen zijn voor beleid en processen;
• wanneer de certificerende instelling de transitie kan beoordelen.

Een nulmeting of GAP-analyse kan helpen om dit overzichtelijk in kaart te brengen.

Wat zijn de belangrijkste NEN 7510 eisen?

NEN 7510 vraagt om een structurele en risicogestuurde aanpak van informatiebeveiliging. Een aantal onderwerpen komt daarbij steeds terug.

Context en scope

Je bepaalt welke interne en externe ontwikkelingen relevant zijn voor informatiebeveiliging. Ook breng je relevante belanghebbenden en hun eisen in kaart.Vervolgens bepaal je de scope van het ISMS: welke processen, locaties, systemen en activiteiten vallen onder het managementsysteem?

Leiderschap en verantwoordelijkheden

Informatiebeveiliging is niet alleen een verantwoordelijkheid van IT. Het management moet betrokken zijn, verantwoordelijkheden moeten duidelijk worden verdeeld en informatiebeveiliging moet worden verbonden met de bedrijfsvoering.

Risicoanalyse

Een belangrijk onderdeel van NEN 7510 is het beoordelen van informatiebeveiligingsrisico’s. Je brengt bijvoorbeeld in kaart:

• welke informatie belangrijk is;
• welke systemen worden gebruikt;
• welke bedreigingen aanwezig zijn;
• wat de mogelijke gevolgen zijn;
• welke risico’s acceptabel zijn;
• welke aanvullende maatregelen nodig zijn.

Risicobehandeling

Op basis van de risicoanalyse bepaal je welke maatregelen worden genomen. Daarbij kijk je naar technische, organisatorische, menselijke en fysieke maatregelen.

Beheersmaatregelen

NEN 7510 bevat maatregelen die specifiek aansluiten op informatiebeveiliging binnen de zorg. Welke maatregelen relevant zijn, hangt af van je risico’s, activiteiten en verantwoordelijkheid voor gezondheidsinformatie.

Bewustwording en medewerkers

Technische beveiliging alleen is niet voldoende. Medewerkers moeten begrijpen:

• hoe zij veilig omgaan met informatie;
• welke verantwoordelijkheden zij hebben;
• hoe incidenten worden gemeld;
• welke risico’s hun werkzaamheden met zich meebrengen.

Monitoring en evaluatie

Je moet controleren of de gekozen maatregelen daadwerkelijk werken. Dat betekent bijvoorbeeld dat controles worden uitgevoerd, resultaten worden beoordeeld en afwijkingen worden opgevolgd.

Interne audits en onafhankelijke beoordelingen

NEN 7510 vraagt om evaluatie van het ISMS en de werking van beveiligingsmaatregelen. Daarbij spelen zowel interne audits als onafhankelijke beoordelingen een rol. Het doel daarvan is niet alleen aantonen dat documentatie aanwezig is, maar vooral vaststellen of informatiebeveiliging in de praktijk voldoende functioneert.

NEN 7510 behalen: zo verloopt het traject

Wil je een NEN 7510 certificaat behalen? Dan moet je eerst zorgen dat het ISMS aan de norm voldoet en aantoonbaar functioneert. Nieuwhuis Consult werkt daarbij vanuit de bestaande organisatie.

Stap 1. Nulmeting en scope

We brengen eerst de huidige situatie in kaart. Daarbij kijken we bijvoorbeeld naar:

• bestaande beveiligingsmaatregelen;
• beleid;
• systemen;
• processen;
• medewerkers;
• leveranciers;
• verantwoordelijkheden;
• aanwezige documentatie.

Vervolgens wordt duidelijk welke onderdelen al aansluiten op NEN 7510 en waar nog verbeteringen nodig zijn. Ook bepalen we de gewenste scope van het managementsysteem en de eventuele certificering.

Stap 2. Risicoanalyse

Daarna brengen we de informatiebeveiligingsrisico’s in kaart. Welke informatie wordt verwerkt? Waar wordt deze opgeslagen? Wie heeft toegang? Welke interne en externe bedreigingen zijn relevant? Vervolgens beoordelen we de risico’s en bepalen we welke maatregelen nodig zijn. Het resultaat vormt de basis voor het risicobehandelplan.

Stap 3. ISMS inrichten of verbeteren

Op basis van de nulmeting en risicoanalyse richten we het managementsysteem verder in. Denk bijvoorbeeld aan:

• informatiebeveiligingsbeleid;
• rollen en verantwoordelijkheden;
• procedures;
• leveranciersbeheer;
• incidentmanagement;
• toegangsbeheer;
• bewustwording;
• continuïteitsmaatregelen;
• monitoring.

We proberen daarbij zoveel mogelijk gebruik te maken van bestaande processen en systemen.

Stap 4. Beheersmaatregelen implementeren

De afgesproken maatregelen worden vervolgens daadwerkelijk toegepast. Dat kan bijvoorbeeld gaan om:

• technische beveiliging;
• autorisaties;
• afspraken met leveranciers;
• fysieke toegangsmaatregelen;
• training van medewerkers;
• back-ups;
• procedures voor incidenten.

Welke maatregelen nodig zijn, hangt af van je risicoanalyse en activiteiten.

Stap 5. Werking aantoonbaar maken

Voor certificering is beleid alleen niet voldoende. Je moet kunnen aantonen dat het ISMS wordt gebruikt en dat beveiligingsmaatregelen functioneren. Daarom verzamel je bijvoorbeeld bewijs uit:

• uitgevoerde controles;
• incidentregistraties;
• toegangsbeoordelingen;
• leveranciersbeoordelingen;
• trainingsactiviteiten;
• risico-evaluaties;
• verbeteracties.

Stap 6. Interne audit en managementbeoordeling

Voor de externe certificeringsaudit controleer je intern of het ISMS voldoende functioneert. Een interne audit helpt om tekortkomingen en verbeterpunten te herkennen. Daarnaast beoordeelt het management periodiek de werking en prestaties van het ISMS. Eventuele bevindingen kunnen vervolgens worden opgelost voordat de certificerende instelling de organisatie beoordeelt.

Stap 7. NEN 7510 certificeringsaudit

De uiteindelijke certificering wordt uitgevoerd door een onafhankelijke certificerende instelling. De certificerende instelling beoordeelt of het informatiebeveiligingsmanagement voldoet aan de eisen van NEN 7510. Nieuwhuis Consult kan ondersteunen bij de voorbereiding op deze audit en bij het opvolgen van eventuele bevindingen. De certificerende instelling neemt uiteindelijk de beslissing over het afgeven van het certificaat.

Hoe verloopt de NEN 7510 audit?

De beoordeling voor certificering bestaat uit meerdere onderdelen. De certificerende instelling kijkt niet alleen naar beleidsdocumenten, maar onderzoekt ook hoe informatiebeveiliging in de praktijk is georganiseerd. Daarbij kan bijvoorbeeld worden gekeken naar:

• de scope van het ISMS;
• de risicoanalyse;
• het risicobehandelplan;
• beheersmaatregelen;
• verantwoordelijkheden;
• incidentmanagement;
• leveranciers;
• interne audits;
• managementbeoordeling;
• registraties en bewijs van werking.

Ook kunnen medewerkers worden geïnterviewd en kunnen processen en systemen tijdens een bezoek worden beoordeeld. Wanneer uit de audit afwijkingen naar voren komen, krijg je afhankelijk van de bevinding de mogelijkheid om corrigerende maatregelen te nemen. Als het managementsysteem uiteindelijk aan de certificatie-eisen voldoet, kan het NEN 7510 certificaat worden afgegeven.

NEN 7510 en ISO 27001: wat is het verschil?

NEN 7510 en ISO 27001 hebben veel gemeen. Beide normen werken met een ISMS en een risicogestuurde aanpak voor informatiebeveiliging. Het belangrijkste verschil is het toepassingsgebied. ISO 27001 is een internationale norm die door organisaties in vrijwel iedere sector kan worden toegepast. NEN 7510 is specifiek gericht op informatiebeveiliging in de Nederlandse zorg en bevat aanvullende eisen en beheersmaatregelen voor persoonlijke gezondheidsinformatie.

Voor een zorgaanbieder in Nederland is NEN 7510 daarom bijzonder belangrijk. Een leverancier die voor de zorg werkt kan afhankelijk van zijn dienstverlening te maken krijgen met NEN 7510, ISO 27001 of een combinatie van beide.

Heb je al een ISO 27001-gecertificeerd ISMS? Dan kan een deel van de bestaande structuur worden gebruikt bij het implementeren van NEN 7510. Wel moeten de aanvullende zorgeisen afzonderlijk worden meegenomen.

NEN 7510 en de Cyberbeveiligingswet

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Deze wet implementeert de Europese NIS2-richtlijn. Een deel van de gezondheidszorg valt onder de Cyberbeveiligingswet en krijgt daardoor aanvullende verplichtingen rondom onder andere:

• cyberrisicobeheersing;
• incidentmeldingen;
• registratie;
• bestuurlijke verantwoordelijkheid;
• kennis en training van bestuurders.

NEN 7510 en de Cyberbeveiligingswet overlappen op veel punten rondom risicobeheersing en informatiebeveiliging. Werken volgens NEN 7510 helpt daarom bij het invullen van een belangrijk deel van de zorgplicht uit de Cyberbeveiligingswet. Het betekent echter niet automatisch dat alle verplichtingen uit de Cyberbeveiligingswet zijn afgedekt. Denk bijvoorbeeld aan specifieke registratie- en meldverplichtingen.

NEN 7510 en de AVG

NEN 7510 en de AVG hebben eveneens met elkaar te maken, maar zijn niet hetzelfde. De AVG stelt regels aan de verwerking en bescherming van persoonsgegevens. NEN 7510 geeft een gestructureerd kader voor informatiebeveiliging binnen de zorg en bevat maatregelen waarmee gezondheidsinformatie beter wordt beschermd. Werken volgens NEN 7510 kan daarom bijdragen aan passende technische en organisatorische beveiligingsmaatregelen, maar een NEN 7510 certificering betekent niet automatisch dat je aan alle verplichtingen uit de AVG voldoet.

Wat kost NEN 7510 certificering?

De kosten van NEN 7510 certificering zijn niet voor iedere organisatie hetzelfde. De totale investering bestaat uit verschillende onderdelen.

Implementatie en begeleiding
Hoeveel werk nodig is, hangt af van de huidige situatie. Een organisatie die al een volwassen ISMS heeft, heeft doorgaans minder implementatiewerk dan een organisatie die informatiebeveiliging nog grotendeels moet inrichten.

Interne inzet
Ook medewerkers binnen de organisatie besteden tijd aan bijvoorbeeld:

• risicoanalyses;
• workshops;
• implementatie;
• beveiligingsmaatregelen;
• interne audits;
• training en bewustwording.

Technische en organisatorische maatregelen
Uit de risicoanalyse kunnen aanvullende maatregelen voortkomen. Daar kunnen kosten aan verbonden zijn, bijvoorbeeld voor software, beveiliging, training of aanpassingen van processen.

Certificeringskosten
De externe audit wordt uitgevoerd door een onafhankelijke certificerende instelling. Het benodigde aantal auditdagen wordt onder andere beïnvloed door:

• omvang van de organisatie;
• aantal medewerkers;
• complexiteit van activiteiten;
• gekozen certificeringsscope;
• type organisatie;
• bestaande managementsystemen.

Iedere certificerende instelling hanteert vervolgens eigen tarieven.

Wil je weten welke investering voor jouw organisatie realistisch is? Na een eerste gesprek kunnen we de huidige situatie en benodigde begeleiding inschatten. Neem contact met ons op.

Wat gebeurt er na NEN 7510 certificering?

Het behalen van een NEN 7510 certificaat betekent niet dat informatiebeveiliging daarna klaar is. Risico’s veranderen, organisaties veranderen en nieuwe digitale dreigingen ontstaan voortdurend. Daarom blijft het ISMS actief. Denk bijvoorbeeld aan:

• periodieke risicoanalyses;
• het controleren van beveiligingsmaatregelen;
• interne audits;
• onafhankelijke beoordelingen;
• managementbeoordelingen;
• het actualiseren van beleid;
• leveranciersbeoordelingen;
• incidentmanagement;
• bewustwording;
• verbeteracties.

Ook de certificerende instelling controleert periodiek of de organisatie nog aan de certificatie-eisen voldoet. Zo blijft informatiebeveiliging onderdeel van de dagelijkse bedrijfsvoering.

Waarom NEN 7510 implementeren met behulp van Nieuwhuis Consult?

Iedere zorgorganisatie of leverancier heeft een andere uitgangssituatie. Daarom beginnen we niet met een standaardpakket aan documenten. Eerst kijken we welke informatie wordt verwerkt, hoe processen zijn ingericht, welke beveiligingsmaatregelen al aanwezig zijn en waar risico’s zitten. Van daaruit bepalen we wat daadwerkelijk nodig is.

Je kunt bij Nieuwhuis Consult rekenen op:

• Deskundige begeleiding bij NEN 7510 en informatiebeveiliging.
• Een praktische inrichting van het ISMS die aansluit op bestaande processen.
• Een duidelijke route naar certificering met inzicht in acties en verantwoordelijkheden.
• Ondersteuning bij risicoanalyse en beheersmaatregelen.
• Voorbereiding op audits en ondersteuning bij het opvolgen van bevindingen.
• Aandacht voor borging: zodat informatiebeveiliging ook na certificering blijft functioneren.

Na een eerste gesprek kunnen we bepalen waar je organisatie staat en welke aanpak passend is.

Veelgestelde vragen over NEN 7510

Advies en begeleiding bij NEN 7510

Wil je NEN 7510 implementeren, overstappen naar de nieuwe norm of een NEN 7510 certificaat behalen? Nieuwhuis Consult helpt je om vanuit de huidige situatie toe te werken naar een werkend ISMS dat aansluit op de zorgpraktijk en klaar is voor onafhankelijke beoordeling en certificering. We brengen de belangrijkste risico’s en ontbrekende onderdelen in kaart en begeleiden je bij de inrichting, implementatie en voorbereiding op de certificeringsaudit.

Plan een vrijblijvend oriënterend gesprek of vraag direct een offerte op maat aan.

Offerte aanvragen

Gerelateerde kennisbank-artikelen