Dit artikel helpt je de actuele normversies en overgang voor bestaande certificaathouders te bepalen en de voorbereiding te organiseren. Zoek je hulp bij de uitvoering? Bekijk de NEN 7510-implementatie en interne audit door DCA voor de taakverdeling en rapportage.
Voor wie geldt NEN 7510?
Volgens de IGJ moeten zorgaanbieders die persoonsgegevens in een zorginformatiesysteem verwerken aantoonbaar volgens NEN 7510 werken. Jeugdhulp kent een andere verwijzing: de IGJ noemt daar ISO 27001. Controleer dus welke rol en regelgeving voor jullie organisatie gelden. Lees de toelichting van de IGJ.
NEN noemt daarnaast beheerders van persoonlijke gezondheidsinformatie, waaronder toeleveranciers die zulke informatie verwerken, als doelgroep voor certificering. Onderzoek welke informatie jullie daadwerkelijk beheren en welke contractuele eisen klanten stellen; alleen leveren aan de zorg beantwoordt de scopevraag nog niet. NEN licht de doelgroep en verhouding met ISO 27001 toe.
Voor een zorgaanbieder vervangt een certificaat van de ICT-leverancier de eigen verantwoordelijkheid niet. Leg daarom vast welke taken bij de leverancier liggen en welke zorgprocessen jullie zelf moeten beheersen.
Welke versie gebruik je bij implementatie?
NEN publiceerde de herziening op 16 december 2024. De norm sluit aan op de vernieuwde ISO/IEC 27001 en 27002 en bevat zorgspecifieke aanvullingen. Bekijk de informatie van NEN over de herziening.
Voor deel 2 is inmiddels de geconsolideerde editie NEN 7510-2:2024+A1:2026 beschikbaar, gepubliceerd in maart 2026. Deze vervangt NEN 7510-2:2024. Gebruik bij de vergelijking van eisen en maatregelen dus ook die aanvulling. Bekijk de actuele publicatie van NEN.
Bewaar welke normversie je gebruikt en welke wijzigingen beoordeeld zijn. Werk een bestaand ISMS gericht bij: behoud bruikbaar beleid en bewijs, en registreer waar inhoudelijke aanpassing nodig is. Een wijziging in nummering is op zichzelf nog geen uitgevoerde maatregel.
NEN 7510-checklist: wat bereid je voor?
Gebruik deze werkvragen in een nulmeting. Noteer per antwoord de eigenaar, vindplaats van bewijs en eventuele vervolgactie. Dit is een praktische startlijst, geen volledige normbeoordeling.
- Scope: welke zorgprocessen, locaties, systemen, gegevensuitwisselingen en leveranciers horen erbij?
- Risico’s: waar kunnen vertrouwelijkheid, juistheid of beschikbaarheid van informatie worden geraakt?
- Keuzes: welke maatregelen passen bij die risico’s, wie voert ze uit en wie accepteert resterende risico’s?
- Toegang: hoe worden rechten aangevraagd, gewijzigd, gecontroleerd en beëindigd?
- Continuïteit: hoe blijven zorgprocessen uitvoerbaar bij uitval en waar is het herstel getest?
- Leveranciers: welke afspraken, afhankelijkheden en controles zijn aantoonbaar vastgelegd?
- Toetsing: wanneer worden werking, bevindingen en verbeteringen onafhankelijk beoordeeld?
Bundel de scope, risicoanalyse, behandelkeuzes, Verklaring van Toepasselijkheid, werkafspraken, registraties en auditresultaten. Laat het dossier aansluiten op de daadwerkelijke uitvoering. Geef auditoren passende toegang en deel niet meer patiëntinformatie dan nodig.
Hoe verdeel je implementatie en interne tijd?
Begin met een nulmeting, bepaal prioriteiten en wijs per werkpakket een eigenaar aan. Betrek bestuur, zorginhoudelijke proceseigenaren, IT, privacy, HR en inkoop waar hun werk geraakt wordt. Reserveer hun tijd voor gesprekken, besluiten, uitvoering en controles; software of begeleiding vervangt die bijdrage niet.
DCA kan helpen met analyse, planning, het passend maken van documenten en auditvoorbereiding. Jullie leveren context, valideren de afspraken en nemen besluiten. Leg die verdeling vast bij implementatiebegeleiding. De prijzen en calculator scheiden software en begeleidingsuren; externe certificering en interne uren komen apart in de begroting.
Wat toon je tijdens de audit aan?
Zorg dat een beoordelaar de afspraken kan volgen tot de uitvoering: van risico en maatregel naar verantwoordelijke, registratie en eventuele verbetering. Bereid gesprekspartners voor op hun eigen proces en maak recente registraties vindbaar.
De IGJ verwacht dat een onafhankelijke beoordeling zowel het ISMS als de toepasselijke maatregelen behandelt, met bewijs van werking en onderbouwing van de deskundigheid en onafhankelijkheid van de beoordelaar. Bekijk de IGJ-criteria voor een onafhankelijke beoordeling.
Een interne audit, onafhankelijke beoordeling en certificeringsaudit kunnen verschillende doelen hebben. Spreek vooraf af welk doel, welke criteria en welk rapport nodig zijn. Zie onze audits en assessments. Een onafhankelijke certificerende instelling beslist over afgifte van een certificaat.
Is certificering verplicht en welke overgang geldt?
De IGJ stelt dat een NEN 7510-certificaat niet wettelijk verplicht is. Aantoonbaar volgens de norm werken en onafhankelijk laten beoordelen blijft wel nodig. Een klant of contract kan daarnaast een certificaat verlangen. Lees het onderscheid bij de IGJ.
NEN vermeldt voor bestaande certificaathouders dat de nieuwe norm uiterlijk december 2025 geïmplementeerd moest zijn en certificering tegen de nieuwe norm vóór 20 februari 2027 moet plaatsvinden. Die eerste datum is inmiddels verstreken. Stem de auditplanning en toepasselijke versie af met jullie certificerende instelling. Controleer het actuele certificeringsadvies van NEN.
Veelgestelde vragen
Moet iedere zorgleverancier een NEN 7510-certificaat hebben?+
Dat volgt niet alleen uit het feit dat je aan de zorg levert. Onderzoek je rol, welke persoonlijke gezondheidsinformatie je beheert en welke wettelijke en contractuele eisen gelden. Een certificaat en aantoonbaar volgens de norm werken zijn verschillende zaken.
Moet een bestaande organisatie opnieuw beginnen?+
Nee. Vergelijk het bestaande ISMS met de actuele normversies. Hergebruik wat aantoonbaar werkt en plan aanpassingen, toetsing en besluitvorming voor de gevonden verschillen.
Welke versie van deel 2 is actueel?+
NEN publiceerde in maart 2026 de geconsolideerde NEN 7510-2:2024+A1:2026. Deze vervangt NEN 7510-2:2024. Controleer bij NEN en jullie certificerende instelling welke publicaties voor de beoordeling nodig zijn.
Bronnen bij dit artikel
- IGJ: toepasselijkheid, onafhankelijke beoordeling en certificeringGeraadpleegd op 19 september 2026
- NEN: herziening en doelgroep van NEN 7510Geraadpleegd op 19 september 2026
- NEN: NEN 7510-2:2024+A1:2026Geraadpleegd op 19 september 2026
- NEN: certificeringsadvies en overgangstermijnenGeraadpleegd op 19 september 2026
Verder met dit onderwerp
Deze uitleg is algemeen en vervangt geen beoordeling van jullie situatie of de officiële normtekst.