Normity en NEN 7510

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm is gebaseerd op ISO 27001 en ISO 27002, aangevuld met zorgspecifieke eisen rondom patiëntgegevens, medisch beroepsgeheim, elektronische cliëntdossiers en toegang tot gezondheidsinformatie. NEN 7510 bestaat uit NEN 7510-1 (managementsysteem) en NEN 7510-2 (controls).

NEN 7510 is wettelijk verplicht voor alle zorgaanbieders in Nederland die patiëntgegevens verwerken, op grond van het Besluit elektronische gegevensverwerking door zorgaanbieders. Dat geldt voor ziekenhuizen, huisartsen, tandartsen, apothekers, fysiotherapeuten, GGZ-instellingen, thuiszorg en laboratoria. Ook softwareleveranciers aan de zorg krijgen er mee te maken.

NEN 7510 beschrijft het managementsysteem voor informatiebeveiliging in de zorg. NEN 7512 gaat over vertrouwensbasis bij gegevensuitwisseling tussen zorgverleners. NEN 7513 beschrijft logging van toegang tot elektronische patiëntdossiers (EPD's). Samen vormen ze het Nederlandse normenkader voor zorg-ICT-beveiliging.

ISO 27001 is internationaal en generiek. NEN 7510 is Nederlands en zorgspecifiek: de norm neemt de ISO 27001-structuur over en voegt controls toe rondom medisch beroepsgeheim, BSN-gebruik, autorisatiebeheer in EPD's, back-ups van patiëntgegevens en de relatie met AVG en Wgbo (Wet op de geneeskundige behandelingsovereenkomst).

Toepassen is wettelijk verplicht, certificeren niet. In de praktijk eisen steeds meer opdrachtgevers, verzekeraars en partnerorganisaties wel een NEN 7510-certificaat om aan te tonen dat je voldoet. Zorg-softwareleveranciers die data uitwisselen met ziekenhuizen komen zonder certificaat meestal niet binnen.

Een NEN 7510-traject duurt doorgaans negen tot achttien maanden. Organisaties met ISO 27001 kunnen de NEN 7510-uitbreiding in drie tot zes maanden realiseren. Het traject omvat risicoanalyse, opzet van een ISMS met zorgspecifieke controls, implementatie, interne audit en de tweefase externe certificeringsaudit (stage 1 en stage 2).

NEN 7510 en de AVG vullen elkaar aan. De AVG stelt juridische eisen aan de verwerking van persoonsgegevens; NEN 7510 geeft technische en organisatorische invulling voor zorgdata. Een NEN 7510-gecertificeerde zorgaanbieder toont aantoonbaar aan dat passende technische en organisatorische maatregelen (AVG artikel 32) zijn genomen.

Ja — NEN werkt aan een herziening die inhoudelijk in lijn wordt gebracht met ISO 27001:2022 (Bijlage A met 93 controls in vier thema's). Ook worden eisen rondom BSN-gebruik, datalekken-melding, cloudgebruik en medisch specialistische gegevensuitwisseling aangescherpt. Houd de publicatie bij NEN in de gaten voor de definitieve overgangstermijnen.