NEN 7510: wat betekent de norm voor uw praktijk of apotheek?

Wat is NEN 7510?

NEN 7510 is de norm voor informatiebeveiliging in de zorg. De norm beschrijft hoe een zorgorganisatie ervoor zorgt dat patiëntgegevens beschikbaar zijn wanneer dat nodig is, kloppen en niet in verkeerde handen komen. Zo kunt u op elk moment op uw gegevens vertrouwen en blijft de privacy van de patiënt beschermd.

NEN 7510 bestaat uit twee delen. Deel 1 (NEN 7510-1) gaat over het managementsysteem: hoe u informatiebeveiliging organiseert, risico's beoordeelt en blijft verbeteren. Deel 2 (NEN 7510-2) bevat de maatregelen, zoals toegangsbeheer, back-ups, beveiligde werkplekken en het afhandelen van incidenten.

De norm is gebaseerd op de internationale normen ISO/IEC 27001 en ISO/IEC 27002, met eisen die specifiek zijn voor de zorg. Hij geldt voor alle zorgaanbieders en organisaties in de zorg die gezondheidsgegevens beheren, ongeacht hun omvang: van een solopraktijk tot een GGZ-instelling met tientallen locaties.

Is NEN 7510 verplicht?

Ja. Het Besluit elektronische gegevensverwerking door zorgaanbieders verplicht zorgaanbieders om hun zorginformatiesystemen veilig en zorgvuldig te gebruiken, volgens NEN 7510 en NEN 7512. Werkt u met een HIS, AIS of EPD, dan geldt dat dus ook voor u. De Inspectie Gezondheidszorg en Jeugd (IGJ) houdt toezicht op de informatiebeveiliging in de zorg.

Een certificaat is niet verplicht. U moet aantoonbaar volgens de norm werken, maar of u dat laat toetsen door een certificerende instelling, kiest u zelf. Een certificaat maakt het wel eenvoudiger om aan patiënten, zorggroepen en andere samenwerkingspartners te laten zien dat de beveiliging op orde is.

Dankzij een afspraak tussen het ministerie van VWS en NEN zijn NEN 7510, NEN 7512 en NEN 7513 kosteloos in te zien via de website van NEN.

Wat is er veranderd in NEN 7510:2024?

In december 2024 is de norm herzien. NEN 7510:2024 is afgestemd op de nieuwste versies van ISO/IEC 27001 en ISO/IEC 27002, met aanvullende eisen voor de zorg. Nieuw is ook een overzicht dat per onderdeel van NIS2 laat zien hoe het zich verhoudt tot NEN 7510. Werkt u volgens de nieuwe versie, dan voldoet u daarmee al aan een groot deel van wat de Cyberbeveiligingswet vraagt.

Bent u gecertificeerd volgens de vorige versie? Dan stapt u bij een volgende audit over op de nieuwe norm. Uw certificerende instelling vertelt u welke overgangstermijn voor u geldt.

Wat vraagt NEN 7510 van uw praktijk?

De norm schrijft geen vaste lijst met maatregelen voor. U kijkt zelf welke risico's er in uw praktijk zijn en neemt daar passende maatregelen voor. In de praktijk komt het voor de meeste zorgaanbieders neer op deze onderdelen:

• Een risicoanalyse: welke gegevens en systemen zijn voor uw zorg onmisbaar, en wat kan daar misgaan?

• Beleid en taken: een informatiebeveiligingsbeleid waarin staat wie verantwoordelijk is en wie wat doet.

• Toegangsbeheer: iedere medewerker ziet alleen wat nodig is voor het werk, met tweestapsverificatie en persoonlijke accounts.

• Logging: vastleggen wie wanneer welk dossier heeft ingezien, volgens NEN 7513.

• Back-ups en herstel: back-ups die u regelmatig test, en een plan om na een storing of aanval snel weer te kunnen werken.

• Veilige werkplekken en een veilig netwerk: up-to-date, beveiligd en bewaakt, ook de laptop voor visites en thuiswerk.

• Bewustwording: medewerkers die phishing herkennen en weten wat ze moeten doen als er iets misgaat.

• Incidenten en datalekken: een vaste aanpak, zodat u een datalek op tijd meldt bij de Autoriteit Persoonsgegevens (binnen 72 uur).

• Afspraken met leveranciers: een verwerkersovereenkomst met iedere partij die patiëntgegevens voor u verwerkt, zoals uw ICT-partner.

• Controleren en verbeteren: NEN 7510 is een cyclus, geen eenmalig project. Kijk minstens jaarlijks of uw maatregelen nog passen.

NEN 7510 voor huisartsen, apotheken en GGZ

In de huisartsenpraktijk

In een huisartsenpraktijk draait alles om het HIS en de koppelingen met de apotheek, de zorggroep, de huisartsenpost en het LSP. Let vooral op goed toegangsbeheer voor assistentes, POH's en waarnemers, op logging van wie een dossier inziet, en op een plan voor als het HIS niet bereikbaar is. Zo loopt het spreekuur door, ook als er iets misgaat.

In de apotheek

Een apotheek werkt met medicatiegegevens en veel koppelingen: het AIS, recepten uit het HIS, de groothandel en het LSP. Naast toegangsbeheer en logging gaat het hier vooral om continuïteit. Valt een koppeling uit, dan moet de uitgifte veilig door kunnen, en moet u weten hoe u daarna alles weer rechttrekt.

In de GGZ

GGZ-dossiers horen bij de meest gevoelige gegevens in de zorg, en behandelaren werken vaak op locatie, thuis en onderweg. Veilige toegang op afstand, tweestapsverificatie en goede afspraken over beeldbellen en e-health verdienen daarom extra aandacht.

NEN 7510, ISO 27001 en de Cyberbeveiligingswet

ISO 27001 is de internationale norm voor informatiebeveiliging, voor elke sector. NEN 7510 bouwt daarop voort en voegt eisen toe die passen bij de zorg, waar gegevens op elk moment beschikbaar moeten zijn en tegelijk extra gevoelig zijn. Wie volgens NEN 7510 werkt, heeft de basis van ISO 27001 daarmee ook op orde.

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De wet stelt eisen aan middelgrote en grote organisaties in vitale sectoren, waaronder de zorg. Veel huisartsenpraktijken en apotheken vallen er door hun omvang niet direct onder, maar NEN 7510 geldt voor iedere zorgaanbieder. Werkt u al volgens NEN 7510, dan heeft u een groot deel van wat de wet vraagt al geregeld. Lees wat de Cyberbeveiligingswet voor de eerstelijnszorg betekent.

NEN 7510-checklist: waar begint u?

Weet u niet goed waar u moet beginnen? Met deze acht stappen zet u de basis neer.

1. Breng in kaart welke systemen en gegevens u heeft, en wie er toegang toe heeft.

2. Maak een risicoanalyse en bepaal wat het eerst aandacht nodig heeft.

3. Wijs iemand aan die verantwoordelijk is voor informatiebeveiliging.

4. Regel de technische basis: tweestapsverificatie, updates, beveiligde werkplekken en back-ups die u test.

5. Zorg dat wordt vastgelegd wie welk dossier inziet, en controleer dat ook.

6. Train uw team in het herkennen van phishing en in wat te doen bij een incident.

7. Leg afspraken met leveranciers vast in een verwerkersovereenkomst.

8. Plan een jaarlijkse controle en verbeter wat beter kan.

Hoe Westers helpt

Westers is zelf NEN 7510- en ISO 27001-gecertificeerd. Met MijnVeiligePraktijk richten we de beveiliging van uw praktijk in volgens NEN 7510, met 24/7 monitoring en bewustwording voor uw team. Zo kunt u laten zien dat de beveiliging op orde is.

Wilt u weten waar u staat? Doe de gratis beveiligingscheck, download de whitepaper over NIS2 en NEN 7510 of bel ons op 088 - 87 20 200.