Door Bram van de Berg
Wie patiëntgegevens in een computersysteem bewaart, moet die beveiligen volgens NEN 7510. Dat geldt voor een ziekenhuis net zo goed als voor een praktijk met één behandelaar.
Drie normen, drie onderwerpen
- NEN 7510
- Hoe een zorgorganisatie informatiebeveiliging organisatorisch en technisch inricht.
- NEN 7512
- Wat er nodig is om gegevens veilig uit te wisselen met een andere partij.
- NEN 7513
- Het vastleggen van wie wat doet in een elektronisch patiëntendossier: de logging.
NEN 7512 en NEN 7513 zijn aanvullingen op NEN 7510. Je kunt je er niet los op laten certificeren.
NEN 7510 en ISO 27001
NEN 7510 is de zorgversie van de internationale normen voor informatiebeveiliging. Deel 1 komt overeen met ISO 27001 en beschrijft het managementsysteem. Deel 2 bevat de maatregelen, met extra eisen voor de zorg. De norm is in december 2024 herzien en sluit sindsdien aan op de nieuwste ISO-versies en op de Europese regels voor cyberbeveiliging.
Is NEN 7510 verplicht?
Ja. Het staat in een besluit bij de wet: een zorgaanbieder zorgt ‘overeenkomstig NEN 7510 en NEN 7512’ voor veilig gebruik van zijn informatiesysteem, en de logging moet voldoen aan NEN 7513.
Dat geldt voor elke zorgaanbieder die persoonsgegevens in een zorginformatiesysteem verwerkt, ook voor kleine praktijken en eenmanszaken.
Moet je gecertificeerd zijn?
Nee. Voldoen is verplicht, een certificaat niet. De inspectie verwacht wel dat je kunt laten zien dat je beveiliging werkt, en dat je die minstens eens per drie jaar onafhankelijk laat beoordelen. Dat mag door een eigen auditor, een externe specialist of een collega-organisatie.
Wie toch een certificaat wil, gaat naar een certificerende instelling die daarvoor een overeenkomst met NEN heeft. NEN certificeert zelf niet. Bestaande certificaten moeten vóór 20 februari 2027 zijn omgezet naar de versie van 2024. Vaste prijzen zijn er niet; elke instelling hanteert eigen tarieven.
Wat betekent het voor een kleine praktijk?
De inspectie raadt aan klein te beginnen:
- Breng per stroom gegevens de risico’s in kaart: het dossier, het medicatieoverzicht, de uitwisseling met anderen.
- Neem maatregelen die daarbij passen.
- Leg vast wat je hebt gedaan.
- Kijk er regelmatig opnieuw naar en verbeter.
Dat je leverancier zegt volgens NEN 7510 te werken, is niet genoeg. De zorgaanbieder blijft zelf verantwoordelijk, moet eisen in het contract zetten en de dienstverlening beoordelen.
Wie controleert het?
Twee toezichthouders. De Inspectie Gezondheidszorg en Jeugd let op de kwaliteit en de beschikbaarheid van zorg. De Autoriteit Persoonsgegevens let op de bescherming van persoonsgegevens en kan daarbij aan NEN 7510 toetsen.
Dat blijft niet bij papier:
- In 2019 kreeg een ziekenhuis in Den Haag een boete van 460.000 euro omdat patiëntendossiers intern onvoldoende waren beveiligd. De rechter verlaagde die later naar 350.000 euro.
- In 2021 kreeg een ziekenhuis in Amsterdam 440.000 euro boete omdat het te weinig deed tegen onbevoegd meekijken in dossiers.
- Eind 2025 kondigde de toezichthouder steekproeven aan bij zorgaanbieders. Uit zorg en welzijn kwamen in 2024 ruim 6.800 meldingen van datalekken.
Waar lees je de normen?
Gratis. Het ministerie van VWS heeft met NEN afgesproken dat NEN 7510, 7512 en 7513 kosteloos te raadplegen zijn. Je maakt daarvoor een account aan bij NEN Connect.