NEN 7510 is onder de Cyberbeveiligingswet de norm waaraan een zorginstelling haar securitymaatregelen toetst. Wat er echt verandert, is de reikwijdte: niet alleen je zorginformatiesystemen, maar al je netwerk- en informatiesystemen moeten nu aantoonbaar voldoen.
Dat lijkt een kleine verschuiving. Voor veel ziekenhuizen, ggz-instellingen en VVT-organisaties is het een flinke uitbreiding van het werk aan hun ISMS.
Wat de Cyberbeveiligingsregeling voor de zorg regelt
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Een dag eerder verscheen de Cyberbeveiligingsregeling voor de zorg in de Staatscourant. Die regeling werkt de wet uit voor de sector gezondheidszorg en voor fabrikanten van medische hulpmiddelen en IVD-hulpmiddelen.
De kern staat in artikel 2.1. De maatregelen die de wet vraagt voor risicobeheer moeten aantoonbaar voldoen aan NEN 7510. Je mag ook NEN-ISO/IEC 27001 en 27002 gebruiken, of laten zien dat je een gelijkwaardig beschermingsniveau hebt. De Inspectie Gezondheidszorg en Jeugd (IGJ) is de toezichthouder.
Kleine organisaties vallen er in de regel buiten. De toelichting noemt de grens: minder dan 50 fte en een jaaromzet of balanstotaal onder de 10 miljoen euro. Twijfel je of je eronder valt, dan is dat de eerste vraag om uit te zoeken. Wie eronder valt, moet zich ook registreren in het entiteitenregister van het NCSC.
NEN 7510 gold toch al voor de zorg?
Ja, maar voor een kleiner stuk van je organisatie. De Wabvpz verwijst via het Besluit elektronische gegevensverwerking door zorgaanbieders al jaren naar NEN 7510. Die plicht gaat over het beheer, de beveiliging en het gebruik van zorginformatiesystemen.
De toelichting bij de nieuwe regeling zegt het verschil zelf. De Wabvpz gaat over uitwisselingssystemen en zorginformatiesystemen. De zorgplicht uit de Cyberbeveiligingswet gaat over alle netwerk- en informatiesystemen, en noemt het HR-systeem als voorbeeld.
Daar zit het werk. Veel zorginstellingen hebben hun ISMS rond het EPD en de koppelingen met ketenpartners gebouwd. Ik zou nu ook kijken naar het roostersysteem, de financiële administratie, de telefonie en het gebouwbeheer. Elk van die systemen moet in je risicoanalyse, met maatregelen die je kunt aantonen.
Een certificaat is niet verplicht, bewijs wel
Certificering is geen eis. De toelichting zegt dat een certificaat laat zien dat je aan de norm voldoet, maar dat het niet verplicht is. Je moet wel bewijsmiddelen kunnen aanleveren als de IGJ erom vraagt.
Mijn advies: lees "aantoonbaar" streng. Een beleidsdocument is geen bewijs. Een ingevulde risicoanalyse per systeem, een verklaring van toepasselijkheid, auditverslagen en notulen van het management dat besluiten nam, dat wel. Een certificaat met een te smalle scope helpt je hier maar half. Het laat zien dat je ISMS voor het EPD werkt, niet dat je HR-omgeving goed beveiligd is.
Twee deadlines die op elkaar stapelen
Er speelt nog iets. NEN 7510 is herzien: de versie 2024 verscheen op 16 december 2024. Bestaande certificaten moeten uiterlijk 20 februari 2027 zijn omgezet naar NEN 7510:2024.
Wie gecertificeerd is, heeft dus in dezelfde maanden twee klussen. De scope verbreden voor de Cyberbeveiligingswet, en de overstap naar de nieuwe normversie afronden. Plan het als één traject, dan is het goed te combineren. NEN 7510-2 heeft een bijlage met een koppeling naar de NIS2-eisen. Daarmee zie je snel waar je al staat.
Ik verwacht dat ervaren NEN 7510-specialisten de komende maanden schaars worden. Iedere zorginstelling die onder de wet valt, kijkt naar hetzelfde soort werk, en vaak met dezelfde deadline in februari.
Welk profiel heb je hiervoor nodig?
Mijn mening: begin bij informatiebeveiliging en governance, niet bij extra monitoring. Veel organisaties grijpen bij nieuwe wetgeving naar een extra SOC-analist of een duurdere detectietool. Dat is nuttig, maar het lost de vraag van de IGJ niet op. Die gaat over een werkend managementsysteem dat je hele organisatie dekt.
Voor die inhaalslag zie ik drie rollen terugkomen:
- Een NEN 7510-specialist of ISMS-implementer die de scope herziet, de risicoanalyses voor de nieuwe systemen begeleidt en de overstap naar de versie 2024 regelt.
- Een security officer of CISO die het bestuur meeneemt. De restrisico's op die nieuwe systemen moet iemand in bestuurstaal kunnen uitleggen, zodat de raad van bestuur er bewust een besluit over neemt.
- Een GRC-specialist die het bewijs op orde houdt: wie besloot wat, welke maatregel werkt, waar de afwijkingen zitten.
Die eerste rol is vaak tijdelijk. Het inrichten kost een paar maanden intensief werk, daarna kan het eigen team het bijhouden. Een interim specialist met zorgervaring is daar een logische keuze. Iemand die NEN 7510 al eens in een ziekenhuis heeft verbreed, weet waar de weerstand zit en welke afdelingen je vroeg moet betrekken. Meer over de rollen rond NIS2-compliance lees je in NIS2-compliance aantonen: welk talent heb je nodig?
Vergeet de meldplicht niet
De regeling bevat ook drempels voor wanneer een cyberincident significant is en je moet melden. Z-CERT voert de CSIRT-taken voor de zorg uit. De formele aanwijzing liep in augustus nog, in afwachting van advies van de Algemene Rekenkamer, maar Z-CERT blijft ondersteunen. Zorg dat je meldprocedure en de contactgegevens kloppen voordat je ze nodig hebt. Hoe je de eerste dagen van een incident organiseert, lees je in incident response retainer of interim DFIR-specialist?
Hulp nodig bij de inhaalslag?
We zoeken voor zorginstellingen interim en vaste securityprofessionals, van NEN 7510-specialist tot CISO. Kijk op onze pagina over cybersecurity in de gezondheidszorg of op GRC en compliance welke profielen we leveren.
Wil je weten wie er nu beschikbaar is voor een NEN 7510-traject? Bel of mail me via de contactpagina.
