Je levert aan de zorg en krijgt NEN 7510-vragen
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zorgaanbieders moeten eraan voldoen, en vragen daarom ook hun leveranciers om aan te tonen dat ze het geregeld hebben. Je krijgt vragen over certificering, toegang tot patiëntgegevens, logging volgens NEN 7513, veilige uitwisseling volgens NEN 7512 en waar de gegevens staan. Een certificaat is niet altijd verplicht, bewijs wel.
Lever je software, hosting of IT-diensten aan een ziekenhuis, ggz-instelling, huisartsenpraktijk of andere zorgorganisatie? Dan krijg je vroeg of laat vragen over NEN 7510. Volgens NEN wordt in aanbestedingen regelmatig van leveranciers gevraagd om aan deze norm te voldoen.
Waarom je deze vragen krijgt
Zorgaanbieders moeten op grond van het Besluit elektronische gegevensverwerking door zorgaanbieders voldoen aan NEN 7510, NEN 7512 en NEN 7513. Werken ze met jouw software of diensten, dan moeten ze kunnen laten zien dat ook dat deel goed geregeld is. NEN zegt daarover: de organisatie die software gebruikt, stelt eisen op en de leverancier moet aantonen dat de software daaraan voldoet.
De drie normen in het kort
| Norm | Waar het over gaat | Wat je als leverancier gevraagd wordt |
|---|---|---|
| NEN 7510 | Informatiebeveiliging in de zorg, gebaseerd op ISO 27001 | Ben je gecertificeerd? Zo niet, hoe heb je de maatregelen geregeld? |
| NEN 7512 | De vertrouwensbasis voor gegevensuitwisseling | Hoe stel je vast wie er inlogt en met wie gegevens worden uitgewisseld? |
| NEN 7513 | Logging van acties op elektronische patiëntdossiers | Leg je vast wie welk dossier wanneer heeft bekeken of gewijzigd, en kan de klant dat inzien? |
NEN 7512 en NEN 7513 vullen NEN 7510 aan. Je kunt er volgens NEN niet los tegen certificeren.
De nieuwe versie: NEN 7510:2024
Eind 2024 is een herziene NEN 7510 verschenen. Volgens Kiwa sluit die beter aan op ISO 27001:2022, is de indeling veranderd naar vier thema's (mens, fysiek, technologie en organisatie) en is de toelichting in NEN 7510-2 niet langer vrijblijvend. Wie nog een certificaat op de oude versie heeft, moet volgens Kiwa vóór 20 februari 2027 zijn overgestapt. Een klant kan dus vragen naar welke versie je werkt.
Vragen die je kunt verwachten
- Ben je NEN 7510- of ISO 27001-gecertificeerd, en wat valt binnen de scope?
- Waar staan de gegevens, en welke subverwerkers gebruik je?
- Hoe log je toegang tot patiëntgegevens, hoe lang bewaar je die logging en kan de klant hem opvragen?
- Hoe sterk is de authenticatie voor zorgverleners en voor je eigen beheerders?
- Gebruik je echte patiëntgegevens in test- of ontwikkelomgevingen?
- Hoe snel meld je een datalek of incident aan de zorginstelling?
- Hoe zijn back-ups, uitwijk en continuïteit geregeld?
Zo pak je het aan
- Wees duidelijk over je certificering. Heb je geen NEN 7510-certificaat, zeg dat dan, en laat zien welke maatregelen je wel hebt. Zie vragenlijst zonder certificaat.
- Zorg dat logging aantoonbaar is. Een voorbeeld van een logregel en je bewaartermijn zeggen meer dan “wij loggen alles”.
- Breng je keten in kaart. Hosting, back-up, e-mail, monitoring: welke partijen zien patiëntgegevens?
- Stem af met de verwerkersovereenkomst. Meldtermijnen en bewaartermijnen moeten in beide hetzelfde zijn.
- Benoem open punten met een plan. Zorginstellingen werken vaak met actieplannen. Een eerlijk plan helpt meer dan een te mooi antwoord.
Hoe Holdvero helpt
Wij vullen de NEN 7510- of securityvragenlijst van je zorgklant in op basis van je eigen documentatie, met een bron bij elk antwoord en open punten waar bewijs ontbreekt. Tot 150 vragen: Questionnaire Rescue, €695. Een aanbesteding of groot portaal valt onder de complexe vragenlijst. Holdvero levert geen NEN 7510-certificering en geen juridisch advies.
Veelgestelde vragen
Moet ik als leverancier NEN 7510-gecertificeerd zijn?
Niet altijd. Het hangt af van je klant en de aanbesteding. Een certificaat is het sterkste bewijs, maar veel zorginstellingen accepteren ook ISO 27001 of goed onderbouwde antwoorden met een plan.
Is ISO 27001 genoeg voor de zorg?
Het is een goede basis, want NEN 7510 is erop gebaseerd. NEN 7510 voegt zorgspecifieke eisen toe. Laat zien hoe je die hebt geregeld, bijvoorbeeld logging volgens NEN 7513.
Wat is NEN 7513?
De norm voor logging van acties op elektronische patiëntdossiers: wie heeft wanneer welk dossier bekeken of gewijzigd. Verwerkt jouw software patiëntgegevens, dan krijg je hier bijna zeker vragen over.
Geldt dit ook voor Belgische zorginstellingen?
NEN 7510 is een Nederlandse norm. Belgische zorginstellingen stellen vergelijkbare vragen, vaak vanuit NIS2 en CyberFundamentals.
Hulp nodig bij een NEN 7510-vragenlijst?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan