In het kort
- NEN 7510 is voor zorgaanbieders al verplicht via de Wabvpz, maar alleen voor zorginformatiesystemen en elektronische uitwisselingssystemen.
- De Cyberbeveiligingswet (Nederlandse uitwerking van NIS2) geldt voor alle netwerk- en informatiesystemen die u nodig heeft voor uw zorgverlening, dus ook bijvoorbeeld HR-systemen.
- De Cyberbeveiligingsregeling voor de zorg bepaalt dat u aan de maatregelen van de zorgplicht voldoet als u aantoonbaar voldoet aan NEN 7510, aan ISO 27001 en ISO 27002, of aan een gelijkwaardig beschermingsniveau. Voor zorgaanbieders is NEN 7510 de aangewezen route.
- Certificering is niet verplicht. U moet het wel kunnen aantonen.
- Wat NEN 7510 niet regelt: de meldplicht voor significante incidenten, de registratie bij het NCSC en de bredere scope van de wet. Toezicht ligt bij de IGJ.
Twee regimes naast elkaar
Zorgaanbieders hebben sinds augustus 2026 met twee wettelijke kaders te maken die elkaar overlappen, maar niet hetzelfde zijn.
De Wabvpz en NEN 7510. Op grond van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en het Besluit elektronische gegevensverwerking door zorgaanbieders moeten zorgaanbieders voldoen aan NEN 7510. Die verplichting richt zich op elektronische uitwisselingssystemen en zorginformatiesystemen, zoals het EPD.
De Cyberbeveiligingswet. De Cbw is de Nederlandse uitwerking van de NIS2-richtlijn en geldt sinds 15 augustus 2026. Essentiële en belangrijke entiteiten in de zorg krijgen daarmee een zorgplicht, een meldplicht en een registratieplicht. De zorgplicht gaat over de beveiliging van alle netwerk- en informatiesystemen die de organisatie gebruikt voor haar dienstverlening.
De wetgever heeft bewust gekozen om beide kaders op elkaar te laten aansluiten. In de toelichting bij de Cyberbeveiligingsregeling voor de zorg staat dat NEN 7510 in 2024 is herzien om beter aan te sluiten bij de eisen uit de NIS2-richtlijn, en dat de regeling daarom op NEN 7510 aansluit om dubbele lasten te voorkomen.
Wat zegt de Cyberbeveiligingsregeling voor de zorg?
De minister heeft de zorgplicht voor de sector gezondheidszorg nader ingevuld in de Cyberbeveiligingsregeling voor de zorg (Staatscourant 2026, nr. 28763). Artikel 2.1 bepaalt dat een entiteit voor de maatregelen uit de zorgplicht:
- aantoonbaar voldoet aan het bepaalde in NEN 7510;
- aantoonbaar voldoet aan ISO 27001 en ISO 27002; of
- aantoonbaar een gelijkwaardig beschermingsniveau heeft.
Welke route voor u geldt, hangt af van wie u bent. Zorgaanbieders moeten via de Wabvpz al aan NEN 7510 voldoen, en volgens de toelichting ligt het in de lijn der verwachting dat zij die norm ook voor de Cbw hanteren. Voor hen is NEN 7510 dus de invulling van de zorgplicht. Andere entiteiten in de sector, zoals fabrikanten van medische hulpmiddelen, hoeven niet aan NEN 7510 te voldoen, omdat die norm is toegespitst op de zorg zelf. Zij kunnen kiezen voor ISO 27001 met ISO 27002 of een gelijkwaardig niveau.
Het woord dat telt, is aantoonbaar. Volgens de toelichting betekent dat dat u bewijsmiddelen kunt aanleveren waaruit blijkt dat u aan de norm voldoet. Een certificaat toont dat aan, maar is geen vereiste. De bewijslast ligt bij de organisatie zelf. Waar de regeling naar NEN 7510 verwijst, gaat het om NEN 7510-1 (het normatieve kader) én NEN 7510-2 (de toelichting op de maatregelen) samen.
Kan ik ISO 27001 en NEN 7510 combineren?
Ja. NEN 7510 is opgebouwd op dezelfde structuur als ISO 27001 en ISO 27002 en voegt daar zorgspecifieke eisen aan toe. Veel organisaties richten één managementsysteem in dat aan beide voldoet. Voor zorgaanbieders is NEN 7510 de aangewezen norm: zij moeten er via de Wabvpz al aan voldoen. Een ISO 27001-certificaat kunt u daarnaast gebruiken, bijvoorbeeld richting klanten buiten de zorg. Voor fabrikanten van medische hulpmiddelen en andere entiteiten in de sector is ISO 27001 met ISO 27002 juist de logische route.
De verschillen op een rij
| NEN 7510 via Wabvpz | Cyberbeveiligingswet | |
|---|---|---|
| Voor wie | Zorgaanbieders | Essentiële en belangrijke entiteiten in de gezondheidszorg en fabrikanten van medische hulpmiddelen |
| Scope | Zorginformatiesystemen en elektronische uitwisselingssystemen | Alle netwerk- en informatiesystemen die nodig zijn voor de dienstverlening |
| Maatregelen | NEN 7510 | NEN 7510, ISO 27001 en 27002, of gelijkwaardig |
| Meldplicht | Niet vanuit de norm | Significante incidenten melden bij het CSIRT |
| Registratie | Niet van toepassing | Registreren bij het NCSC |
| Toezicht | IGJ | IGJ |
Waar het in de praktijk misgaat: de scope
Het grootste verschil zit niet in de norm, maar in de reikwijdte. Veel zorgorganisaties hebben hun NEN 7510-aanpak ingericht rond het EPD en de systemen waarin patiëntgegevens staan. Dat volstond voor de Wabvpz. De Cbw kijkt breder: alle netwerk- en informatiesystemen die u nodig heeft om zorg te leveren, vallen onder de zorgplicht. De toelichting noemt zelf HR-systemen als voorbeeld.
Denk daarbij ook aan:
- roostering, planning en personeelssystemen;
- netwerken waarop medische apparatuur en gebouwbeheer draaien;
- telefonie, e-mail en samenwerkingsomgevingen;
- systemen en diensten van leveranciers waarop u voor uw zorgverlening leunt.
Wie NEN 7510 al goed op orde heeft, hoeft dus geen nieuw stelsel te bouwen. Wel moet de scope van het managementsysteem, de risicoanalyse en de Verklaring van Toepasselijkheid worden verbreed naar alles wat voor de continuïteit van de zorg nodig is.
De meldplicht: wanneer is een incident significant?
NEN 7510 vraagt om incidentbeheer, maar regelt niet wanneer u een incident aan de overheid moet melden. Dat doet de Cbw. De regeling voor de zorg noemt vijf drempelwaarden. Wordt aan één daarvan voldaan, dan is het incident significant en moet u het melden:
Een kritisch bedrijfsproces ligt langer dan vier uur geheel of gedeeltelijk stil.
Netwerk- en informatiesystemen die cruciaal zijn voor de dienstverlening zijn gecompromitteerd of vernietigd.
De integriteit, vertrouwelijkheid of beschikbaarheid van bedrijfsgevoelige informatie is aangetast.
De vertrouwelijkheid van bijzondere persoonsgegevens of BSN-nummers is aangetast door een vermoedelijk kwaadwillende handeling.
Er is sprake van blijvend letsel, ziekenhuisopname of overlijden van een persoon.
Een paar punten uit de toelichting die in de praktijk vaak verrassen:
- U bepaalt zelf welke processen kritisch zijn. Zonder een actuele inventarisatie van kritische processen en systemen kunt u de vierurengrens niet toepassen.
- Ook het langer dan vier uur draaien op noodprocedures kan als gedeeltelijke verstoring gelden.
- Een bijna-incident dat u binnen 24 uur succesvol heeft voorkomen, is niet meldplichtig.
- Eén incident kan meerdere meldingen opleveren: bij het CSIRT onder de Cbw, bij de Autoriteit Persoonsgegevens als datalek en bij de IGJ als calamiteit onder de Wkkgz.
- Na een melding vraagt de regeling in het eindverslag onder meer hoe uw risicoanalyse, uw continuïteitsplan en de afspraken met leveranciers hebben gewerkt.
Valt uw organisatie onder de Cbw?
Voor de definitie van zorgaanbieder sluit de regeling aan bij de Wet kwaliteit, klachten en geschillen zorg (Wkkgz). Organisaties die alleen jeugdhulp of maatschappelijke ondersteuning bieden, vallen daardoor niet onder de Cbw. Fabrikanten van medische hulpmiddelen vallen er ongeacht hun omvang wel onder, als belangrijke entiteit. Voor de overige zorgaanbieders hangt het af van omvang en type dienstverlening. Twijfelt u, lees dan ons artikel over de registratieplicht onder de Cyberbeveiligingswet.
Valt u er niet direct onder, dan kunt u er toch mee te maken krijgen. Ziekenhuizen en grote zorgorganisaties die wel onder de wet vallen, stellen steeds vaker eisen aan hun leveranciers en ketenpartners.
Wat vraagt de auditor bij een NEN 7510-audit?
Een auditor beoordeelt bij NEN 7510 hetzelfde als bij ISO 27001: is het managementsysteem compleet, sluit de risicoanalyse aan op de scope, zijn de keuzes in de Verklaring van Toepasselijkheid onderbouwd en worden de maatregelen aantoonbaar uitgevoerd? Daarbovenop let de auditor op zorgspecifieke onderwerpen, zoals toegang tot patiëntgegevens, logging van inzage in dossiers en afspraken met leveranciers van zorgsystemen. Met de Cbw komt daar de vraag bij of de scope breed genoeg is en of het incidentproces de meldplicht ondersteunt. In ons artikel over de voorbereiding op een ISO 27001 interne audit leest u welke documenten u op orde moet hebben. Dat geldt één op één voor NEN 7510.
Vijf stappen om van NEN 7510 naar Cbw-proof te gaan
- Bepaal of u onder de Cbw valt en registreer uw organisatie bij het NCSC.
- Breng uw kritische processen en systemen in kaart, niet alleen die met patiëntgegevens.
- Verbreed de scope van uw NEN 7510-managementsysteem, de risicoanalyse en de Verklaring van Toepasselijkheid.
- Richt het meldproces in met de vijf drempelwaarden, de vierurengrens en de samenloop met de AP en de IGJ.
- Zorg dat u het kunt aantonen. Laat de werking periodiek onafhankelijk toetsen, ook als u niet certificeert.
Wilt u weten hoe NEN 7510 zich verhoudt tot ISO 27001, SOC 2 en BIO 2.0? Lees dan ook ons overzicht van normenkaders en NIS2.
Bron: Cyberbeveiligingsregeling voor de zorg, Staatscourant 2026, nr. 28763, inclusief toelichting.
Weten of uw NEN 7510-aanpak Cbw-proof is?
Assurency voert interne audits en nulmetingen uit op NEN 7510 en ISO 27001, inclusief de toets op de bredere scope en de meldplicht uit de Cyberbeveiligingswet.
Meer over de interne audit NEN 7510 →Vragen over NEN 7510 en de Cbw?
Plan een vrijblijvende kennismaking. Wij nemen binnen één werkdag contact met u op.
Stuur een bericht