NEN 7513: logging in de zorg en controle op inzage
NEN 7513 is de Nederlandse norm die bepaalt hoe zorginformatiesystemen acties op persoonlijke gezondheidsinformatie vastleggen: wie heeft welk dossier wanneer ingezien, opgevraagd of gewijzigd. Zorgaanbieders en beheerders van uitwisselingssystemen zijn wettelijk verplicht hun logging aan NEN 7513 te laten voldoen. De actuele versie is NEN 7513:2024 en loggegevens bewaar je minimaal vijf jaar.
Dit artikel richt zich op zorgorganisaties tot ongeveer 100 fte en op leveranciers van zorgsoftware. Logging is een onderdeel van je informatiebeveiliging volgens NEN 7510; de samenhang lees je in onze complete gids over NEN 7510 certificering.
Wat regelt NEN 7513?
NEN 7513 geeft een gemeenschappelijk kader voor het loggen van toegang tot en zoekacties op persoonlijke gezondheidsinformatie. Doel is dat al die gebeurtenissen controleerbaar blijven, ook over verschillende systemen en organisaties heen (NEN).
Logging betekent hier: het systeem registreert automatisch elke relevante handeling op een dossier. Het Besluit elektronische gegevensverwerking door zorgaanbieders omschrijft NEN 7513 als de nadere invulling van NEN 7510 voor het vastleggen van acties op elektronische patiëntdossiers. Met die vastlegging kun je achteraf nagaan of iemand een dossier rechtmatig heeft ingezien, en kun je de toegangsbeveiliging verbeteren (nota van toelichting, Staatsblad 2017, 446).
Denk aan het EPD van de huisartsenpraktijk, het ECD in ouderenzorg en wijkverpleging, het behandelsysteem in de GGZ en uitwisselingssystemen.
Welke versie van NEN 7513 is actueel?
De actuele versie is NEN 7513:2024, gepubliceerd per 1 december 2024 met als startdatum 16 december 2024. Deze versie verving NEN 7513:2018 en is kosteloos te downloaden (NEN).
De titel veranderde mee. Waar NEN 7513:2018 sprak over acties op elektronische patiëntdossiers, gaat NEN 7513:2024 over acties op persoonlijke gezondheidsinformatie. In 2020 meldde de minister al dat een herziening werd onderzocht, onder meer om duidelijker te maken of zorgaanbieders of ICT leveranciers verantwoordelijk zijn voor de implementatie (Kamerstuk 27 529, nr. 228).
Op 8 juli 2025 publiceerde NEN de praktijkrichtlijn NPR 7523:2025. Die vertaalt de eisen van NEN 7513 naar praktische handvatten voor zorgaanbieders en leveranciers, met voorbeelden van wat je wel en niet logt en wanneer logging toereikend is (NEN EGIZ). Ook deze richtlijn is kosteloos (NEN).
Juridisch telt de laatste uitgave: artikel 7 van het Besluit elektronische gegevensverwerking door zorgaanbieders verklaart die van toepassing, met een melding van de minister in de Staatscourant over de ingangsdatum.
Wat is de wettelijke basis voor logging in de zorg?
De verplichting om volgens NEN 7513 te loggen staat in artikel 5 van het Besluit elektronische gegevensverwerking door zorgaanbieders. Het recht van de patiënt om de logging in te zien staat in artikel 15e van de Wabvpz. Samen bepalen ze wat je moet vastleggen en wat je aan de patiënt moet kunnen laten zien.
| Regeling | Wat het regelt |
|---|---|
| Besluit elektronische gegevensverwerking door zorgaanbieders, artikel 5 lid 1 | Zorgaanbieders, als verantwoordelijke voor een zorginformatiesysteem, en verantwoordelijken voor een elektronisch uitwisselingssysteem zorgen dat de logging voldoet aan NEN 7513. |
| Hetzelfde besluit, artikel 5 lid 2 | Basis voor het vaststellen van een bewaartermijn voor logging. |
| Besluit vaststelling bewaartermijn logging | Logging wordt ten minste vijf jaar bewaard vanaf het moment dat de logregel wordt geschreven. Geldt sinds 1 september 2019. |
| Wabvpz, artikel 15d | De patiënt krijgt op verzoek elektronisch inzage in of een afschrift van zijn dossier, kosteloos. |
| Wabvpz, artikel 15e | Op verzoek bevat het afschrift wie informatie via een uitwisselingssysteem beschikbaar heeft gesteld en wie informatie heeft ingezien of opgevraagd, steeds met de datum. |
Het inzagerecht in de logging is per 1 juli 2020 aan de Wabvpz toegevoegd (Dirkzwager). Daarnaast blijft het inzagerecht uit de AVG gewoon van toepassing; artikel 15e geldt onverminderd dat recht.
Wat moet je loggen volgens NEN 7513?
Je logt per gebeurtenis welke handeling is uitgevoerd, wanneer, op welk dossier, door welke gebruiker en namens welke verantwoordelijke. Dat geldt voor inzien, opvragen en wijzigen, en ook voor toegang tot de logging zelf.
De nota van toelichting bij het besluit noemt per gebeurtenis deze gegevens:
- de handeling die is uitgevoerd
- het tijdstip
- de cliënt om wiens gegevens het gaat
- de gebruiker die de handeling uitvoerde
- de verantwoordelijke namens wie die gebruiker handelde
Volgens de voortgangsrapportage over de Wabvpz uit 2020 specificeert NEN 7513 welke gebeurtenissen je logt en op welk detailniveau, waaronder toegang tot patiëntgegevens en toegang tot de logging. Het toevoegen van gegevens log je als feit. De inhoud zelf staat in het dossier en hoort niet in de logging.
Controleer bij je leverancier of je uit de logging het overzicht kunt maken dat artikel 15e van de Wabvpz vraagt.
Hoe lang moet je loggegevens bewaren?
Minimaal vijf jaar, gerekend vanaf het moment dat de logregel is geschreven. Die termijn staat in het Besluit vaststelling bewaartermijn logging van 27 juni 2019, dat op 1 september 2019 in werking trad.
Het gaat om een minimum. In april 2026 trok de minister een wetsvoorstel over grensoverschrijdende zorg gelijk met deze termijn van ten minste vijf jaar (Kamerstuk 36 825, nr. 8). Loggegevens zijn geen onderdeel van het medisch dossier (VGN, overzicht bewaartermijnen, augustus 2024). Neem logging apart op in je bewaarbeleid en spreek met je leverancier af waar de logging staat en hoe je die na jaren nog raadpleegt.
Hoe werkt controle op onrechtmatige inzage?
Logging heeft pas effect als iemand de logging regelmatig en gericht bekijkt. Je zet signalen op voor verdachte patronen, doet steekproeven, onderzoekt afwijkingen en spreekt medewerkers aan. Leg vooraf vast wie dat doet, hoe vaak en wat er gebeurt bij een bevinding.
De Autoriteit Persoonsgegevens (AP) heeft hier eerder op gehandhaafd. In 2019 kreeg het HagaZiekenhuis een boete van €460.000 voor de onvoldoende beveiliging van patiëntdossiers (NOS, 16 juli 2019). In 2021 kreeg OLVG een boete van €440.000, onder meer omdat het ziekenhuis onvoldoende controleerde wie welk dossier bekeek (NOS, 11 februari 2021). Het toezicht op de privacykant van deze normen ligt volgens het samenwerkingsprotocol tussen IGJ en AP primair bij de AP (Kamerstuk 27 529, nr. 228). Recente publicaties van IGJ of AP specifiek over loggingcontrole vonden wij niet (oktober 2026).
Het dreigingsbeeld 2024 van Z-CERT, het expertisecentrum voor cybersecurity in de zorg, meldt dat ongeoorloofde inzage door medewerkers regelmatig voorkomt, meestal uit nieuwsgierigheid naar het eigen dossier of dat van bekenden. Organisaties vinden het lastig om de logging volledig te controleren, omdat het om grote hoeveelheden gegevens gaat (Security.NL, 17 februari 2025). Een werkbare aanpak voor een kleinere organisatie:
- Leg in beleid vast dat medewerkers alleen dossiers inzien waarvoor ze een behandelrelatie of andere functionele reden hebben, en dat logging wettelijk verplicht is en door patiënten kan worden opgevraagd.
- Bepaal de signalen waarop je controleert, zoals inzage in het eigen dossier, dossiers van collega’s, cliënten met hetzelfde adres of dezelfde postcode als de medewerker, bekende personen en inzage zonder behandelrelatie.
- Vul dat aan met periodieke steekproeven, zodat ook gedrag buiten de vaste signalen zichtbaar wordt.
- Wijs een vaste functionaris aan die bevindingen beoordeelt, bijvoorbeeld de privacy officer of functionaris gegevensbescherming, en regel wie bij een vermoeden het gesprek voert.
- Betrek de ondernemingsraad en het management bij het opzetten van de controle, zoals Z-CERT adviseert. Loggingcontrole raakt ook de privacy van medewerkers.
- Beoordeel bij elke bevestigde ongeoorloofde inzage of er sprake is van een datalek dat je moet melden, en leg de afhandeling vast.
Wat is de taak van de zorgaanbieder en wat van de leverancier?
De leverancier zorgt dat het systeem volgens NEN 7513 logt en de logging beschikbaar stelt. De zorgaanbieder blijft wettelijk verantwoordelijk dat de logging aan de norm voldoet, en is degene die de logging controleert en patiënten inzage geeft.
NPR 7523:2025 geeft leveranciers concrete specificaties voor loggingfunctionaliteit (NEN EGIZ). Leg als zorgaanbieder bij inkoop en in de verwerkersovereenkomst vast dat het systeem aan NEN 7513:2024 voldoet, welke rapportages en signalen beschikbaar zijn, hoe lang de leverancier de logging bewaart en hoe je een overzicht voor een patiënt maakt.
Hoe verhoudt NEN 7513 zich tot NEN 7510?
NEN 7513 is een uitwerking van NEN 7510 voor één onderwerp: het vastleggen van acties op gezondheidsinformatie. NEN 7510 vraagt dat je logging en monitoring inricht op basis van risico’s, NEN 7513 bepaalt hoe die logging er voor patiëntgegevens uitziet.
Je certificeert tegen NEN 7510 deel 1; een apart certificaat voor NEN 7513 bestaat niet (NEN). Bij een NEN 7510 audit kijkt de auditor wel naar logging en monitoring als beheersmaatregelen. De wijziging van NEN 7510 deel 2 in 2026 heeft de zorgspecifieke aanwijzingen voor monitoring en reactie bij toegang tot gegevens (maatregel 5.34) aangescherpt (NEN, april 2026). Wat er verder veranderde in de nieuwe versie van NEN 7510 lees je in ons artikel over de wijzigingen in NEN 7510:2024 en de overgang.
Wat verandert er door de Europese ruimte voor gezondheidsgegevens?
De Europese verordening voor de ruimte voor gezondheidsgegevens (EHDS) is op 26 maart 2025 in werking getreden en wordt stapsgewijs van toepassing, met belangrijke onderdelen vanaf maart 2029. Een van de rechten van patiënten is inzicht in wie hun gegevens heeft geraadpleegd (Europese Commissie).
NEN 7513 en artikel 15e van de Wabvpz blijven het vertrekpunt. Een systeem dat nu al een helder overzicht per patiënt maakt, staat er straks beter voor.
Veelgestelde vragen
Is NEN 7513 verplicht?
Ja, voor zorgaanbieders met een zorginformatiesysteem en voor beheerders van een elektronisch uitwisselingssysteem. Artikel 5 van het Besluit elektronische gegevensverwerking door zorgaanbieders verplicht hen om de logging te laten voldoen aan NEN 7513.
Hoe lang moet ik loggegevens bewaren?
Minimaal vijf jaar, gerekend vanaf het moment dat de logregel wordt geschreven. Dat staat in het Besluit vaststelling bewaartermijn logging, dat sinds 1 september 2019 geldt.
Mag een patiënt de logging van zijn dossier opvragen?
Ja. Op grond van artikel 15e van de Wabvpz kan een patiënt vragen om in het elektronische afschrift op te nemen wie informatie beschikbaar heeft gesteld, wie informatie heeft ingezien of opgevraagd, en op welke datum. Het elektronische afschrift is kosteloos.
Kan ik me laten certificeren tegen NEN 7513?
Nee. Certificering is alleen mogelijk tegen NEN 7510 deel 1. Een auditor zal bij een NEN 7510 audit wel kijken hoe je logging en de controle daarop hebt ingericht.
Is logging alleen een taak van mijn softwareleverancier?
Nee. De leverancier zorgt dat het systeem goed logt. De zorgaanbieder blijft wettelijk verantwoordelijk dat de logging aan NEN 7513 voldoet en regelt dat iemand de logging ook daadwerkelijk controleert.
Logging op orde brengen
Wil je weten of jouw logging en de controle daarop voldoen aan NEN 7513 en aan wat een NEN 7510 auditor verwacht? Op onze pagina over begeleiding bij NEN 7510 lees je hoe Novins zorgorganisaties helpt met een werkbare opzet voor loggingcontrole die past bij de omvang van je organisatie.
Bronnen
- NEN: NEN 7513:2024 nl, productpagina (publicatie 1 december 2024, geraadpleegd 27-10-2026)
- NEN: NEN 7513:2018 nl, productpagina (geraadpleegd 27-10-2026)
- NEN: NEN 7513:2023 Ontw. nl, productpagina (geraadpleegd 27-10-2026)
- NEN: NPR 7523:2025 nl, productpagina (publicatie 1 juli 2025, geraadpleegd 27-10-2026)
- NEN EGIZ: Nieuwe praktijkrichtlijn NPR 7523 gepubliceerd (8 juli 2025)
- NEN: Informatiebeveiliging in de zorg (NEN 7510) (geraadpleegd 27-10-2026)
- NEN: presentatie NEN 7510 (april 2026) (april 2026)
- Besluit elektronische gegevensverwerking door zorgaanbieders (wetten.overheid.nl) (geldend vanaf 1 oktober 2020, geraadpleegd 27-10-2026)
- Staatsblad 2017, 446: Besluit elektronische gegevensverwerking door zorgaanbieders met nota van toelichting (28 november 2017)
- Besluit vaststelling bewaartermijn logging (wetten.overheid.nl) (27 juni 2019, geraadpleegd 27-10-2026)
- Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (wetten.overheid.nl) (versie geldend vanaf 5 juli 2025, geraadpleegd 27-10-2026)
- Kamerstuk 27 529, nr. 228: voortgangsrapportage Wabvpz (14 december 2020)
- Kamerstuk 36 825, nr. 8: nota van wijziging Wabvpz (24 april 2026)
- NOS: Hoge boete voor Haga ziekenhuis (16 juli 2019)
- NOS: 440.000 euro boete voor OLVG vanwege onvoldoende beveiliging medische dossiers (11 februari 2021)
- Security.NL: Geregeld ongeoorloofde inzage in patiëntendossiers Nederlandse zorg (over het Z-CERT dreigingsbeeld 2024) (17 februari 2025)
- Dirkzwager: Per 1 juli 2020 nieuwe rechten en verplichtingen met betrekking tot het elektronisch patiëntendossier (geraadpleegd 27-10-2026)
- VGN: Overzicht veel voorkomende bewaartermijnen in de gehandicaptenzorg (augustus 2024)
- Europese Commissie: Verordening Europese ruimte voor gezondheidsgegevens (EHDS) (geraadpleegd 27-10-2026)
