NEN 7510:2024: wat verandert er en hoe regel je de overgang?
NEN 7510:2024 is de herziene Nederlandse norm voor informatiebeveiliging in de zorg, gepubliceerd op 16 december 2024 in twee delen: deel 1 met de eisen aan het managementsysteem en deel 2 met de beheersmaatregelen. De norm volgt nu ISO/IEC 27001:2022 en ISO/IEC 27002:2022 en voegt daar zorgspecifieke maatregelen aan toe. Ben je gecertificeerd tegen de versie uit 2017, dan moet je certificaat uiterlijk 20 februari 2027 zijn omgezet naar NEN 7510:2024.
Dit artikel richt zich op zorgorganisaties tot ongeveer 100 fte en op leveranciers aan de zorg. De basis van NEN 7510 en het volledige implementatietraject lees je in onze complete gids over NEN 7510 certificering.
Wat is er veranderd in NEN 7510:2024 ten opzichte van NEN 7510:2017?
De norm is herschreven op basis van ISO/IEC 27001:2022, ISO/IEC 27002:2022 en de herziening van ISO 27799, de internationale norm voor informatiebeveiliging in de zorg. Daardoor veranderen de indeling van de maatregelen, enkele eisen aan het managementsysteem en de verwijzingen naar wetgeving.
De vorige versie heette voluit NEN 7510-1:2017+A1:2020 en is volgens NEN per 1 december 2024 ingetrokken. Volgens het voorwoord van NEN 7510-1:2024 verwerkt de nieuwe uitgave drie dingen: de wijzigingen in ISO/IEC 27001, de wijzigingen in het ontwerp van ISO 27799 en nieuwe wet en regelgeving. Bijlage B van deel 1 bevat een vergelijking met de vorige versie. Die bijlage is een handig startpunt voor je gapanalyse.
| Onderdeel | NEN 7510:2017 | NEN 7510:2024 |
|---|---|---|
| Basis | ISO/IEC 27001:2013 en ISO/IEC 27002:2013 | ISO/IEC 27001:2022, ISO/IEC 27002:2022 en ISO 27799 |
| Deel 1 | Managementsysteem | Managementsysteem, eisen in hoofdstuk 4 tot en met 10 zonder uitsluitingen, normatieve bijlage A met zorgspecifieke maatregelen |
| Deel 2 | Beheersmaatregelen | Beheersmaatregelen in vier thema’s, aangevuld met zorgspecifieke richtlijnen; in 2026 gewijzigd tot NEN 7510-2:2024+A1:2026 |
| Indeling maatregelen | 14 hoofdstukken, 35 beheersdoelstellingen, 114 maatregelen | 4 thema’s: organisatorisch, mensgericht, fysiek en technologisch, zonder beheersdoelstellingen |
| Wetgeving | Verwijzingen naar wetgeving van dat moment | Bijlage met Nederlandse en Europese wet en regelgeving; in 2026 bijgewerkt naar de Cyberbeveiligingswet |
Hoe sluit NEN 7510:2024 aan op ISO/IEC 27001:2022 en ISO/IEC 27002:2022?
Deel 1 volgt de eisen van ISO/IEC 27001:2022 en deel 2 combineert ISO/IEC 27002:2022 met ISO 27799. Wie al met ISO/IEC 27001:2022 werkt, herkent de structuur dus direct.
Volgens NEN kent ISO/IEC 27002:2022 vier thema’s: organisatorisch (37), mensgericht (8), fysiek (14) en technologisch (34), samen 93 maatregelen. De versie uit 2013 had er 114, verdeeld over 14 hoofdstukken. In deel 1 zie je de nieuwe eisen uit ISO/IEC 27001:2022 terug, onder meer over de context van de organisatie, doelstellingen, het plannen van wijzigingen, communicatie, operationele planning en het monitoren en evalueren van prestaties. In hoofdstuk 4 moet je bovendien bepalen of klimaatverandering voor je organisatie relevant is.
Een belangrijk punt voor de praktijk is de status van deel 2. Deel 1 bevat eisen, deel 2 bevat aanbevelingen. Voor de zorgspecifieke richtlijnen in deel 2 geldt het principe pas toe of leg uit: je volgt de richtlijn, of je beschrijft waarom je afwijkt en hoe je het doel van de maatregel op een andere manier bereikt. Dat leg je vast in je verklaring van toepasselijkheid, het overzicht van maatregelen dat je wel of niet toepast (NEN 7510-1:2024; Kiwa, 19 december 2024).
Welke maatregelen zijn nieuw of samengevoegd?
De 114 maatregelen uit 2013 zijn samengevoegd en herschikt tot 93, waarvan 11 helemaal nieuw zijn. Daarbovenop bevat NEN 7510:2024 zorgspecifieke aanvullingen.
De 11 nieuwe maatregelen uit ISO/IEC 27002:2022 zijn (DQS, 8 mei 2022):
- informatie over dreigingen (threat intelligence)
- informatiebeveiliging bij het gebruik van clouddiensten
- ICT paraatheid voor bedrijfscontinuïteit
- bewaking van fysieke beveiliging
- configuratiebeheer
- verwijderen van informatie
- maskeren van gegevens
- voorkomen van gegevenslekken
- monitoren van activiteiten
- webfiltering
- veilig programmeren
Volgens Kiwa zijn in NEN 7510:2024 daarnaast 14 algemene ISO maatregelen voor de zorg aangepast en 8 zorgspecifieke maatregelen toegevoegd. NEN noemt als nieuwe maatregelen onder meer noodcommunicatie (5.42), externe incidentrapportage (5.43), managementtraining (6.9) en zero trust principes (8.35). Die sluiten aan op verplichtingen uit de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is.
Voor een kleinere zorgorganisatie betekent dit vooral: kijk opnieuw naar afspraken met leveranciers en clouddiensten, externe incidentmelding, training van het bestuur en toegang tot gegevens. Toegang tot dossiers en de controle daarop werken we uit in ons artikel over logging in de zorg volgens NEN 7513.
Wat veranderde er in 2026 aan NEN 7510 deel 2?
In maart 2026 verscheen NEN 7510-2:2024+A1:2026, een geconsolideerde versie van deel 2 die de versie uit 2024 vervangt. Het aantal maatregelen bleef gelijk; een aantal zorgspecifieke aanwijzingen is aangescherpt.
Volgens NEN en Brand Compliance gaat het om deze wijzigingen:
- aansluiting op de definitieve ISO 27799:2025, met zorgspecifieke aanvullingen bij 5.12, 5.15, 5.16, 5.30, 5.34, 6.3, 6.8 en 6.9
- onder meer extra aandacht voor genetische en biometrische gegevens (5.12), monitoring van toegang tot gegevens (5.34) en social engineering (6.3)
- bijlage E verwijst nu naar de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit in plaats van de NIS2 richtlijn
- de term directie is vervangen door topmanagement
Deel 1 is bij deze wijziging niet aangepast. Omdat certificering tegen deel 1 plaatsvindt, verandert je certificaat niet. Je auditor kan wel vragen hoe je de aangescherpte richtlijnen uit deel 2 toepast.
Tot wanneer is een NEN 7510:2017 certificaat geldig?
De overgangstermijn eindigt op 20 februari 2027. Na die datum vervallen certificaten tegen de oude versie. De termijn van 24 maanden startte op 20 februari 2025, de dag waarop NEN het certificatieschema NCS 7510:2025 publiceerde.
NEN is schemabeheerder van NCS 7510 en certificeert zelf niet. Certificerende instellingen moeten voor het nieuwe schema geaccrediteerd zijn door de Raad voor Accreditatie voordat zij certificaten tegen NEN 7510:2024 mogen afgeven (NEN). Controleer dus bij je eigen certificerende instelling of die accreditatie rond is.
| Datum | Wat er gebeurt | Bron |
|---|---|---|
| 1 december 2024 | NEN 7510-1:2017+A1:2020 ingetrokken | NEN |
| 16 december 2024 | NEN 7510-1:2024 en NEN 7510-2:2024 gepubliceerd | NEN |
| 20 februari 2025 | NCS 7510:2025 gepubliceerd, start overgangstermijn van 24 maanden | NEN, DNV |
| 27 maart 2026 | NEN 7510-2:2024+A1:2026 vervangt deel 2 uit 2024 | NEN |
| 15 augustus 2026 | Cyberbeveiligingswet in werking | Rijksoverheid |
| 20 februari 2027 | Einde overgangstermijn: alle certificaten moeten tegen NEN 7510:2024 zijn | NEN, Kiwa |
Certificaten die na 20 februari 2025 nog tegen de oude versie zijn afgegeven, zijn maximaal geldig tot 20 februari 2027 (Brand Compliance). Voor een losse transitieaudit rekent Kiwa een extra halve dag auditduur. Kiwa en DNV adviseren de overgang te combineren met een geplande periodieke audit of hercertificering.
Ben je niet gecertificeerd? Ook dan telt de nieuwe versie. Het Besluit elektronische gegevensverwerking door zorgaanbieders verplicht zorgaanbieders om te zorgen voor veilig gebruik van hun zorginformatiesysteem volgens NEN 7510 en bepaalt in artikel 7 dat steeds de laatste uitgave van de genoemde NEN normen geldt. De minister maakt in de Staatscourant bekend vanaf welke datum een nieuwe uitgave van toepassing is.
Hoe pak je de overgang naar NEN 7510:2024 aan?
Plan de overgang als een gewone verbetercyclus van je managementsysteem: gapanalyse, risicoanalyse, maatregelen, interne audit en directiebeoordeling, en dan de transitieaudit. Begin vroeg genoeg, zodat de audit ruim voor 20 februari 2027 kan plaatsvinden.
| Stap | Wat je doet | Resultaat |
|---|---|---|
| 1. Normtekst ophalen | Download NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026 kosteloos via NEN Connect. | Je werkt met de actuele tekst, inclusief de wijziging van 2026. |
| 2. Auditdatum vastleggen | Vraag je certificerende instelling of zij geaccrediteerd is voor NCS 7510:2025 en plan de transitieaudit, bij voorkeur samen met een geplande audit. | Een vaste datum ruim voor 20 februari 2027. |
| 3. Gapanalyse | Loop hoofdstuk 4 tot en met 10 van deel 1 door met bijlage B als leidraad. Let op belanghebbenden, doelstellingen, het plannen van wijzigingen en monitoring. | Een lijst met verschillen en acties. |
| 4. Risicoanalyse en verklaring van toepasselijkheid | Breng je bestaande maatregelen over naar de 93 maatregelen en de zorgspecifieke aanvullingen. Leg per zorgspecifieke richtlijn vast of je die volgt of waarom je afwijkt. | Een bijgewerkte risicoanalyse, verklaring van toepasselijkheid en risicobehandelplan. |
| 5. Nieuwe maatregelen invoeren | Richt je eerst op de nieuwe onderwerpen: dreigingsinformatie, clouddiensten, gegevenslekken, monitoring, noodcommunicatie, externe incidentmelding, managementtraining en zero trust. | Aantoonbaar werkende maatregelen. |
| 6. Documentatie bijwerken | Pas beleid en procedures aan op de nieuwe nummering en terminologie, zoals topmanagement. | Documenten die naar de juiste versie verwijzen. |
| 7. Interne audit en directiebeoordeling | Toets het systeem tegen NEN 7510:2024 en laat de directie de uitkomsten beoordelen. | Bewijs dat de nieuwe eisen werken. |
| 8. Transitieaudit | De certificerende instelling toetst tegen NEN 7510:2024 en geeft een nieuw certificaat af. | Een certificaat tegen de actuele versie. |
Deze aanpak sluit aan op het advies van DNV. Voor stap 4 helpt ons artikel over de risicoanalyse in vijf stappen.
Wat betekent NEN 7510:2024 voor leveranciers aan de zorg?
Voor leveranciers geldt dezelfde overgangstermijn als voor zorgaanbieders. De norm richt zich volgens NEN uitdrukkelijk ook op andere houders van persoonlijke gezondheidsinformatie, zoals leveranciers die deze gegevens voor zorgaanbieders verwerken.
Voor één groep is aantonen wettelijk geregeld. Een rechtspersoon die geen zorgaanbieder is en een elektronisch uitwisselingssysteem beheert, moet volgens artikel 3 van het Besluit elektronische gegevensverwerking door zorgaanbieders door een onafhankelijke organisatie laten vaststellen dat hij aan NEN 7510 en NEN 7512 voldoet. Die vaststelling mag niet ouder zijn dan vijf jaar. Andere leveranciers krijgen de vraag naar een NEN 7510 certificaat vooral via inkoopvoorwaarden en verwerkersovereenkomsten van hun zorgklanten. Ontwikkel je software, geef dan extra aandacht aan veilig programmeren en configuratiebeheer.
Veelgestelde vragen
Moet ik direct over naar NEN 7510:2024?
Als je gecertificeerd bent tegen de versie uit 2017, moet de overgang uiterlijk 20 februari 2027 zijn afgerond. Een eerste certificering vindt al direct plaats tegen NEN 7510:2024. Zonder certificaat geldt via het Besluit elektronische gegevensverwerking door zorgaanbieders steeds de laatste uitgave van de norm.
Wat gebeurt er met mijn certificaat na 20 februari 2027?
Certificaten tegen NEN 7510:2017 vervallen na het einde van de overgangstermijn. Certificaten die na 20 februari 2025 nog tegen de oude versie zijn afgegeven, zijn daarom maximaal geldig tot 20 februari 2027.
Is NEN 7510 deel 2 nu verplicht?
Deel 2 bevat aanbevelingen. Voor de zorgspecifieke richtlijnen geldt pas toe of leg uit: je volgt de richtlijn, of je legt in je verklaring van toepasselijkheid vast waarom je afwijkt en hoe je het doel van de maatregel toch bereikt.
Wat betekent de wijziging NEN 7510-2:2024+A1:2026 voor mijn certificaat?
Certificering gebeurt tegen deel 1, dus het certificaat zelf verandert niet. Het aantal maatregelen blijft gelijk; een aantal zorgspecifieke aanwijzingen is aangescherpt. Je auditor kan vragen hoe je deel 2 toepast.
Ik heb al ISO/IEC 27001:2022. Is de overgang dan klein?
Meestal wel, omdat deel 1 en deel 2 op ISO/IEC 27001:2022 en ISO/IEC 27002:2022 zijn gebaseerd. Je werk zit dan vooral in de zorgspecifieke maatregelen, de verwijzingen naar zorgwetgeving en het bijwerken van je verklaring van toepasselijkheid.
Hulp bij de overgang
Wil je weten hoe groot de stap naar NEN 7510:2024 voor jouw organisatie is, of wil je de overgang combineren met je volgende audit? Op onze pagina over begeleiding bij NEN 7510 lees je hoe Novins zorgorganisaties en leveranciers helpt met een gapanalyse en een haalbaar transitieplan.
Bronnen
- NEN: Informatiebeveiliging in de zorg (NEN 7510) (geraadpleegd 27-10-2026)
- NEN: NEN 7510-1:2024 nl, productpagina (publicatie 1 december 2024, geraadpleegd 27-10-2026)
- NEN: NEN 7510-2:2024 nl, productpagina (publicatie 1 december 2024, geraadpleegd 27-10-2026)
- NEN: NEN 7510-2:2024+A1:2026 nl, productpagina (publicatie 1 maart 2026, geraadpleegd 27-10-2026)
- NEN: NEN 7510-1:2017+A1:2020 nl, productpagina (geraadpleegd 27-10-2026)
- NEN: presentatie herziening NEN 7510 (mei 2024) (mei 2024)
- NEN: presentatie NEN 7510 (april 2026) (april 2026)
- Staatscourant 2025, 2145: NEN publicatieoverzicht nieuwe normen (17 januari 2025)
- Besluit elektronische gegevensverwerking door zorgaanbieders (wetten.overheid.nl) (geraadpleegd 27-10-2026)
- Rijksoverheid: Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht (15 augustus 2026)
- Kiwa: NEN 7510 voor informatiebeveiliging zorg vernieuwd (8 april 2025)
- Kiwa: Herziene NEN 7510 gepubliceerd (19 december 2024)
- DNV: NEN 7510:2024, vanaf nu kunnen audits worden uitgevoerd (2025, geraadpleegd 27-10-2026)
- Brand Compliance: Overgang NEN 7510-1:2024 (geraadpleegd 27-10-2026)
- Brand Compliance: Gewijzigde NEN 7510-2 in 2026 (15 april 2026)
- DQS: Herziening van ISO 27002, dit zijn de wijzigingen (8 mei 2022)
