Werkt uw zorgorganisatie al met NEN 7510, dan vraagt u zich misschien af wat NIS2 daar nog aan toevoegt. Het korte antwoord: ze zijn niet hetzelfde. NEN 7510 is een norm voor informatiebeveiliging in de zorg. NIS2 is Europese wetgeving, die in Nederland is uitgewerkt in de Cyberbeveiligingswet. De twee vullen elkaar aan. Hieronder leest u waar ze overlappen, wat de wet extra vraagt en hoe u rustig een eerste stap zet.
Wat is NEN 7510?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, beheerd door NEN. Een norm is een set afspraken over hoe u iets goed regelt. NEN 7510 richt zich op alle organisaties die persoonlijke gezondheidsinformatie verwerken, ongeacht hun omvang.
De actuele versie is NEN 7510:2024 en bestaat uit twee delen:
- Deel 1 beschrijft het managementsysteem voor informatiebeveiliging: hoe u beleid, risico's, verantwoordelijkheden en verbetering structureel organiseert.
- Deel 2 bevat de beheersmaatregelen: de concrete maatregelen waaruit u kiest op basis van uw risico's. In 2026 is voor deel 2 een aanvulling verschenen, onder meer met een sterkere koppeling naar de Cyberbeveiligingswet.
Zorgaanbieders werken al langer met deze norm, omdat wetgeving rond gegevensverwerking in de zorg ernaar verwijst. Certificering is niet verplicht. Wel moet u kunnen laten zien dat u volgens de norm werkt. Een certificaat van een geaccrediteerde instelling is één manier om dat aan te tonen.
Wat is NIS2 (de Cyberbeveiligingswet)?
NIS2 is een Europese richtlijn die een hoog gezamenlijk niveau van cyberbeveiliging in de Europese Unie moet bereiken. Iedere lidstaat werkt die richtlijn uit in eigen wetgeving. In Nederland is dat de Cyberbeveiligingswet, kortweg Cbw. De wet is op 15 augustus 2026 in werking getreden en vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen.
De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen in achttien sectoren, waaronder de gezondheidszorg. Wie eronder valt, krijgt te maken met vier hoofdlijnen:
- Registratieplicht: de organisatie registreert zich bij het Nationaal Cyber Security Centrum (NCSC).
- Zorgplicht: de organisatie neemt passende maatregelen om risico's voor haar netwerk- en informatiesystemen te beheersen. Passend betekent dat de maatregelen aansluiten bij uw risico's, uw omvang en de aard van uw dienstverlening.
- Meldplicht: significante incidenten, dus incidenten met ernstige gevolgen voor de dienstverlening, meldt de organisatie gefaseerd via het meldportaal van het NCSC.
- Bestuurlijke verantwoordelijkheid: het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en volgt een passende training.
In de zorg houdt de Inspectie Gezondheidszorg en Jeugd (IGJ) toezicht op de wet. Z-CERT is aangewezen als CSIRT voor de zorg: het team dat organisaties onder de wet ondersteunt bij dreigingen en incidenten.
Is NEN 7510 hetzelfde als NIS2?
Nee. Het verschil zit vooral in het karakter. NEN 7510 beschrijft hoe u informatiebeveiliging organiseert en welke maatregelen u daarvoor kunt kiezen. De Cyberbeveiligingswet legt wettelijke plichten op aan organisaties die onder de wet vallen, met toezicht en handhaving.
Inhoudelijk liggen ze wel dicht bij elkaar. Volgens de IGJ komt de zorgplicht uit de wet in grote mate overeen met NEN 7510. Deel 2 van de norm bevat een bijlage die per onderdeel de koppeling met de wettelijke eisen laat zien. Werkt u al volgens NEN 7510, dan heeft u een stevige basis, maar bent u niet vanzelf klaar.
Waar overlappen NIS2 en NEN 7510?
De overlap zit vooral in de dagelijkse informatiebeveiliging. Een vereenvoudigd overzicht:
| Onderwerp | NEN 7510 | NIS2 (Cyberbeveiligingswet) |
|---|---|---|
| Risicobeheer | Risicoanalyse vormt de basis van het managementsysteem | Zorgplicht is risicogebaseerd: maatregelen passen bij uw risico's |
| Maatregelen | Beheersmaatregelen in deel 2, gekozen op basis van risico's | Passende technische, operationele en organisatorische maatregelen |
| Incidenten | Afspraken over het signaleren, afhandelen en melden van incidenten | Gefaseerde meldplicht voor significante incidenten via het NCSC |
| Keten en leveranciers | Afspraken met leveranciers over informatiebeveiliging | Beveiliging van de toeleveringsketen hoort expliciet bij de zorgplicht |
| Rol bestuur | Leiderschap en betrokkenheid van het management | Bestuur keurt maatregelen goed, houdt toezicht en volgt training |
Een risicoanalyse is een gestructureerde inschatting van wat er mis kan gaan, hoe waarschijnlijk dat is en wat de gevolgen zijn. Die analyse is in beide kaders het vertrekpunt.
Wat vraagt NIS2 extra?
Voor organisaties die onder de wet vallen, noemt de IGJ drie punten die verder gaan dan NEN 7510:
- Registratie. De organisatie staat geregistreerd in het register van het NCSC, in de juiste sector en de juiste categorie.
- Een wettelijke meldplicht met vaste termijnen. Een significant incident meldt u in stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Welke incidenten significant zijn, hangt af van drempelwaarden die voor de zorg in een aparte regeling zijn vastgelegd.
- Uitdrukkelijke bestuurlijke verantwoordelijkheid. Bestuurders moeten voldoende kennis hebben om risico's en maatregelen te beoordelen, en volgen daarvoor een training.
Hoe past ISO 27001 hierin?
ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. ISO 27002 is de bijbehorende verzameling beheersmaatregelen met uitleg. NEN 7510 bouwt daar direct op voort. Deel 1 is gelijkwaardig aan ISO 27001. Deel 2 combineert ISO 27002 met ISO 27799, een internationale norm met aanvullende maatregelen voor de zorg.
De IGJ geeft aan dat beide normen kunnen helpen om invulling te geven aan de zorgplicht. Zorgaanbieders kiezen in de regel voor NEN 7510, omdat zij die norm al op grond van andere wetgeving volgen.
Spectrum IT is zelf ISO 27001-gecertificeerd. Dat gaat over onze eigen informatiebeveiliging. Het betekent niet dat uw organisatie daardoor aan NEN 7510 of de Cyberbeveiligingswet voldoet. Dat blijft uw eigen verantwoordelijkheid, die wij met u praktisch kunnen helpen invullen.
Wat betekent dit voor de zorgketen en uw IT-leveranciers?
U werkt met ketenpartners, softwareleveranciers en vaak een IT-partner met toegang tot uw systemen. De Cyberbeveiligingswet maakt organisaties nadrukkelijk verantwoordelijk voor hun toeleveringsketen, ook voor ICT-leveranciers.
Volgens de IGJ betekent dat goede afspraken bij de keuze van een leverancier én gedurende de samenwerking. Leveranciers moeten kunnen laten zien dat zij hun eigen organisatie op orde hebben. Denk aan vragen als: wie heeft beheerrechten, en hoe informeert de leverancier u bij een incident?
Voor veel zorgorganisaties draait het dagelijkse werk op Microsoft 365. Dan horen ook toegangsbeheer en veilig inloggen bij dit gesprek. Meervoudige verificatie (MFA) betekent dat iemand zich met meer dan alleen een wachtwoord aanmeldt, bijvoorbeeld ook met een app of beveiligingssleutel. In MFA en Conditional Access uitgelegd leest u hoe dat werkt. En omdat de norm aandacht vraagt voor bewustwording en training, kunnen phishing-simulaties per e-mail helpen om herkennen en melden te oefenen.
Waar begint u?
- Leg vast wie verantwoordelijk is. Spreek af wie in het bestuur of management eigenaar is van informatiebeveiliging, en hoe die persoon wordt geïnformeerd.
- Stel vast of de wet voor u geldt. Dat doet u als organisatie zelf. Het NCSC verwijst daarvoor naar de NIS2-zelfevaluatie van de Rijksinspectie Digitale Infrastructuur. Vraag bij twijfel juridisch advies.
- Leg uw NEN 7510-werk naast de wettelijke eisen. De bijlage in deel 2 van de norm laat zien waar u al staat en waar nog aandacht nodig is.
- Maak afspraken over melden en leveranciers. Spreek af wie een incident signaleert, wie beslist over een melding en hoe uw IT-leveranciers daarin meewerken.
- Breng uw IT-basis in beeld. Kijk naar accounts en rechten, veilig inloggen, back-ups en updates. Een gratis NIS2- en AVG-check kan helpen om aandachtspunten te ordenen. De check is indicatief, geen juridisch oordeel en geen garantie. Na het invullen neemt Spectrum IT contact met u op om de uitkomst te bespreken.
Wilt u verder lezen over de wet zelf, bekijk dan NIS2 in de zorg: praktisch overzicht.
Veelgestelde vragen
Is NEN 7510 hetzelfde als NIS2?
Nee. NEN 7510 is een norm, NIS2 is wetgeving, in Nederland uitgewerkt in de Cyberbeveiligingswet. Ze overlappen sterk bij risicobeheer en maatregelen. De wet voegt onder meer registratie, een meldplicht en bestuurlijke verantwoordelijkheid toe.
Als wij aan NEN 7510 werken, zijn we dan klaar voor NIS2?
U heeft dan een belangrijk deel van de basis, want de zorgplicht komt volgens de IGJ in grote mate overeen met de norm. Klaar bent u daarmee niet vanzelf. Controleer ook registratie, de meldprocedure, de rol van het bestuur en de afspraken met uw leveranciers.
Valt mijn zorgorganisatie onder NIS2?
Dat hangt af van uw sector, uw activiteiten en de omvang van uw organisatie, zoals het aantal medewerkers, de jaaromzet en het balanstotaal. Daarnaast kan de overheid individuele organisaties aanwijzen. U stelt dit als organisatie zelf vast, bijvoorbeeld met de NIS2-zelfevaluatie waarnaar het NCSC verwijst. Spectrum IT beoordeelt niet of u onder de wet valt. Wel helpen we met de praktische kant: lees meer over onze NIS2-ondersteuning voor zorgorganisaties of doe de gratis check. Na het invullen neemt Spectrum IT contact met u op om de uitkomst te bespreken.
Wat is het verschil tussen NEN 7510 en ISO 27001?
ISO 27001 is internationaal en geldt voor elke sector. NEN 7510 bouwt erop voort en voegt maatregelen toe voor gezondheidsinformatie in de Nederlandse zorg.
Wat als ik leverancier van een zorginstelling ben?
Verwerkt u persoonlijke gezondheidsinformatie, dan is NEN 7510 ook voor u relevant. Zorginstellingen vragen er soms naar in aanbestedingen. Daarnaast moeten zorgorganisaties die onder de wet vallen afspraken maken over de beveiliging van hun keten, dus ook met u. Of uw eigen organisatie onder de Cyberbeveiligingswet valt, stelt u zelf vast. Beheer van ICT-diensten is in de wet een eigen sector.
Rustig en concreet verder
Spectrum IT is Microsoft-gespecialiseerd en werkt met een vast team dat uw organisatie kent. Wij denken mee over de praktische kant, naast uw eigen juridische adviseurs. Meer over onze aanpak leest u bij IT voor zorgorganisaties. De IT partner die de missie begrijpt.
Doe de gratis NIS2- en AVG-check
De check is indicatief, geen juridisch oordeel en geen garantie. Na het invullen neemt Spectrum IT contact met u op om de uitkomst te bespreken.