NEN 7510 voor softwareleveranciers in de zorg: wat het toevoegt aan ISO 27001

NEN 7510 is sinds 16 december 2024 verschenen in twee delen, NEN 7510-1:2024 en NEN 7510-2:2024, en bouwt direct voort op ISO 27001 en ISO 27002. Voor een softwareleverancier die ISO 27001 al voert, is NEN 7510 dus geen tweede beveiligingsprogramma. Het is grotendeels dezelfde set maatregelen, met een zorgspecifieke laag erbovenop en een andere groep klanten die erom vraagt.

Wat NEN 7510 is

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. NEN beheert de norm en publiceerde de huidige versie op 16 december 2024. De norm bestaat uit twee delen:

Deel 1 volgt dus dezelfde hoofdstukstructuur als ISO 27001, de gedeelde opzet van managementsysteemnormen die ook in het ISMS-artikel aan bod komt. Deel 2 is het deel waarin de zorg zichtbaar wordt.

Wat NEN 7510 toevoegt aan ISO 27001

Wie de 2024-versie naast ISO 27001:2022 legt, ziet vier verschillen. In eigen woorden, zonder de normtekst over te nemen:

1. Acht zorgspecifieke maatregelen. NEN 7510-2:2024 neemt de 93 maatregelen uit ISO 27002:2022 over en voegt er acht zorgspecifieke aan toe, gemarkeerd als HLT. Volgens een analyse van NOREA komt het totaal daarmee op 101. Voorbeelden zijn zero-trustprincipes (8.35), communicatie in noodsituaties (5.42), training voor het management (6.9) en het melden van incidenten aan externe partijen (5.43).
2. Zorgrichtlijnen die minder vrijblijvend zijn. Deel 2 bevat volgens NOREA 66 zorgspecifieke implementatierichtlijnen. Waar een organisatie daarvan afwijkt, legt zij dat uit, doorgaans in de Verklaring van Toepasselijkheid. Het principe is pas toe of leg uit.
3. Een zorgcontext bij de risico's. De maatregelen uit ISO 27799 brengen het perspectief van patiëntgegevens en zorgprocessen in de risicoanalyse. Voor een leverancier betekent dat vooral: bij beschikbaarheid en integriteit niet alleen aan de eigen dienst denken, maar aan wat een storing betekent voor de zorg bij de klant.
4. Een koppeling met NIS2. Bijlage E van NEN 7510-2 laat per onderdeel van NIS2 zien hoe de norm zich daartoe verhoudt. Voor zorginstellingen die onder de Cyberbeveiligingswet vallen, helpt dat om te laten zien hoe hun NEN 7510-maatregelen aansluiten op hun zorgplicht.

Wat NEN 7510 niet toevoegt, is een ander managementsysteem. Scope, risicobeoordeling, interne audit en directiebeoordeling werken hetzelfde als bij ISO 27001.

Waar de wet naar NEN 7510 verwijst

NEN 7510 is een vrijwillige norm, maar de wet verwijst ernaar. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) geeft in artikel 15j de basis voor nadere regels over de beveiliging van zorginformatiesystemen. Die regels staan in het Besluit elektronische gegevensverwerking door zorgaanbieders:

• Artikel 3 vraagt zorgaanbieders hun zorginformatiesystemen, en verantwoordelijken hun uitwisselingssystemen, veilig en zorgvuldig te gebruiken volgens NEN 7510 en NEN 7512.
• Artikel 4 vraagt hen bij beleid en procedures de begrippen uit die normen te gebruiken.
• Artikel 5 vraagt dat de logging van die systemen voldoet aan NEN 7513.

Twee aanvullende normen komen daarmee in beeld. NEN 7512 gaat over vertrouwde gegevensuitwisseling tussen partijen in de zorg, NEN 7513 over het vastleggen van wie wat doet in een elektronisch patiëntdossier. Voor een leverancier van zorgsoftware is NEN 7513 vaak de meest concrete: de logging zit in het product, en de klant moet er zelf mee aan de wet voldoen.

De verplichting ligt bij de zorgaanbieder, niet bij de leverancier. Het besluit vraagt ook geen certificaat. Door een overeenkomst tussen het ministerie van VWS en NEN zijn NEN 7510, NEN 7512 en NEN 7513 kosteloos in te zien via NEN Connect.

Waarom leveranciers het gevraagd krijgen

Omdat de zorgaanbieder verantwoordelijk blijft voor systemen die hij niet zelf bouwt of host, schuift hij de vraag door naar zijn leveranciers. Een ziekenhuis dat een SaaS-toepassing voor planning afneemt of zijn dossiers bij een hostingpartij onderbrengt, wil kunnen aantonen dat die partij werkt op het niveau dat de wet van het ziekenhuis vraagt. Een NEN 7510-certificaat is daarvoor het eenvoudigste bewijs in een inkooptraject.

NEN maakt daarbij een onderscheid dat voor leveranciers belangrijk is. Certificering tegen NEN 7510 staat open voor zorginstellingen en voor organisaties die structureel persoonlijke gezondheidsinformatie beheren in opdracht van zorgklanten, zoals hostingpartijen, back-updiensten en andere verwerkers. Die verwerking moet rechtmatig zijn, in de praktijk vastgelegd in een verwerkersovereenkomst volgens artikel 28 AVG.

Voor leveranciers die geen gezondheidsgegevens verwerken, schrijft NEN dat een NEN 7510-certificaat niet kan en mag worden geëist, en dat ISO 27001 dan als gelijkwaardig geldt. Een ontwikkelaar van roostersoftware zonder patiëntgegevens kan dus met ISO 27001 volstaan. Een SaaS-leverancier die cliëntdossiers host, krijgt de vraag naar NEN 7510 vrijwel zeker.

Eén set maatregelen, twee normen

Hier zit de kern voor een leverancier die al ISO 27001 voert. Het managementsysteem is hetzelfde, en 93 van de 101 maatregelen in NEN 7510-2 zijn de maatregelen die in de ISO 27001-Verklaring van Toepasselijkheid al staan. Wat er echt bij komt, is overzichtelijk:

• acht HLT-maatregelen, die elk een besluit over toepasselijkheid en zo nodig uitvoering vragen;
• de zorgrichtlijnen bij bestaande maatregelen, met per richtlijn een keuze: toepassen of uitleggen waarom niet;
• een scope en risicoanalyse die de zorgklanten en hun gegevens expliciet meenemen;
• waar het product logging of uitwisseling raakt, aandacht voor NEN 7513 en NEN 7512.

De valkuil is om NEN 7510 als tweede project naast ISO 27001 te behandelen, met een eigen risicoregister, een eigen verklaring en eigen bewijs. Dan beschrijft de organisatie dezelfde toegangsbeveiliging twee keer, levert zij hetzelfde back-uplogboek twee keer aan en past zij een wijziging op één plek wel en op de andere niet door.

Werkbaarder is één Verklaring van Toepasselijkheid met de maatregelen als rijen en per norm een kolom, aangevuld met de acht HLT-maatregelen en de keuzes bij de zorgrichtlijnen. Eén risicoanalyse, één set maatregelen, één keer bewijs dat voor beide normen telt. Certificerende instellingen bieden ook gecombineerde audits aan, zoals uitgewerkt in NEN 7510-certificering.

Hoe je die ene kern bijhoudt, is een keuze: een goed ingerichte spreadsheet, een ISMS-tool of een managementsysteem dat normen als projectie op één set maatregelen behandelt. Trustbird is rond dat laatste gebouwd, met ISO 27001 en NEN 7510 als eerste twee normen. Welke vorm je ook kiest, de besluiten over toepasselijkheid en risico's blijven bij de organisatie zelf.