In 2024 was er opnieuw een stijging in het aantal digitale aanvallen op zorgorganisaties. Hackers en spionnen beschouwen zorginstellingen steeds vaker als een legitiem doelwit voor afpersing en datadiefstal. Zonder oog voor de gevolgen, zoals het ontregelen van cruciale zorgprocessen. Dat constateert Z-CERT, het expertisecentrum op het gebied van cybersecurity in de zorg. 

Wat is NEN 7510? 

Tegen de gewiekstheid van moderne cybercriminelen is het soms moeilijk om jezelf te wapenen. Zelfs IT-experts trappen tegenwoordig in phishingmails, vertelt Jenne Zuidema, presales consultant bij CTNET. “Ze zijn steeds vaker niet van echt te onderscheiden. Je zag vroeger nog wel eens een mail vol spelfouten met de boodschap: ik heb 4,5 miljoen voor je, waar kan ik dat naartoe storten? Dat zie je tegenwoordig helemaal niet meer. Het is steeds professioneler en geavanceerder.” 

Om jezelf tegen dit soort aanvallen te beschermen biedt NEN 7510 houvast. Dit is de Nederlandse norm voor informatiebeveiliging in de zorgsector, die beschrijft hoe zorgorganisaties op een gestructureerde en aantoonbare manier moeten omgaan met patiëntgegevens en andere vertrouwelijke informatie. Omdat de keten zo sterk is als de zwakste schakel, is NEN 7510 ook van toepassing op IT-leveranciers, hostingproviders, SaaS-diensten en ketenpartners zoals laboratoria en apotheken. 

De norm is afgeleid van de internationale ISO 27001 (managementsysteem voor informatiebeveiliging), maar specifiek toegespitst op de zorgcontext, met aanvullende eisen die rekening houden met patiëntveiligheid, medische processen en de zorgplicht. Voldoe je eenmaal aan NEN 7510, dan ben je ook grotendeels voorbereid op de NIS2-richtlijn en de Cyberbeveiligingswet (CBW). 

Hoe voldoe je aan NEN 7510? 

NEN 7510 is geen checklist: je voldoet aan de norm als je structureel op een bepaalde manier binnen je organisatie werkt. De volgende aandachtspunten moet je dus niet zien als een lijstje dat je kunt afvinken, maar geven wel houvast in de uitvoering. 

1. Breng risico’s in kaart 

Informatiebeveiliging begint met inzicht. Analyseer welke gevoelige gegevens je verwerkt – zoals patiëntdossiers, personeelsinformatie en financiële administratie – en wie daar toegang toe heeft. Kijk ook naar ondersteunende systemen zoals back-ups, e-mail, cloudopslag en mobiele apparaten. 

Maak op basis daarvan een risicoanalyse: waar liggen de grootste kwetsbaarheden, en wat zou de impact zijn bij een incident? Dit helpt je prioriteiten te stellen en maatregelen te treffen waar ze het meest nodig zijn. 

2. Stel beleid en verantwoordelijkheden vast 

Een duidelijk informatiebeveiligingsbeleid vormt de ruggengraat van NEN 7510. Leg hierin vast hoe je omgaat met beveiligingsmaatregelen, incidentmeldingen, audits en verantwoordelijkheden. 

 
Wijs een informatiebeveiligingsfunctionaris of CISO aan die toezicht houdt op de uitvoering. Deze persoon bewaakt niet alleen de regels, maar stimuleert ook bewustwording binnen de organisatie. Zorg dat het beleid wordt goedgekeurd door het bestuur, zodat beveiliging verankerd is op strategisch niveau. 

3. Voer beveiligingsmaatregelen in 

Zodra de risico’s bekend zijn, kun je passende maatregelen invoeren. Denk aan: 

• Sterke beveiliging (zoals multi-factor-authenticatie) voor toegang tot systemen. 

• Encryptie van gevoelige data, zowel tijdens opslag als tijdens verzending. 

• Logging en monitoring om verdachte activiteiten tijdig te signaleren. 

• Patchmanagement om beveiligingslekken snel te dichten. 

Daarnaast is het verstandig om netwerken en systemen logisch te scheiden per afdeling of risicocategorie. Zo beperk je de schade als er toch iets misgaat. 

4. Train medewerkers 

Techniek is belangrijk, maar gedrag is doorslaggevend. Investeer daarom in structurele bewustwordingstrainingen over phishing, veilig wachtwoordgebruik, dataverwerking en het melden van incidenten. Herhaal deze sessies regelmatig en sluit aan bij herkenbare praktijksituaties binnen de organisatie. 

5. Monitor en verbeter continu 

Informatiebeveiliging is geen eenmalig project, maar een doorlopend proces. Voer regelmatig interne audits uit om te toetsen of je beleid en maatregelen nog effectief zijn. 
Gebruik de uitkomsten van audits, incidentrapportages en risicoanalyses om het beleid te verbeteren en nieuwe maatregelen te treffen. Zo bouw je stap voor stap aan een veiligheidsbewuste organisatiecultuur waarin leren centraal staat. 

Zorgorganisaties ontzorgen 

Zorgorganisaties weten vaak goed waarom informatiebeveiliging belangrijk is, maar worstelen met het hoe. Terwijl het bewustzijn de afgelopen jaren sterk is toegenomen, blijft de praktische uitvoering in veel instellingen een uitdaging. Vooral middelgrote zorgorganisaties hebben niet altijd de capaciteit of expertise om beleid om te zetten in concrete maatregelen. 

Het is wellicht een cliché, maar in dit geval is het alleen maar passend om op te merken dat wij zorgorganisaties ontzorgen op IT-gebied. Bij CTNET combineren we kennis van de zorg met jarenlange ervaring in cybersecurity en IT-beheer. Zo helpen we je om NEN 7510 niet te zien als papieren verplichting, maar als een praktisch instrument dat de zorg daadwerkelijk veiliger maakt. 

Twijfel je of jouw zorgorganisatie voldoet aan alle eisen van NEN 7510? Of heb je andere vragen over de veiligheid van je (patiënt)gegevens? Plan dan een vrijblijvend gesprek met ons in. We kijken mee, brengen de risico’s in kaart en helpen je stap voor stap naar een veilige en weerbare organisatie.