Veel zorgorganisaties en hun IT-partners hebben hun informatiebeveiliging ingericht op basis van ISO 27001. De logische vervolgvraag in de zorg is: dekt die ISO 27001-basis ook NEN 7510? Het korte antwoord: voor een groot deel wel, maar niet volledig. NEN 7510 is geen losstaand raamwerk, maar ISO 27001/27002 aangevuld met zorgspecifieke eisen. In dit artikel laten we zien welke maatregelen elkaar overlappen, welke maatregelen Lupasafe automatisch aantoonbaar maakt, en welke zorgspecifieke onderdelen je apart moet regelen.
Wat is NEN 7510 en hoe verhoudt het zich tot ISO 27001?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm bestaat uit twee delen: NEN 7510-1 beschrijft het managementsysteem (vergelijkbaar met ISO 27001) en NEN 7510-2 beschrijft de beheersmaatregelen (gebaseerd op ISO 27002). NEN 7510 richt zich specifiek op organisaties die persoonlijke gezondheidsinformatie verwerken, en voegt daarom eisen toe die gaan over de bescherming van patiëntgegevens, het beroepsgeheim en de continuïteit van zorg.
Omdat NEN 7510 hetzelfde fundament heeft als ISO 27001/27002, dekt een goed ingerichte ISO 27001-omgeving automatisch een flink deel van NEN 7510. De maatregelen voor toegangsbeheer, patchmanagement, malwarebescherming, back-ups en bewustwording zijn in beide normen vrijwel identiek. Het verschil zit in de zorgspecifieke laag die NEN 7510 er bovenop legt.
De overlap: wat Lupasafe aantoonbaar maakt
De technische en organisatorische maatregelen die ISO 27001 en NEN 7510 delen, zijn precies de maatregelen waar Lupasafe bewijs voor levert. Waar mogelijk gebeurt dat geautomatiseerd (via de Microsoft 365- en endpoint-koppeling), en anders via document-upload met workflow en status.
| Maatregel (ISO 27001 / NEN 7510) | Dekking | Ondersteuning in Lupasafe |
|---|---|---|
| Toegangsbeheer en authenticatie, MFA (A8.5, A5.15, A5.18) | Sterk | Automatisch bewijs uit de Microsoft 365-audit |
| Inventarisatie van informatie en assets (A5.9) | Sterk | Inzicht in alle assets via netwerkscan en endpoint-monitoring en domeinscans |
| Malwarebescherming (A8.7) | Sterk | Automatisch bewijs via endpoint-monitoring |
| Patchmanagement en actuele software (A8.19) | Sterk | Automatisch bewijs via endpoint-monitoring |
| Beveiliging van apparaten (A8.1) | Sterk | Endpoint-compliance en inventarisatie |
| Back-up en herstel (A8.13) | Sterk | Automatisch bewijs, statusrapportage |
| Bewustwording en training (A6.3) | Sterk | Awareness-training en phishing-resultaten |
| Ketenbeveiliging (A5.21) | Sterk | Leveranciersoverzicht en monitoring |
| Veilig thuis- en hybride werken (A6.7) | Aanwezig | Beleid plus device-compliance via endpoint-monitoring |
| Beleid en verantwoordelijkheden (A5.1, A5.2) | Aanwezig | Document-upload, goedkeuring, workflow |
| Continuïteit en incidentmelding (A5.30, A6.8) | Aanwezig | Document-upload, workflow en status |
Voor deze maatregelen fungeert Lupasafe als single source of truth: één omgeving waarin de klant, de IT-partner en de auditor het bewijs terugvinden. Dat scheelt losse spreadsheets en handmatig verzamelde screenshots.
De zorgspecifieke laag die ISO 27001 niet dekt
Hier zit het echte verschil. Een ISO 27001-certificaat toont de basis aan, maar een NEN 7510-audit vraagt om aanvullende, zorgspecifieke maatregelen. Deze staan niet in de standaard ISO-set en vragen dus aparte aandacht:
- Logging van toegang tot patiëntdossiers. NEN 7510 (en de aanvullende norm NEN 7513) vraagt om vastlegging van wie wanneer welk dossier inziet. Generiek toegangsbeheer dekt dit niet.
- Nood-toegang (“break the glass”). Een gecontroleerde procedure voor spoedtoegang tot gegevens, met achteraf verantwoording.
- Need-to-know en beroepsgeheim. Toegang tot dossiers op basis van een behandelrelatie, niet alleen op basis van een rol.
- Sterke authenticatie van zorgverleners. NEN 7510 verwacht zorgverlener-authenticatie (denk aan de UZI-pas of gelijkwaardige tweefactor), niet alleen algemene MFA.
- Classificatie van gezondheidsgegevens. Expliciete behandeling als bijzondere persoonsgegevens onder de AVG.
- Langdurige bewaartermijnen en veilige vernietiging. Medische dossiers kennen langdurige wettelijke bewaarplichten en vragen om een aantoonbaar vernietigingsbeleid.
- Patiëntrechten en continuïteit van zorg. Rechten rond inzage en correctie, en continuïteit die is gericht op patiëntveiligheid, niet alleen op ICT-herstel.
Hoe ver komt je ISO 27001-basis dan?
Een realistische inschatting: met een goed ingerichte ISO 27001-omgeving heb je de gemeenschappelijke kern van NEN 7510 grotendeels op orde, en juist op de technische maatregelen kun je dat geautomatiseerd aantonen. De zorgspecifieke laag hierboven moet je aanvullend regelen. Een ISO 27001-certificaat vervangt NEN 7510 dus niet, maar geeft je wel een stevige voorsprong: je bouwt de zorgspecifieke maatregelen op een bestaand fundament in plaats van vanaf nul.
Voor IT-partners en MSP’s die zorgklanten bedienen betekent dit: je kunt de basis snel en aantoonbaar neerzetten met Lupasafe, en vervolgens gericht de zorgspecifieke onderdelen aanpakken. Voor de klant is dat sneller, goedkoper en beter controleerbaar dan een los NEN 7510-traject.
Waarom Lupasafe past bij de zorg
Naast de gedeelde maatregelen zijn er een paar punten die Lupasafe juist voor zorgorganisaties aantrekkelijk maken:
- Zorgverleners krijgen zelf toegang. Medewerkers loggen in op hun eigen omgeving en zien hun trainingen, phishing-resultaten en openstaande acties, zonder tussenkomst van de beheerder.
- Data beschikbaar via API. Alle gegevens en het bewijs zijn via een API te ontsluiten, zodat je ze koppelt aan je eigen dashboards, GRC-tooling of rapportages.
- Volledig gehost in Nederland. De omgeving en de data draaien in Nederland, een belangrijk uitgangspunt voor zorgorganisaties die met patiëntgegevens werken.
- Nederlandstalige e-learning en phishing op zorgniveau. De awareness-training en phishing-simulaties zijn Nederlandstalig en op taalniveau B1, zodat ze aansluiten bij al je zorgmedewerkers.
- Eigen trainingsmateriaal in een custom module. Voeg je eigen protocollen en instructies toe als custom e-learning-module, bovenop de standaard trainingen.
Samen 100% dekking van NIS2 Supply Chain 10
Ketenbeveiliging is voor zorgorganisaties een van de lastigste onderdelen. Als partner van Samen Digitaal Veilig dekken we dit samen volledig af: Samen Digitaal Veilig levert het proces, Lupasafe levert het bewijs. Samen komen we op 100% van NIS2 Supply Chain 10, van beleid tot aantoonbare naleving.
Samen Digitaal Veilig levert het proces
- Stappenplan en beleidstemplates
- Zorgspecifieke NIS2-begeleiding
- Volledige documentatie en pre-auditbegeleiding
Lupasafe
Lupasafe levert het bewijs
- Alle 17 SC10-controls automatisch gescoord
- Automatische bewijsvoering: MFA, endpoints, dark web en trainingen
- Single source of truth voor zorgorganisatie, IT-partner en auditor
“Lupasafe levert met SC10 & SC20 de helft van ons plan van aanpak voor NIS2 en scheelt bijzonder veel werk.”
Marco Wientjes, IT Manager, Zorggroep Solis
Ontdek welke NEN 7510-maatregelen je vandaag al aantoonbaar maakt met Lupasafe, en waar de zorgspecifieke gaten zitten. Plan een korte demo of doe de gratis NIS2 Quick Scan.
Doe de NIS2 Quick Scan →
Veelgestelde vragen
Is NEN 7510 hetzelfde als ISO 27001?
Nee, maar ze delen hetzelfde fundament. NEN 7510 is de Nederlandse zorgnorm, gebaseerd op ISO 27001/27002, met aanvullende eisen voor de bescherming van patiëntgegevens en de continuïteit van zorg.
Dekt een ISO 27001-certificaat NEN 7510?
Deels. De gemeenschappelijke maatregelen (toegang, patching, malware, back-up, bewustwording) worden gedekt. De zorgspecifieke maatregelen, zoals logging van dossiertoegang en nood-toegang, moet je aanvullend regelen.
Welke NEN 7510-maatregelen kan Lupasafe aantoonbaar maken?
Vooral de technische en organisatorische maatregelen die NEN 7510 met ISO 27001 deelt: MFA, patchmanagement, malwarebescherming, back-up, endpoint-beveiliging, bewustwording, toegangsbeheer en ketenbeveiliging, met geautomatiseerd bewijs waar mogelijk.
Wat dekt Lupasafe nog niet voor NEN 7510?
De zorgspecifieke onderdelen: logging van toegang tot patiëntdossiers, break-the-glass, need-to-know op basis van behandelrelatie, zorgverlener-authenticatie, bewaartermijnen van medische dossiers en patiëntrechten.
