Is NEN 7510 verplicht?

Kort antwoord: een NEN 7510-certificaat is niet verplicht, en voor jeugdhulp en Wmo is NEN 7510 niet eens de norm waar de regelgeving naar wijst. Maar aantoonbaar voldoen moet wel. Deze gids zet op een rij wat er precies van je wordt verwacht als je een gezinshuis, een kleinschalige jeugdhulporganisatie of een kleine Wmo-aanbieder runt, en wat je daarvoor moet kunnen laten zien.

Welke norm geldt voor jou?

Dit is waar de meeste verwarring zit. NEN 7510 is de bekendste naam, maar die geldt niet automatisch voor iedereen in de zorg.

Lever je jeugdhulp, dan wijst artikel 6 van de Regeling Jeugdwet naar ISO 27001 en ISO 27002, of aan een daaraan gelijkwaardige norm. Voor Wmo-ondersteuning staat dezelfde constructie in artikel 3 van de Uitvoeringsregeling Wmo 2015. NEN 7510 loopt via het Besluit elektronische gegevensverwerking door zorgaanbieders, en dat hangt aan de definitie van zorg uit de Wkkgz.

De IGJ zegt het zelf zo: voor zorgaanbieders in de jeugdhulp geldt ISO 27001, en de inspectie verwacht dat je aantoonbaar voldoet aan die norm of aan een gelijkwaardige norm zoals NEN 7510. In de praktijk maakt de keuze weinig uit, want NEN 7510 is de zorgspecifieke uitwerking van ISO 27001. Wie die volgt, doet meer dan de regeling vraagt.

Moet je certificeren?

Nee. De IGJ is daar ondubbelzinnig over: de wet stelt het niet verplicht, de Cyberbeveiligingswet evenmin, en de norm zelf eist het ook niet. Wat de inspectie wél verwacht, is dat je je systeem en je maatregelen periodiek onafhankelijk laat beoordelen, minimaal eens per drie jaar.

Die beoordelaar hoeft geen certificerende instelling te zijn. Volgens de IGJ kan het een interne auditor zijn, een externe specialist of iemand van een andere zorgorganisatie. Voorwaarde is kennis van de norm, van het auditen van een managementsysteem en van de zorg, en dat diegene niet zelf het beleid heeft opgesteld.

Wat je moet kunnen laten zien

De norm noemt veertien stukken. Dat klinkt als een berg, maar het meeste is kort en een deel heb je waarschijnlijk al liggen voor je kwaliteitssysteem.

• Toepassingsgebied. Waar gaat dit over: welke locaties, welke systemen, welke gegevens. Zonder dat weet niemand waar de rest op slaat.
• Beleid. Waar je voor staat, wie waarvoor verantwoordelijk is, en wanneer je het opnieuw bekijkt. Ondertekend.
• Hoe je risico's beoordeelt. De manier waarop je bepaalt wat een groot risico is en wat niet. Eén keer opschrijven, daarna elk jaar gebruiken.
• Hoe je risico's aanpakt. Wat je doet met wat er uit de beoordeling komt, en wie akkoord geeft op wat je laat liggen.
• Verklaring van Toepasselijkheid. Per maatregel: geldt dit bij mij, waarom, en heb ik het ingevoerd. Het eerste waar een auditor naar kijkt.
• Doelstellingen. Wat je dit jaar wilt bereiken. Concreet genoeg om aan het eind te kunnen zeggen of het is gelukt.
• Bewijs van competentie. Dat de mensen die hiermee werken weten wat ze doen. Scholing, instructie, een aantekening in het dossier.
• Uitkomsten van de risicobeoordeling. De ingevulde analyse zelf, met datum. Elk jaar opnieuw.
• Uitkomsten van de aanpak. Wat je daadwerkelijk hebt gedaan met de risico's die eruit kwamen.
• Meetresultaten. Waaraan je ziet of het werkt. Bijvoorbeeld: hoeveel accounts stonden er nog open van mensen die weg zijn.
• Auditprogramma en auditresultaten. Wanneer je wat toetst, en wat daar uitkwam.
• Directiebeoordeling. Je jaarlijkse terugblik, ook op dit onderwerp. Dezelfde beoordeling die je voor kwaliteit al doet.
• Afwijkingen en wat je eraan deed. Wat er misging en welke maatregel je nam. Inclusief of die maatregel hielp.
• Overzicht van je informatiemiddelen. Welke systemen, apparaten en papieren dossiers er zijn. Zonder dat overzicht beveilig je iets wat je niet kent.

Wat er in de praktijk misgaat

Bij informatiebeveiliging denkt iedereen aan hackers. De cijfers wijzen ergens anders heen.

• Een mail naar de verkeerde ontvanger. Veruit de grootste categorie in de datalekkenrapportage van de Autoriteit Persoonsgegevens over 2025. Van de zorgorganisaties die Z-CERT bevroeg maakt 94 procent dit mee, een op de acht zelfs wekelijks.
• Gegevens in het verkeerde dossier. In 2025 goed voor 2.020 meldingen. Gebeurt vaak bij gelijkende namen of tijdens een overdracht.
• Kwijtgeraakte laptop, telefoon of map. De zorg is hierin de grootste sector: 186 meldingen in 2025. Denk aan een lijst die meegaat in de auto.
• Een overgenomen mailbox na phishing. De Autoriteit Persoonsgegevens telde 1.742 overgenomen accounts in 2025, tegen 607 het jaar daarvoor. Bijna altijd via phishing.
• Gijzelsoftware. Niet alleen iets voor ziekenhuizen. Z-CERT meldt dat de in Europa geclaimde incidenten juist vaak kleine zorgverleners met minder dan 49 medewerkers betroffen.

Dat is goed nieuws, want tegen deze dingen helpen geen dure systemen maar afspraken: een tweede blik voor je op verzenden drukt, tweefactor op je mailbox, een vergrendeld scherm, en accounts intrekken van mensen die weg zijn.

Waar begin je?

Niet bij het schrijven van beleid. Begin bij het overzicht: welke systemen gebruik je, wie heeft waar toegang toe, welke gegevens leg je vast en hoe lang bewaar je ze. Zodra dat er staat, schrijft het beleid zichzelf bijna, en weet je meteen welke maatregelen bij jou van toepassing zijn.

Daarna doe je één keer per jaar de risicoanalyse, controleer je elk kwartaal de toegangsrechten, en kijk je jaarlijks of de verwerkersovereenkomsten met je leveranciers nog kloppen. Dat is de hele cyclus. De datum waarop je iets afvinkt, is je bewijs.