title: Wat is NEN 7510 en wanneer raakt het je? | Prikr
description: NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Wat de norm vraagt en wat dat betekent voor software die je laat bouwen.

# Wat is NEN 7510?

Zodra er zorggegevens in een systeem staan, komt de vraag naar beveiliging op tafel. Meestal in de vorm van een norm waar iemand naar vraagt zonder dat duidelijk is wat erin staat.

*2026-10-22, bijgewerkt 2026-10-22*

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Hij beschrijft hoe een zorgorganisatie hoort om te gaan met gegevens over mensen, van wie waarbij mag tot het vastleggen en bewaren ervan. De norm richt zich op jouw organisatie, maar raakt daarmee ook de software die je laat bouwen.

## Waar gaat de norm over?

Over het beheersen van risico's rond informatie, en niet over techniek alleen. De norm vraagt dat je weet welke gegevens je hebt, wie erbij kan, wat er gebeurt als het misgaat en hoe je dat aantoonbaar hebt geregeld.

Het is daarmee eerder een manier van werken dan een lijst instellingen. Twee organisaties kunnen hem allebei goed toepassen en er technisch anders uitkomen.

Dat verklaart ook waarom niemand je kan vertellen welke knop je moet omzetten. Wat de norm van je vraagt, hangt af van wat je doet en met welke gegevens.

## Voor wie geldt hij?

Voor organisaties die gegevens over de gezondheid van mensen verwerken. Dat is breder dan ziekenhuizen, want ook praktijken, zorgaanbieders aan huis en partijen die voor hen werken komen hem tegen.

Of de norm in jouw situatie verplicht is of gevraagd wordt door een opdrachtgever, is iets om na te vragen bij je branchevereniging. Dat verschilt per type zorg en het verandert.

## Wat betekent dat voor software die je laat bouwen?

Dat een aantal dingen geen extra wens is maar een uitgangspunt. Deze vier komen bij elk traject terug:

- **Toegang per rol.** Iemand ziet wat bij zijn werk hoort en niet meer dan dat.
- **Vastleggen wie wat inzag.** Terug kunnen kijken wie welk dossier heeft geopend.
- **Bewaren en verwijderen.** Hoe lang gegevens blijven staan en wat er daarna met ze gebeurt.
- **Waar het staat.** Op welke servers je gegevens draaien en wie daar toegang heeft.

Neem deze vier mee in het plan en niet in de oplevering. Toegangsrechten achteraf toevoegen raakt bijna elk scherm, en dat is precies het werk dat je niet twee keer wilt doen.

## Is het hetzelfde als ISO 27001?

Nee, maar ze zijn familie. NEN 7510 is opgebouwd in de lijn van de internationale normen voor informatiebeveiliging en voegt daar het zorgspecifieke deel aan toe.

Praktisch betekent dat je werk niet dubbel doet. Heeft een leverancier zijn beveiliging al volgens de internationale norm ingericht, dan is het zorgdeel een aanvulling en geen nieuw begin.

## Moet je leverancier gecertificeerd zijn?

Dat is geen verplichting die uit de norm volgt. Jij blijft verantwoordelijk voor wat je uitbesteedt, dus wat je nodig hebt is zekerheid over de maatregelen en niet per se een certificaat.

Leg daarom vast wat je leverancier doet en waar je gegevens staan. Een certificaat maakt dat makkelijker aan te tonen, maar het vervangt die afspraak niet.

## Wat vraag je aan een softwarebouwer?

Vier dingen. Hoe de toegangsrechten zijn opgebouwd. Of er wordt vastgelegd wie gegevens inzag. Waar de gegevens staan en wie er bij de server kan. En of er een verwerkersovereenkomst is waarin dat allemaal staat.

Krijg je op die laatste vraag geen helder antwoord, dan is dat het punt om door te vragen. Een verwerkersovereenkomst is geen formaliteit maar de plek waar staat wie wat doet.

## Wanneer raakt het je niet?

Als er geen gegevens over gezondheid in je systeem komen. Een planning met alleen namen en tijden is iets anders dan een dossier, en dan gelden de gewone regels voor persoonsgegevens.

Let wel op wat er ongemerkt in terechtkomt. Een vrij tekstveld bij een afspraak wordt in de praktijk gebruikt om op te schrijven waarom iemand komt, en dan is het er alsnog.

## Verder lezen

- [Software voor de zorg, de oplossingspagina](/branches/software-voor-de-zorg/)
- [Planning in de zorg: standaardpakket of eigen software?](/kennisbank/planning-in-de-zorg/)
- [Wie is eigenaar van de code?](/kennisbank/wie-is-eigenaar-van-de-code/)
- [Alle begrippen in de kennisbank](/kennisbank/)

## Veelgestelde vragen over NEN 7510

### Geldt NEN 7510 ook voor onze softwareleverancier?

De norm richt zich op de zorgorganisatie, maar jij blijft verantwoordelijk voor wat je uitbesteedt. Leg daarom in een verwerkersovereenkomst vast welke maatregelen je leverancier neemt en waar je gegevens staan. Certificering van de leverancier is daarbij geen verplichting maar wel een bewijsstuk.

### Is NEN 7510 hetzelfde als de AVG?

Nee. De AVG is wetgeving over persoonsgegevens in het algemeen en zegt wat er moet gebeuren. NEN 7510 is een norm voor informatiebeveiliging in de zorg en gaat over hoe je dat inricht. Ze overlappen, maar je kunt de een niet gebruiken om de ander af te vinken.

## Staat je vraag er niet bij?

Stel hem in een gratis adviesgesprek. Je krijgt antwoord van wie het bouwt, en geen verkoopverhaal.

[Plan een gratis adviesgesprek](/gratis-adviesgesprek-aanvragen/)