ISO/IEC 27001 is een internationale, branche-overstijgende norm voor een managementsysteem voor informatiebeveiliging. NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en bouwt voort op dezelfde systematische basis, met zorgspecifieke uitgangspunten en beheersmaatregelen. Voor organisaties die persoonlijke gezondheidsinformatie verwerken, kan NEN 7510 daarom relevanter of aanvullend noodzakelijk zijn.
De keuze gaat niet alleen over een certificaat. Beide normen vragen dat u risico’s beoordeelt, maatregelen kiest, de werking controleert en blijft verbeteren. Dat raakt ook de leveranciers en systemen waarmee u documenten en informatie verwerkt. tcf. is zelf ISO 27001- en NEN 7510-gecertificeerd en past die aandacht voor informatiebeveiliging toe binnen OpenText Enterprise Content Management, documentprocessen en SAP-integraties.
Wat is ISO/IEC 27001?
ISO/IEC 27001 beschrijft eisen voor een Information Security Management System, meestal afgekort tot ISMS. De norm helpt organisaties om informatiebeveiligingsrisico’s gestructureerd te identificeren en te behandelen. Onderwerpen zijn onder meer leiderschap, beleid, risicobeoordeling, beheersmaatregelen, interne audits en continue verbetering.
De actuele internationale editie is ISO/IEC 27001:2022. De norm is inzetbaar in iedere sector en voor organisaties van verschillende omvang. Het toepassingsgebied van een certificering kan wel verschillen. Controleer daarom altijd welke organisatieonderdelen, locaties, diensten en systemen daadwerkelijk binnen de scope vallen.
Wat is NEN 7510?
NEN 7510 richt zich op zorgaanbieders en andere organisaties die persoonlijke gezondheidsinformatie beheren. De actuele Nederlandse editie bestaat uit NEN 7510-1:2024 voor het managementsysteem en NEN 7510-2:2024 voor beheersmaatregelen. NEN omschrijft de norm als het kader voor het bepalen, instellen en onderhouden van maatregelen waarmee de informatievoorziening in de zorg wordt beveiligd.
De Inspectie Gezondheidszorg en Jeugd verwacht dat zorgaanbieders kunnen aantonen dat hun ISMS en maatregelen in de praktijk werken. Een onafhankelijke beoordeling is belangrijk. Certificering is een manier om dit aan te tonen, maar volgens de IGJ niet in alle situaties de enige toegestane vorm van bewijs. Bekijk bij een zorgspecifieke verplichting altijd de actuele uitleg van de IGJ over NEN 7510.
De belangrijkste verschillen
Toepassingsgebied
ISO 27001 is internationaal en sectoronafhankelijk. NEN 7510 is ontwikkeld voor de Nederlandse zorg en voor beheerders van persoonlijke gezondheidsinformatie.
Zorgcontext
NEN 7510 vertaalt informatiebeveiliging naar risico’s en verantwoordelijkheden in de zorg. Beschikbaarheid is daar bijvoorbeeld direct verbonden met continuïteit en patiëntveiligheid. Ook de uitwisseling van gezondheidsinformatie met ketenpartners vraagt specifieke aandacht.
Wet- en toezichtcontext
Voor zorgaanbieders kan werken volgens NEN 7510 wettelijk of vanuit toezicht vereist zijn. Voor jeugdhulp verwijst de regelgeving naar ISO 27001 of een gelijkwaardige norm, waarbij NEN 7510 als gelijkwaardig kader kan gelden. De exacte verplichting hangt af van het type organisatie en de regelgeving die daarop van toepassing is.
Markt en klanten
ISO 27001 wordt internationaal breed herkend. NEN 7510 geeft Nederlandse zorgorganisaties extra houvast bij de beoordeling van leveranciers en gegevensverwerking. Een organisatie kan daarom voor beide certificeringen kiezen.
Wanneer kiest u ISO 27001, NEN 7510 of beide?
Kies niet op basis van naamsbekendheid, maar op basis van verplichtingen, gegevenssoorten, klanten en ketenrollen.
- ISO 27001: passend wanneer u een internationaal erkend ISMS nodig hebt dat organisatiebreed en sectoroverstijgend toepasbaar is.
- NEN 7510: passend wanneer u in de Nederlandse zorg werkt of persoonlijke gezondheidsinformatie beheert en zorgspecifieke eisen moet aantonen.
- Beide: logisch wanneer u internationale klanten bedient én een duidelijke positie in de Nederlandse zorgketen hebt.
De normen hebben veel gemeenschappelijke principes. Met één goed ontworpen ISMS kunt u overlap efficiënt beheren. Zorg wel voor een duidelijke mapping van de aanvullende eisen, scopes en bewijslast. Twee logo’s zonder werkende beheerscyclus geven geen echte zekerheid.
Wat betekenen de normen voor softwareleveranciers?
Een zorgorganisatie blijft zelf verantwoordelijk voor haar informatiebeveiliging. Een gecertificeerde leverancier neemt die verantwoordelijkheid niet over. De certificering helpt wel bij due diligence, omdat de leverancier aantoonbaar processen heeft voor risico’s, toegang, incidenten en verbetering.
Vraag bij de selectie en het beheer van een leverancier minimaal naar:
- de exacte scope en geldigheid van certificaten;
- rollen en verantwoordelijkheden bij incidenten;
- toegangsbeheer en functiescheiding;
- logging, monitoring en opvolging van afwijkingen;
- back-up, herstel en continuïteit;
- wijzigingsbeheer en beveiliging van koppelingen;
- afspraken met subverwerkers en ketenpartners.
tcf. uit de praktijk: beveiliging als continu proces
tcf. behaalde zowel de ISO 27001- als de NEN 7510-certificering. In de toelichting op die certificeringen benadrukt tcf. dat informatiebeveiliging een doorlopend proces is. Het ISMS moet ervoor zorgen dat de organisatie leert, controleert en verbetert. Die gedachte sluit aan op de dagelijkse werkelijkheid van bedrijfskritieke OpenText- en SAP-omgevingen: releases, integraties, gebruikersrollen en volumes veranderen voortdurend.
Op de pagina over tcf. als OpenText-specialist vindt u de actuele positionering en certificeringen. Voor omgevingen die na implementatie structureel beheer nodig hebben, biedt Managed Services van tcf. ondersteuning bij monitoring, incident-, change- en problemmanagement en lifecycle-vraagstukken.
Informatiebeveiliging in een OpenText-omgeving
Document- en contentplatformen bevatten vaak gevoelige informatie en zijn verbonden met ERP-, CRM-, HR- en zorgsystemen. Richt de beveiliging daarom in over de hele keten. Denk aan classificatie, bewaartermijnen, autorisaties, technische accounts, interfaces, archivering en aantoonbare wijzigingsprocessen.
De technologie ondersteunt beheersmaatregelen, maar de werking ontstaat pas door heldere verantwoordelijkheid. Leg vast wie toegang aanvraagt, wie deze goedkeurt, hoe periodieke controles plaatsvinden en wat er gebeurt bij een incident of onjuiste configuratie.
Veelgestelde vragen over NEN 7510 en ISO 27001
Is NEN 7510 hetzelfde als ISO 27001?
Nee. De normen delen de basis van een ISMS, maar NEN 7510 is specifiek gericht op informatiebeveiliging in de Nederlandse zorg en bevat zorgspecifieke uitgangspunten en maatregelen.
Is NEN 7510 gebaseerd op ISO 27001?
Ja. NEN 7510 sluit aan op ISO 27001 en vertaalt het kader naar de zorgcontext. De actuele editie moet wel afzonderlijk worden beoordeeld op aanvullende eisen en toepasselijkheid.
Is NEN 7510-certificering verplicht?
Zorgaanbieders moeten aantoonbaar volgens de relevante norm werken en periodiek onafhankelijk laten beoordelen of het ISMS en de maatregelen functioneren. De IGJ geeft aan dat certificering een manier is om dit aan te tonen, maar niet altijd de enige manier. Controleer de regels voor uw specifieke organisatie.
Vervangt ISO 27001 de AVG?
Nee. De AVG is wetgeving over de verwerking van persoonsgegevens. ISO 27001 is een norm voor het organiseren van informatiebeveiliging. Een ISMS kan helpen om maatregelen aantoonbaar te beheren, maar neemt wettelijke verantwoordelijkheden niet weg.
Is een gecertificeerde leverancier automatisch voldoende?
Nee. Controleer de scope van het certificaat, de dienstverlening en de afspraken over gegevens, toegang, incidenten en onderaannemers. Uw organisatie blijft verantwoordelijk voor de eigen processen en leveranciersbeoordeling.
Waarom heeft tcf. beide certificeringen?
tcf. werkt met bedrijfskritieke informatie- en documentprocessen in verschillende sectoren, waaronder de zorg. ISO 27001 ondersteunt een breed informatiebeveiligingskader. NEN 7510 sluit aan op de aanvullende context van persoonlijke gezondheidsinformatie.
Beveilig uw informatieketen aantoonbaar
Wilt u weten hoe security-eisen doorwerken in uw OpenText-, SAP- of documentomgeving? Bespreek uw informatieomgeving met tcf. We brengen systemen, koppelingen, verantwoordelijkheden en beheer samen in een uitvoerbare aanpak.
