Een ISO 27001-certificeringsaudit en een IGJ-inspectie verschillen fundamenteel in doel, uitvoering en juridische grondslag. Een ISO 27001-audit is een vrijwillige, onafhankelijke toetsing van je informatiebeveiligingsmanagementsysteem (ISMS) aan een internationale norm. Een IGJ-inspectie is een wettelijk verplicht overheidstoezicht waarbij de Inspectie Gezondheidszorg en Jeugd toetst of een zorgorganisatie voldoet aan wet- en regelgeving, inclusief eisen rondom informatiebeveiliging. Voor zorginstellingen zijn beide trajecten relevant en vullen ze elkaar aan in plaats van te overlappen. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen beide, zodat je goed voorbereid bent. Wil je alvast direct advies? Neem gerust contact op en we helpen je verder.
Wat toetst een IGJ-inspectie precies op het gebied van informatiebeveiliging?
Een IGJ-inspectie toetst informatiebeveiliging vanuit het perspectief van patiëntveiligheid en wettelijke verplichtingen. De Inspectie Gezondheidszorg en Jeugd beoordeelt of een zorginstelling voldoet aan normen zoals NEN 7510, de AVG en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Het gaat daarbij niet alleen om technische maatregelen, maar ook om beleid, verantwoordelijkheid en aantoonbare beheersing van risico’s rondom patiëntgegevens.
De IGJ kijkt concreet naar zaken als toegangsbeheer tot elektronische patiëntendossiers, logging van gegevenstoegang, het gebruik van twee-factorauthenticatie en het bestaan van een actueel informatiebeveiligingsbeleid. Daarbij is de NEN 7510-norm leidend: dit is de Nederlandse sectorspecifieke norm voor informatiebeveiliging in de zorg, afgeleid van ISO 27001 maar toegespitst op zorgregelgeving.
Een IGJ-inspectie is reactief of periodiek van aard. Inspecties kunnen plaatsvinden naar aanleiding van incidenten, klachten of als onderdeel van een gepland toezichtprogramma. De inspecteur heeft wettelijke bevoegdheden om documenten op te vragen, medewerkers te bevragen en locaties te bezoeken. Bij tekortkomingen kan de IGJ handhavend optreden, inclusief het opleggen van maatregelen of het openbaar maken van bevindingen.
Hoe verschilt het doel van een ISO 27001-audit van een IGJ-inspectie?
Het doel van een ISO 27001-certificeringsaudit is het onafhankelijk vaststellen of een organisatie een aantoonbaar en effectief informatiebeveiligingsmanagementsysteem heeft ingericht dat voldoet aan de internationale norm. Een IGJ-inspectie heeft als doel wettelijk toezicht te houden op de naleving van zorgwetgeving en de bescherming van patiënten. Het verschil zit in de motivatie: certificering is gericht op kwaliteitsverbetering en vertrouwen, inspectie op wettelijke handhaving.
ISO 27001-audit: verbetering en vertrouwen
Een ISO 27001-audit is primair een instrument voor organisatieontwikkeling. De auditinstelling beoordeelt of het ISMS werkt zoals bedoeld, of risico’s systematisch worden beheerst en of de organisatie continu verbetert. Het resultaat is een certificaat dat aan klanten, partners en aanbestedende partijen aantoont dat informatiebeveiliging serieus wordt genomen. De audit is in principe een samenwerking: de auditinstelling en de organisatie werken samen naar een eerlijk en volledig beeld.
IGJ-inspectie: wettelijk toezicht en handhaving
Een IGJ-inspectie staat in het teken van toezicht namens de overheid. De inspecteur treedt op als handhaver, niet als adviseur. De bevindingen worden vastgelegd in een inspectierapport dat openbaar gemaakt kan worden. Bij niet-naleving kan de IGJ dwingend ingrijpen. Dit maakt de inspectie fundamenteel anders van aard: de relatie is verticaal (overheid tegenover instelling) in plaats van coöperatief.
Wie voert de audit of inspectie uit en wat zijn hun bevoegdheden?
Een ISO 27001-certificeringsaudit wordt uitgevoerd door een geaccrediteerde auditinstelling, zoals wij bij DigiTrust (geaccrediteerd door de Raad voor Accreditatie, kenmerk RvA C618). Een IGJ-inspectie wordt uitgevoerd door inspecteurs van de Inspectie Gezondheidszorg en Jeugd, een onafhankelijke rijksinspectie die valt onder het Ministerie van Volksgezondheid, Welzijn en Sport. De bevoegdheden en juridische grondslag verschillen wezenlijk.
Onze auditors bij DigiTrust hebben de bevoegdheid om te beoordelen of een organisatie voldoet aan de ISO 27001-norm. Ze kunnen een certificaat toekennen, schorsen of intrekken, maar hebben geen wettelijke handhavingsbevoegdheden. Hun rol is onafhankelijk en objectief, maar de relatie met de organisatie is professioneel en respectvol. Wij combineren technische IT/OT-kennis met sectorspecifieke expertise, wat zorgt voor audits die verder gaan dan een checklist.
IGJ-inspecteurs hebben wettelijke bevoegdheden op grond van de Gezondheidswet. Ze mogen documenten vorderen, systemen inzien, medewerkers bevragen en locaties betreden. Bij ernstige tekortkomingen kunnen ze maatregelen opleggen die direct juridische gevolgen hebben. Dit onderscheidt een IGJ-inspecteur duidelijk van een certificeringsauditor.
Dekt een ISO 27001-certificaat ook de eisen van een IGJ-inspectie?
Een ISO 27001-certificaat dekt de IGJ-eisen niet volledig, maar biedt een sterke basis. ISO 27001 is een brede internationale norm voor informatiebeveiligingsmanagement. De IGJ toetst op specifieke zorgregelgeving, waaronder NEN 7510, de AVG en sectorspecifieke wetgeving. Een ISO 27001-certificaat toont aan dat je een robuust ISMS hebt, maar vervangt een NEN 7510-certificering of IGJ-compliance niet automatisch.
In de praktijk zijn ISO 27001 en NEN 7510 nauw verwant: NEN 7510 is gebaseerd op ISO 27001 maar bevat aanvullende zorgspecifieke controls. Organisaties die ISO 27001-gecertificeerd zijn, hebben een groot deel van het fundament al gelegd voor NEN 7510-compliance. De overlap is aanzienlijk, maar de zorgspecifieke aanvullingen vragen om expliciete aandacht. Denk aan eisen rondom patiënttoestemming, logging van dossierraadplegingen en specifieke beveiligingseisen voor medische systemen.
Voor zorginstellingen is het dan ook verstandig om te kiezen voor een gecombineerde certificeringsstrategie waarbij ISO 27001 en NEN 7510 in samenhang worden benaderd. Dit voorkomt dubbel werk en zorgt voor een coherent informatiebeveiligingsstelsel dat zowel de internationale norm als de IGJ-eisen afdekt.
Hoe bereid je je voor op beide trajecten tegelijk?
De beste voorbereiding op zowel een ISO 27001-certificeringsaudit als een IGJ-inspectie is het opbouwen van een geïntegreerd informatiebeveiligingsmanagementsysteem dat aan beide normenkaders voldoet. Begin met een gap-analyse op basis van ISO 27001 en NEN 7510 tegelijk, zodat je inzicht krijgt in de overlap en de aanvullende zorgeisen. Documenteer beleid, procedures en maatregelen aantoonbaar en actueel.
Praktische stappen voor gecombineerde voorbereiding
- Voer een gecombineerde gap-analyse uit op basis van ISO 27001 en NEN 7510, inclusief de specifieke IGJ-toetsingskaders die van toepassing zijn op jouw type zorginstelling.
- Documenteer aantoonbaar hoe je omgaat met toegangsbeheer, logging, incidentbeheer en risicobeheersing. Zowel een ISO 27001-auditor als een IGJ-inspecteur verwacht concrete bewijslast.
- Train medewerkers op bewustzijn rondom informatiebeveiliging en patiëntgegevens. Menselijk gedrag is bij beide trajecten een aandachtspunt.
- Voer interne audits uit voorafgaand aan de certificeringsaudit én als voorbereiding op een mogelijke inspectie. Dit geeft inzicht in zwakke punten en biedt de mogelijkheid om die tijdig te adresseren.
- Zorg voor actueel beleid dat aansluit bij de huidige wet- en regelgeving, waaronder de AVG en de NIS2-richtlijn die in 2026 steeds meer impact heeft op zorginstellingen.
De rol van een ervaringsgerichte auditpartner
Een auditpartner met sectorkennis in de zorg maakt het verschil bij gecombineerde voorbereiding. Wij begrijpen bij DigiTrust hoe informatiebeveiliging in de zorg werkt en welke verbanden er bestaan tussen ISO 27001, NEN 7510 en de IGJ-toetsingskaders. Onze contextgerichte aanpak zorgt ervoor dat de audit niet alleen een norm afvinkt, maar ook inzicht geeft in wat er goed gaat en wat versterking verdient. Zo ben je niet alleen klaar voor de certificeringsaudit, maar sta je ook sterker bij een eventuele IGJ-inspectie.
Zorginstellingen die zowel ISO 27001-gecertificeerd willen zijn als voorbereid op een IGJ-inspectie, hebben baat bij een gestructureerde en samenhangende aanpak. De twee trajecten overlappen meer dan ze conflicteren, mits je ze bewust op elkaar afstemt. Wil je weten hoe jouw organisatie ervoor staat en hoe je beide trajecten efficiënt kunt doorlopen? Neem contact op en we denken graag met je mee over de beste strategie voor jouw situatie.
Veelgestelde vragen
Wat is het belangrijkste verschil tussen een ISO 27001-audit en een IGJ-inspectie?
V: Wat is het belangrijkste verschil tussen een ISO 27001-audit en een IGJ-inspectie? A: Een ISO 27001-audit is een vrijwillige toetsing gericht op kwaliteitsverbetering en het aantonen van een werkend informatiebeveiligingsmanagementsysteem, terwijl een IGJ-inspectie een wettelijk verplicht overheidstoezicht is waarbij naleving van zorgregelgeving wordt gecontroleerd en bij tekortkomingen handhavend kan worden opgetreden.
Hoe helpt een ISO 27001-certificaat bij de voorbereiding op een IGJ-inspectie?
V: Hoe helpt een ISO 27001-certificaat bij de voorbereiding op een IGJ-inspectie? A: Een ISO 27001-certificaat legt een sterk fundament voor IGJ-compliance, omdat het aantoont dat je informatiebeveiligingsrisico’s systematisch beheert, maar voor volledige IGJ-gereedheid zijn aanvullende zorgspecifieke maatregelen nodig op basis van NEN 7510 en relevante zorgregelgeving zoals de AVG en de Wabvpz.
Waarom is een gecombineerde aanpak van ISO 27001 en NEN 7510 verstandig voor zorginstellingen?
V: Waarom is een gecombineerde aanpak van ISO 27001 en NEN 7510 verstandig voor zorginstellingen? A: Omdat ISO 27001 en NEN 7510 grotendeels overlappen, voorkomt een gecombineerde aanpak dubbel werk en zorgt het voor een samenhangend informatiebeveiligingsstelsel dat zowel voldoet aan de internationale norm als aan de specifieke eisen die de IGJ stelt aan zorginstellingen.
Wanneer is het verstandig om een gap-analyse uit te voeren als voorbereiding op beide trajecten?
V: Wanneer is het verstandig om een gap-analyse uit te voeren als voorbereiding op beide trajecten? A: Het is verstandig om zo vroeg mogelijk een gecombineerde gap-analyse op basis van ISO 27001 en NEN 7510 uit te voeren, zodat je tijdig inzicht krijgt in ontbrekende maatregelen en zwakke punten kunt aanpakken voordat een certificeringsaudit of een onverwachte IGJ-inspectie plaatsvindt.
