Wat kies je eerst als certificering: ISO 27001 of NEN 7510?

Als je moet kiezen tussen ISO 27001 en NEN 7510, hangt de beslissing in de eerste plaats af van de sector waarin je organisatie actief is. Werk je in de zorg of verwerk je medische gegevens, dan is NEN 7510 de aangewezen norm. Voor alle andere sectoren is ISO 27001 doorgaans het logische startpunt voor een solide informatiebeveiligingscertificering. Weet je het nog niet zeker? Neem gerust contact op en wij helpen je op weg. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen ISO 27001 en NEN 7510, zodat je een weloverwogen keuze kunt maken.

Wat zijn de belangrijkste verschillen tussen ISO 27001 en NEN 7510?

ISO 27001 is een internationale norm voor informatiebeveiliging die van toepassing is op alle soorten organisaties, ongeacht sector of omvang. NEN 7510 is een Nederlandse norm die specifiek is ontwikkeld voor de zorgsector en voortbouwt op de principes van ISO 27001, maar aangevuld is met zorgspecifieke eisen rondom de bescherming van patiëntgegevens.

Het grootste verschil zit in de doelgroep en de reikwijdte. ISO 27001 biedt een breed, generiek raamwerk voor het opzetten van een Information Security Management System (ISMS). NEN 7510 vertaalt dat raamwerk naar de specifieke context van de gezondheidszorg, inclusief aanvullende beheersmaatregelen die zijn afgestemd op de gevoeligheid van medische informatie.

Concreet betekent dit dat NEN 7510 meer gedetailleerde eisen stelt op gebieden zoals toegangsbeheer tot patiëntdossiers, logging van raadplegingen en de continuïteit van zorgprocessen. ISO 27001 laat organisaties meer vrijheid in hoe zij hun maatregelen inrichten, zolang de risico’s maar aantoonbaar worden beheerst.

Voor welke organisaties is NEN 7510 verplicht?

NEN 7510 is verplicht voor organisaties die medische persoonsgegevens verwerken in het kader van de gezondheidszorg in Nederland. Dit omvat ziekenhuizen, huisartsenpraktijken, apotheken, ggz-instellingen, thuiszorgorganisaties en andere zorgaanbieders die vallen onder de Wet op de geneeskundige behandelingsovereenkomst (WGBO) of de Wet kwaliteit, klachten en geschillen zorg (Wkkgz).

Daarnaast wordt van ICT-leveranciers en softwarebedrijven die systemen leveren aan zorginstellingen in toenemende mate ook verwacht dat zij NEN 7510-gecertificeerd zijn. Zorginstellingen stellen dit namelijk steeds vaker als contractuele eis aan hun leveranciers, om te garanderen dat de gehele keten van informatieverwerking veilig is.

Voor organisaties buiten de zorgsector geldt NEN 7510 niet als wettelijke verplichting. Zij kunnen volstaan met ISO 27001, tenzij specifieke aanbestedingen of samenwerkingsverbanden andere normen vereisen.

Kun je ISO 27001 gebruiken als basis voor NEN 7510?

Ja, ISO 27001 vormt een uitstekende basis voor NEN 7510. NEN 7510 is namelijk grotendeels gebaseerd op de structuur en eisen van ISO 27001, aangevuld met zorgspecifieke maatregelen. Organisaties die al ISO 27001-gecertificeerd zijn, hebben daarmee al een groot deel van het fundament gelegd voor NEN 7510.

In de praktijk betekent dit dat een ISO 27001-gecertificeerde zorgorganisatie niet opnieuw hoeft te beginnen. De bestaande ISMS-structuur, risicoanalyse en documentatie kunnen worden uitgebreid met de aanvullende NEN 7510-eisen. Dit bespaart aanzienlijk tijd en kosten.

Omgekeerd geldt overigens ook dat een NEN 7510-certificering veel van de ISO 27001-eisen dekt. Sommige zorgorganisaties kiezen er daarom voor om direct met NEN 7510 te starten en daarmee tegelijkertijd grotendeels aan ISO 27001 te voldoen. Wij adviseren organisaties altijd over de meest efficiënte route, afgestemd op hun specifieke situatie en ambities.

Welke certificering kost meer tijd en geld?

NEN 7510 is over het algemeen tijdsintensiever en kostbaarder dan ISO 27001, omdat de norm meer gedetailleerde en zorgspecifieke eisen stelt die extra implementatie-inspanning vragen. De exacte kosten hangen sterk af van de omvang van de organisatie, de volwassenheid van het bestaande beveiligingsbeleid en de gekozen auditpartner.

Voor ISO 27001 geldt dat kleinere organisaties met een goed ingericht ISMS relatief snel en kostenefficiënt kunnen certificeren. De norm biedt flexibiliteit in de uitwerking van maatregelen, wat de implementatielast beperkt. De certificering heeft een geldigheid van drie jaar, met jaarlijkse controle-audits.

Bij NEN 7510 komen daar de kosten bij voor het implementeren van de aanvullende zorgspecifieke maatregelen, zoals specifieke logging-oplossingen, toegangsbeheer voor patiëntdossiers en de bijbehorende documentatie. Organisaties die al over een ISO 27001-basis beschikken, kunnen deze meerkosten aanzienlijk beperken.

Wanneer is ISO 27001 de betere keuze?

ISO 27001 is de betere keuze wanneer je organisatie niet actief is in de zorgsector en geen medische persoonsgegevens verwerkt. De norm is breed inzetbaar, internationaal erkend en relevant voor ICT-bedrijven, overheden, financiële instellingen, de maakindustrie en vrijwel elke andere sector die vertrouwelijke informatie beheert.

Daarnaast is ISO 27001 de logische keuze wanneer je organisatie internationaal opereert of wil groeien. De norm wordt wereldwijd erkend en geeft klanten, partners en aanbestedende partijen vertrouwen in jouw informatiebeveiliging. Steeds meer aanbestedingen en samenwerkingsovereenkomsten stellen ISO 27001 als minimumvereiste.

ISO 27001 sluit bovendien naadloos aan bij andere verplichtingen zoals de AVG/GDPR en de NIS2-richtlijn. Wie investeert in ISO 27001-certificering, bouwt tegelijkertijd aan een bredere compliance-basis die de organisatie toekomstbestendig maakt. Onze ISO 27001 certificeringsdienst helpt je daarbij op een manier die écht aansluit bij jouw organisatiecontext.

Hoe begin je met het kiezen van de juiste certificering?

Begin met de vraag of je organisatie medische persoonsgegevens verwerkt in een zorgcontext. Is dat het geval, dan is NEN 7510 de aangewezen norm, mogelijk in combinatie met of als uitbreiding op ISO 27001. Verwerk je geen medische gegevens, dan is ISO 27001 vrijwel altijd het meest logische vertrekpunt voor een informatiebeveiligingscertificering.

Vervolgens is het zinvol om de volgende vragen te beantwoorden:

• In welke sector is jouw organisatie actief en welke normen worden daarin verwacht of vereist?
• Zijn er aanbestedingen of klantcontracten die een specifieke certificering vragen?
• Hoe volwassen is het huidige informatiebeveiligingsbeleid binnen de organisatie?
• Wat zijn de ambities op het gebied van groei, internationalisering of compliance?

Op basis van deze vragen kun je een gefundeerde keuze maken. Een ervaren auditpartner kan je daarbij helpen door de huidige situatie te beoordelen en een haalbaar pad naar certificering uit te stippelen. Wil je weten welke certificering het beste past bij jouw organisatie? Neem contact op en we denken graag vrijblijvend met je mee.

Gerelateerde artikelen

• Wat doe je als je het niet eens bent met een bevinding van de ISO 27001 auditor?
• Welke sectoren zijn het meest kwetsbaar voor cybercriminaliteit?
• Komt de auditor ieder jaar terug na de certificering?
• Wat betekent het als een consultant zegt dat je klaar bent voor certificering?
• Wat moet je doen om te certificeren voor NEN 7510?