De Cyberbeveiligingswet en NEN7510: waarom ketenverantwoordelijkheid straks niet meer…

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse vertaling van de Europese NIS2-richtlijn. Voor de zorgsector betekent dat een flinke aanscherping: cyberbeveiliging is voor het eerst een keiharde wettelijke plicht, met meldtermijnen, bestuurdersaansprakelijkheid en ketenverantwoordelijkheid. NEN7510 speelt daarin een sleutelrol. De norm was al geschreven voor iedereen die gezondheidsgegevens verwerkt, dus niet alleen zorgaanbieders, maar ook hun IT-leveranciers, hostingpartijen en EPD-leveranciers. Tot nu toe werd naleving vooral afgedwongen via contracten en toezicht van de Inspectie Gezondheidszorg en Jeugd. Dat verandert nu.Wat is NEN7510?NEN7510 werd in 2004 voor het eerst gepubliceerd als de Nederlandse norm voor informatiebeveiliging in de zorgsector, gebaseerd op ISO 27001. De norm beschrijft hoe organisaties risico’s rond patiëntgegevens beheersen, van toegangsbeheer tot incidentrespons. Sinds 2018 is naleving voor elektronische uitwisselingssystemen van patiëntgegevens wettelijk verplicht. Eind 2024 is de norm herzien om aan te sluiten op de nieuwste ISO-versie. Voor de rest van de sector geldt de norm nog altijd als toetsingskader van de Inspectie.Wetgeving verzwaart de druk: AVG en de CyberbeveiligingswetDe Algemene Verordening Gegevensbescherming verplicht organisaties sinds 2018 om alleen met partners te werken die passende beveiligingsmaatregelen nemen. Daar komt nu de Cyberbeveiligingswet bij. Deze wet noemt NEN7510 niet bij naam, maar maakt de…