NEN 7510 en je IT-leverancier: waar zorgorganisaties op moeten letten
- Publicatietype: whitepaper.
- Auteur: MSP Institute.
- Publicatiedatum: 4 september 2026.
Wie in de zorg IT uitbesteedt, besteedt verantwoordelijkheid niet uit. NEN 7510 — de Nederlandse norm voor informatiebeveiliging in de zorg — eist dat je ook bij leveranciers aantoonbaar in control bent. Toch werken veel zorgorganisaties met IT-partners die de norm alleen van naam kennen. Deze gids helpt je het verschil te zien.
Waarom NEN 7510 ook over je MSP gaat
NEN 7510 bouwt voort op ISO 27001, met zorgspecifieke eisen rond patiëntgegevens, beschikbaarheid en toegangsbeheer. De norm werkt door in de hele keten: verwerkersovereenkomsten, leveranciersbeoordelingen en audittrails moeten kloppen tot op het niveau van de partij die je servers en werkplekken beheert. Bij een datalek kijkt de Autoriteit Persoonsgegevens én de IGJ naar jóuw leveranciersmanagement.
Drie niveaus van "wij doen NEN 7510"
- Niveau 1 — "Wij kennen de norm": de partij heeft zorgklanten maar geen eigen certificaat. Jij draagt het bewijsrisico volledig zelf.
- Niveau 2 — ISO 27001-gecertificeerd: de basis staat (risicomanagement, incidentproces), maar de zorgspecifieke eisen zijn niet getoetst.
- Niveau 3 — NEN 7510-gecertificeerd: een onafhankelijke auditor heeft het managementsysteem tegen de zorgnorm getoetst. Dit is het niveau dat je bij voorkeur contracteert voor omgevingen met patiëntgegevens.
Wat je concreet controleert
- Certificaat en scope: vraag het NEN 7510-certificaat op en lees de scope-omschrijving — dekt die de diensten die jij afneemt?
- Verwerkersovereenkomst: zorgproof, met subverwerkers benoemd en meldtermijnen voor incidenten (72 uur is het wettelijk maximum, korter is beter).
- Toegangsbeheer: hoe regelt de MSP dat alleen geautoriseerde engineers bij jouw omgeving kunnen, met logging en MFA?
- Datalocatie: waar staan backups en data — Nederland, EU, of daarbuiten? Voor zorgdata wil je dit zwart-op-wit.
- Beschikbaarheid: zorgprocessen draaien door in het weekend; een 24/7-servicedesk met zorgervaring is geen luxe.
- NIS2: veel zorgorganisaties vallen ook onder de nieuwe cybersecuritywet — lees NIS2 en jouw MSP voor de samenhang.
De juiste vragen in het eerste gesprek
Vraag hoeveel zorgklanten de partij bedient, wie de auditor is, wanneer de laatste externe audit was en of je het managementreview-verslag mag inzien onder NDA. Een volwassen partij antwoordt zonder aarzelen; wie eromheen praat, valt af.
Direct filteren: in het overzicht van Nederlandse MSP's zie je per aanbieder de certificeringen, waaronder NEN 7510 en ISO 27001. Vergelijk zorg-ervaren MSP's naast elkaar en vraag gevalideerde referenties op — zo start je shortlist met bewijs in plaats van beloften.
Op zoek naar een MSP? Vergelijk alle Nederlandse managed service providers →