Heeft IGJ gevraagd om een onafhankelijke beoordeling van NEN 7510?
QVOX voert onafhankelijke NEN 7510-beoordelingen uit die aansluiten op de verwachtingen van de IGJ. We beoordelen de opzet, het bestaan en de werking van het Information Security Management System (ISMS) en de toepasselijke beheersmaatregelen. Daarbij kijken we verder dan beleid en documentatie. We onderzoeken of risico’s in de praktijk worden beheerst, maatregelen daadwerkelijk zijn ingevoerd, controles aantoonbaar plaatsvinden en geconstateerde verbeterpunten worden opgevolgd.
De beoordeling geeft een onafhankelijk en objectief beeld van de mate waarin de organisatie aan NEN 7510 voldoet. Voldoet de organisatie nog niet volledig aan de norm? Dan kan de beoordeling tevens dienen als nulmeting en als concreet vertrekpunt voor een gericht en aantoonbaar verbetertraject.
Wat vraagt de IGJ van zorgorganisaties?
De IGJ verwacht dat zorgaanbieders aantoonbaar volgens NEN 7510 werken. Daarvoor is alleen een informatiebeveiligingsbeleid niet voldoende. De organisatie moet kunnen laten zien dat het ISMS functioneert, risico’s worden beheerst en maatregelen in de praktijk werken.
Een onafhankelijke beoordeling moet volgens de IGJ duidelijk maken hoe de organisatie ervoor staat op:
- alle onderdelen van het ISMS uit hoofdstuk 4 tot en met 10 van NEN 7510;
- de beheersmaatregelen uit bijlage A die voor de organisatie van toepassing zijn;
- de uitvoering en werking van de informatiebeveiliging in de praktijk;
- het meten, evalueren en verbeteren van de getroffen maatregelen.
De beoordelaar moet per normonderdeel kunnen onderbouwen welk bewijs is onderzocht en hoe het oordeel tot stand is gekomen. De IGJ verwacht daarnaast een duidelijk onderscheid tussen kritieke afwijkingen, niet-kritieke afwijkingen en verbeterpunten.
Lees ook de officiële toelichting van de IGJ op NEN 7510 en de onafhankelijke beoordeling.
Wat beoordelen wij tijdens een NEN 7510-audit?
We beoordelen niet alleen of documenten aanwezig zijn. We onderzoeken vooral of afspraken en maatregelen daadwerkelijk zijn ingevoerd, worden toegepast en periodiek worden gecontroleerd.
Daarbij kijken we onder meer naar:
- de scope en inrichting van het ISMS;
- leiderschap, governance en verantwoordelijkheden;
- risicoanalyses en risicobehandeling;
- de Verklaring van Toepasselijkheid;
- toegangsbeheer en autorisaties;
- incident- en datalekmanagement;
- leveranciers- en ketenrisico’s;
- bedrijfscontinuïteit, back-ups en herstel;
- beveiligingsbewustzijn van medewerkers;
- fysieke en technische beveiligingsmaatregelen;
- monitoring, interne audits en managementreviews;
- afwijkingen, corrigerende maatregelen en aantoonbare verbetering.
We combineren documentonderzoek met interviews, waarnemingen, steekproeven en ander aantoonbaar bewijs. Zo ontstaat geen papieren controle, maar een realistisch beeld van de informatiebeveiliging in de dagelijkse praktijk.
Hoe werkt een onafhankelijke NEN 7510-beoordeling?
1. Aanleiding en scope bepalen
We bespreken de aanleiding voor de beoordeling, de vraag van de IGJ, de omvang van de organisatie, locaties, processen, informatiesystemen en relevante leveranciers.
Op basis daarvan bepalen we de scope, benodigde audittijd, betrokken functionarissen en planning.
2. Documentatie en bewijs voorbereiden
Vooraf vragen we de belangrijkste documenten en registraties op. Denk aan het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid, auditresultaten en de managementreview.
De organisatie ontvangt vooraf duidelijkheid over de benodigde informatie en de medewerkers die we willen spreken.
3. Beoordeling uitvoeren
Onze auditor beoordeelt de documentatie, voert interviews uit en neemt steekproeven. Daarbij wordt onderzocht of de beschreven maatregelen ook daadwerkelijk zijn uitgevoerd en functioneren.
De beoordeling richt zich op het volledige ISMS en de toepasselijke beheersmaatregelen. Wanneer een maatregel niet wordt beoordeeld, wordt dat in het rapport gemotiveerd.
4. Bevindingen bespreken en rapporteren
Na de beoordeling bespreken we de voorlopige bevindingen. Daarna ontvangt de organisatie een onderbouwd rapport met:
- het oordeel per normonderdeel;
- het onderzochte bewijs;
- kritieke en niet-kritieke afwijkingen;
- verbeterpunten;
- een duidelijke conclusie over de mate waarin volgens NEN 7510 wordt gewerkt.
5. Verbeteren en herbeoordelen
Wanneer afwijkingen zijn vastgesteld, kunnen deze worden vertaald naar een praktisch verbeterplan. Na uitvoering kan een herbeoordeling plaatsvinden om vast te stellen of de afwijkingen aantoonbaar zijn opgelost.
Wat levert de onafhankelijke beoordeling op?
De beoordeling geeft meer dan een lijst met bevindingen. Het rapport maakt duidelijk:
- in hoeverre de zorgorganisatie aantoonbaar volgens NEN 7510 werkt;
- welke risico’s voldoende worden beheerst;
- waar kritieke tekortkomingen bestaan;
- welke maatregelen nog niet aantoonbaar functioneren;
- welke verbeteringen prioriteit hebben;
- welk bewijs nog ontbreekt;
- welke vervolgstappen nodig zijn.
De rapportage is bruikbaar voor bestuur en management, verantwoordelijke functionarissen, interne verbeterteams en de communicatie met de IGJ.
Kan de beoordeling ook als NEN 7510-nulmeting worden gebruikt?
Ja. Een organisatie hoeft niet eerst volledig aan NEN 7510 te voldoen voordat een onafhankelijke beoordeling kan worden uitgevoerd.
De beoordeling wordt ook bij een nulmeting volledig uitgevoerd. Het ISMS en de toepasselijke beheersmaatregelen worden beoordeeld volgens dezelfde criteria. Uit het rapport blijkt vervolgens aan welke onderdelen al wordt voldaan en waar nog afwijkingen of verbeterpunten bestaan.
De beoordeling is daarmee tegelijkertijd:
- een volwaardige onafhankelijke NEN 7510-beoordeling;
- een objectieve nulmeting;
- een onderbouwde basis voor het verbeterplan;
- een vertrekpunt voor een latere herbeoordeling.
Een rapport met afwijkingen betekent niet dat de organisatie al volledig aan NEN 7510 voldoet. Het toont wel onafhankelijk en aantoonbaar aan waar de organisatie staat en welke verbeteringen nodig zijn.
Hoe verder na de NEN 7510-beoordeling?
Wanneer nog niet volledig aan NEN 7510 wordt voldaan, moeten de bevindingen beheerst worden opgevolgd. Een goed verbeterplan bevat minimaal:
- de te corrigeren afwijking;
- de onderliggende oorzaak;
- de benodigde maatregelen;
- de verantwoordelijke eigenaar;
- de uitvoeringsdatum;
- het bewijs van uitvoering en werking;
- het moment van herbeoordeling.
QVOX kan ondersteunen bij de vertaling van het rapport naar een haalbaar verbeterprogramma. Dat kan bijvoorbeeld door inzet van een projectleider, adviseur of tijdelijke security officer.
Audit en advies blijven daarbij duidelijk van elkaar gescheiden. Een herbeoordeling wordt uitgevoerd door een auditor die niet verantwoordelijk is geweest voor de implementatie van de beoordeelde maatregelen.
Onafhankelijke beoordeling of NEN 7510-certificering?
Een NEN 7510-certificaat is niet wettelijk verplicht. Certificering is één manier om aan te tonen dat een organisatie volgens NEN 7510 werkt, maar niet de enige.
Onderdeel |
Onafhankelijke beoordeling |
Certificering |
|---|---|---|
| Uitkomst | Onderbouwd beoordelingsrapport | Certificaat en auditrapport |
| Uitvoerder | Onafhankelijke en deskundige auditor | Certificerende instelling |
| Geschikt voor IGJ | Ja, als de beoordeling aan de IGJ-verwachtingen voldoet | Ja |
| Certificaat | Nee | Ja |
| Belangrijkste doel | Aantoonbaarheid, toezicht en verbetering | Formele certificering en extern vertrouwen |
| Mogelijk als nog niet alles op orde is | Ja, ook als nulmeting | Certificaat pas na voldoende conformiteit |
Certificering kan passend zijn wanneer opdrachtgevers, aanbestedingen of samenwerkingspartners om een formeel certificaat vragen. Is het belangrijkste doel om aantoonbaarheid richting de IGJ te realiseren en gericht te verbeteren? Dan kan een onafhankelijke beoordeling voldoende zijn.
Lees meer over begeleiding bij NEN 7510-certificering.
NEN 7510 en de Cyberbeveiligingswet
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Zorg- en gezondheidsorganisaties die onder de reikwijdte vallen, hebben onder meer te maken met een zorgplicht, registratieplicht, meldplicht en bestuurlijke verantwoordelijkheid.
NEN 7510 en de Cyberbeveiligingswet overlappen op onderwerpen zoals risicomanagement, incidentmanagement, continuïteit en leveranciersbeveiliging. Volgens de IGJ geeft aantoonbaar voldoen aan NEN 7510 al voor een belangrijk deel invulling aan de zorgplicht uit de Cyberbeveiligingswet.
NEN 7510 vervangt echter niet alle afzonderlijke verplichtingen uit de Cyberbeveiligingswet. Waar relevant nemen we deze samenhang mee in de beoordeling en de formulering van verbetermaatregelen.
Waarom kiezen voor QVOX?
Een onafhankelijke beoordeling vraagt om kennis van de norm, ervaring met managementsystemen en inzicht in de zorgpraktijk. QVOX combineert deze kennis in één beoordeling.
Organisaties kiezen voor QVOX vanwege:
- ervaring met NEN 7510 en informatiebeveiliging in de zorg;
- kennis van de verwachtingen en rapportage-eisen van de IGJ;
- beoordeling van het volledige ISMS en de toepasselijke maatregelen;
- aandacht voor de feitelijke werking in plaats van alleen documentatie;
- duidelijke rapportages voor bestuur, organisatie en toezichthouder;
- praktische ondersteuning bij het vervolg;
- een heldere scheiding tussen audit en advies.
We maken complexe eisen overzichtelijk en richten de beoordeling zo in dat de organisatie er direct mee verder kan.
Referenties van vergelijkbare trajecten zijn op verzoek beschikbaar.
Onafhankelijke NEN 7510-beoordeling aanvragen
Heeft de IGJ om een onafhankelijke beoordeling gevraagd? Of is behoefte aan een objectief beeld van de huidige stand van de informatiebeveiliging?
In een eerste gesprek bespreken we de aanleiding, scope, planning en huidige inrichting van het ISMS. Daarna ontvang je een helder voorstel voor de uitvoering van de beoordeling.
Ook wanneer nog niet alles op orde is, hoeft dat geen reden te zijn om te wachten. De beoordeling kan juist het startpunt zijn om gericht en aantoonbaar toe te werken naar NEN 7510.
