Moet je als kleine zorgaanbieder NEN 7510-gecertificeerd zijn?

#Wat de wet vraagt

Houd je als zorgaanbieder cliëntgegevens bij in een systeem, dan werk je volgens NEN 7510. Zo staat het bij de Inspectie Gezondheidszorg en Jeugd (IGJ). De regel geldt ook voor een kleine organisatie en voor een eenmanszaak.

Een certificaat hoef je niet te hebben. Een certificaat is één manier om te laten zien dat je volgens de norm werkt. Je laat wel minstens eens in de drie jaar onafhankelijk toetsen of je maatregelen werken.

Bied je jeugdhulp, dan noemt de regeling bij de Jeugdwet ISO 27001. Die norm lijkt sterk op NEN 7510. Bied je Wmo-begeleiding of dagbesteding, kijk dan ook in je contract met de gemeente.

#Wat gemeenten vanaf 2027 vragen

Elke gemeente schrijft eigen eisen in haar inkoopstukken. Regio Zuidoost Utrecht vroeg in twee aanbestedingen van 2026 eerst om een eigen certificaat. Na vragen van zorgaanbieders paste de regio die eis aan.

• Je hoeft zelf geen certificaat te hebben.
• Je werkt met systemen die NEN 7510-gecertificeerd zijn of aan de norm voldoen, zoals je dossier en je beveiligde mail.
• Voor ambulante jeugdhulp geldt die eis vanaf 1 januari 2027.
• Voor Wmo-begeleiding en dagbesteding paste de regio de eis op dezelfde manier aan.

Een zorgaanbieder vroeg of een dossier met NEN 7510 en ISO 27001 genoeg is. De regio antwoordde: “Dat volstaat.”

Een andere gemeente kan iets anders vragen. Lees daarom de inkoopstukken van jouw gemeente of regio. Snap je een eis niet, stel er dan een vraag over in de vragenronde van de aanbesteding.

#Een gecertificeerd dossier is niet genoeg

Een gecertificeerd dossier helpt je, maar je blijft zelf verantwoordelijk voor de beveiliging. Ook dat zegt de IGJ. Je regelt dus ook wat buiten het dossier gebeurt.

• Wie mag welke cliënt zien, en wie zet de toegang uit als een collega vertrekt?
• Logt iedereen in met tweestapsverificatie?
• Waar staan papieren dossiers, foto’s en Excel-lijsten met namen van cliënten?
• Wat doe je bij een datalek, en wie meldt het bij de Autoriteit Persoonsgegevens?
• Heb je een verwerkersovereenkomst met elke leverancier die cliëntgegevens ziet?

Spreek met elke leverancier af welke beveiliging je verwacht, en leg dat vast in het contract. Ook dat vraagt de IGJ van je.

#Wat je nu al kunt doen

1. Zoek de inkoopstukken van je gemeente of regio op. Lees wat er staat over informatiebeveiliging.
2. Vraag je leveranciers om hun certificaat en de scope. De scope zegt welk deel van het bedrijf de auditor heeft getoetst.
3. Schrijf op hoe jullie met cliëntgegevens werken. Een korte risicoanalyse en de afspraken met je team zijn een goed begin.
4. Spreek af wanneer iemand van buiten je maatregelen toetst. Dat moet minstens eens in de drie jaar.

#Wat Emmie voor je regelt

Emmie is NEN 7510- en ISO 27001-gecertificeerd door Brand Compliance. Beide certificaten met de scope download je op de pagina’s NEN 7510 en ISO 27001. Daarmee laat je de gemeente zien dat je dossier aan de norm voldoet.

In Emmie maak je tweestapsverificatie verplicht voor je hele team. Elke wijziging in een dossier staat op de tijdlijn: wie, wanneer en wat. Op de pagina Veiligheid lees je wat we nog meer regelen.