NEN 7510 is de norm voor informatiebeveiliging in de zorg, en die geldt voor alle zorgaanbieders, ook voor een solopraktijk. Certificering is niet wettelijk verplicht, maar aantoonbaar passend beveiligen wel. De Inspectie Gezondheidszorg en Jeugd (IGJ) gebruikt NEN 7510 daarbij als toetskader. De vraag is dus zelden óf u iets moet doen, maar vooral hoeveel, en tegen welke kosten.
Waar betaalt u eigenlijk voor?
De totale kosten van NEN 7510 bestaan uit een aantal blokken. Het helpt om ze apart te bekijken, omdat aanbieders ze verschillend verpakken. Vergelijkt u offertes, controleer dan welke blokken wel en niet zijn inbegrepen.
- Inventarisatie. Een quickscan of volledige nulmeting (GAP-analyse): waar staat u ten opzichte van de eisen uit NEN 7510-1 en de maatregelen uit NEN 7510-2?
- Het managementsysteem (ISMS). Beleid, rollen, risicoanalyse, Verklaring van Toepasselijkheid en procedures. Dit is vooral denk- en schrijfwerk.
- Technische maatregelen. Multifactor-authenticatie, apparaatbeheer, versleuteling, versleutelde back-ups, veilig mailen, een gescheiden netwerk, logging. Hier zitten ook licenties en soms hardware.
- Bewustwording. Training van medewerkers, phishingtests en de managementtraining die NEN 7510 specifiek voor de zorg vraagt.
- Certificering (optioneel). De audit door een onafhankelijke, geaccrediteerde certificerende instelling. Een certificaat is drie jaar geldig, met jaarlijkse controle-audits.
- Onderhoud. Informatiebeveiliging is geen project maar een cyclus: jaarlijkse risicoanalyse, reviews, interne audit, bijhouden van leveranciers en incidenten.
- Uw eigen tijd. Ook als u veel uitbesteedt, blijven besluiten, afstemming en de uitvoering van afspraken bij uw praktijk liggen.
De zes belangrijkste kostenbepalers
1. Omvang
Het aantal medewerkers, werkplekken en locaties bepaalt hoeveel apparaten beheerd moeten worden, hoeveel accounts er zijn en hoe uitgebreid de risicoanalyse wordt. Bij certificering bepaalt de omvang ook het aantal auditdagen.
2. Startniveau
Een praktijk die al werkt met beheerde laptops, MFA en een goede back-up, is veel sneller klaar dan een praktijk met gedeelde accounts en een externe harde schijf als back-up. De nulmeting maakt dit verschil zichtbaar.
3. Uw ICT-omgeving
Werkt u volledig in de cloud, met een HIS, EPD of praktijksoftware bij een leverancier en Microsoft 365? Dan is de technische kant goed te overzien. Lokale servers, oude apparatuur, medische apparaten in het netwerk of veel losse systemen maken het complexer.
4. Wel of geen certificaat
Aantoonbaar volgens NEN 7510 werken kan zonder certificaat. Kiest u voor certificering, dan komen er een interne audit, een managementreview, de externe audits en de jaarlijkse controle-audits bij. Een certificaat is het sterkste bewijs en wordt soms geëist, bijvoorbeeld bij MedMij of in inkoopvoorwaarden.
5. Wie doet het werk
Doet u veel zelf, dan betaalt u minder aan externe partijen maar meer met uw eigen tijd, en die is in de zorg schaars. Besteedt u uit, dan is de vraag of één partij alles doet of dat u meerdere partijen moet aansturen.
6. Hoe snel het moet
Een harde deadline, zoals een vraag van de IGJ, een eis van een opdrachtgever of het omzetten van een bestaand certificaat vóór 20 februari 2027, vraagt meer capaciteit in korte tijd.
Drie routes, drie kostenprofielen
| Route | Voordeel | Let op |
|---|---|---|
| Zelf doen met software of sjablonen | Laagste directe kosten | U doet alles zelf, ook de techniek. Sjablonen zijn geen beveiliging: een audit toetst of maatregelen in de praktijk werken. |
| Adviesbureau plus eigen ICT-partij | Deskundig advies over de norm | Twee partijen, twee planningen. Het risico is een rapport dat niemand uitvoert, omdat de ICT-partij het normkader niet kent. |
| Alles in één hand | Beleid, techniek en beheer sluiten op elkaar aan | Controleer of advies en certificering onafhankelijk blijven: de partij die u helpt, mag u niet zelf certificeren. |
Globale marktindicaties
Onderstaande bedragen zijn globale marktindicaties, gebaseerd op openbaar gepubliceerde prijsinformatie van diverse aanbieders (peildatum september 2026). Ze zijn indicatief, verschillen sterk per situatie en zijn geen prijzen van Abyco Solutions.
- Begeleidingstraject door een consultant voor een kleine praktijk: grofweg € 8.000 tot € 25.000, exclusief techniek.
- Certificatie-audit door de certificerende instelling: grofweg € 3.000 tot € 8.000.
- Doe-het-zelfsoftware voor NEN 7510: grofweg € 30 tot € 300 per maand.
- Awareness-e-learning: grofweg € 25 tot € 75 per medewerker per jaar.
Verborgen kosten
- Het rapport in de la. Een GAP-analyse zonder uitvoering levert geen beveiliging op. Het geld is uitgegeven, het risico blijft.
- Bevindingen bij de audit. Zijn maatregelen alleen op papier ingericht, dan volgen bevindingen en extra werk om die op te lossen.
- Terugval na het certificaat. Zonder onderhoud zakt het niveau weg en wordt elke controle-audit een nieuw project.
- Incidenten. Een datalek of ransomware-aanval kost tijd, geld en vertrouwen van patiënten. Dat is precies wat u met NEN 7510 wilt voorkomen.
Zo houdt u de kosten beheersbaar
- Begin met een quickscan: dan weet u waar het grootste risico zit en waar u niet onnodig in hoeft te investeren.
- Gebruik wat u al heeft. Veel Microsoft 365-licenties bevatten beveiligingsfuncties die nog niet aanstaan.
- Kies bewust of u een certificaat nodig heeft, of dat aantoonbaar werken volgens de norm voldoende is.
- Vraag om een vaste prijs per fase en een voorspelbaar maandbedrag voor onderhoud.
- Leg het onderhoud meteen vast, zodat u na de eerste inspanning niet terugzakt.
Hoe Abyco Solutions dit aanpakt
Wij combineren ICT-beheer, de technische maatregelen en, samen met adviespartner Ritzky Organisatieadvies, het managementsysteem. U krijgt na de kennismaking en quickscan een offerte op maat, met een vaste trajectprijs die vooraf bekend is en een voorspelbaar maandbedrag. De kosten van de certificerende instelling worden rechtstreeks door de instelling aan u gefactureerd. Kiest u voor Zorg Gecertificeerd, dan geldt onze Begeleidingsgarantie.
Wilt u eerst weten waar u staat? Doe de online quickscan of bekijk IGJ-klaar, ons vaste product voor kleine praktijken.
Stand van zaken september 2026. Dit artikel is algemene informatie en geen juridisch advies. NEN 7510 is een norm van NEN; dit artikel bevat geen normtekst.