---
tags:
  - iso27001/2022
  - nen7510/2024
---

# NEN 7510-1:2024 vs. ISO 27001:2022

De NEN 7510-1:2024 is gebaseerd op de ISO/IEC 27001:2022 en volgt de geharmoniseerde structuur (Harmonized Structure – HS) voor ISO  managementsysteemnormen.
De kerntekst van beide normen (hoofdstukken 4 t/m 10, Eisen aan het managementsysteem) is identiek.

De beheersmaatregelen uit Bijlage A van de NEN 7510 zijn rechtstreeks afgeleid uit Bijlage A van de ISO 27001, aangevuld met zorgspecifieke beheersmaatregelen (uit ISO/DIS 27799:2024).

De NEN 7510-2 en de ISO 27002 bevatten implementatierichtlijnen voor de respectievelijke beheersmaatregelen uit de Bijlagen A van beide normen.

## Zorgspecifieke maatregelen in de NEN 7510

Zorgspecifieke beheersmaatregelen zijn voorzien van het voorvoegsel "HLT" (voor HeaLTh). Dit zijn:

- A.5.38 HLT – Analyse en specificatie van informatiebeveiligingseisen
- A.5.39 HLT – Zorgontvangers op unieke wijze identificeren
- A.5.40 HLT – Validatie van getoonde/geprinte gegevens
- A.5.41 HLT – Openbaar beschikbare gezondheidsinformatie
- A.5.42 HLT – Communicatie in noodsituaties
- A.5.43 HLT – Incidenten extern melden
- A.6.9 HLT – Managementtraining
- A.8.35 HLT – Zero trust-beginselen

Deze maatregelen komen dus *niet* voor in Bijlage A van de ISO 27001.

Daarnaast zijn er zorgspecifieke *aanvullingen* op in de ISO 27001 beschreven beheersmaatregelen:

**A.5 Organisatorische beheersmaatregelen**

- A.5.1 Beleidsregels voor informatiebeveiliging: aanvullend doel om de betrokkenheid van het topmanagement bij informatiebeveiliging te waarborgen en actueel te houden.
- A.5.2 Rollen en verantwoordelijkheden bij informatiebeveiliging: aanvullend doel is het waarborgen van duidelijke richting en sturing, zichtbare ondersteuning vanuit het management, en toereikende technische expertise, voor activiteiten die gepaard gaan met de beveiliging van gezondheidsinformatie.
- A.5.9 Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen: aanvullend doel is het identificeren van de stromen van informatie, en de interfaces van die stromen, om de informatiebeveiliging ervan te behouden en er passende eigenaren aan toe te wijzen.
- A.5.11 Retourneren van bedrijfsmiddelen: aanvullend doel is het beschermen van persoonlijke gezondheidsinformatie, als onderdeel van de procedure voor het wijzigen of beëindigen van een dienstverband, contract of overeenkomst.
- A.5.12 Classificeren van informatie: aanvullend doel is het waarborgen van de juiste classificatie van persoonlijke gezondheidsinformatie onder alle omstandigheden.
- A.5.14 Overdragen van informatie: aanvullend doel is het waarborgen van de beveiliging van informatieoverdracht gedurende de volledige levensduur ervan.
- A.5.15 Toegangsbeveiliging: aanvullend doel is het waarborgen van toegang op basis van vastgestelde rollen.
- A.5.19 Informatiebeveiliging in leveranciersrelaties: aanvullend doel is het beheren en beschermen van de externe toegang van leveranciers tot systemen en gegevens.

**A.6 Mensgerichte beheersmaatregelen**

- A.6.2 Arbeidsovereenkomst: aanvullend doel is het in functiebeschrijvingen vermelden van beveiligingsrollen en verantwoordelijkheden van toepassing op het verwerken van persoonlijke gezondheidsinformatie.
- A.6.6 Vertrouwelijkheids- of geheimhoudingsovereenkomsten: aanvullend doel is het formeel verplichten van alle personeel met toegang tot persoonlijke gezondheidsinformatie deze vertrouwelijk te behandelen.

**A.7 Fysieke beheersmaatregelen**

- A.7.10 Opslagmedia: aanvullend doel is dan persoonlijke gezondheidsinformatie op verwijderbare media het versleuteld wordt opgeslagen.

**A.8 Technologische beheersmaatregelen**

- A.8.5 Beveiligde authenticatie: aanvullend doel is het gebruik van tweefactorauthenticatie voor systemen die persoonlijke gezondheidsinformatie verwerken.
- A.8.13 Back-up van informatie: aanvullend doel is het beschermen van de vertrouwelijkheid van persoonlijke gezondheidsinformatie.