31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
NEN 7510 pentest: wat zorgaanbieders en hun leveranciers moeten testen, en waarom de wet dat voorschrijft
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, en sinds 2018 is zij bij besluit verplicht voor elke zorgaanbieder die patiëntgegevens elektronisch verwerkt. De maatregelen over kwetsbaarhedenbeheer en beveiligingstesten zijn de plek waar de penetratietest in beeld komt. Deze gids behandelt de norm, de wettelijke basis, de toezichthouders, de verwante kaders en hoe u een test scopet die ze alle dekt.
Wat NEN 7510 is en voor wie de norm geldt
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, uitgegeven door NEN, het Koninklijk Nederlands Normalisatie Instituut. De huidige editie is NEN 7510:2024, in twee delen. NEN 7510-1 stelt de eisen aan een managementsysteem voor informatiebeveiliging en volgt de opbouw van ISO/IEC 27001:2022, met zorgspecifieke aanvullingen. NEN 7510-2 bevat de beheersmaatregelen en implementatierichtlijnen en volgt ISO/IEC 27002:2022, opnieuw uitgebreid met maatregelen die alleen in de zorg betekenis hebben: logging van toegang tot patiëntdossiers, unieke identificatie van patiënten, omgang met medische apparatuur en de zorgplicht die onder alles ligt. Organisaties die tegen de editie van 2017 zijn gecertificeerd, gaan over naar de editie van 2024 binnen de termijn die NEN en de certificerende instellingen hebben gesteld.
Anders dan ISO 27001, die vrijwillig is tenzij een klant of toezichthouder haar eist, is NEN 7510 voor de Nederlandse zorg wet. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en het Besluit elektronische gegevensverwerking door zorgaanbieders, van kracht sinds 1 januari 2018, verplichten elke zorgaanbieder die een elektronisch uitwisselingssysteem of een elektronisch patiëntendossier gebruikt tot naleving van NEN 7510, NEN 7512 (veilige elektronische communicatie tussen partijen) en NEN 7513 (logging van toegang tot patiëntgegevens). Dat raakt ziekenhuizen, ggz-instellingen, huisartsenpraktijken, apotheken, laboratoria, verpleeg- en thuiszorgorganisaties, zelfstandige behandelcentra en de regionale en landelijke uitwisselingsinfrastructuren die hen verbinden. De Wet elektronische gegevensuitwisseling in de zorg (Wegiz), van kracht sinds 2023, bouwt voor verplichte gegevensuitwisselingen op dezelfde normen voort.
Leveranciers worden via contract en certificering meegetrokken. Leveranciers van elektronische patiëntendossiers, hostingpartijen, patiëntportaalplatformen, aanbieders van persoonlijke gezondheidsomgevingen (PGO) en uitwisselingsdiensten worden geacht NEN 7510-gecertificeerd te zijn, en zorginstellingen schrijven die verwachting in hun inkoop. In de praktijk bedient de penetratietest van de leverancier vaak meerdere ziekenhuizen tegelijk, zoals een derdenverklaring dat doet in een DigiD-assessment.
De maatregelen die om een penetratietest vragen
NEN 7510-2 volgt de maatregelenset van ISO/IEC 27002:2022. Geen van deze maatregelen gebruikt het woord penetratietest, en geen van ze is in de praktijk aantoonbaar zonder.
Beheer van technische kwetsbaarheden (maatregel 8.8)
De organisatie moet informatie verkrijgen over technische kwetsbaarheden in de systemen die zij gebruikt, haar blootstelling beoordelen en passende maatregelen nemen. In een ziekenhuisomgeving gaat dat over het elektronisch patiëntendossier, het portaal, de integratielaag, de beeldvormende systemen, de laboratoriumsystemen en de medische apparatuur op het klinische netwerk. Scannen vertelt u welke versies geïnstalleerd zijn. Een penetratietest vertelt u welke kwetsbaarheden bereikbaar en misbruikbaar zijn vanuit de posities die een aanvaller realistisch kan innemen: het internet, een gecompromitteerd werkstation, een gastnetwerk of een aangesloten apparaat.
Beveiligingstesten in ontwikkeling en acceptatie (maatregel 8.29)
Nieuwe en gewijzigde systemen moeten vóór acceptatie op beveiliging worden getest. Ziekenhuizen bouwen hun dossiersystemen zelden zelf, maar zij configureren, koppelen en breiden ze voortdurend uit: nieuwe FHIR-endpoints voor een PGO-koppeling, een nieuwe e-consultmodule, een vernieuwd portaal. Elk daarvan is een wijziging die maatregel 8.29 getest wil zien voordat patiënten haar gebruiken, en een penetratietest op de acceptatieomgeving is de erkende manier om dat te doen.
Naleving van beleid, regels en normen (maatregel 5.36)
Managers moeten regelmatig beoordelen of systemen voldoen aan het beveiligingsbeleid en de normen van de organisatie. Technische nalevingscontrole is de operationele vorm van deze maatregel, en het is de maatregel die auditors het vaakst aanhalen wanneer zij om het laatste pentestrapport vragen. Een beleid dat zegt dat alle extern bereikbare systemen volgens de NCSC-richtlijnen zijn gehard, is alleen beleid tot een test het bevestigt.
Zorgspecifieke maatregelen voor toegang en logging
NEN 7510 voegt eisen toe over toegang tot patiëntgegevens (need-to-know, rolgebaseerde toegang, noodtoegang met verantwoording) en over het loggen van die toegang conform NEN 7513. Deze maatregelen falen geruisloos: een autorisatiefout in een portaal of een API waardoor de ene patiënt het dossier van de andere kan lezen, is onzichtbaar in de logging tot iemand haar misbruikt. Autorisatie testen op het niveau van het individuele patiëntdossier is het belangrijkste zorgspecifieke onderdeel van een NEN 7510 pentest.
Leveranciersrelaties (maatregelen 5.19 tot 5.22)
De norm vereist dat beveiliging in leveranciersovereenkomsten wordt geregeld en gedurende de relatie wordt bewaakt. Voor een zorgaanbieder betekent dat: pentestrapporten bij leveranciers opvragen, hun scope toetsen aan wat u daadwerkelijk gebruikt, en de koppelingen en configuraties testen die van u zijn. Voor een leverancier betekent het: een testrapport hebben dat goed genoeg is om te overhandigen.
Het aanvalsoppervlak van de zorg: wat een NEN 7510 pentest doorgaans scopet
Een ziekenhuis of zorgorganisatie heeft een aanvalsoppervlak dat weinig andere sectoren kennen: klinische systemen die niet offline kunnen, apparatuur met een levensduur van tien jaar of meer, en tientallen externe uitwisselingspartners.
Elektronisch patiëntendossier (EPD/ECD) en de systemen eromheen
Het dossiersysteem zelf, de integratielaag die HL7 v2- en FHIR-berichten routeert, de lab- en apotheeksystemen, PACS en DICOM-beeldvorming en de rapportagedatabases. Getest vanuit een assumed-breach-positie op het interne netwerk: wat kan een gecompromitteerd werkstation of een account van een externe bereiken, en houdt de segmentering stand?
Patiëntportalen en e-health-toepassingen
Portalen waar patiënten uitslagen inzien, afspraken maken, met behandelaars berichten uitwisselen en documenten uploaden, doorgaans achter DigiD of een andere identiteitsprovider. Getest op autorisatie tussen patiënten, sessiebeheer, bestandsafhandeling, bedrijfslogica en de identiteitsfederatie zelf.
HL7 FHIR API's en PGO-koppelingen
De FHIR-endpoints die patiëntgegevens ontsluiten naar persoonlijke gezondheidsomgevingen onder het MedMij-afsprakenstelsel, naar andere zorgaanbieders en naar apps. Getest op implementatiefouten in OAuth 2.0 en OpenID Connect, scope en levensduur van tokens, autorisatie op resource-niveau en de zoek- en bulkoperaties die FHIR handig en gevaarlijk maken.
Medische apparatuur en het klinische netwerk
Infuuspompen, monitoren, beeldvormende modaliteiten en labanalysers op het klinische netwerk, vaak met software die niet in een normale cyclus te patchen is. Getest zonder de zorg te verstoren: passieve inventarisatie, verificatie van segmentering en gecontroleerd testen van beheerinterfaces, in lijn met de verwachtingen van IEC 81001-5-1 voor fabrikanten en de MDR-verplichtingen die op hen rusten.
Mobiele apps en toegang op afstand
Apps voor patiënten en zorgverleners, toegang op afstand voor thuiswerkende medewerkers, VDI-omgevingen en de identiteitsinfrastructuur (Active Directory, Entra ID) die alles verbindt. Getest volgens de OWASP MASVS voor de apps en vanuit het perspectief van een gestolen toestel of een gephisht wachtwoord voor de toegang op afstand.
Veilige e-mail en uitwisselingsdiensten (NTA 7516, NEN 7512)
De diensten waarmee gezondheidsgegevens per e-mail en met externe partijen worden uitgewisseld, waarop NTA 7516 en NEN 7512 van toepassing zijn. Getest op configuratie (SPF, DKIM, DMARC, afgedwongen TLS), de portaalcomponenten van veilige-mailproducten en de integriteit van de uitwisselingsketen.
Waar penetratietesten in de zorgkaders terugkomt
Een Nederlandse zorgaanbieder heeft zelden met één kader te maken. Dezelfde test, zorgvuldig gescopet, levert bewijs voor de meeste ervan.
| Kader | Voor wie het geldt | Waar de test terugkomt |
|---|---|---|
| NEN 7510:2024 | Alle Nederlandse zorgaanbieders (bij besluit) en, via contract, hun leveranciers | Maatregelen 8.8, 8.29 en 5.36, plus zorgspecifieke toegangs- en loggingmaatregelen; certificeringsaudits vragen om het laatste rapport |
| Besluit elektronische gegevensverwerking door zorgaanbieders | Zorgaanbieders die elektronische uitwisselingssystemen of dossiers gebruiken | Maakt NEN 7510, 7512 en 7513 verplicht; de IGJ houdt toezicht op de naleving |
| MedMij-afsprakenstelsel | PGO-aanbieders en dienstverleners zorgaanbieder in het stelsel | De informatiebeveiligingseisen omvatten aantoonbaar beveiligingstesten van de MedMij-omgeving als onderdeel van kwalificatie en de jaarcyclus |
| NTA 7516 | Aanbieders en gebruikers van veilige e-mail voor gezondheidsgegevens | Technische eisen die bij certificering worden aangetoond door het testen van de mail- en portaalcomponenten |
| ISO/IEC 27001:2022 | Organisaties die kiezen voor certificering, vaak naast NEN 7510 | Bijlage A-maatregelen A.8.8, A.8.29 en A.5.36 komen één op één overeen met de NEN 7510-2-maatregelen |
| NIS2 / Cyberbeveiligingswet | Zorgaanbieders die essentiële of belangrijke entiteit zijn | Artikel 21(2)(f): beleid en procedures om de doeltreffendheid van de risicobeheersmaatregelen te beoordelen |
| AVG | Elke verwerkingsverantwoordelijke en verwerker van gezondheidsgegevens | Artikel 32(1)(d): een procedure om de doeltreffendheid van beveiligingsmaatregelen regelmatig te testen, te beoordelen en te evalueren |
Wat NEN 7510-auditors en de IGJ verwachten aan te treffen
Certificerende auditors en de Inspectie Gezondheidszorg en Jeugd zoeken hetzelfde bewijsspoor. Zorg dat het klaarligt vóór de audit, niet tijdens.
- Een risicogebaseerd testplan dat benoemt welke systemen worden getest, hoe vaak en op welke diepte, met het elektronisch patiëntendossier, portalen, API's en extern bereikbare systemen minimaal jaarlijks gedekt
- Het meest recente pentestrapport voor elk van die systemen, met scope, data, tester bij naam, methodiek en bevindingen
- Bewijs dat bevindingen zijn getrieerd, toegewezen, binnen de termijnen van uw beleid verholpen en hertest
- Autorisatietesten op het niveau van het patiëntdossier, omdat de toegangs- en loggingmaatregelen van NEN 7510 daar het meest kwetsbaar zijn
- Testrapporten van leveranciers voor gehoste dossiersystemen en portalen, met uw eigen toetsing van hun scope aan wat u gebruikt
- Testen van wijzigingen vóór acceptatie (nieuwe modules, nieuwe koppelingen, nieuwe FHIR-endpoints), herleidbaar in het wijzigingsbeheer
- Een koppeling tussen testbevindingen en uw NEN 7513-logging: waren de misbruikte handelingen zichtbaar in de toegangslogging, en zouden ze zijn gedetecteerd?
- Voor NIS2-entiteiten: het testprogramma opgenomen in het risicobeheerkader dat uw bestuur heeft goedgekeurd
NEN 7510, ISO 27001 en NIS2 combineren in één testprogramma
De meeste Nederlandse ziekenhuizen en grotere zorgorganisaties zijn NEN 7510-gecertificeerd en steeds vaker ook ISO 27001, vaak bij dezelfde certificerende instelling in een gecombineerde audit. Omdat NEN 7510-2 de maatregelenset van ISO 27002:2022 volgt, levert één penetratietestprogramma bewijs voor beide, mits de scopeverklaring de systemen in beide managementsysteemscopes benoemt en het rapport de maatregelen citeert. Leveranciers die zorgaanbieders en andere sectoren bedienen, profiteren het meest: één jaarlijks programma, één rapportstructuur, twee certificaten.
NIS2 voegt het bestuur toe. Zorgaanbieders staan in bijlage I van de richtlijn, dus ziekenhuizen en andere grote aanbieders zijn essentiële entiteiten, en de Cyberbeveiligingswet, de Nederlandse omzetting, maakt het bestuur verantwoordelijk voor het goedkeuren van en toezien op de risicobeheersmaatregelen voor cyberbeveiliging. Artikel 21(2)(f) vereist beleid en procedures om de doeltreffendheid van die maatregelen te beoordelen, en artikel 21(2)(e) regelt beveiliging bij verwerving, ontwikkeling en onderhoud, inclusief de omgang met kwetsbaarheden. Een penetratietestprogramma dat door het bestuur is goedgekeurd, volgens planning wordt uitgevoerd en naar boven wordt gerapporteerd, voldoet aan beide. De praktische verandering is dat testresultaten nu een managementsamenvatting nodig hebben waarop het bestuur kan handelen, en niet alleen een bevindingenlijst voor de IT-afdeling.
Z-CERT, het computer emergency response team voor de Nederlandse zorg, is het sectorale knooppunt voor dreigingsinformatie en incidentcoördinatie en speelt een formele rol in de NIS2-structuur voor de sector. Hun sectorspecifieke dreigingsbeeld is een nuttige bron bij het scopen: de ransomwaregroepen, initiële toegangstechnieken en blootgestelde diensten die zij rapporteren, zijn de scenario's die een realistische test moet bevatten.
Hoe wij in de zorg testen
Testen in de zorg kent één randvoorwaarde die andere sectoren niet hebben: patiëntveiligheid gaat vóór testdekking. Wij scopen met de CISO, de functioneel beheerders van de klinische applicaties en, waar apparatuur in het spel is, de afdeling medische technologie. Productiesystemen worden getest binnen afgesproken vensters met een escalatiecontact bij naam, medische apparatuur wordt getest met de richtlijnen van de fabrikant en nooit met actieve exploitatie op een apparaat in klinisch gebruik, en testaccounts worden aangemaakt met synthetische patiëntgegevens zodat geen echt dossier wordt geraakt. Waar een test op productie moet draaien, bijvoorbeeld een portaal achter DigiD, wordt de koppeling beproefd tegen de preproductieomgeving van de identiteitsprovider.
Het rapport citeert per bevinding de NEN 7510-2-maatregel, de ISO 27001 bijlage A-maatregel en, waar relevant, de MedMij- of NTA 7516-eis, zodat uw informatiebeveiligingsfunctionaris het één keer archiveert en uw certificerende auditor, uw leveranciersmanager en uw bestuur elk het deel lezen dat voor hen is geschreven. De lead tester is OSCP-gecertificeerd en wordt bij naam genoemd, de hertest is onderdeel van de opdracht en wij leveren vóór uw auditdatum, niet erna.
Veelgestelde vragen
Bereidt u zich voor op een NEN 7510-audit of een MedMij-kwalificatie?
Wij scopen zorgtests met patiëntveiligheid voorop, citeren per bevinding de NEN 7510-2-maatregel en leveren vóór uw auditdatum. Praat met een expert.