NEN 7510 awareness: bewustwording in de zorg aantonen met een phishingtest

NEN 7510 is de norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001. Ook deze norm vraagt passende bewustwording, opleiding en training, regelmatig bijgewerkt, en een manier om na te gaan of die werkt. Voor NEN 7510 awareness betekent dat: een plan, de uitvoering, een meting van het effect en de opvolging. Een phishingtest levert die meting, in de inbox van uw eigen medewerkers.

Wat NEN 7510 vraagt, in gewone taal

Zorgaanbieders moeten volgens het Besluit elektronische gegevensverwerking door zorgaanbieders kunnen laten zien dat zij volgens de norm werken; ook ICT-leveranciers in de zorg krijgen er vaak mee te maken. De norm bestaat uit twee delen. Deel 1 bevat de eisen aan het managementsysteem en volgt ISO 27001. Deel 2 bevat de maatregelen: de Nederlandse versie van ISO 27002, aangevuld met maatregelen die specifiek voor de zorg gelden.

De huidige versie, NEN 7510:2024, is gepubliceerd op 16 december 2024. Bestaande certificaten moeten uiterlijk 20 februari 2027 zijn overgezet naar de nieuwe versie. Het besluit verwijst naar NEN 7510. Sinds 1 juni 2026 gelden daarvoor NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026. Een certificaat is daarvoor geen voorwaarde.

Bewustwording zit in beide delen. Uit deel 1 volgt dat u bepaalt welke kennis medewerkers nodig hebben, dat u zorgt dat zij die krijgen en dat u nagaat of het effect heeft. In deel 2 staat, net als in ISO 27002, een maatregel voor bewustwording, opleiding en training. De vorm kiest u zelf, passend bij de risico's in uw organisatie.

Wat een auditor in de zorg wil zien

Een auditor kijkt of u kunt onderbouwen hoe u de maatregelen uit deel 2 invult. Voor bewustwording vraagt hij naar uw plan en de uitvoering daarvan, en daarna naar de werking: herkennen en melden uw medewerkers een verdachte mail, en wat heeft u met de uitkomsten gedaan? Een presentielijst van een training laat zien wie er was. Of het effect heeft, blijkt uit een meting in de werksituatie zelf, en daar is een phishingtest voor.

Gezondheidsgegevens vragen extra zorg bij melden

Zorgmedewerkers werken met gezondheidsgegevens, die de AVG als bijzondere persoonsgegevens extra beschermt. Een verdachte mail hoort daarom direct gemeld te worden bij de juiste persoon, ook na een klik.

Een phishingtest laat zien of dat gebeurt. Route 3, melden en navraag, houdt uw organisatie tijdens de test zelf bij; u stuurt ons na afloop een verslag en wij beschrijven het in het eindrapport, naast wat wij zelf zagen op de phishingpagina en in de hackermailbox. Wat elke route meet, leest u in het artikel over het phishingprotocol.

Wat u na de test in uw dossier heeft

Na afloop ontvangen alle medewerkers de herkenningsbrief phishing, in een opbouwende toon: het doel is samen leren, zonder met de vinger te wijzen. Onze specialisten schrijven het eindrapport, met een risicomatrix en advies, bijvoorbeeld over uw phishingprotocol. Het rapport, de herkenningsbrief en de datum waarop u die deelde, horen in uw dossier. Omdat wij elke test met hetzelfde risicomodel beoordelen, kunt u een volgende test met deze vergelijken. Lees welke onderdelen een phishingtest heeft.

Gegevens van zorgmedewerkers blijven in goede handen

Het eindrapport noemt geen namen; of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. Grote organisaties kiezen vaak voor volledig anoniem. Ingevulde wachtwoorden worden al in de browser afgekapt; wij leggen alleen de eerste twee tekens en de lengte vast.

Alle gegevens van de test blijven in Europa, op onze eigen servers in Duitsland, in datacenters met een ISO 27001-certificaat. BSM is een vergund onderzoeksbureau (POB 1104); al onze medewerkers zijn gescreend en hebben een wettelijke geheimhoudingsplicht. Wij voeren phishingtests uit voor onder meer zorginstellingen, gemeenten, scholen en dienstverleners.

Herhalen en trainen houden bewustwording onder de aandacht

De norm vraagt om regelmaat. Hoe vaak u test, bepaalt u zelf: één tot vier keer per jaar, of vaker, steeds met een ander scenario. Voert u de test als vast ritme met ons uit, dan heet dat bij ons phishing as a service. Na een test kunnen onze eigen trainers een training geven; meer daarover op de pagina over phishing training.

Valt uw zorgorganisatie ook onder de Cyberbeveiligingswet, lees dan wat die wet over training van medewerkers vraagt.

Zo plant u een phishingtest voor uw NEN 7510-audit

Plan de test ruim voor de audit, zodat het eindrapport klaar is en u kunt laten zien wat u ermee deed. De doorlooptijd is gemiddeld twee tot vier weken. Van uw kant zijn een contactpersoon, een deelnemerslijst, uw akkoord op de testmail en een IT-beheerder voor de whitelisting nodig.

Zo ziet een phishingtest van BSM eruit. Meer over een phishingtest laten uitvoeren leest u op de productpagina.

Bronnen

• NEN, Informatiebeveiliging in de zorg (NEN 7510)
• Staatscourant 2026, 17743: aanwijzing NEN 7510-1:2024 en NEN 7510-2:2024+A1:2026 per 1 juni 2026
• Kiwa, Herziene NEN 7510 gepubliceerd