AI in de zorg en NEN 7510, audit-ready informatiebeveiliging voor zorginstellingen

Voor Nederlandse zorginstellingen die generatieve AI serieus invoeren, is de toets van AI in de zorg tegen NEN 7510 een van de zwaarste compliance-uitdagingen. NEN 7510 is de Nederlandse informatiebeveiligings-norm voor de zorg, aanvullend op ISO 27001, en wordt via NIAZ, KIWA of DNV geaudit. Wanneer AI-tools patient-data verwerken, worden ze onderdeel van je informatiebeveiligings-management-systeem (ISMS) en moeten ze aan alle relevante NEN 7510-controles voldoen. Deze gids beschrijft welke controle-eisen daar concreet mee bedoeld worden, hoe je een audit doorstaat en welke documenten en procedures je direct moet hebben.

Voor CISO's, informatiebeveiligers en IT-managers van Nederlandse zorginstellingen (ziekenhuizen, ggz, thuiszorg, huisartsenorganisaties) die NEN 7510-gecertificeerd zijn of aan certificering werken en AI-tools willen invoeren zonder hun accreditatie te riskeren.

Wat AI in de zorg NEN 7510-relevant maakt

NEN 7510-serie (NEN 7510, NEN 7512, NEN 7513) legt eisen op aan informatiebeveiliging in de gezondheidszorg. Voor AI-inzet zijn drie eisen-categorieën direct relevant.

Beheersing van derde-partij-verwerkers. NEN 7510 sluit aan bij ISO 27001 Annex A.15 (leverancier-relaties). Elke AI-leverancier die patient-data verwerkt is een derde-partij die onder je ISMS valt. Vereist: sluitende contracten, risico-analyses per leverancier, periodieke beoordeling.

Toegangs-controle en logging. NEN 7510 hoofdstuk 9 (toegangs-beveiliging) en hoofdstuk 12 (bedrijfsvoering-beveiliging, inclusief logging). AI-tools moeten aantoonbare toegangs-controles en per-verzoek-logging bieden. Wie deed wat wanneer met welke patient-data.

Incident-management. NEN 7510 hoofdstuk 16 (incidenten-beheer). Procedures voor het herkennen, escaleren, oplossen en documenteren van beveiligings-incidenten met AI-tools. Aantoonbare oefening en tests.

Voor bredere context zie AI in de zorg en AI in de zorg en de AVG.

Welke NEN 7510-controles gaan bij AI-inzet vastlopen

Uit gesprekken met NEN 7510-auditors bij NIAZ en KIWA komen deze zeven controles het meest voor bij AI-gerelateerde bevindingen.

Controle A.15.1.1: informatiebeveiliging in relaties met leveranciers. Auditor vraagt: heb je een sluitende overeenkomst met elke AI-leverancier die patient-data raakt. Zo niet: bevinding.

Controle A.15.1.2: aanpak informatiebeveiliging in leveranciers-overeenkomsten. Wat staat er in de contracten over beveiliging, waaronder audit-rechten en incident-melding-plichten. Standaard-VWO's dekken dit vaak minimaal.

Controle A.15.2.1: monitoring en beoordeling van leveranciers-diensten. Hoe evalueer je periodiek dat je AI-leveranciers hun beveiligings-verplichtingen nakomen. Zonder gestructureerde review-proces: bevinding.

Controle A.9.4.1: beperkte informatie-toegang. Kan alleen de behandelaar patient-data zien in AI-tools, of hebben andere gebruikers onbedoeld toegang. AI-tools met slechte tenant-isolatie of onbedoelde data-delen tussen gebruikers zijn een direct probleem.

Controle A.12.4.1: gebeurtenis-logging. Elke gebeurtenis rondom patient-data-verwerking moet gelogd zijn met wie, wat, wanneer. AI-tools zonder per-verzoek-log doorstaan deze controle niet.

Controle A.16.1.1: verantwoordelijkheden en procedures. Documenteerbare incident-respons-procedure voor AI-gerelateerde events. Wie doet wat bij welk type incident.

Controle A.18.1.4: privacy en bescherming van persoonsgegevens. Kruisverwijzing naar AVG-verplichtingen. AI-tools die de AVG-eisen niet ondersteunen (zie AI in de zorg AVG) veroorzaken automatisch NEN 7510-bevindingen.

Concrete documenten die je moet hebben voor een NEN 7510-audit

Zeven documenten die de auditor direct kan opvragen bij AI-inzet.

Document 1: leveranciers-register. Overzicht van alle AI-leveranciers met naam, contact, contract-datum, subverwerker-lijst, laatste review-datum. Actueel geactualiseerd, met versie-historie.

Document 2: per-leverancier risico-analyse. Wat is het beveiligings-risico van deze AI-leverancier, welke mitigerende maatregelen zijn getroffen, wat is de restrisico-inschatting. Één tot twee pagina's per leverancier.

Document 3: verwerkersovereenkomsten met specifieke beveiligings-clausules. Standaard-VWO's uitgebreid met NEN 7510-specifieke eisen: audit-rechten, incident-melding binnen 24 uur, subverwerker-goedkeuring vooraf, informatie-beveiliging-personeel geregistreerd bij leverancier.

Document 4: toegangs-controle-matrix. Wie heeft welke rechten in welke AI-tool, gekoppeld aan functieprofielen. Regelmatige review (minimaal jaarlijks).

Document 5: audit-log-review-procedure. Wie kijkt hoe vaak naar AI-audit-logs, hoe worden anomalieën gesignaleerd, hoe wordt onderzocht en gerapporteerd. Aantoonbare uitvoering (steekproef in laatste 12 maanden).

Document 6: incident-respons-procedure. Aanpak per type incident (data-lek, ongeautoriseerde toegang, leverancier-uitval), verantwoordelijken, communicatie-plan, meldings-plicht aan AP en zorgverzekeraar.

Document 7: aantoonbare training. Alle medewerkers die AI-tools gebruiken hebben training gehad over AI-informatiebeveiliging. Registratie met datum, inhoud, deelnemer.

Auditors vragen deze documenten steekproefsgewijs op. Ontbreken van één document leidt tot bevinding; ontbreken van drie of meer leidt tot een major finding die je certificering bedreigt.

Concrete stappen voor een AI-audit-ready NEN 7510-organisatie

Vier fasen, elk 3-4 weken bij middelgrote zorginstellingen.

Fase 1: gap-analyse. Vergelijk je huidige documenten met de zeven-document-lijst hierboven. Documenteer wat mist. Prioritering op basis van welke NEN 7510-controle het meest kwetsbaar is.

Fase 2: leveranciers-analyse. Voor elke huidige AI-leverancier: is er een sluitende VWO, is de subverwerker-lijst actueel, wordt de leverancier periodiek gereviewed. Vervang of upgrade leveranciers waar nodig.

Fase 3: technische controle-inrichting. Zorg dat elke AI-tool audit-log op verzoekniveau levert. Waar mogelijk: single-sign-on via centraal identiteits-systeem voor toegangs-controle. Blokkering van niet-goedgekeurde AI-tools via netwerk- en endpoint-maatregelen.

Fase 4: procedure-opzet en training. Documenteer incident-respons-procedure, plan audit-log-review-cyclus, geef verplichte training. Documenteer alle activiteiten.

Wat auditors bij een NEN 7510-audit met AI vragen

Steekproefsgewijs uit ervaring van gecertificeerde zorginstellingen.

Vraag 1: "Laat me de leveranciers-lijst zien voor AI-tools." Auditor wil zien: naam leverancier, contact, contractdatum, verwerkte data-categorie, laatste risico-analyse-datum. Actueel binnen 6 maanden.

Vraag 2: "Toon me een audit-log van een AI-verzoek van vorige week." Live opvragen van een specifieke datum en tijd. Log moet bevatten: gebruiker, verzoek-tijdstip, model, input-hash, output-hash, patient-koppeling (indien van toepassing).

Vraag 3: "Wat gebeurt er bij een leverancier-uitval van 8 uur?" Verwacht antwoord: gedocumenteerde continuïteits-procedure met alternatief werk-proces, medewerkers geïnformeerd, patient-communicatie voorbereid.

Vraag 4: "Wie heeft toegang tot AI-tool X?" Vertegenwoordigd via toegangs-matrix, gekoppeld aan functie. Periodieke review aantoonbaar.

Vraag 5: "Beschrijf een incident dat is voorgevallen in de laatste 12 maanden." Als er geen incidenten waren: aannemelijk maken dat je zou signaleren als het gebeurde. Als er wel incidenten waren: hoe gehandhaafd, welke lessen geleerd, welke procedure-aanpassing.

Ciralgo voor NEN 7510-compliance in de zorg

Ciralgo is een EU-gehoste governancelaag die specifiek is ontworpen voor NEN 7510-compliance. Voor zorginstellingen:

• Actuele subverwerker-lijst publiek beschikbaar.
• Concrete beveiligings-clausules in de VWO die verder gaan dan standaard-templates (audit-rechten, incident-melding binnen 24 uur).
• Per-verzoek audit-log met alle NEN 7510-vereiste velden.
• Rol-gebaseerde toegangs-controle die aansluit op single-sign-on-systemen.
• Automatisch gegenereerd leveranciers-review-rapport voor je jaarlijkse ISMS-cyclus.

Zie Ciralgo pricing voor zorgorganisaties en de bredere AI in de zorg gids.

Veelgestelde vragen over AI in de zorg NEN 7510

Moet ik voor NEN 7510 ook aan ISO 27001 voldoen?

NEN 7510 is een uitbreiding op ISO 27001. In de praktijk is ISO 27001-certificering met NEN 7510-aanvulling de standaard. Auditors toetsen beide tegelijk.

Kan ik NEN 7510-audit doorstaan zonder AI-specifieke controles?

Alleen als je aantoonbaar geen AI met patient-data verwerkt. Zodra AI-tools patient-workflows raken, worden ze onderdeel van je ISMS en getoetst tegen alle relevante controles.

Wat kost een NEN 7510-audit met AI-inzet?

Voor een middelgrote zorginstelling: €8.000-€20.000 voor de audit zelf plus intern voorbereidings-werk. AI-inzet verhoogt de audit-omvang met 20-40% ten opzichte van een AI-vrije situatie.

Werken kleine AI-leveranciers samen met NEN 7510-audit?

Sommige wel, sommige niet. Vraag vooraf: (a) bied je audit-rechten in de VWO, (b) heb je zelf een externe beveiligings-attestation (SOC 2, ISO 27001, of tenminste een verifieerbare pen-test-rapport). Kleine leveranciers zonder deze basis maken je NEN 7510-audit lastiger.

Wat als een AI-leverancier weigert audit-rechten te geven?

Dan voldoet de VWO niet aan NEN 7510-eisen en moet je een alternatieve leverancier zoeken. Geen uitzondering mogelijk voor structurele patient-data-verwerking.

Hoe vaak moet ik AI-leveranciers reviewen?

NEN 7510 vereist "periodieke" review. Praktijk: jaarlijkse formele review als onderdeel van ISMS-cyclus, plus ad-hoc bij wijzigingen (subverwerker-verandering, security-incident, contract-heronderhandeling).

Verder lezen

• AI in de zorg: praktische gids
• AI informatiebeveiliging in de zorg: TOMs voor zorginstellingen
• AI risico's in de zorg: classificatie en beheersing
• AI in de zorg voorbeelden
• AI in de zorg en de AVG
• AI in de gezondheidszorg
• Wat is een EU-gehoste LLM-proxy?

Laatst herzien: 11 juli 2026. Deze pagina wordt kwartaalgewijs geactualiseerd bij NEN-updates of audit-praktijk-wijzigingen.