NEN 7510 en de Cbw: wat vraagt uw zorgklant van u als telecomleverancier?

Twee sporen, één klant

Bij een zorgklant lopen twee regels door elkaar. De eerste is oud: zorgaanbieders moeten op grond van de Wabvpz en het Besluit elektronische gegevensverwerking door zorgaanbieders voldoen aan NEN 7510. Volgens de toelichting bij de zorgregeling gaat die plicht alleen over elektronische uitwisselingssystemen en zorginformatiesystemen.

De tweede is nieuw: de Cyberbeveiligingsregeling voor de zorg (Stcrt. 2026, 28763). Die werkt de zorgplicht van de Cbw uit voor de sector gezondheidszorg en de subsector vervaardiging van medische hulpmiddelen (artikel 1.2). De Cbw is breder. Volgens de toelichting vallen ook andere systemen eronder, zoals HR-systemen.

Wat zegt de zorgregeling?

Artikel 2.1 geeft zorgentiteiten drie routes. Hun maatregelen:

• voldoen aantoonbaar aan NEN 7510;
• voldoen aantoonbaar aan NEN-ISO-IEC 27001 en 27002; of
• hebben aantoonbaar een gelijkwaardig beschermingsniveau.

Certificering is daarbij geen vereiste, zegt de toelichting. Aantoonbaar betekent dat de entiteit bewijs kan aanleveren. Een certificaat is één manier om dat te doen. De bewijslast ligt bij de entiteit. NEN 7510 bestaat uit twee delen, en de regeling gaat ervan uit dat beide integraal gelden. De norm is in 2024 herzien om beter aan te sluiten bij NIS2.

Let op het verschil met telecom. Voor een zorginstelling wijst de regeling een norm aan als route. Voor u bestaat zo'n bepaling niet: de RDI schrijft dat een eigen normenkader niet betekent dat u aan de zorgplicht voldoet. Meer daarover leest u in ISO 27001 of NIS2.

Waarom komt de vraag dan bij u terecht?

De zorgregeling geldt niet voor uw bedrijf als telecomaanbieder. De wettelijke norm uit de zorg ligt bij de zorgentiteit. Toch krijgt u de vraag, en dat heeft drie redenen.

1. De klant moet leveranciers toetsen. Artikel 10 van het Cyberbeveiligingsbesluit (Cbb) vraagt dat een entiteit toetst of rechtstreekse leveranciers aan haar beveiligingseisen voldoen. De toelichting noemt certificering en contractclausules als voorbeelden van zo'n toets.
2. Het is gangbare praktijk. Volgens de toelichting op de zorgregeling vragen zorgorganisaties in bijna alle gevallen om aan te tonen dat de leverancier gecertificeerd is of werkt volgens NEN 7510 of ISO 27001.
3. De klant moet erover rapporteren. In het voortgangs- en eindverslag van een significant incident beschrijft de zorgentiteit de betrokkenheid van leveranciers. Denk aan de gemaakte afspraken, hoe zij die controleerde en hoe de leverancier ze nakwam (artikel 2.5).

De plicht om leveranciers te toetsen gaat alleen over wat relevant is voor de beveiliging van de netwerk- en informatiesystemen van de klant. Levert u de telefonie of de glasvezel waar de zorg op draait, dan bent u daar vrijwel zeker relevant voor. Hoe zwaar de klant dat weegt, bepaalt de klant zelf in zijn risicoanalyse.

Uw eigen regels veranderen niet

Wie valt waaronder

Onderwerp	Uw zorgklant	U als telecomaanbieder
Uitwerking zorgplicht	Cbb en zorgregeling	Cbb en Regeling cyberbeveiliging EZK
NEN 7510	Route onder artikel 2.1; voor zorgaanbieders ook verplicht via de Wabvpz	Niet verplicht door de wet; hooguit via contract
Toezicht	De zorgregeling wijst de autoriteit en toezichthouder voor de zorg aan	RDI
Melden incident	Eigen beoordeling en eigen drempels (artikel 2.2)	Eigen beoordeling en drempels uit artikel 8 van de regeling EZK

Een incident bij u is dus niet automatisch een melding voor uw klant, en andersom. Beide partijen beoordelen dat zelf.

Wat antwoordt u?

Hieronder staat een praktische aanpak. Dit is geen wettelijke eis, maar een manier om de vraag goed te beantwoorden.

• Vraag eerst wat de klant wil weten. Is een certificaat echt een eis, of mag het ook ander bewijs zijn? De regeling verplicht de klant niet tot het eisen van een certificaat.
• Bepaal de reikwijdte. Gaat het om uw hele bedrijf, of om de ene dienst die de klant afneemt?
• Vergelijk uw maatregelen met de norm. NEN 7510 kan volgens de toelichting op de zorgregeling door iedereen kosteloos worden ingezien. Bekijk dus eerst wat erin staat voordat u toezegt.
• Heeft u al ISO 27001? Voor de zorgentiteit is de combinatie ISO 27001 en 27002 een eigen route in artikel 2.1. Laat zien welke onderdelen van uw dienst onder uw certificaat vallen.
• Beloof geen eis die u niet haalt. Schrijf in het contract wat u echt doet, zoals een termijn om de klant te informeren bij een storing.

Veel vragen lijken op elkaar. Bouw daarom één antwoorddossier, zoals beschreven in klantvragenlijst beantwoorden. In het portaal kunt u sjablonen en de leveranciersvragenlijst 30 dagen gratis proberen, zonder betaalgegevens. Weet u nog niet waar u zelf staat? Doe dan eerst de gratis zelfscan.

Veelgestelde vragen

Moet ik als telecomleverancier NEN 7510-gecertificeerd zijn?

De zorgregeling verplicht u daar niet toe. Een klant kan het wel als voorwaarde in een contract of aanbesteding opnemen. Dan is het een commerciële keuze of u dat wilt en kunt waarmaken.

Telt mijn ISO 27001-certificaat voor een zorgklant?

De regeling noemt ISO 27001 en 27002 samen als route voor de zorgentiteit zelf. Of het uw klant genoeg zekerheid geeft, hangt af van diens eisen en van wat er onder uw certificaat valt. Vraag het na.

Bewijst NEN 7510 dat ik aan de Cbw voldoe?

Nee. Voor telecomaanbieders toetst de RDI aan de eisen uit de wet. Een norm kan houvast geven, maar de Cbb en de regeling EZK blijven voor u gelden.