Vragen die zorgorganisaties ons stellen over kwaliteit, informatiebeveiliging en privacy — en over het platform zelf. Kort antwoord eerst, nuance daarna.
Geen vraag gevonden. Probeer een ander woord, of stel uw vraag rechtstreeks.
NEN 7510, ISO 27001 en wat ze van u vragen.
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Hij is niet in algemene zin “verplicht”, maar wel feitelijk onontkoombaar: het Besluit elektronische gegevensverwerking door zorgaanbieders verwijst ernaar, zorgverzekeraars en zorgkantoren vragen erom bij de inkoop, en de IGJ toetst erop.
Praktisch gezien: verwerkt u elektronisch cliëntgegevens, dan moet u kunnen laten zien dat u eraan voldoet.
7510 gaat over uw managementsysteem voor informatiebeveiliging: beleid, risico’s, maatregelen. 7512 gaat over vertrouwen bij gegevensuitwisseling tussen organisaties — wie mag wat met wie uitwisselen en op basis waarvan. 7513 gaat over logging: welke medewerker heeft wanneer welk cliëntdossier ingezien, en hoe toont u dat achteraf aan.
De meeste organisaties beginnen bij 7510 en lopen vast op 7513, omdat de logging van hun ECD niet uitleesbaar is.
NEN 7510 is gebouwd op ISO 27001, met zorgspecifieke aanvullingen. Werkt u alleen in de zorg, dan is NEN 7510 de logische keuze: u spreekt dezelfde taal als uw zorgkantoor en de IGJ. Heeft u ook niet-zorgactiviteiten of internationale opdrachtgevers, dan is ISO 27001 breder herkend.
Beide tegelijk kan. De maatregelen overlappen grotendeels — u wilt ze alleen niet twee keer bijhouden.
De Verklaring van Toepasselijkheid laat per maatregel zien of u die toepast en waarom wel of niet. Het is doorgaans het eerste document dat een auditor opvraagt. U hoeft niet alles toe te passen, maar elke uitsluiting moet gemotiveerd zijn — een lege reden is bij een audit een bevinding.
Sinds 15 augustus 2026 van kracht. Veel zorgorganisaties vallen eronder zonder het te weten.
Waarschijnlijk wel, en dat verrast veel bestuurders. De wet geldt sinds 15 augustus 2026 en hangt aan omvang: vanaf ongeveer 50 medewerkers, of €10 miljoen omzet én €10 miljoen balanstotaal, bent u een belangrijke entiteit. Boven circa 250 medewerkers of €50 miljoen omzet bent u een essentiële entiteit.
Een middelgrote VVT-organisatie valt er dus in de regel gewoon onder. Het toezicht ligt bij de IGJ.
Drie dingen. Registreren in het daarvoor bestemde portaal. Voldoen aan de zorgplicht: risicobeoordeling, passende maatregelen, aantoonbaar. En significante incidenten binnen 24 uur melden bij het NCSC. Z-CERT ondersteunt de zorgsector daarbij.
Voldoet u al aan NEN 7510, dan staat het grootste deel van de zorgplicht er al. U moet het alleen kunnen aantónen — en dat is meestal het echte werk.
De wet legt de verantwoordelijkheid voor cyberveiligheid expliciet bij de leiding van de organisatie. Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zich er in kennis van stellen. Doorverwijzen naar de ICT-afdeling volstaat niet meer als verweer.
Praktisch betekent dit dat informatiebeveiliging een vast agendapunt in de bestuursvergadering wordt, mét vastlegging van wat er besloten is.
Welke melding hoort waar, en binnen welke termijn.
Bij de Autoriteit Persoonsgegevens binnen 72 uur nadat u het lek heeft ontdekt, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. Levert het een hoog risico op, dan moet u de betrokkenen zelf ook onverwijld informeren.
Let op waar de klok begint: bij ontdekking, niet bij het moment dat uw onderzoek af is. Meld dus op tijd en vul later aan.
Een incident (de MIC-melding) is een onbedoelde gebeurtenis rond de zorg aan een cliënt; die registreert u intern en analyseert u op trends. Een calamiteit is een incident dat heeft geleid tot de dood of een ernstig schadelijk gevolg — die meldt u bij de IGJ. Een klacht komt van de cliënt of een naaste en loopt via uw klachtenregeling en zo nodig de geschilleninstantie.
Dezelfde gebeurtenis kan alle drie tegelijk zijn.
Binnen drie werkdagen nadat u heeft vastgesteld dát het om een calamiteit gaat. U mag daaraan voorafgaand zes weken onderzoeken óf er sprake is van een calamiteit; zodra dat vaststaat, gaan die drie dagen lopen. Te laat melden kan een bestuurlijke boete opleveren.
Bij twijfel meldt u. De IGJ ziet liever een melding te veel dan een calamiteit die pas via een familielid boven water komt.
DPIA's, het verwerkingsregister en bewaartermijnen.
Ja. Een elektronisch cliëntdossier verwerkt op grote schaal bijzondere persoonsgegevens over gezondheid, en dat is precies waar de AVG een gegevensbeschermingseffectbeoordeling voor voorschrijft. Datzelfde geldt vaak voor uw roosterpakket, cameratoezicht, leefstijlmonitoring en toepassingen met AI.
U hoeft niet vanaf nul te beginnen: voor de gangbare zorgsystemen bestaan referentie-DPIA's die het meeste voorwerk al bevatten.
Per verwerking: het doel, de categorieën persoonsgegevens en betrokkenen, met wie u ze deelt, of ze buiten de EER gaan, hoe lang u ze bewaart en welke beveiligingsmaatregelen erop zitten.
De valkuil voor zorgaanbieders is de grondslag. Zorgverlening loopt via de behandelovereenkomst en de WGBO, niet via toestemming. Wie “toestemming” invult voor gewone zorgverlening, krijgt daar bij een audit vragen over.
Twintig jaar, gerekend vanaf de laatste wijziging in het dossier, of zoveel langer als goed hulpverlenerschap vereist (WGBO). Dat is iets anders dan uw administratieve bewaartermijnen: facturen en personeelsdossiers kennen hun eigen termijnen.
Een bewaarbeleid dat één termijn voor alles hanteert, klopt vrijwel nooit.
Wat het zorgkantoor vraagt en wat de norm werkelijk voorschrijft.
Dat verschilt per zorgkantoor en per jaar, maar de kern is constant: een geldig kwaliteitscertificaat of een aantoonbaar kwaliteitsmanagementsysteem, een kwaliteitsplan en kwaliteitsverslag, aantoonbare naleving van NEN 7510, en steeds vaker vragen over uw ketenpartners en leveranciers.
Wat het lastig maakt is zelden het beleid — het is het bewijs, op het moment dat erom gevraagd wordt.
Er staat geen vast aantal in de norm. Het uitgangspunt is dat elk onderwerp binnen de certificeringscyclus — doorgaans drie jaar — aan bod komt, en dat u vaker kijkt waar de risico’s hoger zijn.
In de praktijk werken de meeste zorgorganisaties met vier tot zes audits per jaar, verspreid over het jaar in plaats van opgestapeld in het kwartaal vóór de externe audit.
De vaste ingrediënten: de status van acties uit de vorige beoordeling, wijzigingen in de context en in wet- en regelgeving, de resultaten van audits, klachten en incidenten, de mate waarin doelstellingen zijn gehaald, de werking van de maatregelen, terugkoppeling van cliënten en medewerkers, en uw besluiten over verbetering en middelen.
Eén keer per jaar, met besluiten erin. Een verslag zonder besluiten is bij een audit een bevinding.
Het Generiek Kompas ‘Samen werken aan kwaliteit van bestaan’ is sinds 1 juli 2024 opgenomen in het Register van het Zorginstituut en vervangt onder meer het Kwaliteitskader Verpleeghuiszorg en het Kwaliteitskader Wijkverpleging.
Het is losser geformuleerd dan zijn voorgangers: minder afvinklijst, meer eigen onderbouwing. Dat maakt het zwaarder in plaats van lichter, want u moet nu zelf laten zien hoe u het invult.
Onvrijwillige zorg legt u vast in het zorgplan volgens het stappenplan, evalueert u periodiek, en twee keer per jaar levert u een overzicht aan bij de IGJ.
De praktische lastigheid zit in de definitie. Veel handelingen die medewerkers als gewoon ervaren — een deur die op slot gaat, medicatie door de vla — vallen onder onvrijwillige zorg zodra de cliënt of zijn vertegenwoordiger zich verzet. Een goede analyse begint dus bij scholing, niet bij registratie.
Wat mag, wat moet, en waar het echt misgaat.
Ja, met voorwaarden. Sinds 2 februari 2025 moet u zorgen voor voldoende AI-geletterdheid bij de mensen die ermee werken (artikel 4 AI-verordening). Sinds 2 augustus 2026 gelden de transparantieverplichtingen: mensen moeten weten dat ze met AI te maken hebben, en door AI gegenereerde inhoud moet als zodanig herkenbaar zijn.
Daarnaast blijft de AVG gewoon gelden. Een AI-toepassing die cliëntgegevens verwerkt, heeft een DPIA nodig.
Niet met cliëntgegevens erin, tenzij uw organisatie een verwerkersovereenkomst met die leverancier heeft en het gebruik in het verwerkingsregister staat.
De grotere valkuil is inhoudelijk. Een taalmodel vult ontbrekende waarnemingen aan met wat plausibel klínkt. “Geen zichtbaar letsel” is een medische waarneming: als niemand die heeft gedaan en het staat wél in het dossier, dan heeft u een onjuiste registratie op het moment dat het er het meest toe doet — bij een incidentonderzoek of een toets van de IGJ.
Laat AI de structuur maken en de open plekken markeren. De waarneming blijft mensenwerk.
Het platform waarin zorgorganisaties hun kwaliteit en informatiebeveiliging bijhouden.
Eén platform waarin een zorgorganisatie haar kwaliteitsmanagementsysteem én haar informatiebeveiliging bijhoudt, met Anna als meedenkende assistent erin. Anna zoekt niet alleen in uw eigen documenten: ze toetst beleid aan normen, schrijft concepten, bereidt audits voor en signaleert wat er nog ontbreekt.
Geen aparte tool voor kwaliteit en een aparte voor privacy — één jaarplanning, één documentenbibliotheek, één takenlijst.
Voor kwaliteitsmanagers, functionarissen gegevensbescherming, security officers en bestuurders bij zorgaanbieders: VVT, GGZ, gehandicaptenzorg en thuiszorg. Het is gebouwd samen met adviseurs die zelf in de zorg werken, niet als algemene compliance-tool waar toevallig ook zorg in past.
Copilot zoekt in uw bestanden. Anna weet daarnaast welke norm van toepassing is, wanneer een document herzien moet worden, welke taak bij welke functie hoort en wat er in uw jaarplanning ontbreekt.
Het verschil zit niet in zoeken maar in beoordelen: een beleidsstuk komt eruit met de constatering dát hoofdstuk 4 niet aan de norm voldoet — niet met een samenvatting.
Nee. Het platform doet het voorwerk — verzamelen, toetsen, concipiëren, bewaken — zodat uw adviseur en uw eigen mensen aan de inhoud toekomen. Een certificering haalt u met mensen, niet met software.
Inloggen en documenten doorzoeken kan meteen. Een ingerichte jaarplanning, normenkader en documentenbibliotheek kost doorgaans een paar weken, afhankelijk van hoeveel er al ligt en in wat voor staat.
We beginnen liever klein met één onderdeel dat werkt dan met een volledige inrichting die niemand gebruikt.
Voordat een vraag naar het taalmodel gaat, halen we de identificerende gegevens eruit. Namen, adressen, e-mailadressen, telefoonnummers en postcodes worden vervangen door een pseudoniem; BSN en IBAN worden verwijderd. U ziet gewoon “mevrouw De Vries” in het antwoord — het model zag [PERSOON_1].
De inhoud waar het om gaat blijft intact, en er wordt niet op uw gegevens getraind.
Ja, en het vervangt het niet. Het ECD blijft de plek voor cliëntdossiers. Vraag het Anna gaat over de organisatie: beleid, normen, audits, incidentanalyse, risico’s, verwerkingen en leveranciers.
Wat wij van uw ECD nodig hebben zijn uitdraaien — bijvoorbeeld de incidentmeldingen voor de kwartaalanalyse — geen koppeling met het dossier zelf.
Stel hem gerust. We nemen vragen die vaker terugkomen op in deze lijst.
Neem contact op via De Zorginkopers