Informatiebeveiliging en privacy in de zorg: rollen, NEN 7510 en carrière in 2026

Waarom de zorg een unieke securitysector is

Werken aan informatiebeveiliging in de zorg is wezenlijk anders dan in een bank of webwinkel. Vier kenmerken maken de sector bijzonder — en kwetsbaar:

• De gevoeligste data die er is. Medische gegevens zijn bijzondere persoonsgegevens onder de AVG. Een datalek met diagnoses, behandelingen of psychische klachten is onomkeerbaar en raakt mensen in hun kern.
• Patiëntveiligheid staat voorop. Beschikbaarheid is geen luxe maar een kwestie van zorgcontinuïteit: als systemen platliggen, kan een operatie niet doorgaan of een medicatieoverzicht niet worden ingezien.
• Complexe, verouderde IT-landschappen. Zorginstellingen draaien op een lappendeken van EPD's, medische apparatuur (medical devices), labsystemen en koppelingen met ketenpartners — vaak met legacy die lastig te beveiligen is.
• Een geliefd doelwit. Ransomware-aanvallen op ziekenhuizen en zorgketens komen wereldwijd voor. De combinatie van waardevolle data en hoge maatschappelijke druk maakt de zorg aantrekkelijk voor aanvallers.

Daar komt bij dat het securityteam in de zorg vaak klein is en met beperkte budgetten moet schipperen tussen techniek, regelgeving en de dagelijkse realiteit van een drukke zorgomgeving. Juist dat maakt de rollen inhoudelijk uitdagend: je werkt op het snijvlak van security, privacy en patiëntveiligheid.

Het wettelijk kader: NEN 7510, AVG, NIS2 en Z-CERT

Wie in de zorg met security of privacy werkt, beweegt zich binnen een stevig wettelijk kader. Vier bouwstenen zijn onmisbaar om te kennen.

NEN 7510 — de norm voor informatiebeveiliging in de zorg

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 en aangevuld met zorgspecifieke eisen. Zorgaanbieders die persoonlijke gezondheidsgegevens verwerken zijn wettelijk verplicht om aantoonbaar aan NEN 7510 te voldoen; die verplichting loopt via de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Aanvullend regelen NEN 7512 (vertrouwensbasis voor gegevensuitwisseling) en NEN 7513 (logging van toegang tot patiëntdossiers) specifieke onderdelen. Een certificaat is niet wettelijk verplicht, maar de organisatie moet wél kunnen aantonen dat zij voldoet — en de Inspectie Gezondheidszorg en Jeugd (IGJ) ziet daarop toe. In de praktijk eisen zorgverzekeraars en regionale samenwerkingsverbanden steeds vaker een NEN 7510-certificaat als voorwaarde voor samenwerking.

De AVG en bijzondere persoonsgegevens

Gezondheidsgegevens vallen onder de strengste categorie van de AVG. Het verwerken ervan is in beginsel verboden, tenzij een wettelijke uitzondering geldt (bijvoorbeeld het verlenen van zorg). Omdat zorgaanbieders op grote schaal bijzondere persoonsgegevens verwerken, is het aanstellen van een Functionaris Gegevensbescherming (FG) vrijwel altijd verplicht op grond van artikel 37 AVG. Ook een DPIA is bij nieuwe verwerkingen al snel nodig. Het beroepsgeheim en de rechten van de patiënt maken privacy in de zorg extra zwaarwegend.

NIS2 en de Cyberbeveiligingswet

De zorg is een van de sectoren die onder de Europese NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet vallen. Afhankelijk van omvang en omzet wordt een zorgaanbieder aangemerkt als essentiële of belangrijke entiteit, met verplichtingen op het gebied van risicobeheer, incidentmelding en — nadrukkelijk — bestuurlijke verantwoordelijkheid. Bestuurders zijn aanspreekbaar op informatiebeveiliging, en de boetes bij niet-naleving lopen op tot miljoenen euro's. Dat zet de vraag naar security- en complianceprofessionals in de zorg verder onder druk.

Z-CERT — het cyberteam van de zorg

De zorg heeft een eigen sectoraal Computer Emergency Response Team: Z-CERT. Het deelt dreigingsinformatie, ondersteunt bij incidenten en helpt zorginstellingen hun weerbaarheid te vergroten. Voor security officers in de zorg is Z-CERT een vaste partner. Samen met het normenkader maakt dit duidelijk dat informatiebeveiliging in de zorg geen losse IT-taak is, maar een vak met een eigen ecosysteem.

De rollen: wie doet wat in de zorg?

Omdat patiëntgegevens tegelijk een security- én een privacyvraagstuk zijn, werken in de zorg meerdere rollen nauw samen. In vacatures van zorginstellingen, ggz-organisaties en ziekenhuizen kom je vooral de volgende functies tegen:

De grenzen tussen deze rollen zijn in de zorg vaak vloeiend. Bij een kleinere zorgaanbieder combineert één persoon soms de rol van ISO én Privacy Officer; bij een groot ziekenhuis bestaat een heel team met een CISO, meerdere security officers en een aparte privacyafdeling. Wil je het volledige onderscheid tussen de securityrollen begrijpen, lees dan onze gids over het verschil tussen CISO, ISO, BISO en TISO. Voor de privacykant verheldert het verschil tussen Privacy Officer en FG veel.

Hoe security in de zorg verschilt van andere sectoren

De rollen heten hetzelfde als elders, maar de inhoud is anders. Een paar zaken maken het securityvak in de zorg specifiek:

• Medical device security. Infuuspompen, MRI-scanners en monitoren zijn netwerkapparaten geworden, vaak met verouderde software die je niet zomaar mag patchen omdat de leverancier de certificering bepaalt.
• Toegang versus beschikbaarheid. In een noodsituatie moet een arts soms direct bij een dossier kunnen, ook zonder de gebruikelijke autorisatie (“break-the-glass”). Dat vraagt om slimme logging conform NEN 7513 in plaats van harde blokkades.
• Ketensamenwerking. Zorg is netwerkzorg: gegevens stromen tussen huisarts, ziekenhuis, apotheek en gemeente (sociaal domein). Veilige uitwisseling (NEN 7512) en heldere verwerkersafspraken zijn cruciaal.
• Cultuur en draagvlak. Zorgprofessionals zijn primair met patiënten bezig, niet met security. Awareness en werkbare maatregelen zijn belangrijker dan strenge regels die in de praktijk worden omzeild.

Daarom vragen werkgevers in de zorg naast inhoudelijke securitykennis nadrukkelijk om communicatieve en adviesvaardigheden: je moet zorgverleners meekrijgen, niet tegen je krijgen.

Wat verdien je in security en privacy in de zorg?

Salarissen in de zorg liggen vaak vast in cao-schalen (zoals de cao Ziekenhuizen, cao GGZ of cao UMC), wat zekerheid biedt maar iets minder uitschieters naar boven kent dan in de financiële sector. Onderstaande bandbreedtes geven een realistische indicatie voor de Nederlandse zorgmarkt in 2026:

De exacte beloning hangt sterk af van de omvang van de instelling en de zwaarte van de rol. Een security officer bij een groot academisch ziekenhuis met duizenden medewerkers zit hoger dan bij een kleine thuiszorgorganisatie. Ter vergelijking kun je ook het CISO-salaris in Nederland en het salaris van een privacy officer bekijken om te zien hoe de zorg zich verhoudt tot andere sectoren.

Vaardigheden en certificeringen die in de zorg tellen

Werkgevers in de zorg vragen vrijwel altijd om een hbo- of wo-werk- en denkniveau en affiniteit met de zorgcontext. Daarbovenop maken de juiste certificeringen het verschil:

• NEN 7510 / ISO 27001 Lead Implementer of Lead Auditor: de meest rolspecifieke certificeringen voor wie het managementsysteem in de zorg opzet of toetst.
• CISSP of CISM: brede, internationaal erkende securitycertificeringen voor ervaren professionals en (aankomend) CISO's.
• CIPP/E en CIPM: de privacycertificeringen van de IAPP, waardevol voor Privacy Officers en FG's in de zorg.
• Kennis van het zorgdomein: begrip van EPD's, ketensamenwerking, het beroepsgeheim en de werking van de IGJ en Z-CERT weegt vaak zwaarder dan een dure internationale titel.

Juist de combinatie van een security- of privacycertificering met aantoonbare affiniteit voor de zorg maakt je als kandidaat schaars. Veel zorginstellingen leiden mensen ook intern op, bijvoorbeeld vanuit een functioneel-beheer- of kwaliteitsrol.

Het carrièrepad: zo kom je in security en privacy in de zorg

Er zijn meerdere routes de zorg in. De meest voorkomende:

• Vanuit IT of functioneel beheer: systeem- of applicatiebeheerders die EPD's en koppelingen kennen, groeien door naar een security- of TISO-rol.
• Vanuit privacy of kwaliteit: medewerkers met een juridische, AVG- of kwaliteitsachtergrond stappen over naar Privacy Officer of FG.
• Vanuit een traineeship of junior rol: een junior privacy officer of junior IT-auditor die zich specialiseert in de zorg.
• Doorgroei naar de top: vanuit ISO of Privacy Officer kun je doorstromen naar information security manager, FG of uiteindelijk CISO van een zorginstelling.

Omdat de zorg op het snijvlak van techniek, regelgeving en mensenwerk zit, is het een dankbaar speelveld voor wie inhoudelijk wil verdiepen én maatschappelijke impact zoekt. In het Three Lines Model zie je bovendien goed hoe de security officer (1e/2e lijn), de FG (onafhankelijk toezicht) en de IT-auditor (3e lijn) elkaar aanvullen — kennis die in elk zorg-sollicitatiegesprek van pas komt.

Welke zorgwerkgevers zoeken securityprofessionals?

De vraag is breed verspreid over de sector. Op IT Compliance Jobs zie je vacatures bij onder meer ggz-instellingen, algemene en academische ziekenhuizen, verpleeg- en thuiszorgorganisaties, laboratoria en bevolkingsonderzoeken en indicatie- en uitvoeringsorganisaties in de zorg. Functietitels variëren van “Information Security Officer” en “CISO” tot “Privacy Officer”, “Adviseur Gegevensbescherming” en “Security Officer sociaal domein”. Door de combinatie van NEN 7510, de AVG en de aankomende Cyberbeveiligingswet blijft de vraag de komende jaren naar verwachting hoog.

Conclusie: betekenisvol werk met een stevig kader

Informatiebeveiliging en privacy in de zorg is een vak met directe maatschappelijke waarde: je beschermt de meest gevoelige gegevens die mensen hebben en draagt bij aan zorgcontinuïteit en patiëntveiligheid. Het wettelijk kader — NEN 7510, de AVG en de Cyberbeveiligingswet — is stevig, maar geeft je rol ook gewicht en mandaat. Of je nu instapt als Privacy Officer, doorgroeit als Information Security Officer of de stap naar CISO van een ziekenhuis zet: de zorg biedt inhoudelijk uitdagend werk met perspectief.

Klaar voor de volgende stap? Bekijk de actuele vacatures in de zorg op IT Compliance Jobs en vind de organisatie die vandaag een security- of privacyprofessional zoekt.