Kiteworks erhält NEN 7510-1:2024-Zertifizierung für Datensicherheit im Gesundheitswesen in den Niederlanden

Fragen Sie einen niederländischen Healthcare-CISO, ob die Plattform eines Anbieters sicher ist, werden die meisten höflich nicken und das Gespräch beenden. Fragen Sie hingegen, ob ein unabhängiger Auditor die Plattform nach denselben Standards geprüft hat, nach denen auch die Aufsichtsbehörden das Unternehmen des CISOs bewerten, wird das Gespräch deutlich ernster. Genau diese Frage wollte Kiteworks für sich selbst beantworten – und sie nicht einer Vertriebspräsentation überlassen.

Kiteworks, das Unternehmen, das Organisationen beim Risikomanagement rund um jede Bewegung sensibler Daten unterstützt, hat die Zertifizierung nach NEN 7510-1:2024 erreicht – dem Standard für Informationssicherheitsmanagement, den niederländische Healthcare-Organisationen gesetzlich erfüllen müssen. Brand Compliance B.V., eine unabhängige akkreditierte Drittpartei, hat das Zertifikat mit der Nummer NL 3069.1.1 ausgestellt. Es gilt für Kiteworks USA LLC und deren Tochtergesellschaften, darunter Kiteworks Europe AG, Kiteworks PTE LTD, Kiteworks BG Ltd, Dracoon GmbH, 123FormBuilder S.R.L. und Zivver B.V. Zwei Produkte sind von dieser einen Zertifizierung abgedeckt: das Kiteworks Control Plane und die Zivver Secure Communications Services.

Die Einhaltung von NEN 7510 ist für niederländische Healthcare-Anbieter seit 2008 gesetzlich vorgeschrieben. Doch die Anforderungen wurden 2023 verschärft: Organisationen müssen seitdem ihre Compliance nachweisen, nicht mehr nur bestätigen. Die 2024 veröffentlichte Aktualisierung des Standards, erschienen im Dezember 2024, orientiert sich an denselben Kontrollen wie ISO 27001, ergänzt um spezifische Anforderungen für den Healthcare-Bereich, und überschneidet sich mit dem neuen niederländischen Cybersecurity-Gesetz zur Umsetzung der EU-NIS 2 Directive. Für Healthcare-Organisationen, die ohnehin DSGVO-Anforderungen erfüllen müssen, ist diese Überschneidung ein Vorteil: Ein einziges NEN 7510-Auditprogramm kann nun auch als Nachweis für NIS 2 dienen, statt für jedes Rahmenwerk eine separate Prüfung zu benötigen.

Für Healthcare-CISOs und Compliance-Beauftragte ist das alles keine Theorie. Ein Ransomware-Angriff auf ein niederländisches Labor im August 2025 und ein neun Monate später veröffentlichtes regulatorisches Urteil zeigen, was passiert, wenn Informationssicherheitsanforderungen als reine Checkliste statt als revisionssichere Disziplin behandelt werden. Vor diesem Hintergrund ist die Zertifizierung zu lesen – und es lohnt sich, den Vorfall im Detail zu betrachten, bevor wir auf die Zertifizierung von Kiteworks zurückkommen.

wichtige Erkenntnisse

1. Kiteworks ist jetzt nach NEN 7510-1:2024 zertifiziert.

Zertifikat NL 3069.1.1, ausgestellt von der unabhängigen akkreditierten Stelle Brand Compliance B.V., deckt sowohl das Kiteworks Control Plane als auch die Zivver Secure Communications Services unter einer Zertifizierung ab.

2. Die Zertifizierung beantwortet eine Frage, die niederländische Healthcare-CISOs bereits stellen.

Sie liefert Kunden den Nachweis, dass die Plattform selbst – und nicht nur ihre Konfigurationsoptionen – unabhängig nach demselben Standard geprüft wurde, den auch ihre eigenen Organisationen erfüllen müssen.

3. Ein realer Vorfall zeigt die Kosten von Nichteinhaltung der Vorgaben.

Aufsichtsbehörden stellten fest, dass das niederländische Labor Clinical Diagnostics, das im August 2025 Opfer eines Ransomware-Angriffs wurde, zum Zeitpunkt des Angriffs nicht NEN 7510-konform war. Dabei wurden Daten von rund 850.000 Personen kompromittiert.

4. Die Zahl der Datenschutzvorfälle in den Niederlanden steigt weiter.

Die niederländische Datenschutzbehörde verzeichnete 2025 branchenübergreifend 39.407 Meldungen von Datenschutzverstößen – ein Anstieg gegenüber 37.839 im Jahr 2024.

5. Die Lücke reicht bis zur KI-Governance.

Die eigenen Umfragedaten von Kiteworks aus 2026 zeigen, dass die meisten Organisationen kein vollständiges KI-Datenzugriffsprotokoll schnell vorlegen können. Europas Stärke bei allgemeiner Sicherheit spiegelt sich noch nicht in KI-spezifischen Kontrollen wider – eine Lücke, die die zertifizierte Plattform schließt.

Die Datenschutzverletzung, die die Compliance-Lücke beim Zervixkarzinom-Screening von Clinical Diagnostics aufdeckte

Im August 2025 wurde ein niederländisches Labor, das Zervixkarzinom-Screenings für das nationale Vorsorgeprogramm durchführt, Opfer eines Ransomware-Angriffs. Dabei wurden Datensätze von etwa 850.000 Personen, einschließlich nationaler Identifikationsnummern, kompromittiert. Die niederländische Datenschutzbehörde leitete daraufhin eine Untersuchung ein.

Die entscheidendere Feststellung folgte später: Im Mai 2026 kam die niederländische Gesundheits- und Jugendaufsichtsbehörde (IGJ) zu dem Schluss, dass das Labor Clinical Diagnostics zum Zeitpunkt des Angriffs nicht den gesetzlich vorgeschriebenen NEN 7510-Standard für Informationssicherheit erfüllt hatte. Die Liste der regulatorischen Mängel war konkret: Es hatte keine unabhängige Informationssicherheitsprüfung stattgefunden und die regelmäßige Bewertung der Informationssicherheitsrisiken war unzureichend. Die IGJ stellte zudem fest, dass die Arbeit nach NEN 7510 sowohl die Wahrscheinlichkeit als auch die Auswirkungen des Vorfalls hätte verringern können.

Für einen Chief Compliance Officer oder Head of GRC fasst diese Feststellung das Thema in einem Satz zusammen: NEN 7510 ist kein „Nice-to-have“-Rahmenwerk, das eine Healthcare-Organisation aufschieben kann – und gute Absichten oder ein Richtliniendokument im gemeinsamen Laufwerk reichen nicht aus. Die Aufsichtsbehörden haben nun dokumentiert, dass das Versäumnis, NEN 7510 aufrechtzuerhalten, im Ernstfall die Folgen verschärft. Die Prüfer müssen nicht darüber spekulieren, was eine unabhängige Prüfung oder ein ordnungsgemäßes Risikomanagement ergeben hätte – sie können direkt auf den Vorfallbericht verweisen und klar sagen, dass das Fehlen beider Maßnahmen den Schaden vergrößert hat.

Der Ort des Vorfalls ist ebenso relevant wie sein Ausmaß: Er ereignete sich nicht in einem Krankenhaus, sondern bei einem Drittanbieter-Labor, dem Patientendaten anvertraut wurden. Das zeigt, dass Informationssicherheitsanforderungen die gesamte Healthcare-Landschaft – einschließlich Dienstleister und Auftragsverarbeiter – umfassen müssen und nicht an den Krankenhausmauern enden dürfen. Jedes Krankenhaus, jeder Versicherer und jedes Gesundheitssystem, das Proben an dieses Labor gesendet hat, war von den Folgen betroffen – unabhängig davon, wie gut das eigene Sicherheitsprogramm war. Und der Fall Clinical Diagnostics ist kein Einzelfall: Die niederländische Datenschutzbehörde verzeichnete 2025 branchenübergreifend 39.407 Meldungen von Datenschutzverstößen, gegenüber 37.839 im Vorjahr. Die Aufsichtsbehörden sehen immer mehr solcher Vorfälle – genau das Umfeld, in dem Compliance-Beauftragte jede Lieferantenbeziehung mit Patientendaten verteidigen müssen.

„Jeder Healthcare-CISO, mit dem ich spreche, stellt im Kern dieselbe Frage – nicht, ob wir unsere Plattform als sicher bezeichnen, sondern ob sie unabhängig geprüft wurde“, sagt Rick Goud, Field CTO, Kiteworks. „Zivver war bereits nach NEN 7510 zertifiziert, aber dass nun auch Kiteworks selbst zertifiziert ist, verändert die Diskussion. Die Kiteworks-Plattform und die Lösungen der verbundenen Unternehmen, einschließlich Zivver, wurden unabhängig nach genau dem Standard geprüft, dem auch unsere Kunden unterliegen – sie müssen uns also nicht einfach glauben.“

Was NEN 7510-1:2024 fordert – und warum die Nachweispflicht ab 2023 alles verändert hat

NEN 7510 ist der niederländische Standard für Informationssicherheit im Gesundheitswesen – eine spezifische Ausprägung des gesetzlichen Compliance-Rahmens, der seit 2008 verbindlich ist. Über 15 Jahre konnten Healthcare-Organisationen ihre Compliance weitgehend selbst bestätigen. Das änderte sich 2023: Seither müssen Organisationen ihre Compliance nachweisen, nicht nur erklären. Damit wurde NEN 7510 von einer Richtlinie zu einer Audit-Pflicht.

Die 2024er-Version des Standards, NEN 7510-1:2024, erschien im Dezember 2024. Sie folgt der Kontrollstruktur von ISO 27001-Compliance, dem internationalen Standard für Informationssicherheitsmanagement, ergänzt um spezifische Anforderungen für Healthcare-Organisationen. Da die zugrundeliegenden Kontrollen eng an ISO 27001:2022 angelehnt sind, hat eine Organisation, die NEN 7510 erfüllt, auch wesentliche Fortschritte beim internationalen Standard gemacht – und umgekehrt.

Der Standard überschneidet sich zudem mit der niederländischen Umsetzung der EU-NIS 2 Directive, dem Cybersecurity-Gesetz, das Melde- und Risikomanagementpflichten für kritische Branchen – darunter Healthcare – ausweitet. Die Erfüllung von NEN 7510 hilft auch, NIS 2-Compliance-Anforderungen nachzuweisen – ein wichtiger Punkt für Compliance-Beauftragte, die keine parallelen Auditprogramme für Standards mit weitgehend identischen Anforderungen pflegen wollen.

Für Anbieter bedeutet das: Nicht Konfigurationsleitfäden, sondern die eigentliche Plattform muss einer unabhängigen akkreditierten Prüfung unterzogen werden. Genau das ist der Kern der Ankündigung von Kiteworks – und die Frage, die Compliance-Beauftragte künftig jedem Anbieter stellen sollten. Denn „Unsere Software kann NEN 7510 unterstützen“ und „Unsere Software wurde unabhängig nach NEN 7510 auditiert“ sind zwei grundverschiedene Aussagen – und nur eine davon hält regulatorischen Nachfragen stand.

Im Detail: Zertifikat NL 3069.1.1 und der Umfang der unabhängigen Prüfung

Zertifikat NL 3069.1.1 wurde von Brand Compliance B.V., einer unabhängigen akkreditierten Drittpartei, nach einem Audit gemäß NEN 7510-1:2024 ausgestellt. Die Zertifizierungsentscheidung fiel am 1. August 2026, das Zertifikat selbst wurde am 6. August 2026 ausgestellt und ist bis 31. Juli 2029 gültig. Der Geltungsbereich ist bewusst weit gefasst: Er umfasst Kiteworks USA LLC und deren Tochtergesellschaften, darunter Kiteworks Europe AG, Kiteworks PTE LTD, Kiteworks BG Ltd, Dracoon GmbH, 123FormBuilder S.R.L. und Zivver B.V.

Zwei Produkte sind von dieser einen Zertifizierung abgedeckt: das Kiteworks Control Plane und die Zivver Secure Communications Services. Zivver, der Anbieter für sichere E-Mail und sichere Kommunikation, den Kiteworks übernommen hat, war bereits eigenständig nach NEN 7510 zertifiziert. Neu ist, dass nun auch das Kiteworks Control Plane – die Governance- und Managementschicht der Plattform – dieselbe unabhängige Zertifizierung im selben Audit wie Zivver trägt.

Das ist für jede niederländische Healthcare-Organisation relevant, die bereits auf Zivver für sichere Kommunikation setzt und nun eine umfassendere Kiteworks Secure Data Exchange-Lösung für Filesharing, Managed File Transfer, Formulare und API-gesteuerte Datenbewegungen prüft. Die Lücke zwischen dem auditierten Produkt und der eingesetzten Lösung ist damit geschlossen. Ein Einkaufsteam, das einem Prüfer bislang erklären musste, warum nur der E-Mail-Bereich zertifiziert war, kann nun auf ein Zertifikat für die gesamte Datenumgebung verweisen.

Wichtig ist auch, was eine solche Zertifizierung aussagt – und was nicht. Sie bestätigt, dass Brand Compliance B.V. die genannten Produkte nach dem NEN 7510-1:2024-Kontrollsatz geprüft und für konform befunden hat – zum Zeitpunkt des Audits. Sie ist kein Garant für die Zukunft und entbindet Healthcare-Organisationen nicht von der Pflicht, die Plattform korrekt zu konfigurieren, bereitzustellen und zu betreiben. Sie beseitigt aber die Unsicherheit auf der Plattformebene selbst – die Frage, ob die Software, auf der ein Compliance-Programm aufsetzt, jemals unabhängig geprüft wurde.

Lesen Sie das NEN 7510-1:2024 Compliance Brief für den vollständigen Umfang der Zertifizierung.

Eine Plattform, ein Audit-Trail – warum Insellösungen bei Compliance-Nachweisen versagen

Die Differenzierung, die Kiteworks hier beansprucht, ist klar und sollte präzise benannt werden, weil sie leicht übersehen wird: Die meisten Anbieter im niederländischen Healthcare-Markt liefern Software, die Kunden in Richtung NEN 7510-Compliance konfigurieren können. Die Software selbst wurde jedoch nie unabhängig nach dem Standard geprüft. Die Compliance-Last – und das Risiko, falls ein Auditor die Konfiguration infrage stellt – liegt vollständig beim Kunden.

„Viele Anbieter geben Healthcare-CISOs eine Checkliste und nennen das Compliance“, sagt Goud. „Das reicht nicht, wenn Fristen real sind und die Zahl der Datenschutzvorfälle weiter steigt. Was sie brauchen, ist eine Plattform, die genauso unabhängig geprüft wurde, wie sie selbst geprüft werden – keine Insellösungen, die jeweils nur ihren eigenen engen Test bestehen, während die Datenbewegungen dazwischen völlig ungeregelt bleiben. Eine governte Plattform bedeutet einen Audit-Trail und einen Bericht, dem ein Auditor tatsächlich folgen kann – nicht fünf separate Protokolle, die nachträglich zusammengesetzt werden müssen.“

Die Plattform von Kiteworks ist das zertifizierte System – mit einem einzigen Audit-Trail für E-Mail, Filesharing, File Transfer, Formulare, APIs und Agents, und einem Bericht, dem Auditoren folgen können, statt verschiedene Tools mit separaten Logins und Lücken manuell zusammenzuführen. Dieses Modell mit einem Audit-Trail schließt eine Lücke, mit der die meisten Organisationen heute leben – und diese Lücke ist erheblich: Laut Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report kann die Hälfte der Organisationen kein vollständiges KI-Datenzugriffsprotokoll innerhalb eines Werktages vorlegen, nur 17% schaffen es innerhalb einer Stunde. Wenn die Frist der Aufsicht in Stunden oder Tagen gemessen wird, ist ein Audit-Log, das eine Woche zur Zusammenstellung braucht, kein Compliance-Nachweis – unabhängig davon, wie konform die zugrundeliegenden Kontrollen sind.

Das ist die Realität, mit der die meisten niederländischen Healthcare-Organisationen leben: Separate Logins für E-Mail-Gateway, File-Transfer-Server, Formular-Tool und das System, das Daten an eine KI-Anwendung weiterleitet – jedes mit eigenem Log-Format, eigener Aufbewahrungsfrist, eigener Konsole. Wenn die IGJ oder ein interner Auditor einen vollständigen Nachweis verlangt, wer wann auf die Daten eines bestimmten Patienten zugegriffen hat, müssen vier oder fünf Systeme manuell abgeglichen werden, die nie für eine Zusammenarbeit konzipiert wurden. Genau bei dieser manuellen Zusammenführung bricht die Nachweisqualität zusammen – nicht, weil die Kontrollen schwach wären, sondern weil niemand schnell genug einen konsistenten Bericht liefern kann.

Das überzeugt Chief Compliance Officer oder Head of GRC mehr als jede Funktionsliste: Eine zertifizierte Plattform mit einheitlichem Audit-Trail macht aus einer mehrwöchigen Beweissammlung einen einzigen Bericht – der Unterschied zwischen Einhaltung regulatorischer Fristen und deren Verpassen, zwischen einer sauber abgeschlossenen Prüfung und einer formalen Beanstandung.

Die KI-Governance-Lücke im europäischen Healthcare schließen

Die Zertifizierung kommt zu einem Zeitpunkt, an dem sich die Compliance-Diskussion im europäischen Gesundheitswesen um KI erweitert. Der Annual Survey Report 2026 zeigt: Europäische Organisationen verfügen meist über starke allgemeine Sicherheitsinfrastruktur, aber die KI-Governance hält nicht Schritt. Der Bericht führt dies auf die DSGVO und NIS 2 zurück, die Compliance-Investitionen schneller vorantreiben als technische KI-Kontrollen. Im gesamten Survey haben nur 26% der Organisationen – in Europa und darüber hinaus – Purpose Binding implementiert, also die technische Kontrolle, die KI-Agents auf ihre autorisierten Aufgaben und Daten beschränkt.

Die zertifizierte Kiteworks-Plattform schließt genau diese Lücke: Sie wendet dieselben Zugriffskontrollen und denselben Audit-Trail, die für menschliche Anwender gelten, auch auf KI-Agents an, die Patientendaten verarbeiten. Das ist entscheidend, denn Regulatoren regulieren Daten – unabhängig davon, wer oder was darauf zugreift. NEN 7510, wie auch HIPAA in den USA, macht keine Ausnahme für Datensätze, die von KI gelesen werden. Ein CISO, der Zugriffskontrollen und Data Governance auf agentische Zugriffe auf einer zertifizierten Plattform ausgedehnt hat, ist bei Prüfungen durch IGJ oder andere Aufsichten deutlich besser aufgestellt.

Die Verantwortung für KI-Zugriffe ist in den meisten Organisationen noch ungeklärt. Verschiedene Umfragen sehen CISO, CIO oder Chief AI Officer jeweils als Hauptverantwortlichen – und viele Healthcare-Organisationen haben gar keine benannte Person für das Agentenverhalten. Eine nach NEN 7510 zertifizierte Plattform löst diese interne Verantwortungsfrage zwar nicht, aber sie stellt sicher, dass Zugriffskontrollen und Audit-Trail bereits vorhanden sind – statt dass Agenten-Governance erst mühsam aufgebaut werden muss, während intern noch diskutiert wird, wem sie obliegt.

Mehr über die Einführung einer nach NEN 7510-1:2024 zertifizierten Plattform für Healthcare-Datensicherheit in den Niederlanden erfahren Sie, wenn Sie heute eine individuelle Demo anfordern.

Weitere Ressourcen

• Blogbeitrag Der Kampf um Ihre Daten: Wie CLOUD- und SHIELD-Acts Sicherheit gegen Datenschutz ausspielen
• Blogbeitrag Sensible Daten schützen: So verknüpfen Sie DSPM mit Ihren Compliance-Zielen
• Kurzbericht Die 3 häufigsten FERPA-Verstöße und wie Sie sie vermeiden
• Blogbeitrag Executive Order 14117: Schutz sensibler personenbezogener Massendaten von US-Bürgern
• Blogbeitrag NIS2-Compliance erforderlich? Starten Sie mit ISO 27001