Kiteworks obtient la certification NEN 7510-1:2024 pour la sécurité des données de santé aux Pays-Bas
Posez la question à un RSSI du secteur de la santé aux Pays-Bas sur la sécurité d’une plateforme fournisseur, la plupart acquiesceront poliment avant de passer à autre chose. Demandez si un auditeur indépendant a vérifié cette plateforme selon la même norme que celle utilisée par les régulateurs pour évaluer leur propre organisation, et la conversation change de ton. C’est précisément à cette question que Kiteworks a voulu répondre, plutôt que de la laisser à une simple présentation commerciale.
Kiteworks, qui aide les organisations à gérer les risques lors de chaque échange de données sensibles, a obtenu la certification NEN 7510-1:2024, la norme de gestion de la sécurité de l’information que la loi impose aux organismes de santé néerlandais. Brand Compliance B.V., un tiers indépendant et accrédité, a délivré le certificat sous le numéro NL 3069.1.1. Il couvre Kiteworks USA LLC et ses filiales, dont Kiteworks Europe AG, Kiteworks PTE LTD, Kiteworks BG Ltd, Dracoon GmbH, 123FormBuilder S.R.L. et Zivver B.V. Deux produits sont concernés par cette certification unique : le Kiteworks Control Plane et Zivver Secure Communications Services.
La conformité NEN 7510 est une obligation légale pour les prestataires de santé néerlandais depuis 2008, mais le niveau d’exigence s’est accru en 2023, lorsque les organisations ont dû commencer à prouver leur conformité, et non plus seulement l’attester. La mise à jour 2024 de la norme, publiée en décembre 2024, reprend les mêmes contrôles que l’ISO 27001, avec des ajouts spécifiques au secteur de la santé, et recoupe la nouvelle législation néerlandaise sur la cybersécurité qui transpose la directive NIS 2 de l’UE. Pour un organisme de santé déjà soumis au RGPD, ce recoupement est bienvenu. Un seul programme d’audit NEN 7510 permet désormais de répondre également aux exigences NIS 2, sans devoir mener deux démarches parallèles pour chaque référentiel.
Tout cela est concret pour les RSSI et responsables conformité du secteur de la santé qui lisent cet article. Une attaque par ransomware contre un laboratoire néerlandais en août 2025, suivie d’une décision réglementaire neuf mois plus tard, montre très concrètement ce qu’il en coûte de traiter les exigences de sécurité de l’information comme une simple liste de cases à cocher, et non comme une discipline auditée. Cet incident constitue le contexte dans lequel il faut lire cette certification, et il mérite d’être détaillé avant de revenir sur ce que Kiteworks a certifié.
Résumé des points clés
1. Kiteworks détient désormais la certification NEN 7510-1:2024.
Le certificat NL 3069.1.1, délivré par l’organisme indépendant accrédité Brand Compliance B.V., couvre à la fois le Kiteworks Control Plane et Zivver Secure Communications Services sous une même certification.
2. La certification répond à une question déjà posée par les RSSI du secteur de la santé néerlandais.
Elle apporte aux clients la preuve que la plateforme elle-même, et pas seulement ses options de configuration, a fait l’objet d’un audit indépendant selon la même norme que celle à laquelle leurs propres organisations doivent se conformer.
3. Une violation réelle illustre le coût de la non-conformité.
Les régulateurs ont constaté que Clinical Diagnostics, un laboratoire néerlandais victime d’un ransomware en août 2025, n’était pas conforme à la NEN 7510 au moment de l’attaque qui a exposé les données d’environ 850 000 personnes.
4. Les notifications de violation de données augmentent aux Pays-Bas.
L’Autorité néerlandaise de protection des données a enregistré 39 407 notifications de violation tous secteurs confondus en 2025, contre 37 839 en 2024.
5. L’écart concerne aussi la gouvernance de l’IA.
Les propres données d’enquête de Kiteworks pour 2026 montrent que la plupart des organisations ne peuvent pas produire rapidement un audit complet des accès aux données par l’IA, et que la force de la sécurité européenne ne s’est pas encore traduite par des contrôles spécifiques à l’IA – un écart que la plateforme certifiée vise à combler.
L’incident qui a révélé la faille de conformité lors du dépistage du cancer du col de l’utérus chez Clinical Diagnostics
En août 2025, une attaque par ransomware a frappé un laboratoire néerlandais chargé d’analyser les tests de dépistage du cancer du col de l’utérus pour le programme national. L’attaque a exposé les dossiers d’environ 850 000 personnes, y compris leurs numéros d’identification nationaux, poussant l’Autorité néerlandaise de protection des données à ouvrir une enquête.
La conclusion la plus lourde de conséquences est venue plus tard. En mai 2026, l’Inspection de la santé et de la jeunesse néerlandaise (IGJ) a conclu que le laboratoire Clinical Diagnostics n’était pas conforme à la norme NEN 7510, pourtant légalement requise, au moment de l’attaque. La liste des manquements dressée par le régulateur était précise : aucun audit indépendant de la sécurité de l’information n’avait été mené, et l’évaluation périodique des risques de sécurité était insuffisante. L’IGJ a ajouté que le respect de la NEN 7510 aurait pu réduire à la fois la probabilité et l’impact de l’incident.
Pour un Chief Compliance Officer ou un responsable GRC, cette conclusion résume tout. La NEN 7510 n’est pas un référentiel optionnel que l’on peut repousser, ni une formalité satisfaite par de bonnes intentions ou un document de politique oublié sur un drive partagé. Les régulateurs ont désormais montré, via une décision documentée contre une organisation nommément citée, que ne pas la maintenir change l’issue en cas d’attaque. Un inspecteur n’a pas à spéculer sur ce qu’un audit indépendant ou une évaluation des risques bien menée aurait révélé : il peut s’appuyer sur le rapport d’incident et affirmer clairement que leur absence a aggravé la violation.
Le lieu de la violation compte autant que son ampleur. Elle n’a pas eu lieu dans un hôpital, mais dans un laboratoire tiers auquel on avait confié des données de patients – rappel que les exigences de sécurité de l’information doivent s’étendre à tout l’écosystème de santé, fournisseurs et sous-traitants compris, et non s’arrêter aux murs de l’hôpital. Chaque hôpital, assureur ou réseau de santé ayant envoyé des échantillons à ce laboratoire a subi une part des conséquences, quel que soit le niveau de sécurité interne de son propre programme. Et le cas Clinical Diagnostics n’est pas isolé : l’Autorité néerlandaise de protection des données a enregistré 39 407 notifications de violation en 2025, contre 37 839 l’année précédente. Les régulateurs constatent une hausse de ces incidents, ce qui oblige tout responsable conformité à défendre chaque relation fournisseur impliquant des données patients.
« Chaque RSSI du secteur de la santé avec qui je m’entretiens pose une version de la même question : non pas si nous affirmons que notre plateforme est sécurisée, mais si un tiers indépendant l’a vérifiée », explique Rick Goud, Field CTO, Kiteworks. « Zivver était déjà certifié NEN 7510, mais le fait que Kiteworks le soit aussi change la donne. La plateforme Kiteworks et ses solutions affiliées, dont Zivver, ont été auditées de façon indépendante selon la même norme à laquelle nos clients sont eux-mêmes soumis, ils n’ont donc pas à se contenter de notre parole. »
Quelles normes de conformité des données sont essentielles ?
Pour en savoir plus :
Ce qu’exige la NEN 7510-1:2024 et pourquoi la preuve de conformité a tout changé en 2023
La NEN 7510 est la norme néerlandaise de sécurité de l’information pour les organismes de santé, une application spécifique de la conformité réglementaire, et elle a force de loi depuis 2008. Pendant quinze ans, les organismes de santé néerlandais pouvaient en grande partie s’auto-attester conformes. Cela a changé en 2023, quand ils ont dû prouver leur conformité et non plus simplement la déclarer, transformant la NEN 7510 d’une déclaration de politique en une obligation d’audit.
La version 2024 de la norme, NEN 7510-1:2024, a été publiée en décembre 2024. Elle reprend la structure de contrôle de l’ISO 27001, la norme internationale de gestion de la sécurité de l’information, avec des ajouts et précisions spécifiques au secteur de la santé. Comme les contrôles de base suivent de très près l’ISO 27001:2022, une organisation qui répond à la NEN 7510 a aussi fait un grand pas vers la norme internationale, et inversement.
La norme recoupe également la transposition néerlandaise de la directive NIS 2 de l’UE, la loi sur la cybersécurité qui a élargi les obligations de déclaration d’incident et de gestion des risques dans les secteurs critiques, dont la santé. Être conforme à la NEN 7510 permet donc de répondre à certaines exigences NIS 2, ce qui est précieux pour tout responsable conformité du secteur de la santé cherchant à éviter la gestion de programmes d’audit parallèles et redondants pour des normes qui partagent l’essentiel de leur ADN.
Pour un fournisseur, atteindre ce niveau signifie soumettre la plateforme elle-même, et non un simple guide de configuration, à un audit indépendant accrédité. Cette distinction est au cœur de l’annonce de Kiteworks. C’est aussi la question que tout responsable conformité devrait poser lors de chaque revue fournisseur désormais, car « notre logiciel peut être configuré pour supporter la NEN 7510 » et « notre logiciel a été audité de façon indépendante selon la NEN 7510 » sont deux affirmations très différentes – et une seule résiste aux questions de suivi d’un régulateur.
Zoom sur le certificat NL 3069.1.1 et le périmètre de l’audit indépendant
Le certificat NL 3069.1.1 a été délivré par Brand Compliance B.V., un tiers indépendant accrédité, après un audit selon la norme NEN 7510-1:2024. La décision de certification date du 1er août 2026, le certificat a été émis le 6 août 2026 et il est valable jusqu’au 31 juillet 2029. Le périmètre du certificat est volontairement large : il couvre Kiteworks USA LLC et ses filiales, dont Kiteworks Europe AG, Kiteworks PTE LTD, Kiteworks BG Ltd, Dracoon GmbH, 123FormBuilder S.R.L. et Zivver B.V.
Deux produits sont couverts par cette certification unique : le Kiteworks Control Plane et Zivver Secure Communications Services. Zivver, le fournisseur de messagerie électronique sécurisée et de communications sécurisées acquis par Kiteworks, détenait déjà sa propre certification NEN 7510. Ce qui change avec cette annonce, c’est que le Kiteworks Control Plane, la couche de gouvernance et de gestion de la plateforme, bénéficie désormais de la même certification indépendante, dans le même audit, aux côtés de Zivver.
Cela compte pour toute organisation de santé néerlandaise ayant déjà standardisé Zivver pour ses communications sécurisées et qui envisage maintenant un déploiement plus large de Kiteworks pour l’échange sécurisé de données (partage de fichiers, transfert sécurisé de fichiers, formulaires, flux de données via API). Il n’y a plus de décalage entre ce qui a été audité et ce qui est déployé. Une équipe achats qui devait auparavant justifier à un auditeur pourquoi seule la messagerie sécurisée était certifiée, et pas le reste de l’environnement d’échange de données, peut désormais présenter un certificat unique couvrant les deux.
Il est aussi important de préciser ce que ce type de certification affirme – et ce qu’il n’affirme pas. Elle confirme que Brand Compliance B.V. a examiné les produits nommés selon le référentiel NEN 7510-1:2024 et les a jugés conformes au moment de l’audit. Ce n’est pas une garantie contre tout incident futur, et cela ne dispense pas l’organisation de santé de son obligation de configurer, déployer et exploiter la plateforme correctement dans son propre environnement. Ce que la certification élimine, c’est l’incertitude sur la couche plateforme elle-même : la question de savoir si le logiciel sur lequel le client bâtit son programme de conformité a bien été vérifié de façon indépendante.
Consultez le brief de conformité NEN 7510-1:2024 pour connaître le périmètre complet de la certification.
Une plateforme, une piste d’audit, et pourquoi les outils fragmentés ne suffisent pas pour une conformité de qualité
La différenciation revendiquée par Kiteworks est précise, et il est important de la formuler clairement pour éviter toute exagération. La plupart des fournisseurs qui ciblent le secteur de la santé néerlandais proposent des logiciels que le client peut configurer pour être conforme à la NEN 7510. Mais le logiciel lui-même n’a jamais été audité indépendamment selon la norme. Toute la charge de conformité – et le risque si un auditeur conteste les choix de configuration du client – repose alors sur ce dernier.
« Beaucoup de fournisseurs remettent une checklist à un RSSI du secteur de la santé néerlandais et appellent cela de la conformité », souligne Goud. « Ce n’est pas suffisant quand l’échéance est réelle et que les notifications de violation de données ne cessent d’augmenter. Ce qu’il leur faut, c’est une plateforme auditée de façon indépendante, comme ils vont l’être eux-mêmes, et non un patchwork d’outils qui valident chacun leur propre périmètre alors que les données circulant entre eux restent totalement hors contrôle. Une plateforme gouvernée, c’est une seule piste d’audit et un rapport que l’auditeur peut réellement suivre, pas cinq journaux distincts recollés après coup. »
La plateforme Kiteworks est le système certifié, avec une piste d’audit unique couvrant la messagerie, le partage et le transfert de fichiers, les formulaires, les API et les agents, et un seul rapport que l’auditeur peut suivre, au lieu de devoir reconstituer l’information à partir d’outils séparés, chacun avec son propre accès et ses angles morts. Ce modèle de piste d’audit unique répond à un problème que la plupart des organisations connaissent aujourd’hui – et il n’est pas mineur. Selon le rapport annuel 2026 de Kiteworks sur les risques liés à la sécurité et à la conformité des données, la moitié des organisations sont incapables de produire un audit complet des accès aux données par l’IA en une journée ouvrée, et seules 17 % y parviennent en moins d’une heure. Quand le régulateur attend une réponse en quelques heures ou jours, un journal d’audit qui prend une semaine à assembler ne constitue pas une preuve de conformité, même si les contrôles sous-jacents étaient conformes.
Imaginez l’alternative que vivent la plupart des organismes de santé néerlandais : des accès séparés pour la passerelle e-mail, le serveur de transfert de fichiers, l’outil de formulaires, et le système qui achemine les données vers une application d’IA, chacun générant son propre format de journal, avec sa propre politique de rétention, dans sa propre console. Lorsque l’IGJ ou un auditeur interne demande un historique complet des accès aux données d’un patient, il faut alors rapprocher manuellement quatre ou cinq systèmes qui n’ont jamais été conçus pour fonctionner ensemble. C’est à ce stade que la qualité de la preuve se dégrade, non pas parce que les contrôles sont faibles, mais parce que personne ne peut produire une vue cohérente et rapide de l’ensemble.
C’est cet argument qui parle le plus à un Chief Compliance Officer ou à un responsable GRC, bien plus qu’une liste de fonctionnalités. Une plateforme certifiée avec une piste d’audit unifiée transforme un exercice de collecte de preuves de plusieurs semaines en un rapport unique – la différence entre respecter le délai du régulateur ou non, et entre une évaluation qui se clôture proprement ou qui débouche sur une procédure formelle.
Combler le retard européen en gouvernance de l’IA sur les données de santé réglementées
La certification intervient alors que la question de la conformité dans la santé européenne s’élargit à l’IA. Le rapport annuel 2026 montre que la tendance dominante en Europe est une infrastructure de sécurité générale solide, mais une gouvernance de l’IA qui n’a pas suivi, un décalage lié au fait que le RGPD et la NIS 2 ont accéléré les investissements conformité plus vite que les contrôles techniques sur l’IA. Sur l’ensemble de l’enquête, seules 26 % des organisations, en Europe et ailleurs, ont mis en place le « purpose binding », le contrôle technique qui limite les agents IA à leurs tâches et données autorisées.
La plateforme certifiée Kiteworks vise à combler précisément cet écart, en appliquant les mêmes contrôles d’accès et la même piste d’audit qui régissent déjà les utilisateurs humains aux agents IA qui accèdent désormais à des données patients. Ce cadrage est essentiel car les régulateurs réglementent les données, pas l’identité de celui ou de ce qui y accède. La NEN 7510, comme l’HIPAA aux États-Unis, n’accorde aucune exemption pour les dossiers consultés par un agent IA plutôt qu’une personne. Un RSSI qui a étendu les contrôles d’accès et la gouvernance des données à l’accès agentique sur une plateforme certifiée se trouve dans une position bien plus solide face à un auditeur ou à un inspecteur comme l’IGJ, qui viendra demander qui – ou quoi – a accédé à une donnée et sous quelle autorisation.
La question de la responsabilité sur l’accès IA reste floue dans la plupart des organisations. Selon les enquêtes, le RSSI, le DSI ou le Chief AI Officer sont tour à tour désignés comme responsables principaux, et de nombreux organismes de santé n’ont même pas de personne clairement identifiée. Une plateforme certifiée NEN 7510 ne règle pas ce débat interne, mais elle garantit que la personne qui héritera du sujet disposera déjà d’un système avec contrôles d’accès et piste d’audit, au lieu de devoir tout construire alors que l’organisation débat encore de la gouvernance agentique.
Pour en savoir plus sur le déploiement d’une plateforme certifiée NEN 7510-1:2024 pour la sécurité des données de santé aux Pays-Bas, réservez une démo personnalisée dès maintenant.
Foire aux questions
Le certificat NL 3069.1.1, délivré par l’organisme indépendant accrédité Brand Compliance B.V., couvre Kiteworks USA LLC et ses filiales, dont Kiteworks Europe AG, Kiteworks PTE LTD, Kiteworks BG Ltd, Dracoon GmbH, 123FormBuilder S.R.L. et Zivver B.V. Il s’applique à deux produits sous une même certification : le Kiteworks Control Plane et Zivver Secure Communications Services.
Non. La conformité NEN 7510 est une obligation légale pour les prestataires de santé néerlandais depuis 2008, et depuis 2023, les organisations doivent prouver leur conformité, et non plus seulement l’attester. La certification indépendante d’un fournisseur constitue un argument solide dans cette preuve, et elle élimine le doute sur la conformité de la plateforme sous-jacente, mais l’organisation de santé reste responsable de son propre programme de conformité réglementaire et de son audit. Ce qu’apporte un fournisseur certifié, c’est une nouvelle approche de l’audit : au lieu d’obliger l’auditeur à évaluer un produit non audité depuis zéro, l’organisation peut s’appuyer sur un certificat existant et indépendant pour la couche plateforme, et concentrer ses efforts d’audit sur la configuration et l’exploitation de cette plateforme – ce qui allège considérablement la tâche.
La NEN 7510-1:2024, publiée en décembre 2024, reprend les mêmes contrôles que l’ISO 27001, avec des ajouts et précisions spécifiques au secteur de la santé. Elle recoupe également la législation néerlandaise sur la cybersécurité qui transpose la directive NIS 2 de l’UE, de sorte qu’être conforme à la NEN 7510 permet aussi de répondre à certaines obligations NIS 2.
En mai 2026, l’Inspection de la santé et de la jeunesse néerlandaise (IGJ) a conclu que Clinical Diagnostics, le laboratoire victime d’un ransomware en août 2025, n’était pas conforme à la NEN 7510 au moment de l’attaque qui a exposé les données d’environ 850 000 personnes, dont leurs numéros d’identification nationale. Le régulateur a pointé l’absence d’audit indépendant de la sécurité de l’information et une évaluation périodique des risques insuffisante, et a précisé que le respect de la NEN 7510 aurait pu réduire la probabilité et l’impact de l’incident. Pour les responsables conformité qui évaluent fournisseurs et sous-traitants, cette conclusion déplace la question de « un partenaire affirme-t-il suivre les bonnes pratiques de sécurité » à « ces pratiques ont-elles été vérifiées de façon indépendante ». La piste d’audit et les contrôles alignés sur l’ISO 27001 de Kiteworks aident les clients à éviter précisément ce type de situation.
La certification elle-même couvre le Kiteworks Control Plane et Zivver Secure Communications Services, et cette même plateforme applique les mêmes contrôles d’accès et la même piste d’audit qui régissent les utilisateurs humains aux agents IA accédant aux données patients. C’est important, car seules 26 % des organisations, selon le rapport annuel 2026 de Kiteworks sur les risques liés à la sécurité et à la conformité des données, ont mis en place le « purpose binding », le contrôle qui limite les agents IA à leurs tâches et données autorisées. Découvrez comment Kiteworks Compliant AI étend ce modèle de gouvernance à l’accès agentique.
Ressources complémentaires
- Article de blog La guerre d’influence autour de vos données : comment les lois CLOUD et SHIELD opposent sécurité et vie privée
- Article de blog Sécuriser les données sensibles en alignant le DSPM sur vos objectifs de conformité
- Brief Top 3 des violations FERPA et comment les éviter
- Article de blog Executive Order 14117 : protéger les données personnelles sensibles des Américains
- Article de blog Besoin de conformité NIS2 ? Commencez par l’ISO 27001