NTA 7516-checklist: zo maak je veilig mailen in de zorg rond

Je wilt weten of jullie praktijk klaar is met veilig mailen. Je zoekt een lijst om af te vinken en vindt vooral leveranciers die 'NTA 7516 compliant' op hun site zetten. Dat vertelt je niet wat je moet nakijken.

Dit is een checklist met veertien punten in zes groepen. Per punt lees je wat het is, hoe je het controleert en waar het misgaat. Staat er zo'n label op een leverancierssite, vraag dan door; wat het wel en niet zegt, lees je in de FAQ op onze normpagina. Staat bij een punt 'volgens de norm', dan hoort het bij de eisen op onze pagina over de norm. De rest zijn controles die wij je aanraden.

De normtekst zelf staat hier niet. NEN biedt de pdf van NTA 7516:2019 kosteloos aan, na een bestelling direct te downloaden en alleen voor eigen gebruik (NEN, NTA 7516:2019 nl, geraadpleegd 12 oktober 2026). NEN schrijft dat het voldoen aan NTA 7516 (nog) niet verplicht is en dat de norm gebaseerd is op de AVG en eIDAS (NEN, Veilig mailen met NTA 7516, geraadpleegd 12 oktober 2026). Volgens NEN vul je een belangrijk deel van de maatregelen in met de keuze voor de juiste leverancier, maar neem je als zorginstelling zelf ook maatregelen (zelfde bron). Leveranciers moeten volgens NEN transparant zijn over wat hun product niet invult (zelfde bron).

Weet je wie er inlogt en wie er opent?

• Tweede stap voor de ontvanger. Volgens de norm bewijst de ontvanger met minimaal twee factoren wie hij is, voordat hij gezondheidsinformatie kan openen. Check: vraag of die stap wordt afgedwongen of optioneel is, en test hem met een bericht naar een collega elders. Valkuil: een optionele tweede stap beschermt alleen wie hem aanzet.
• Eigen accounts. Een controle van ons, geen eis uit de norm. Check: log in als gewone medewerker en kijk of ook daar een tweede stap wordt gevraagd. Valkuil: de tweede stap staat alleen aan voor beheerders.

Gaat de mail versleuteld?

• Onderweg. Volgens de norm gaat gezondheidsinformatie versleuteld over de lijn. Check: vraag je leverancier of de versleuteling tussen mailservers wordt afgedwongen. Valkuil: versleuteling die alleen wordt gebruikt als de andere kant het ondersteunt.
• Wat je bewaart. Volgens de norm geldt versleuteling ook voor wat je bewaart. Check: vraag je leverancier wat er in zijn opslag wordt versleuteld en sinds wanneer, en leg het antwoord vast. Valkuil: een antwoord over de verbinding terwijl je naar de opslag vroeg.
• De rest van de route. Volgens de norm kan alleen de bedoelde ontvanger een bericht lezen. Check: vraag of ook externe mailservers waar het bericht langs komt de inhoud niet kunnen lezen. Valkuil: een leverancier die alleen zijn eigen servers beschrijft.

Komt de mail bij de juiste persoon aan?

• Adres controleren voor je verstuurt. Volgens de norm weet je wie een bericht verstuurt en wie het leest, en gaat er geen gezondheidsinformatie naar een adres dat niet is gecontroleerd. Check: leg vast hoe jullie een nieuw adres controleren, bijvoorbeeld met een telefoontje naar de ontvanger. Valkuil: een adres dat uit een oude mail wordt overgenomen.
• Afzender herkenbaar. Onze normpagina noemt voor afzenderidentificatie PKI-overheid-certificaten en het Zorg-e-mail-protocol. Check: vraag je leverancier hoe een ontvanger kan zien dat een bericht echt van jouw praktijk komt. Valkuil: een afzendernaam die iedereen kan intypen.
• Werkt het met andere leveranciers. Volgens NEN moeten berichten tussen producten van verschillende leveranciers die aan de norm voldoen zonder beperking kunnen worden verzonden, ontvangen en gelezen (NEN, geraadpleegd 12 oktober 2026). Check: stuur een testbericht naar een zorgpartner met een andere dienst en vraag wat die ziet. Valkuil: een dienst die alleen werkt tussen mensen die dezelfde dienst gebruiken.

Kun je laten zien wat er is verstuurd?

• Logging per bericht. Volgens de norm kun je laten zien wie wat wanneer verstuurde en ontving. Zonder logging heb je geen bewijs voor toezichthouder of auditor (onze normpagina). Check: vraag het logboek van vorige maand op en kijk of tijdstip, afzender en ontvanger erin staan. Valkuil: je merkt pas bij een vraag van een auditor dat er niets is vastgelegd.
• Bewaren en terugvinden. Dit is een controle van ons. Spreek af hoe lang je het logboek bewaart, wie erbij kan en hoe je er een bericht in terugvindt. Valkuil: een logboek waar alleen de leverancier bij kan.

Wat staat er op papier?

• Verwerkersovereenkomst. Een mailleverancier verwerkt gezondheidsgegevens voor jou. De AVG vraagt dan een overeenkomst waarin staat wat de verwerker mag doen (artikel 28 lid 3, EUR-Lex, geraadpleegd 12 oktober 2026). Check: lees de bijlagen met sub-verwerkers en maatregelen, en kijk waar je gegevens staan. Zie wat een verwerkersovereenkomst is en wat erin moet. Valkuil: akkoord klikken zonder de bijlagen te openen.
• Beschikbaarheid en back-ups. Volgens de norm komen berichten aan, ook als een systeem even hapert, en is de dienst aantoonbaar beschikbaar en betrouwbaar. Check: vraag of de afspraak over beschikbaarheid een garantie is of een streefwaarde, en hoe vaak back-ups worden gemaakt en teruggezet. Valkuil: een percentage in de SLA dat een streefwaarde blijkt te zijn.

Weet je team wat het moet doen?

• Afspraken in het team. Schrijf op welke berichten altijd via de beveiligde route gaan en wie het aanspreekpunt is. De AVG vraagt maatregelen die ervoor zorgen dat wie onder jouw gezag toegang heeft tot persoonsgegevens, die alleen op jouw instructie verwerkt (artikel 32 lid 4, EUR-Lex, geraadpleegd 12 oktober 2026). Check: vraag een collega welke berichten via de beveiligde route moeten. Valkuil: een regel die alleen in het hoofd van de praktijkmanager zit.
• Als het misgaat. Een bericht met gezondheidsgegevens naar het verkeerde adres kan een inbreuk in verband met persoonsgegevens zijn (artikel 4 punt 12). De verwerkingsverantwoordelijke meldt die zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur na kennisname bij de toezichthouder, tenzij een risico niet waarschijnlijk is (artikel 33 lid 1, zelfde bron). Check: weet iedereen wie dat meldt en hoe? Valkuil: een verkeerd verzonden bericht een week laten liggen.

Waar Noveu staat, per maatregel

Noveu Werkplek is ingericht in lijn met de uitgangspunten van NTA 7516, zonder certificaat en zonder keurmerk. Helemaal volgens NTA 7516 mailen kan met Noveu vandaag nog niet. Dit is de status per maatregel, zoals die op 14 oktober 2026 op onze NTA 7516-pagina staat:

• Mailverkeer op Europese infrastructuur: Beschikbaar. Je e-mail draait op onze eigen mailserver bij Hetzner in Falkenstein (Duitsland), en de back-ups staan in datzelfde Hetzner-datacenter.
• Versleuteld transport (TLS-afdwinging): Beschikbaar. Onze mailservers dwingen transportversleuteling af.
• Multifactorauthenticatie: In ontwerp. Inloggen gaat met één Noveu-login via OpenID Connect, met TOTP en passkeys; die zijn optioneel voor gebruikers en verplichte MFA per organisatie is gepland. Verplichte 2FA voor de ontvanger is nog niet afgedwongen.
• Versleuteld bewaren: Gepland. Back-ups worden sinds 30 september 2026 versleuteld opgeslagen. Opgeslagen mail staat op schijven die nog niet versleuteld zijn; een datum daarvoor geven we nog niet.
• Beschikbaarheid en continuïteit: In ontwerp. De SLA noemt 99,5% beschikbaarheid per maand als streefwaarde, zonder garantie. Back-ups draaien dagelijks. Periodieke hersteltests zijn nog niet ingevoerd.
• Verwerkersovereenkomst en transparantie: In ontwerp. De conceptversie van de verwerkersovereenkomst staat op /juridisch/verwerkersovereenkomst. Alle sub-verwerkers staan publiek op /juridisch/sub-verwerkers. De verwerkersovereenkomst is nog niet juridisch gecontroleerd voor ondertekening.
• S/MIME end-to-end-encryptie: In ontwerp. Berichten die alleen de bedoelde ontvanger kan lezen, ook onderweg via externe mailservers. Onderdeel van de doelarchitectuur.
• Afzenderidentificatie (PKI-overheid, Zorg-e-mail): In ontwerp. De identiteit van afzenders controleren met PKI-overheid-certificaten en het Zorg-e-mail-protocol.
• Auditlogging van ontvangst en verzending: Gepland. Logging per bericht met tijdstempel, afzender en ontvanger, als bewijsset voor je eigen audits.
• Interoperabiliteit met andere zorgmaildiensten: Gepland. Uitwisseling met zorgaanbieders die ZorgMail of een andere veilige-maildienst gebruiken.

Voor je eigen audit leveren we technische en organisatorische bewijsstukken op aanvraag. Wie de norm certificeert en wat een keurmerk wel en niet regelt, lees je op de pagina over de norm en wie certificeert. Hoe een kleine praktijk dit aanpakt, staat in veilig mailen in de huisartsenpraktijk. Wat Noveu Werkplek kost, zie je op de prijzenpagina.