Veilig mailen in de huisartsenpraktijk, in gewone taal

Een doktersassistente wil een verwijsbrief mailen naar de fysiotherapeut om de hoek. Het gaat om één pagina. Mag dat gewoon, of moet het via een beveiligd kanaal? En hoe weet je dat de mail bij de juiste persoon aankomt?

Daar gaat NTA 7516 over. In dit stuk lees je wat de norm vraagt, voor wie hij geldt en welke keuzes je hebt. Zonder jargon, voor zover dat lukt.

Wat is NTA 7516?

NTA 7516 is een Nederlandse Technische Afspraak van NEN, het Nederlands Normalisatie-instituut. De norm beschrijft hoe je e-mail met medische en andere gevoelige persoonsgegevens veilig verstuurt en ontvangt. Hij sluit aan op NEN 7510, de norm voor informatiebeveiliging in de zorg.

Het uitgangspunt is eenvoudig: mail met patiëntgegevens moet net zo veilig zijn als andere beveiligde kanalen in de zorg. De norm legt eisen bij de verzender en bij de ontvanger.

Voor wie geldt hij?

Voor elke zorgaanbieder die patiëntgegevens mailt. Denk aan:

• huisartsenpraktijken en gezondheidscentra
• ziekenhuizen en klinieken
• ggz-instellingen
• verpleeghuizen, verzorgingshuizen en thuiszorg
• apotheken
• fysiotherapeuten, logopedisten en andere paramedici
• jeugdzorg

Mail je over patiënten, dan gaat NTA 7516 over jou.

Wat vraagt de norm?

In gewone taal komt het neer op vijf dingen:

• Versleuteling. De mail gaat versleuteld van server naar server, met minimaal TLS 1.2. Gewone mail over een onbeveiligde verbinding is niet genoeg.
• De juiste ontvanger. Je moet erop kunnen vertrouwen dat het adres klopt en dat de ontvanger is wie je denkt.
• Een tweede stap bij het openen. Kan de ontvanger de mail niet via een vertrouwde mailserver ontvangen, dan opent hij het bericht met tweestapsverificatie.
• Vastleggen. Je legt vast wie wat naar wie stuurde, wanneer, en of het aankwam.
• Medewerkers die het weten. Je team herkent een mail met gevoelige gegevens en weet hoe die veilig de deur uit gaat.

De precieze eisen staan in de norm zelf, die je bij NEN kunt aanschaffen. Dit is een samenvatting, geen vervanging.

Welke keuzes heb je?

Er zijn grofweg drie manieren om aan de norm te werken.

Een mailplatform dat de eisen al inbouwt

Het platform regelt de techniek. Je medewerkers leren vooral wanneer ze de beveiligde route kiezen. Voor een kleine praktijk is dit meestal het eenvoudigst.

Een gateway voor je bestaande mail

Een extra dienst voor je huidige mailserver herkent gevoelige berichten en beveiligt ze. Je houdt je vertrouwde mailprogramma. De herkenning moet je wel goed instellen, want die zit er weleens naast.

Een aparte beveiligde berichtendienst

Je stuurt gevoelige berichten via een aparte dienst in plaats van via mail. Dat is veilig, maar de ontvanger moet dezelfde dienst gebruiken of via een link inloggen.

Welke past, hangt af van je grootte en van met wie je het meest mailt.

Fouten die je makkelijk voorkomt

Een paar valkuilen zijn eenvoudig te vermijden:

• patiëntgegevens versturen vanaf een gewoon gratis mailadres
• een zip-bestand met wachtwoord als versleuteling zien, want dat voldoet niet aan de norm
• het wachtwoord via hetzelfde kanaal sturen als het bestand
• niet controleren of het adres van de ontvanger klopt
• niet vastleggen wat je hebt verstuurd

Hoe dit samenhangt met andere regels

Gezondheidsgegevens zijn bijzondere persoonsgegevens onder de AVG en vragen extra bescherming. NEN 7510 is het bredere kader voor informatiebeveiliging in de zorg. Grotere zorgaanbieders vallen sinds 15 augustus 2026 ook onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2 (rijksoverheid.nl).

Wat je deze week kunt doen

1. Vraag je mailleverancier of de verbinding altijd versleuteld is, en met welke TLS-versie.
2. Spreek in het team af welke berichten altijd via de beveiligde route gaan.
3. Stop met zip-bestanden met een wachtwoord.
4. Wijs iemand aan die in de praktijk het aanspreekpunt is voor veilige mail.

Waar Noveu staat

Noveu Mail draait op onze eigen mailserver in een Hetzner-datacenter in Falkenstein, Duitsland, met afgedwongen TLS. We richten de Werkplek in volgens de uitgangspunten van NTA 7516, maar een NTA 7516-certificaat hebben we niet. Per maatregel lees je de actuele status in NTA 7516: wat de norm vraagt en hoe Noveu ervoor staat.