NTA 7516-checklist: zo maak je veilig mailen in de zorg rond

Je wilt weten of jullie praktijk klaar is met veilig mailen. Je zoekt een lijst om af te vinken en vindt vooral leveranciers die 'NTA 7516 compliant' op hun site zetten. Dat vertelt je niet wat je moet nakijken.

Dit is een checklist met veertien punten in zes groepen. Per punt lees je wat het is, hoe je het controleert en waar het misgaat. Staat er zo'n label op een leverancierssite, vraag dan door; wat het wel en niet zegt, lees je in de FAQ op onze normpagina. Staat bij een punt 'volgens de norm', dan hoort het bij de eisen op onze pagina over de norm. De rest zijn controles die wij je aanraden.

De normtekst zelf staat hier niet. NEN biedt de pdf van NTA 7516:2019 kosteloos aan, na een bestelling direct te downloaden en alleen voor eigen gebruik (NEN, NTA 7516:2019 nl, geraadpleegd 12 oktober 2026). NEN schrijft dat het voldoen aan NTA 7516 (nog) niet verplicht is en dat de norm gebaseerd is op de AVG en eIDAS (NEN, Veilig mailen met NTA 7516, geraadpleegd 12 oktober 2026). Volgens NEN vul je een belangrijk deel van de maatregelen in met de keuze voor de juiste leverancier, maar neem je als zorginstelling zelf ook maatregelen (zelfde bron). Leveranciers moeten volgens NEN transparant zijn over wat hun product niet invult (zelfde bron).

Weet je wie er inlogt en wie er opent?

• Tweede stap voor de ontvanger. Volgens de norm bewijst de ontvanger met minimaal twee factoren wie hij is, voordat hij gezondheidsinformatie kan openen. Check: vraag of die stap wordt afgedwongen of optioneel is, en test hem met een bericht naar een collega elders. Valkuil: een optionele tweede stap beschermt alleen wie hem aanzet.
• Eigen accounts. Een controle van ons, geen eis uit de norm. Check: log in als gewone medewerker en kijk of ook daar een tweede stap wordt gevraagd. Valkuil: de tweede stap staat alleen aan voor beheerders.

Gaat de mail versleuteld?

• Onderweg. Volgens de norm gaat gezondheidsinformatie versleuteld over de lijn. Check: vraag je leverancier of de versleuteling tussen mailservers wordt afgedwongen. Valkuil: versleuteling die alleen wordt gebruikt als de andere kant het ondersteunt.
• Wat je bewaart. Volgens de norm geldt versleuteling ook voor wat je bewaart. Check: vraag je leverancier wat er in zijn opslag wordt versleuteld en sinds wanneer, en leg het antwoord vast. Valkuil: een antwoord over de verbinding terwijl je naar de opslag vroeg.
• De rest van de route. Volgens de norm kan alleen de bedoelde ontvanger een bericht lezen. Check: vraag of ook externe mailservers waar het bericht langs komt de inhoud niet kunnen lezen. Valkuil: een leverancier die alleen zijn eigen servers beschrijft.

Komt de mail bij de juiste persoon aan?

• Adres controleren voor je verstuurt. Volgens de norm weet je wie een bericht verstuurt en wie het leest, en gaat er geen gezondheidsinformatie naar een adres dat niet is gecontroleerd. Check: leg vast hoe jullie een nieuw adres controleren, bijvoorbeeld met een telefoontje naar de ontvanger. Valkuil: een adres dat uit een oude mail wordt overgenomen.
• Afzender herkenbaar. Onze normpagina noemt voor afzenderidentificatie PKI-overheid-certificaten en het Zorg-e-mail-protocol. Check: vraag je leverancier hoe een ontvanger kan zien dat een bericht echt van jouw praktijk komt. Valkuil: een afzendernaam die iedereen kan intypen.
• Werkt het met andere leveranciers. Volgens NEN moeten berichten tussen producten van verschillende leveranciers die aan de norm voldoen zonder beperking kunnen worden verzonden, ontvangen en gelezen (NEN, geraadpleegd 12 oktober 2026). Check: stuur een testbericht naar een zorgpartner met een andere dienst en vraag wat die ziet. Valkuil: een dienst die alleen werkt tussen mensen die dezelfde dienst gebruiken.

Kun je laten zien wat er is verstuurd?

• Logging per bericht. Volgens de norm kun je laten zien wie wat wanneer verstuurde en ontving. Zonder logging heb je geen bewijs voor toezichthouder of auditor (onze normpagina). Check: vraag het logboek van vorige maand op en kijk of tijdstip, afzender en ontvanger erin staan. Valkuil: je merkt pas bij een vraag van een auditor dat er niets is vastgelegd.
• Bewaren en terugvinden. Dit is een controle van ons. Spreek af hoe lang je het logboek bewaart, wie erbij kan en hoe je er een bericht in terugvindt. Valkuil: een logboek waar alleen de leverancier bij kan.

Wat staat er op papier?

• Verwerkersovereenkomst. Een mailleverancier verwerkt gezondheidsgegevens voor jou. De AVG vraagt dan een overeenkomst waarin staat wat de verwerker mag doen (artikel 28 lid 3, EUR-Lex, geraadpleegd 12 oktober 2026). Check: lees de bijlagen met sub-verwerkers en maatregelen, en kijk waar je gegevens staan. Zie wat een verwerkersovereenkomst is en wat erin moet. Valkuil: akkoord klikken zonder de bijlagen te openen.
• Beschikbaarheid en back-ups. Volgens de norm komen berichten aan, ook als een systeem even hapert, en is de dienst aantoonbaar beschikbaar en betrouwbaar. Check: vraag of de afspraak over beschikbaarheid een garantie is of een streefwaarde, en hoe vaak back-ups worden gemaakt en teruggezet. Valkuil: een percentage in de SLA dat een streefwaarde blijkt te zijn.

Weet je team wat het moet doen?

• Afspraken in het team. Schrijf op welke berichten altijd via de beveiligde route gaan en wie het aanspreekpunt is. De AVG vraagt maatregelen die ervoor zorgen dat wie onder jouw gezag toegang heeft tot persoonsgegevens, die alleen op jouw instructie verwerkt (artikel 32 lid 4, EUR-Lex, geraadpleegd 12 oktober 2026). Check: vraag een collega welke berichten via de beveiligde route moeten. Valkuil: een regel die alleen in het hoofd van de praktijkmanager zit.
• Als het misgaat. Een bericht met gezondheidsgegevens naar het verkeerde adres kan een inbreuk in verband met persoonsgegevens zijn (artikel 4 punt 12). De verwerkingsverantwoordelijke meldt die zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur na kennisname bij de toezichthouder, tenzij een risico niet waarschijnlijk is (artikel 33 lid 1, zelfde bron). Check: weet iedereen wie dat meldt en hoe? Valkuil: een verkeerd verzonden bericht een week laten liggen.

Waar Noveu staat, per maatregel

Noveu Werkplek brengt je mail, agenda en bestanden samen onder één login. Op onze NTA 7516-pagina lees je welke technische maatregelen Noveu toepast.

• Mailverkeer op Europese infrastructuur: je e-mail draait op onze eigen mailserver bij Hetzner in Falkenstein (Duitsland), en de back-ups staan in datzelfde Hetzner-datacenter. Cloudflare (VS) zit aan de rand van het netwerk.
• Versleuteld transport: verkeer naar Noveu is versleuteld met TLS 1.2 of 1.3.
• Inloggen: één Noveu-login via OpenID Connect, met TOTP en passkeys.
• De back-ups zijn versleuteld.
• Transparantie: alle sub-verwerkers staan publiek op /juridisch/sub-verwerkers.

Voor je eigen audit leveren we technische en organisatorische bewijsstukken op aanvraag. Wie de norm certificeert en wat een keurmerk wel en niet regelt, lees je op de pagina over de norm en wie certificeert. Hoe een kleine praktijk dit aanpakt, staat in veilig mailen in de huisartsenpraktijk. Wat Noveu Werkplek kost, zie je op de prijzenpagina.