Mailflow-gids: veilig e-mailen in de zorg

Overzicht

Deze gids laat zien hoe een veilige mailflow in de zorg technisch loopt: van afzender via de mailserver naar de ontvanger, met de maatregelen en logging per fase. De eisen komen uit NTA 7516, de Nederlandse Technische Afspraak van NEN voor het veilig uitwisselen van gezondheidsinformatie per e-mail en chat.

Wat de norm vraagt, wie certificeert en welke technische maatregelen Noveu toepast, lees je op onze pagina over NTA 7516.

Toepassingsgebied

Invoering van NTA 7516 is volgens NEN (nog) niet verplicht. De norm is gebaseerd op de AVG en eIDAS, en die gelden wel. De norm is bedoeld voor wie gezondheidsinformatie per e-mail of chat uitwisselt, zoals:

• Ziekenhuizen en zorginstellingen
• Huisartsen en specialisten
• Apotheken
• Zorgverzekeraars
• Elke partij die patiëntgegevens uitwisselt

Kernprincipes

1. Vertrouwelijkheid

Eisen:

• Onbevoegden kunnen niet bij versleutelde berichten of bij de sleutels
• Toegang alleen voor geautoriseerde ontvangers
• Geen onbevoegde toegang tijdens transport

Stand bij Noveu:

• Afgedwongen TLS voor transport (beschikbaar)

2. Integriteit

Eisen:

• Berichten mogen niet ongemerkt gewijzigd worden
• Digitale handtekeningen waar vereist

3. Beschikbaarheid

Eisen:

• Berichten moeten tijdig aankomen
• Systemen moeten betrouwbaar functioneren

Stand bij Noveu:

• Beschikbaarheid volgt de SLA op noveu.eu/legal/sla: 99,5% per maand als streefwaarde
• Back-ups in het Hetzner-datacenter in Falkenstein (Duitsland), op een aparte schijf en VM
• Elke nacht een versleutelde kopie van de databases en de mail in aparte objectopslag bij Hetzner, buiten deze server en ook in Falkenstein

4. Controleerbaarheid

Eisen:

• Complete audit trail van berichtenverkeer
• Logging van toegang en acties

Bij Noveu:

• Auditlog per organisatie met hashketen, te exporteren als CSV

Je eigen logging inrichten

Gebruik de volgende velden en checklist om logging met je leverancier en binnen je organisatie af te spreken.

Minimum Logvelden

{
  "timestamp": "2026-01-15T10:30:00Z",
  "messageId": "msg-uuid-123",
  "sender": "arts@ziekenhuis-a.nl",
  "recipient": "specialist@kliniek-b.nl",
  "action": "DELIVERED",
  "encryptionLevel": "TLS",
  "sourceIP": "10.0.0.1",
  "userAgent": "Outlook/365",
  "classification": "MEDISCH_VERTROUWELIJK"
}

Retentie

Leg per soort log en per soort berichtinhoud vast hoe lang je die bewaart, wie erbij kan en wat je organisatiebeleid daarvoor voorschrijft.

Compliance Checklist

Technisch

• TLS 1.3 geactiveerd
• S/MIME- of PGP-certificaten uitgerold
• DLP policies geconfigureerd
• Audit logging actief
• Backup en recovery getest

Organisatorisch

• Verwerkersovereenkomst met je leverancier
• Privacy-by-design assessment
• Personeel getraind op veilig mailgebruik
• Incident response plan voor datalekken

Audit

• Jaarlijkse externe audit
• Penetration test op mailinfrastructuur
• Log review door security team

Noveu Ondersteuning

Technische en organisatorische bewijsstukken ontvang je op aanvraag. Voor een vraag of incident open je een ticket in het klantportaal of mail je support@noveu.eu. Reactietijden staan in de SLA.