Mailflow-gids: veilig e-mailen in de zorg

Overzicht

Deze gids laat zien hoe een veilige mailflow in de zorg technisch loopt: van afzender via de mailserver naar de ontvanger, met de maatregelen en logging per fase. De eisen komen uit NTA 7516, de Nederlandse Technische Afspraak van NEN voor het veilig uitwisselen van gezondheidsinformatie per e-mail en chat.

Noveu heeft geen NTA 7516-certificaat en geen keurmerk. Wat de norm vraagt, wie certificeert en de actuele status per maatregel bij Noveu lees je op NTA 7516: wat de norm vraagt en hoe Noveu ervoor staat.

Toepassingsgebied

Invoering van NTA 7516 is volgens NEN (nog) niet verplicht. De norm is gebaseerd op de AVG en eIDAS, en die gelden wel. De norm is bedoeld voor wie gezondheidsinformatie per e-mail of chat uitwisselt, zoals:

• Ziekenhuizen en zorginstellingen
• Huisartsen en specialisten
• Apotheken
• Zorgverzekeraars
• Elke partij die patiëntgegevens uitwisselt

Kernprincipes

1. Vertrouwelijkheid

Eisen:

• Onbevoegden kunnen niet bij versleutelde berichten of bij de sleutels
• Toegang alleen voor geautoriseerde ontvangers
• Geen onbevoegde toegang tijdens transport

Stand bij Noveu:

• Afgedwongen TLS voor transport (beschikbaar)
• S/MIME end-to-end-encryptie (in ontwerp)
• Versleuteld bewaren van opgeslagen gegevens: nog niet; opgeslagen mail staat op schijven die nog niet versleuteld zijn, een datum daarvoor geven we nog niet

2. Integriteit

Eisen:

• Berichten mogen niet ongemerkt gewijzigd worden
• Digitale handtekeningen waar vereist

Stand bij Noveu:

• Digitale handtekeningen met S/MIME (in ontwerp)
• Afzenderidentificatie met PKI-overheid-certificaten (in ontwerp)
• Auditlogging per bericht (gepland)

3. Beschikbaarheid

Eisen:

• Berichten moeten tijdig aankomen
• Systemen moeten betrouwbaar functioneren

Stand bij Noveu:

• Beschikbaarheid volgt de SLA op noveu.eu/legal/sla: 99,5% per maand als streefwaarde, zonder garantie
• Back-ups in het Hetzner-datacenter in Falkenstein (Duitsland), op een aparte schijf en VM
• Elke nacht een versleutelde kopie van de databases en de mail in aparte objectopslag bij Hetzner, buiten deze server en ook in Falkenstein

4. Controleerbaarheid

Eisen:

• Complete audit trail van berichtenverkeer
• Logging van toegang en acties

Stand bij Noveu (gepland, zie de status per maatregel op /nta-7516):

• Auditlog per organisatie met hashketen, te exporteren als CSV
• Een bewaartermijn voor de zorgsector is nog niet vastgesteld
• Centrale logging (gepland)

Mailflow Architectuur

Het schema toont de doelarchitectuur. Back-ups worden sinds 30 september 2026 versleuteld opgeslagen. Opgeslagen mail staat op schijven die nog niet versleuteld zijn; een datum daarvoor geven we nog niet.

┌──────────────┐     TLS 1.3      ┌──────────────┐
│   Zender     │ ───────────────► │ Noveu Mail   │
│   (Zorg A)   │                  │   Gateway    │
└──────────────┘                  └──────┬───────┘
                                         │
                                         │ Encryptie (gepland)
                                         │ Logging
                                         │ Policy check
                                         ▼
                                  ┌──────────────┐
                                  │ Secure Mail  │
                                  │   Store      │
                                  └──────┬───────┘
                                         │
                                         │ TLS 1.3
                                         ▼
┌──────────────┐     Pull/Push    ┌──────────────┐
│   Ontvanger  │ ◄─────────────── │ Delivery     │
│   (Zorg B)   │                  │ Service      │
└──────────────┘                  └──────────────┘

Veiligheidsmaatregelen per Fase

De tabellen hieronder beschrijven de doelarchitectuur van een veilige mailflow, niet de stand van vandaag. Wat Noveu nu al biedt, staat per maatregel op /nta-7516.

Verzending

Fase	Maatregel	Verificatie
Authenticatie	MFA + certificaat	Auth logs
Autorisatie	RBAC controle	Access logs
Classificatie	Automatische labeling	Policy logs
Encryptie	TLS; S/MIME in ontwerp	Certificate chain

Transport

Fase	Maatregel	Verificatie
Routing	Kernverwerking in de EU op eigen mailinfrastructuur; Cloudflare (VS) aan de rand voor DNS	Network logs
Inspectie	DLP en malware scan	Scan logs
Buffering	Nog niet versleuteld at rest; een datum daarvoor geven we nog niet	Storage audit

Ontvangst

Fase	Maatregel	Verificatie
Decryptie	TLS eindigt op de eigen mailserver; de sleutels staan afgeschermd op die server, een HSM gebruiken we niet	Serverconfiguratie
Levering	Secure channel	Delivery receipts
Bevestiging	Read receipts	Notification logs

Logging Vereisten

Minimum Logvelden

{
  "timestamp": "2026-01-15T10:30:00Z",
  "messageId": "msg-uuid-123",
  "sender": "arts@ziekenhuis-a.nl",
  "recipient": "specialist@kliniek-b.nl",
  "action": "DELIVERED",
  "encryptionLevel": "TLS",
  "sourceIP": "10.0.0.1",
  "userAgent": "Outlook/365",
  "classification": "MEDISCH_VERTROUWELIJK"
}

Retentie

Type	Retentie	Reden
Transport logs	2 jaar	Operationeel
Access logs	Nog niet vastgesteld	Wettelijk (zorg)
Content metadata	Nog niet vastgesteld	Dossiervorming
Berichtinhoud	Configureerbaar	Organisatie beleid

Compliance Checklist

Technisch

• TLS 1.3 geactiveerd
• S/MIME- of PGP-certificaten uitgerold (bij Noveu: S/MIME in ontwerp, PGP nog niet beschikbaar)
• DLP policies geconfigureerd
• Audit logging actief
• Backup en recovery getest

Organisatorisch

• Verwerkersovereenkomst met Noveu
• Privacy-by-design assessment
• Personeel getraind op veilig mailgebruik
• Incident response plan voor datalekken

Audit

• Jaarlijkse externe audit
• Penetration test op mailinfrastructuur
• Log review door security team

Noveu Ondersteuning

Service	Beschrijving
Setup	Configuratie van veilige mailflow
Training	Gebruikerstraining veilig mailen
Audit support	Bewijsverzameling en rapportage
Incident response	Melden via een ticket in het klantportaal of support@noveu.eu; reactie volgens de SLA

---

Laatste wijziging (22-10-2026): de stand van de back-ups volgt de meting van 22-10-2026: elke nacht gaat een versleutelde kopie van de databases en de mail naar aparte objectopslag bij Hetzner, buiten deze server en ook in Falkenstein; de oudere zin over een kopie die nog moest komen, is weg. Eerder (14-10-2026): opgeslagen mail staat op schijven die nog niet versleuteld zijn en we geven daarvoor geen datum meer; de stand van de back-ups blijft de meting van 30-09-2026. De eis onder Vertrouwelijkheid is in eigen woorden herschreven (bron: KNMP-handreiking Veilig mailen, deel 2, paragrafen 6.1.9 en 6.1.11, geraadpleegd 14-10-2026). Eerder (07-10-2026): de back-ups staan als versleuteld sinds 30-09-2026, volgens de gemeten stand; versleuteling van overige opslag at rest staat als "wordt ingevoerd (gepland oktober 2026)". Eerder: de stand per principe volgt de status op /nta-7516, NTA 7516 staat als niet verplicht (bron NEN). Eerder: de decryptie-rij noemt de werkelijke stand, zonder HSM; beschikbaarheid en incidentrespons volgen de ene SLA op /legal/sla, zonder belofte van support dag en nacht.
Gebaseerd op de eisen uit NTA 7516:2019 en de AVG. Dit is geen verklaring dat Noveu aan de norm voldoet.