Vraag 1 | Bestaat de NTA7516 norm nog wel? |
Antwoord 1 | - De norm NTA 7516 bestaat nog steeds en de technische vereisten blijven van kracht, maar de certificering door NEN is ingetrokken omdat deze niet altijd op de juiste manier werd verleend. Organisaties die persoonlijke gezondheidsinformatie via e-mail of chat versturen, moeten nog steeds voldoen aan de eisen van de norm.
- Er wordt gewerkt aan een opvolger, NEN 7516, die de NTA 7516 zal vervangen. Publicatie hiervan staat gepland voor eind 2025 of begin 2026.
|
Vraag 2 | De NTA7516 norm is verouderd. In dat licht zijn wij benieuwd welke waarde de regio Alkmaar hecht aan een leveranciersverklaring gebaseerd op een norm die verouderd is. |
Antwoord 2 | - Het is naast de technisch richtlijnen ook belangrijk dat aanbieders zelf de organisatorische maatregelen borgen om veilig te mailen. Daar biedt de NTA7516 handvatten voor.
- Doordat de certificering voor NTA7516 is ingetrokken, zijn leveranciers en zorgorganisaties zelf verantwoordelijk voor het aantonen en toetsen van de NTA7516. De NTA7516 is gratis te downloaden op www.nen.nl. De VNG-informatiebeveiligingsdienst en KNMP hebben een handreiking opgesteld.
|
Vraag 3 | Jullie geven aan dat aanbieders de zelfverklaring dienen te publiceren. Kunnen jullie hier meer uitleg over geven? |
Antwoord 3 | - Omdat er momenteel geen officiële certificeringsschema is voor NTA 7516 (de eerdere certificering is ingetrokken), fungeert de zelfverklaring als een alternatief bewijs van naleving. Publicatie maakt het mogelijk voor derden om dit bewijs te verifiëren. Een goede zelfverklaring bevat onder andere:
- Verklaring van naleving van de tien uitgangspunten van NTA 7516
- Bewijsvoering (zoals audits, trainingen, contracten met leveranciers)
- Ondertekening door een bevoegd persoon
- Er is geen centrale verplichting om de verklaring op een specifieke plek te publiceren, maar gebruikelijke manieren zijn:
- Op de website van de organisatie (bijvoorbeeld onder “privacy” of “veilig mailen”)
- Via communicatie met ketenpartners
- Op aanvraag beschikbaar stellen aan toezichthouders
- Vraag uw veiligmail leverancier om advies bij het opstellen van de zelfverklaring
|
Vraag 4 | Onze veiligmail leverancier heeft een functie genaamd ‘Vertrouwde ontvanger’ waarmee ze precies dezelfde flow/proces kunnen garanderen als NTA7516. De functie voldoet niet helemaal aan de NTA 7516 specificatie. Is de functie ‘Vertrouwde ontvanger’ toch voldoende en wordt deze door de regio Alkmaar geaccepteerd? |
Antwoord 4 | - Nee, de functie ‘Vertrouwde ontvanger’ wordt door de regio Alkmaar niet geaccepteerd.
- De functie ‘Vertrouwde Ontvanger’ kan technisch gezien vergelijkbare functionaliteit bieden, maar voldoet niet aan de volledige specificatie zoals vastgelegd in de NTA 7516.
- Om interoperabiliteit te waarborgen en risico’s bij gegevensuitwisseling te beperken, hanteert de regio Alkmaar de eisen uit de NTA7516 als toetsingskader. Dit stelt ons in staat om onafhankelijk van leveranciers te communiceren met andere partijen die ook veilige mailoplossingen gebruiken. Een oplossing en organisatie die hier niet aantoonbaar aan voldoet, vormt een belemmering voor die interoperabiliteit.
|
Vraag 5 | Wat wij van de eerdere mails begrijpen is dat wij ook een emailadres moeten hebben waar veilig heen gestuurd kan worden. Kunt u mij aangegeven hoe dit precies zit? In uw mail wordt aangegeven dat beide partijen een beveiligd systeem moeten hebben. |
Antwoord 5 | - De norm stelt dat beide partijen — verzender én ontvanger — gebruik moeten maken van een systeem dat voldoet aan de eisen van de NTA 7516. Dit is noodzakelijk om interoperabele communicatie mogelijk te maken: het veilig kunnen verzenden én ontvangen van berichten tussen verschillende systemen. Voldoet één van de twee partijen niet aan de vereisten dan kan er niet interoperable gecommuniceerd. Dus zonder noodzaak voor Tweestapsverificatie c.q. 2-Factor Authentication.
|
Vraag 6 | In het huidige contract is de NTA7516 niet als eis gesteld. Kunt u uitleggen waarom er nu een aanvullende gesteld wordt? |
Antwoord 6 | - Organisaties die persoonsgegevens uitwisselen, zoals zorginstellingen, gemeenten en arbodiensten, moeten voldoen aan de principes van NTA7516.
- De norm is o.a. gebaseerd op de AVG. Dit betekent dat het niet direct een wet is, maar wel voortvloeit uit wetten die het beveiligen van persoonsgegevens en medische informatie verplichten.
- De regio Alkmaar stelt dus geen aanvullende eisen, maar geeft invulling aan de eisen die in landelijke wetgeving wordt gesteld.
|
Vraag 7 | Wat kost volgens deze norm veilig mailen? En wie gaat dat betalen? |
| - De kosten voor veilig mailen conform de eisen van NTA7516 zijn afhankelijk van de gekozen leverancier, het aantal gebruikers en de gewenste functionaliteiten.
- De kosten voor implementatie en gebruik van een veilige mailoplossing conform NTA7516 worden gedragen door de organisatie die de oplossing afneemt.
- Zorgaanbieders, gemeenten en/of andere betrokken partijen zijn zelf verantwoordelijk voor een oplossing om op een veilige manier met persoonlijke gezondheidsgegevens te communiceren.
|
