De grote verschillen tussen NTA 7516 certificeringen van leveranciers uitgelegd

Inmiddels zijn er diverse leveranciers voor veilig mailen gecertificeerd op de NTA 7516. Echter, hier zitten een aantal haken en ogen aan. De ene certificering is de ander niet. Sterker nog, er zitten grote verschillen in de NTA 7516 certificering tussen leveranciers onderling. De hamvraag is dan ook: 'Weet je zeker dat jouw organisatie voldoende gedekt is met de certificering van jouw huidige leverancier?'

De NTA 7516 beschrijft 29 eisen waar organisaties die persoonlijke gezondheidsinformatie uitwisselen aan moeten voldoen. Denk aan ziekenhuizen, huisartsen, gemeenten, overheidsinstanties, maar bijvoorbeeld ook arbo- en onderzoeksbureaus en verzekeraars. Een groot deel (ca. 24) van de eisen zijn technisch van aard, de rest beleidsmatig.

Het is de verantwoordelijkheid van elke organisatie die persoonlijke gezondheidsinformatie verwerkt om aan alle eisen te voldoen, niet van de leverancier. De leverancier kan kiezen op welke onderdelen en voor welke applicaties deze zich laat certificeren. De organisatie moet vervolgens met hulp van één of meerdere softwareleveranciers zorgen dat ze aan alle eisen voldoen.

In dit artikel lichten we voorbeelden van de Gemeente Woerden, Nationale-Nederlanden, GGZ Friesland en Buurtzorg.

Leeswijzer: 

1. Analyse: verschillen per leverancier zorgen voor onduidelijkheid 
2. Belang: summiere certificeringen jagen organisaties op kosten 
3. Actieplan: wat te doen als mijn gecertificeerde leverancier mij niet kan helpen op alle technische punten van de NTA 7516 te voldoen
4. Verschillen uitgelegd: wat de cruciale missende functionaliteiten zijn
5. Ervaringsverhalen: NTA 7516 compliant en interoperabel werken

Grote verschillen per leverancier zorgen voor onduidelijkheid 

Waar een organisatie aan alle eisen van de NTA 7516 moet voldoen om compliant te zijn, kan een leverancier (zoals Zivver of ZorgMail) kiezen op welke punten hij zich laat certificeren. Zo kan een leverancier er bijvoorbeeld voor kiezen om zich helemaal niet te laten certificeren op een bepaalde eis en voor een andere eis slechts een beperkte prestatie te garanderen. 

Daarnaast zeggen die ‘vinkjes’ alleen maar dat een leverancier is gecertificeerd en niet dat jouw organisatie met deze leverancier ook kan voldoen aan de NTA 7516 met de door jou gewenste applicaties en infrastructuur. Zo kan een leverancier op alle onderdelen gecertificeerd zijn, maar dan van jou verwachten dat je al je medewerkers voortaan laat mailen met hun eigen e-mailclient (bijvoorbeeld Zimbra) en dat je niet meer kunt werken op een mobiele telefoon en niet meer kunt werken met functionele mailboxen (zoals team@).

Als je bijvoorbeeld Gmail wilt blijven gebruiken en je gebruikers via een mobiele telefoon wilt laten e-mailen, of je direct vanuit je EPD, ECD, of Zaaksysteem wilt laten mailen, dan moet je daarvoor zelf veel, vaak kostbare en ingewikkelde, aanvullende maatregelen nemen. 

Aanzienlijk deel van de organisaties die claimen aan de NTA 7516 te voldoen, blijken dit in de praktijk helemaal niet te doen

Twijfels over de NTA 7516 compliance van jouw organisatie en/of de onduidelijkheid over de certificering van jouw leverancier? We helpen je graag op weg. Download gratis onze uitgebreide NTA 7516 checklist.

Organisaties worden op kosten gejaagd door summiere NTA 7516 certificering leveranciers

Op die onbedoelde onduidelijkheid zit geen enkele organisatie te wachten. Dit zorgt er voor dat enerzijds nog slechts weinig organisaties voldoen aan de NTA 7516. Als bijvoorbeeld de eerstelijnsorganisatie duizenden euro’s moet investeren ‘Door personen geïnitieerde communicatie’ (eis 6.5 uit de NTA 7516) omdat je leverancier dit niet biedt, dan snap je dat weinigen dat zullen doen.

Anderzijds blijkt een aanzienlijk deel van de organisaties die claimen aan de NTA 7516 te voldoen, dit in de praktijk helemaal niet te doen, bijvoorbeeld omdat ze eerder genoemde ‘Door personen geïnitieerde communicatie’ niet bieden, de toegang tot hun e-mailomgeving nog helemaal niet met 2-factor authenticatie te hebben beveiligd, of vrijwel alle mails met persoonlijke gezondheidsinformatie nog ‘gewoon onveilig’ of in ieder geval niet met de juiste beveiliging versturen. Dit is niet altijd de ‘schuld’ van de organisatie zelf, vaak zijn organisaties in de veronderstelling dat ze compliant zijn met hun softwareleverancier.

Het is simpelweg niet helder dat ze hier niet aan voldoen met hun huidige oplossing voor veilig mailen. Dat NTA 7516 gaat niet over leveranciers, maar over de verantwoordelijkheden van de organisatie om veilig met gevoelige informatie om te gaan. Ruim twee jaar na de inwerking treden van de NTA 7516, is het einddoel, dat gevoelige informatie van/en over patiënten, cliënten, burgers en medewerkers makkelijk én veilig wordt gedeeld, nog niet bereikt. 

Zivver is de enige NTA 7516 gecertificeerde leverancier die aan alle technische punten waar een leverancier zich voor kan laten certificeren voldoet

Alvin de Bock, Security Consultant, Nationale-Nederlanden (NN) is het daar roerend mee eens. Organisaties willen dat het stukje compliance goed geregeld is, het is al complex genoeg. “Het veilig verwerken van persoonsgegevens anno 2021 moet immers volgens wet- en regelgeving om privacy van onze klanten en prospects te waarborgen. Denk hierbij aan bepalingen uit de Algemene Verordening Gegevensbescherming (AVG), de NTA 7516 normering voor het delen van medische gegevens en de Gedragscode Verwerking Persoonsgegevens Verzekeraars. De complexiteit van ons vak in combinatie met wetgeving én digitalisering maken het uitdagend om snel stappen te zetten op het gebied van digitale communicatie.” Een leverancier zou daarom een groot gedeelte uit handen moeten nemen.   

Nico Sijrier, ICT Architect bij de Gemeente Woerden vult de Bock aan: “De keuze voor Zivver was snel gemaakt want de software heeft de meest complete NTA 7516 certificering in de markt. Het team van Zivver helpt ons ook nog eens om gemakkelijk aan de niet-technische randvoorwaarden van de norm te voldoen.”

Zivver is de enige NTA 7516 gecertificeerde leverancier die op alle technische punten waar een leverancier zich voor kan laten certificeren voldoet, wat inhoudt dat Zivver alle benodigde technische en functionele vereisten levert om jou als organisatie aan de NTA 7516 te kunnen laten voldoen. De beleidsmatige zaken die resten moeten organisaties zelf organiseren, maar ook hierin biedt Zivver verregaande ondersteuning en ontzorging.

De Bock: “Aandacht voor het waarborgen van de privacy van de klant en dus de daarbij behorende beveiligingsmaatregelen zijn erg belangrijk. Als je de klant centraal wilt zetten, moet je zorgen dat je volgens wet- en regelgeving communiceert mijn diezelfde klant. Met Zivver is het stukje compliance geregeld.”

Pas als aan alle eisen (technisch en beleidsmatig) wordt voldaan, is een organisatie NTA 7516 compliant, en kan ook pas dan gebruik maken van interoperabiliteit

Wat als mijn gecertificeerde leverancier mij niet kan helpen op alle technische punten van de NTA 7516 te voldoen? 

In veel gevallen is de gecertificeerde leverancier waar een organisatie mee werkt slechts voor een select gedeelte van de punten gecertificeerd of biedt deze geen ondersteuning om te werken met de applicaties of infrastructuur waar de organisatie mee wil werken. In dat geval moet de organisatie dus zelf investeren in extra maatregelen en/of samenwerkingen met meerdere leveranciers tegelijkertijd aangaan om de gaten te dichten. Het is immers de verantwoordelijkheid van de organisatie om aan alle eisen van de NTA 7516 te voldoen. Dit kost in veel gevallen extra financiële investeringen, veel tijd en bovendien kunnen er fouten en discussies ontstaan als met meerdere leveranciers één probleem wordt opgelost.  

Pas als aan alle eisen (technisch en beleidsmatig) wordt voldaan, is een organisatie NTA 7516 compliant, en kan ook pas dan gebruik maken van interoperabiliteit. Dit laatste maakt veilige communicatie met ketenpartners die een andere oplossing voor veilig email gebruiken (en aan de NTA 7516 voldoen) gebruiksvriendelijker en eenvoudiger en is een belangrijk doel (en voordeel!) van de NTA 7516. Lees verder voor belangrijke functionaliteiten die andere leveranciers missen, en waar organisaties dus zelf aanvullende maatregelen voor moeten nemen. 

Wat zijn de missende NTA 7516 functionaliteiten bij andere leveranciers? 

Onderstaand tref je een aantal voorbeelden van functionaliteiten die benodigd zijn voor NTA 7516 compliance, maar door veel leveranciers niet worden geboden. Zivver biedt al deze zaken wel en onderscheidt zich hiermee in de markt.

• Ontbreken van ondersteuning voor het veilig werken vanuit functionele mailboxen (info@, team@, secretariaat@), waarbij toegang tot deze mailboxen alleen mogelijk is na authenticatie met je persoonlijke account (eist 6.1.7 uit de NTA 7516). De consequentie is dat je geen gebruik kan maken van dergelijke mailboxen, moet overstappen van leverancier, of je niet aan de NTA 7516 voldoet.
• Ontbreken van een functionaliteit om derden op eigen initiatief en op veilige wijze contact op te laten nemen met de organisatie (‘Door personen geïnitieerde communicatie’ (eis 6.5 uit de NTA 7516); De consequentie is dat je dergelijke functionaliteit door een (andere) leverancier moet ontwikkelingen of je niet aan de NTA 7516 voldoet.
• Niet zorgen dat ontvangers geen account hoeven te hebben/maken om veilige mails te openen; De consequentie is dat je moet overstappen van leverancier of je niet aan de NTA 7516 voldoet (eis 6.1.14 uit de NTA 7516).
• Ontbreken van de mogelijkheid om te werken volgens het security by design principe wat door de NTA 7516 wordt vereist in eis 6.1.17 (bijv. geen standaard identieke popup bij iedere nieuw te versturen email). 
• Ontbreken van functionaliteit waarmee medewerkers voor het verzenden kunnen weten of de ontvanger NTA-compliant is en/of er aanvullende veiligheidsmaatregelen (bijv. ingeven 06-nummer van ontvanger) moeten worden genomen. De consequentie is dat je of van je medewerkers moet verlangen bij elke mail een 06-nummer in te stellen, je veel ‘bounce’-e-mailtjes krijgt, of je informatie dus vaak onveilig verstuurd.; 
• Ontbreken van benodigde logging t.b.v. inzicht in gebeurtenissen en incidenten (eis 6.4.2 uit de NTA 7516). Vrijwel alle leveranciers missen verplichte en essentiele loggong om bij een datalek echt te kunnen vaststellen wat is gebeurd en of de organisatie echt voldaan heeft aan de NTA 7516, bv tbv authenticatie van medewerkers en ontvangers). Gevolg is dus dat je, in geval van een datalek en/of controle door IGJ of AP, niet kan aantonen dat je echt veilig hebt gewerkt en daarmee dus niet voldoet aan de NTA 7516.

Kortom, een analyse laat zien dat hetgeen een groot deel van de weliswaar gecertificeerde leveranciers aanbiedt tekort schiet op diverse vereisten die wel nodig zijn om als organisatie te voldoen aan de NTA 7516. 

Twijfels over de NTA 7516 compliance van jouw organisatie en/of de onduidelijkheid over de certificering van jouw leverancier? We helpen je graag op weg. Download gratis onze uitgebreide NTA 7516 checklist. 

Ervaringsverhalen: als organisatie kan je niet om de voordelen van interoperabiliteit heen

Het voordeel van interoperabiliteit was voor landelijke zorgorganisatie Buurtzorg een van de voornaamste reden om veilige communicatie te centraliseren. Danielle Gerard, Projectleider: “Omdat wij een landelijk werkende organisatie zijn, hadden we te maken met veel verschillende vormen en aanbieders van veilige mailsystemen met allerlei werkwijzen, geen functionaliteit voor veilig gebruik van functionele mailboxen, diverse inlogmethode, ga zo maar door. Dit werkt natuurlijk erg onhandig en uitte zich in frustratie, werknemers waren extra tijd kwijt met het versturen van privacygevoelige informatie. Daarbij waren sommige systemen simpelweg te ingewikkeld en niet altijd veilig genoeg.” 

Hielko Ophoff, Manager Informatiemanagement bij GGZ Friesland vindt interoperabiliteit ook zeer belangrijk. Hij stelt: “Om te zorgen dat het beveiligen van digitale communicatie geen blok aan ons been wordt, selecteerden we Zivver. Zivver is een betrouwbare oplossing die technologisch bijblijft, goede ondersteuning biedt en de software kwam als meest gebruiksvriendelijk uit de bus. Dit is niet alleen handig voor onszelf en onze medewerkers, maar ook voor communicatie met externen. Waarom? De software communiceert interoperabel, en dus makkelijk met andere systemen en vermindert het aantal extra handelingen voor het beveiligen van externe communicatie.”

“De NTA 7516 norm verplicht interoperabiliteit, dus zou het geen verschil moeten maken voor ontvangers of je met Zivver of een andere leverancier werkt. Dan is het als organisatie slim om te kijken naar een oplossing die automatische detectie van persoonsgegevens biedt, automatisch een adresboek opbouwt en als gebruiksvriendelijk wordt ervaren”, aldus Ophoff van GGZ Friesland.

Gérard van Buurtzorg haakt in op die additionele functionaliteiten en besluit: “Zivver is bovendien gewoon een eenvoudig systeem. De signalerende functie die onze medewerkers alerts geeft is voor ons erg belangrijk en draagt bij aan bewustwording. Het grote voordeel van Zivver is dat de ontvanger van Zivver berichten geen gebruiker van Zivver hoeft te zijn. Zo kunnen we ook makkelijk met organisaties buiten Buurtzorg communiceren - en de tijd besteden aan het verlenen van zorg.”