Zivver helpt jouw organisatie te voldoen aan de eisen van de NTA waar een leverancier als Zivver een rol bij kan spelen. In juni 2020 verleende NEN de certificatie tegen NTA 7516 aan Zivver, als eerste leverancier. Voor meer informatie over het toetsingsschema zie Register NTA 7516 van NEN.

Het voldoen aan de NTA is echter een eis aan organisaties en vraagt meer dan een leverancier selecteren. Hieronder geeft Zivver een overzicht van de zaken waar organisaties zelf nog voor verantwoordelijk voor zijn, alvorens gesteld kan worden dat zij ‘voldoen aan de NTA 7516’. Een aantal van deze stappen vereisen configuratie van Zivver. Dit wordt bij elke stap aangegeven. Andere stappen vereisen organisatorische, beleidsmatige of technische aanpassingen buiten Zivver. Zivver raadt aan om eerst de webinar terug te kijken waarin de onderstaande stappen worden uitgelegd.

Let op dat deze eisen gelden in combinatie met het gebruik van Zivver. Bij gebruik van oplossingen die niet aan alle leverancierseisen voldoen dient de organisatie (veel) meer zaken zelf te regelen.

Wil je meer informatie over de inhoud van de NTA 7516? Kijk dan op Zivver’s website. Wil je ondersteuning bij het voldoen aan de eisen van de NTA 7516? Neem contact met Zivver op via customersuccess@zivver.com. Zivver vertelt je dan meer over de mogelijkheden hiervoor.

Vereiste acties

1. Beveilig toegang tot de e-mailomgeving met 2FA
2. Verstuur notificatieberichten namens het organisatie-domein (vereist configuratie Zivver)
3. Stel DMARC in voor de inkomende mailserver
4. Zorg dat opgeslagen e-mails niet in onbevoegde handen kunnen vallen
5. Waarborg dat authenticatiegegevens van ontvangende personen bekend en geverifieerd zijn
6. Voer ‘security by default’ in door veilige e-mail automatisch aan te zetten bij gevoelige informatie (vereist configuratie Zivver)
7. Stel beleid en regels op
8. Pas logging toe op berichten die via de reguliere mailserver verzonden en ontvangen worden
9. Richt een systeem in zodat personen op eigen initiatief veilig ad hoc berichten kunnen versturen aan je organisatie en maak dit breed bekend (vereist configuratie Zivver)
10. Beveilig het e-maildomein en de (inkomende) e-mailserver (met DANE of Trusted Certificate)
11. Richt een eenvoudige manier in om veilige berichten te archiveren (optioneel criterium) (vereist configuratie Zivver)
12. Voer een self assessment uit
13. Maak interoperabiliteit conform NTA 7516 kenbaar (vereist configuratie Zivver)

Beveilig toegang tot de e-mailomgeving met 2FA

Vereist voor NTA 7516 eis: 6.1.5, 6.1.7 en 6.1.10

De beveiliging van de toegang tot de e-mailomgeving met 2FA is vereist om twee redenen:

1. Er moet aangetoond worden dat de verzender daadwerkelijk de persoon is voor wie die persoon zich uitgeeft.
2. De NTA 7516 vereist dat de inhoud van ad-hoc-berichtenverkeer uitsluitend door de beoogde ontvanger kan worden gelezen en/of verwerkt.

Dit betekent in de praktijk dat toegang tot een mailbox vanaf elke cliënt (bijvoorbeeld Outlook vanaf de werkplek, een app vanaf mobiel of webmail vanaf thuis) alleen maar mogelijk mag zijn na inloggen met geverifieerde 2FA (dit staat gelijk aan niveau eIDAS substantieel). Toegang tot gevoelige informatie met alleen een wachtwoord mag dus niet mogelijk zijn.

Zivver adviseert om 2FA te implementeren op de werkplek, door werknemers te laten inloggen met een wachtwoord en bijvoorbeeld een token. Dit verkleint de kans dat onbevoegden toegang krijgen tot computers en gegevens van jouw organisatie. Als je SSO-diensten gebruikt, is 2FA op de werkplek eenvoudig schaalbaar. Je kan ook 2FA uitbreiden naar andere applicaties binnen de organisatie die 2FA vereisen, waaronder Zivver. Je kunt ook 2FA alleen toepassen op de mailbox om te voldoen aan deze eis. De meeste mailoplossingen zijn hier standaard geschikt voor (te maken).

Intern geldt mogelijk dat toegang tot het interne netwerk, of toegang tot de fysieke werkplek als tweede factor beschouwd kan worden. Let wel - dit is feitelijk geen beveiliging conform eIDAS substantieel, maar wordt mogelijk wel gedoogd.

Verstuur notificatieberichten namens het organisatie-domein

Vereist voor NTA 7516 eis: 6.1.7

Er moet gegarandeerd zijn dat de verzender de herkomst van een ad-hoc-bericht met persoonlijke gezondheidsgegevens niet kan ontkennen.

Zorg daarom dat binnen Zivver DKIM en SPF ingesteld zijn zodat Zivver namens het organisatie-domein notificatieberichten kan versturen (en niet vanuit noreply@zivver.com). Volg onderstaande stappen om te controleren of dit is ingesteld:

Stap 1: Ga naar de Zivver organisatie instellingen > DNS Settings.

Stap 2: Check per domein de DNS settings van jouw organisatie.

• Zie je een vinkje bij DKIM en SPF (zoals op onderstaande afbeelding)? Goed nieuws! Jouw organisatie heeft DKIM en SPF reeds ingesteld.
• Zo niet, ga dan door naar stap 3 om de juiste TXT records op te nemen in de DNS instellingen van je domeinnaam.

Stap 3 Log in op het portaal van jouw hostingprovider (registrar)

Stap 4 Creëer deze extra DNS records: - Voor DKIM - Voor SPF

Gebruik hiervoor de variabelen die je vindt onder Zivver Organisatie instellingen > DNS-instellingen, waarbij je klikt op het pijltje aan de rechterkant. Staat jouw domein er niet tussen? Voeg deze dan toe met de knop ‘domein toevoegen’.

Mocht je hier niet uitkomen dan kan je contact met Zivver opnemen via enterprise@zivver.com.

Tip: Weet je niet wie jouw hosting provider is? Ga naar https://www.sidn.nl/whois/ en zoek op jouw domeinnaam. Klik vervolgens op ‘toon mij de gegevens’ en kijk onder het kopje ‘Registrar’.

Let op: je dient ook gebruik te maken van e-mail adressen waarmee de afzender daadwerkelijk kan worden geïdentificeerd. Bijvoorbeeld: ‘Van: “piet@ziekenhuis.nl” is visueel herkenbaar, in ‘Van: 2kjrhaja@hjaahr.tr” is de afzender dat niet.

Stel DMARC in voor de inkomende mailserver

Vereist voor NTA 7516 eis: 6.1.7

Jouw eigen e-mailserver is verantwoordelijk voor de inkomende e-mail (‘Primaire MX’). Organisaties moeten DMARC op deze server zelf instellen om veiligheid voor inkomende mails te garanderen.

Controleer als volgt of DMARC juist is ingesteld:

Stap 1: Ga naar https://internet.nl/

Stap 2: Vul jouw domein(en) in onder ‘Test je e-mail’

Stap 3: Controleer de resultaten onder ‘Echtheidswaarmerken tegen phishing’

• Staan er vinkjes bij DMARC aanwezigheid en DMARC policy? Goed nieuws! Jouw organisatie heeft DMARC reeds ingesteld op de inkomende mailserver
• Zo niet: neem contact op met jouw mailserver aanbieder om de mogelijkheden te bespreken.

Zorg dat opgeslagen e-mails niet in onbevoegde handen kunnen vallen

Vereist voor NTA 7516 eis: 6.1.9, 6.1.13 en 7.2

Zorg ervoor dat uw opgeslagen berichten niet toegankelijk zijn voor onbevoegden (6.1.9, 7.2)

Het beveiligen van de e-mailserver waar berichten worden opgeslagen is een van de maatregelen die vereist is om interoperabiliteit tussen e-maildiensten mogelijk te maken. Toegang tot de opgeslagen ad-hoc-berichten door partijen die daartoe geen geldige grond hebben, moet onmogelijk zijn. De opgeslagen berichtgegevens moeten in het geval ze onverhoopt in handen van onbevoegden komen, onleesbaar zijn. Organisaties dienen te waarborgen dat:

• Berichten versleuteld opgeslagen worden op zowel de e-mailservers van de leveranciers als op de servers van de cliëntsoftware binnen de Europese Economische Ruimte (EER).
• Onbevoegden geen toegang hebben tot de data of de sleutels die toegang geven tot de informatie.
• Zij met alle leveranciers die betrokken zijn bij het verzenden en ontvangen van e-mail met persoonlijke gezondheidsinformatie een (verwerkers)overeenkomst hebben afgesloten.

Voor alle berichten die middels Zivver worden verstuurd en ontvangen is dit geregeld, maar veel organisaties gebruiken hun eigen e-mailserver voor opslag/archivering/journaling. Jouw organisatie dient zelf voor passende encryptie van de berichten te zorgen in onderstaande gevallen:

• Als de organisatie de eigen mailserver gebruikt voor inkomende NTA-e-mails dient de server passende versleuteling te hebben.
• Als er een onversleutelde kopie van de Zivver-berichten wordt opgeslagen dient het lokale systeem en/of opslaglocatie van het gebruikersprofiel passende versleuteling te hebben.

Controleer bij jouw technisch en/of functioneel beheerder van de e-mailomgeving of de reguliere e-mailserver hier aan voldoet.

Zorg ervoor dat uw opgeslagen berichten niet buiten de Europese Economische Ruimte (EER) kunnen belanden (6.1.13)

Ad-hoc-berichtenverkeer mag niet in(een) non-compatibele jurisdictie(s) geraken. Dit betekent dat berichten die onder de verantwoordelijkheid van de organisatie vallen, opgeslagen dienen te zijn binnen de Europees Economische Ruimte (EER).

Ad-hoc-berichtenverkeer mag slechts in overeenstemming met de AVG de buitengrenzen van de Europese Economische Ruimte (EER) overschrijden.

• Voor het verzenden van ad-hoc-berichten voldoet jouw organisatie aan deze eis door te werken met Zivver.
• De eigen (inkomende) mailserver van de organisatie moet zich in de EER bevinden om ook aan deze eis te voldoen voor het ontvangen van ad-hoc-berichten.
  • Maak je gebruik van een on-premise mailserver, dan is dit waarschijnlijk wel geborgd.
  • Maak je gebruik van een cloud-e-maildienst, zorg dan dat je gebruik maakt van een dienst die garandeert dat data alleen binnen de Europese Economische Ruimte (EER) wordt opgeslagen.
  • Controleer dit bij twijfel bij jouw aanbieder.
• Organisatie dient ervoor te zorgen dat als ad-hoc-berichtenverkeer de buitengrenzen van de EER overschrijd, dat dit in overeenstemming met de AVG gebeurt. Overleg bij twijfel met de FG van jouw organisatie.

Waarborg dat authenticatiegegevens van ontvangende personen bekend en geverifieerd zijn

Vereist voor NTA 7516 eis: 6.1.10

De NTA 7516 vereist dat de inhoud van ad-hoc-berichtenverkeer uitsluitend door de beoogde ontvanger kan worden gelezen en/of verwerkt, door het toepassen van een authenticatiemiddel met het juiste betrouwbaarheidsniveau. Verstuurde e-mails met persoonlijke gezondheidsinformatie voor ontvangers die niet voldoen aan de NTA, mogen alleen maar toegankelijk zijn nadat de ontvanger zich heeft geauthenticeerd met 2FA van het niveau ‘substantieel’, bijvoorbeeld via een SMS naar een geverifieerd telefoonnummer. Dit is om te verifiëren dat de ontvanger werkelijk de beoogde persoon is. Als organisatie moet je daarnaast beleid opstellen dat daar waar mogelijk de authenticatiegegevens van ontvangers beschikbaar en geverifieerd zijn.

Zivver biedt verschillende methodes om de ontvangende persoon te verifiëren middels 2FA. Vooralsnog voldoet alleen de (geverifieerde) SMS-code aan de gestelde eisen van de NTA. Zivver raadt aan om in alle interne en externe communicatie het belang van 2FA te communiceren. Geef daarnaast medewerkers de juiste handvatten om altijd de juiste keuze in ontvangerscontrole te maken en daarmee het juiste betrouwbaarheidsniveau te realiseren.

Om dit te vergemakkelijken, raadt Zivver aan om gebruik te maken van de gedeelde ontvangerscontrole. Hiermee kunnen standaard verificatiemethodes voor ontvangers worden beheerd op organisatieniveau. Gebruikers binnen jouw organisatie maken automatisch gebruik van de verificatiemethodes in deze lijst. Lees hier hoe je dit instelt.

Authenticeren met een betrouwbaarheidsniveau ‘substantieel’ vereist minimaal 2FA met een gecontroleerd uitgifteproces van het authenticatiemiddel. Maak hierbij effectief gebruik van doelbinding. Mogelijk moeten jullie huidige processen daartoe anders worden ingericht. Leg bijvoorbeeld mobiele nummers vast tijdens intakegesprekken en/of het registratieproces. Op dat moment kan persoonlijk de juistheid van het telefoonnummer gecontroleerd worden.

Let op: In verband met het ontbreken van breed beschikbare authenticatiemiddelen van het niveau ‘substantieel’ en ‘hoog’ zijn de volgende afspraken gemaakt:

“Er wordt in NTA 7516 veelvuldig gerefereerd aan authenticatiemiddelen met betrouwbaarheidsniveau ‘substantieel’ en ‘hoog’. Deze zijn voor de persoon en ook de professional nog niet breed beschikbaar. Zolang deze middelen nog niet beschikbaar zijn, moet een authenticatiemiddel worden gebruikt met het hoogst haalbare betrouwbaarheidsniveau dat breed beschikbaar is.”

Bron: NTA 7516:2019 Pagina 8 - Inleiding

In de praktijk betekent dit dat waar mogelijk een geverifieerde SMS-code als authenticatiemiddel gebruikt dient te worden.

Voer ‘security by default’ in door veilige e-mail automatisch aan te zetten bij gevoelige informatie

Vereist voor NTA 7516 eis: 6.1.16

De NTA 7516 schrijft voor dat veilig versturen de standaard moet zijn bij het versturen van persoonlijke gezondheidsinformatie. Dit wordt ook wel ‘security by default’ genoemd. Dit brengt met zich mee dat ‘veilig verzenden’ standaard ‘aan’ moet staan: de ‘normale’ verzendknop moet in dat geval resulteren in het veilig versturen conform de NTA.

Let op: Verstuur je alleen Zivver-berichten vanuit een ander systeem, zoals bijvoorbeeld het EPD? In dat geval hoef je niets te doen. De berichten worden standaard veilig verstuurd.

Wanneer de organisatie werkt met Zivver voor het ad hoc communiceren van persoonlijke gezondheidsinformatie, wordt voldaan aan deze eis indien de organisatie de optie om Zivver standaard ‘aan’ te zetten bij iedere e-mail of wanneer bepaalde bedrijfsregels dit aanraden.

Stel dit als volgt in:

Stap 1: Activeer de bedrijfsregels:

• Ga naar de Zivver organisatie instellingen > Bedrijfsregels
• Activeer tenminste de volgende bedrijfsregels zijn geactiveerd met bijbehorend waarschuwingsniveaus:

Stap 2 Stel in dat de plug-in automatisch aangaat wanneer de bedrijfsregels worden getriggerd. Dit kan zowel centraal voor de gehele organisatie geregeld worden, of op individueel niveau per medewerker:

Manier 1: Op centraal niveau

• Ga naar de Zivver organisatie instellingen > plug-in instellingen.

• Zet de optie ‘Veilig Mailen activeren als een bedrijfsregel dit aanraadt’ aan

• Tip: Geef medewerkers die niet met de NTA 7516 te maken hebben de mogelijkheid om deze instelling zelf uit te schakelen door de instelling niet gedwongen te maken

Manier 2: Op individueel niveau

• Communiceer naar de medewerkers die te maken hebben met WvGGZ dat zij de volgende instelling dienen aan te zetten:
  • Ga naar Outlook > Zivver tab > Instellingen
  • Zet de optie ‘Veilig Mailen activeren als een bedrijfsregel dit aanraadt’ aan

Stel beleid en regels op

Vereist voor NTA 7516 eis: 6.1.1, 6.1.8, .6.1.12, 6.3 en 6.4.1

De NTA 7516 vereist dat voor diverse zaken beleid en regels zijn opgesteld en gecommuniceerd naar medewerkers:

1. Vastleggen minimale eisen (NTA 7516 eis: 6.1.1)
2. Beleid over autorisatie verzender (NTA 7516 eis: 6.1.8)
3. Beleid omtrent verzendingsgrond (NTA 7516 eis: 6.1.12)
4. Beleid over gebruik (NTA 7516 eis: 6.3)
5. Programma over toezicht en naleving (NTA 7516 eis: 6.4.1)

Vastleggen minimale eisen (6.1.1)

Organisaties dienen de minimale eisen en invulling daarvan vast te leggen voor alle normatieve criteria van de NTA 7516.

Jouw organisatie dient zelf een overzicht op te stellen van de minimale eisen (grenswaarden) en de onderbouwing daarvan voor de genoemde criteria van de NTA 7516, voor de paragrafen 6.1.2 - 6.1.19.

Klik hier voor een programma van eisen dat je als uitgangspunt voor jouw organisatie kunt gebruiken. Deze heeft Zivver alvast voor je opgesteld.

Beleid over autorisatie verzender (6.1.8)

De organisatie dient beleid op te stellen over welke (soorten) zorgverleners geautoriseerd zijn tot het inzien van en communiceren met of over patiënten/cliënten. Dit beleid dient vertaald te zijn in de technische toegang tot functionele (voor een team) of gedelegeerde mailboxen.

Beleid omtrent verzendingsgrond (6.1.12)

De organisatie dient beleid op te stellen waarin voor de verzendende professional duidelijk is beschreven aan welke regels hij/zij zich moet houden. Het beleid dient onder meer duidelijkheid te bieden over de afwegingen rondom geheimhouding die moeten worden gemaakt. Hier dient te zijn beschreven welke professionals welke verzendingsgronden mogen hanteren en wie moet toezien op de uitvoering van het beleid.

Beleid over gebruik (6.3)

Veilig mailen heeft effect op de bedrijfsvoering. Het is belangrijk om in de praktijk onderlinge afspraken te maken over hoe om te gaan met veilig mailen. De NTA 7516 stelt dat voor verschillende onderdelen beleid moet worden opgesteld:

• Waarneming tijdens afwezigheid

  Bepaal welke regels er gelden bij afwezigheid van een medewerker. Benoem welke rechten en restricties er gelden voor de waarnemende collega.

• Mandatering en delegatie van toegang tot gegevens

  Beschrijf het beleid rondom mandatering en delegatie. Onder mandatering verstaan we: in naam van een ander berichten versturen of andere handelingen (zoals verplaatsen, kopiëren, intrekken, etc) uitvoeren op berichten. Onder delegatie verstaan we: het overdragen van bevoegdheden.

• Toegang zonder een directe behandelrelatie

  Deze regels gelden uitsluitend voor zorgverleners die in het kader van de Wet op de geneeskundige behandelovereenkomst (WGBO) een patiëntendossier voeren en hiermee te maken krijgen met de definities van (directe) behandelrelatie en de beperkingen in de toegang tot patiëntendossiers. Beschrijf onder welke voorwaarden toegang verleend kan worden.

• Toegang tot functionele mailboxen

  Met functionele mailboxen worden mailboxen bedoeld die niet rechtstreeks aan één medewerker zijn gekoppeld. Formuleer onder welke voorwaarden een functionele mailbox mag worden gebruikt en op welke wijze toegangsbeheer wordt beheerd.

• Gebruik van een adresboek

  Beschrijf beknopt de kaders waarbinnen een individueel en/of gedeeld adresboek gebruikt mag worden.

• Intrekken of wijzigen van e-mailberichten

  Beschrijf onder welke condities e-mailberichten door de verzender mogen worden ingetrokken of gewijzigd. Zivver biedt de mogelijkheid om verzonden berichten in te trekken, direct of na een bepaalde tijd. Dit kan op individueel niveau ingesteld worden, of voor de gehele organisatie afgedwongen worden.

• Gebruik maken van geautomatiseerde functies

  De meeste e-maildiensten hebben verschillende geautomatiseerde functies. Soms aangeduid als filters of regels. Denk hierbij vooral het automatisch doorsturen van berichten, leesbevestigingen en automatisch antwoorden.

• Bewaren en vernietigen van e-mailberichten

  Voor het bewaren en vernietigen van e-mails geldt vaak specifieke wetgeving. Raadpleeg een jurist of de brancheorganisatie om te achterhalen welke regelgeving van toepassing is. Vaak maakt dit al deel uit van je privacybeleid.

• Omgang met cryptografische sleutels

  Zorg ervoor dat er duidelijke afspraken zijn beschreven voor de toegang tot beveiligingssleutels. Beschrijf de richtlijnen en de mogelijkheden voor forensisch onderzoek. Zivver heeft nimmer toegang tot de inhoud van berichten, noch tot de sleutels. Een gebruiker heeft zelf toegang tot de inhoud van de berichten en de sleutel. Voor een beheerder van een organisatie is het tevens mogelijk om toegang te verlenen ten behoeve van forensisch onderzoek, door middel van een wachtwoord reset en het verwijderen van 2FA. Daarnaast kan een FTP export van de berichten gemaakt worden.

• Verantwoordelijkheden

  Formuleer welke rollen binnen de organisatie betrokken zijn bij ad-hoc-berichtenverkeer via e-mail en welke verantwoordelijkheden zij dragen (medewerkers, FG, CISO, technisch beheerder, functioneel beheerder).

• Verzendingsgronden

  Zie ook toelichting hierboven onder Beleid omtrent verzendingsgrond (6.1.12).

• Continuïteit bij uitval van e-mailprovider

  Beschrijf hoe het continueren van de dienstverlening bij faillissement van de communicatiedienstenaanbieder is geregeld. Hiervoor gelden de afspraken zoals beschreven in de verwerkersovereenkomst die tussen de organisatie en Zivver gesloten wordt.

• Informeren van personen over veilige e-mail

  Het is onder meer van belang dat de doelgroep van de organisatie over de mogelijkheid van veilig communiceren wordt geïnformeerd. Maak gebruik van Zivver’s communicatietemplates voor het breed en duidelijk communiceren naar de doelgroep over de mogelijkheid van veilig communiceren met uw organisatie.

Programma over toezicht en naleving (6.4.1)

Er moet een programma vastgesteld worden waarmee:

1. continue de naleving van de gebruiksregels (zie 6.3) wordt gemonitord;
2. jaarlijks de geschiktheid van de geselecteerde en geïmplementeerde communicatiemogelijkheden worden vergeleken met de criteria die daarvoor zijn vastgelegd;
3. tweejaarlijks de vastgelegde criteria worden beoordeeld op geschiktheid en passendheid.

Pas logging toe op berichten die via de reguliere mailserver verzonden en ontvangen worden

Vereist voor NTA 7516 eis: 6.4.2

De organisatie dient in aanvulling op de logging die binnen Zivver plaatsvindt, logging toe te passen op ad-hoc-berichtenverkeer met persoonlijke gezondheidsinformatie die via de reguliere ontvangende mailserver verloopt (buiten Zivver-conversaties). Deze logging dient tevens te voldoen aan de eisen van de NEN-7513:2018 (met uitzondering van hoofdstuk 6.2 en 7)

Zivver raadt aan om bij de leverancier van jouw mailserver na te gaan of hieraan wordt voldaan.

Richt een systeem in zodat personen op eigen initiatief veilig ad hoc berichten kunnen versturen aan je organisatie en maak dit breed bekend

Vereist voor NTA 7516 eis: 6.5

Conform de NTA moeten organisaties aan personen een mogelijkheid bieden waarmee zij op eigen initiatief veilige ad‐hoc-berichten kunnen versturen aan uw organisatie en deze aangeboden methode op brede schaal bekendmaken, bijvoorbeeld op uw website.

Met Zivver kan je dit eenvoudig faciliteren via Zivver’s conversatiestarters. Als jouw organisatie deze al gebruikt en op uw website kenbaar maakt, dan voldoet jouw organisatie al aan dit criterium. Wil je aan deze eis gaan voldoen door het gebruik van Zivver’s conversatiestarters en/of wil je weten hoe je deze in een website integreert, neem dan contact op met sales@zivver.com.

Ben je voornemens op een een andere manier voldoen aan deze eis? Let er dan wel op dat de aangeboden methode te gebruiken is door iedereen met voor particulieren gebruikelijke internetvoorzieningen en dat de methode eenvoudig te gebruiken is zonder dat een account nodig is.

Beveilig het e-maildomein en de (inkomende) e-mailserver (met DANE of Trusted Certificate)

Vereist voor NTA 7516 eis: 7.2

Een belangrijk voordeel van de NTA 7516 is dat berichten uitgewisseld kunnen worden tussen verschillende beschikbare oplossingen, ongeacht leverancier. Dit is beter bekend als interoperabiliteit of multikanaal-communicatie. In de praktijk betekent dit dat leveranciers moeten zorgen dat hun product ‘kan praten’ met andere producten, zodat ontvangers geen last meer hebben van het feit dat de verzender wellicht voor een andere veilige oplossing heeft gekozen. Door deze interoperabiliteit kan iedere partij veilige berichten in zijn eigen NTA 7516-compliant applicatie naar keuze ontvangen. Net zoals je nu ongemerkt met iedereen kunt bellen, zonder dat je dezelfde provider hebt.

Om interoperabel berichten te kunnen sturen conform NTA 7516, dien je het e-maildomein en de (inkomende) e-mailserver te beveiligen (met DANE of Trusted Certificate). Het omvat de volgende eisen:

• Het e-maildomein moet beveiligd zijn met DNSSEC;
• De inkomende e-mailserver moet DANE of PKIX ondersteunen;
• De inkomende e-mailserver moet TLS 1.2 of hoger ondersteunen

Bij een scan die Zivver heeft uitgevoerd over de e-maildomeinen van Zivver’s klanten blijkt 80% van de organisaties op dit moment al aan de eisen te voldoen. Het grootste deel van de overige klanten lijkt met enkele kleine aanpassingen te kunnen voldoen. Volg de stappen hieronder om te controleren of het e-maildomein en de eigen e-mailserver van jouw organisatie als voldoet en zoniet, welke acties nodig zijn om dit alsnog te realiseren.

Let op: voor onderstaande stappen is het wel nodig dat je ‘Admin’-rechten binnen Zivver heeft.

Stap 1 Ga naar de Zivver organisatie instellingen > DNS Settings.

Stap 2 Check per domein de DNS settings van jouw organisatie. Zie je een vinkje bij DANE en/of Trusted Certificate? Goed nieuws! Ga verder naar stap 4. Zo niet, ga verder naar stap 3.

Stap 3 Je kan met het knopje meer informatie zien over de domeinnaam. Onderneem de volgende stappen per domein, afhankelijk van jouw situatie:

Situatie 1:

en/of

Het lijkt er op dat je geen DNSSEC hebt geactiveerd op jouw domeinnaam. Neem contact op met je hosting provider (registrar) om dit aan te zetten. Ga vervolgens verder naar stap 4.

Tip: Weet je niet wie jouw hosting provider is? Ga naar https://www.sidn.nl/whois/ en zoek op jouw domeinnaam. Klik vervolgens op ‘toon mij de gegevens’ en kijk onder het kopje ‘Registrar’.

Meer informatie: Wil je meer weten over DNSSEC en het instellen ervan, lees dan dit artikel.

Situatie 2:

en/of

Het lijkt er op dat de mailserver achter je domeinnaam geen DANE ondersteunt en geen ‘Trusted Certificate’ (PKIX) heeft. Neem contact op met je IT afdeling of leverancier om dit in orde te maken. Ga vervolgens verder naar stap 4.

N.B. Bij gebruik van Exchange Online en Gmail voldoet uw e-mailserver (in principe) altijd. Bij gebruik van Exchange On Premise kan het zijn dat een geldig certificaat ontbreekt, maar dit kan relatief makkelijk worden toegevoegd (zie bijv. deze pagina, specifiek het onderdeel ‘Certificate issues by a commercial CA’). Bij deze meeste professionele e-mailservers zou dit ook relatief eenvoudig te realiseren moeten zijn.

Situatie 3:

Het lijkt er op dat je voor de mailserver achter je domeinnaam geen DNSSEC hebt geactiveerd. Neem contact op met je IT afdeling of leverancier om dit in orde te maken. Ga vervolgens verder naar stap 4.

Situatie 4:

en/of

Het lijkt er op dat meerdere vereiste elementen ontbreken. Zie bovenstaande situaties en volg de bijbehorende stappen.

Staat jouw situatie hier niet tussen en kom je er niet uit? Neem dan contact met Zivver op via customersuccess@zivver.com.

Stap 4 Voor de NTA 7516 moet de inkomende e-mailserver tevens TLS 1.2 of hoger ondersteunen.

1. Ga naar https://ssl-tools.net/mailservers/ en zoek op jouw domeinnaam.
2. Scroll vervolgens naar Servers - Incoming Mails. Hier zou bij iedere mailserver TLSv1.2 of hoger moeten staan in de een na laatste kolom. Zie het oranje gearceerde gebied in het voorbeeld hieronder.

Is dit niet het geval, neem dan contact op met uw IT afdeling of leverancier om dit in orde te maken.

Mocht jouw organisaties vragen hebben of lukt het niet om jouw e-mailserver passend te beveiligen, neem dan contact op met customersuccess@zivver.com.

Let op: Indien jouw organisatie werkt met mail submission, dient je zelf te garanderen dat ook uitgaande berichten tijdens transport met het juiste TLS-protocol worden versleuteld.

Richt een eenvoudige manier in om veilige berichten te archiveren (optioneel criterium)

Volgens de NTA 7516 moeten medewerkers met een eenvoudige handeling het bericht veilig in het EPD/ECD/dossier kunnen opnemen, wanneer dit van toepassing is.

Met een veilig bericht wordt in deze paragraaf bedoeld: een bericht dat conform NTA 7516-richtlijnen is verzonden of ontvangen. Dit betreft derhalve verzonden en ontvangen Zivver-berichten, maar kan eventueel ook gaan over berichten met persoonlijke gezondheidsinformatie die d.m.v. interoperabiliteit zijn ontvangen via een andere NTA-compliant communicatiedienstenaanbieder.

Zivver biedt verschillende mogelijkheden om een veilig bericht eenvoudig toe te voegen aan een dossier of systeem:

• Een onversleutelde kopie van het veilige bericht kan worden verstuurd naar de mailbox van de gebruiker waarmee deze (typisch) kan worden gearchiveerd in het systeem.
• Daarnaast kan de Zivver-plugin worden ingesteld om berichten onversleuteld lokaal op te slaan, indien de organisatie dit wenst. Vervolgens kan de huidige archiveringsmethode toegepast worden.
• De medewerker kan ontvangen berichten downloaden als een PDF-document of als een .eml. De laatste bestandsextensie is een acroniem voor e-mail en dit bestand kan in elke mailapplicatie worden geladen. Vervolgens kan de huidige archiveringsmethode toegepast worden.

Wanneer dit voor jouw organisatie relevant is, richt dan een van bovenstaande opties in voor jouw medewerkers.

Voer een self assessment uit

Vereist voor NTA 7516 eis: 6.6

Indien je publiekelijk wilt aangeven dat je voldoet aan de NTA 7516 (wat vereist is om interoperabel berichten te kunnen uitwisselen, zie het volgende actiepunt), dan moet getoetst en vastgesteld worden dat de organisatie aan alle eisen voldoet. De organisatie kan dit (tot nader orde) doen door middel van self assessment.

Wanneer een organisatie kenbaar maakt dat zij voldoen aan de NTA 7516, maar bij een controle van de Autoriteit Persoonsgegevens blijkt dat dit niet zo is, zal dit worden aangemerkt als fraude.

Met Zivver heb je de garantie dat je als organisatie voldoet aan de criteria uit de NTA 7516 gesteld aan communicatiedienstenaanbieders, zoals omschreven in dit overzicht.

Als organisatie voldoe je aan deze eis mits je ook voldoet aan de criteria die niet van toepassing zijn op de communicatiedienstenaanbieders, zoals in deze handleiding beschreven.

Maak interoperabiliteit conform NTA 7516 kenbaar

Vereist voor NTA 7516 eis: 7.2, 7.3

Wanneer de organisatie aan alle eisen van de NTA 7516 voldoet en interoperabel wil communiceren, dient de organisatie dit kenbaar te maken aan andere NTA 7516 compliant partners in de eigen DNS-instellingen. Volg de onderstaande stappen om te zorgen dat zowel het uitgaande als inkomende mailverkeer van jouw organisatie conform NTA 7516 interoperabel kan verlopen.

Let op: Dit mag alleen kenbaar gemaakt worden wanneer aan alle eisen van de NTA is voldaan.

Uitgaand mailverkeer Om Zivver namens de organisatie uitgaand mailverkeer te laten afhandelen naar andere NTA 7516 partners dien je dit kenbaar te maken in de organisatie instellingen van Zivver.

• Stap 1: Ga naar https://app.zivver.com/organization/nta-compliance
• Stap 2: Schakel de checkbox in
• Stap 3: Klik op opslaan

Let op: met het inschakelen van NTA-conforme verzending voor jouw organisatie, verklaar je namens jou dat jouw organisatie voorafgaande aan het in gebruik nemen van Zivver voor NTA-conforme verzending, zorgdraagt en blijft dragen voor het voldoen aan alle eisen van de NTA 7516 zoals beschreven in deze handleiding. Alleen een daartoe gemachtigd persoon mag dit namens de organisatie verklaren.

Inkomend mailverkeer Om jouw interoperabiliteit onder de NTA 7516 kenbaar te maken naar andere NTA 7516 partners en hiermee jouw inkomende mailverkeer af te handelen, dient er een TXT record opgenomen te worden in de DNS instellingen van de domeinnaam.

1. Log in op het portaal van jouw hostingprovider (registrar)
2. Creëer een extra DNS record. Gebruik hiervoor de volgende variabelen:
   • Naam: @
   • TTL: 5 Min
   • Type: TXT
   • Waarde: v=NTA7516-1;startdate=jaar-maand;enddate=jaar-maand;provider=Zivver

Verander “startdate” naar het jaar en de maand waarin de compliancy is ingegaan. Verander “enddate” naar het jaar en de maand waarop ofwel de certificering verloopt, of de eerstvolgende interne audit op de NTA gepland is, bijvoorbeeld:

v=NTA7516-1;startdate=2023-01;enddate=2025-01;provider=Zivver

Mocht je hier niet uitkomen dan kan je contact met Zivver opnemen via enterprise@zivver.com.

Tip: Weet je niet wie jouw hosting provider is? Ga naar https://www.sidn.nl/whois/ en zoek op jouw domeinnaam. Klik vervolgens op ‘toon mij de gegevens’ en kijk onder het kopje ‘Registrar’.