FileCap en de NTA 7516

NTA 7516: niemand kan er meer aan voldoen

De NTA 7516-norm en het bijbehorende certificeringsschema NCS 7516, is op 15 mei 2022 gedeactiveerd. Dit betekent concreet dat er geen enkele oplossing of leverancier van een "veilig mailen" oplossing kan voldoen aan deze norm en alle bestaande certificeringen zijn ongeldig verklaard. In een gesprek met de NEN is duidelijk geworden dat er dit jaar en daarna geen uitzicht is op een heractivering van deze of een soortgelijke norm. Lees verder om meer te weten over de norm en hoe we zijn gekomen tot dit punt.

Een korte geschiedenis

Op 10 oktober 2018 is er door het ministerie van VWS, in samenwerking met de NEN, belanghebbenden en experts, gestart met het project "Veilig mailen" in opdracht van Informatieberaad Zorg. Dit project had als doel om te komen tot een norm voor e-mailen van persoonlijke gezondheidsinformatie, het tot stand brengen van interoperabiliteit tussen de producten die veilig e-mailen ondersteunen en het opstellen van een implementatiehandboek voor het zorgveld.

Begin 2019 resulteerde dit in de publicatie van de norm en werd er begonnen aan het opstellen van de technische handreiking voor leveranciers om aan de nieuwe norm te kunnen voldoen. Aan het eind van 2019 is het implementatiehandboek afgerond en is er een zogenaamde "connectathon" georganiseerd voor de verschillende (potentiële) leveranciers van oplossingen. Deze samenkomst werd georganiseerd om te toetsen of de interoperabiliteit tussen de oplossingen kon worden gewaarborgd. Ook FileCap was daarbij aanwezig en heeft destijds aangetoond dat dit correct was geïmplementeerd.

Voor wie is de norm belangrijk?

Zoals in bovenstaande al te lezen is, is de norm in de eerste plaats gemaakt voor zorginstellingen en zorgprofessionals (maar is ook relevant voor patiënten, hun familieleden en mantelzorgers). De norm gaat primair over het veilig e-mailen in de zorg. NTA 7516 beschrijft de voorwaarden waaronder veilig gemaild kan worden en bevat concrete aanwijzingen hoe een organisatie hiermee om kan gaan. De norm is gebaseerd op de AVG en eIDAS. Aan deze wetgeving moet iedereen al voldoen. In de AVG of aanvullende toelichtingen van de Autoriteit Persoonsgegevens staat dat mailen mag, maar dat dit veilig moet. De NTA 7516-norm beschrijft de eisen waaraan je -bijvoorbeeld als ziekenhuis of gemeente- moet voldoen wanneer je medische gegevens uitwisselt met andere professionals of patiënten/cliënten burgers.

Bron: https://www.nen.nl/nta-7516

Moe(s)t ik aan de NTA 7516 voldoen?

In de laatste zin van de tekst hierboven staat feitelijk benoemd wanneer je als organisatie of professional moest voldoen aan de NTA 7516-norm, namelijk wanneer medische gegevens werden uitgewisseld. Ondanks dat veel spelers in de markt iedereen probeerden te overtuigen dat ze altijd moeten voldoen aan de NTA 7516-norm, was dit dus enkel het geval wanneer medische informatie werd uitgewisseld. Gemeenten, advocatenkantoren die informatie uitwisselden met rechtbanken en andere professionals en bedrijven moesten zich dus afvragen in hoeverre er sprake is van medische informatie die moest worden uitgewisseld en met wie, om te kunnen bepalen of ze (deels) moesten voldoen aan de NTA7516-norm.

Geen enkele oplossing NTA 7516 gecertificeerd

Zoals ondertussen wel duidelijk is, is dit alles niet meer aan de orde omdat het Centraal College van Deskundigen Zorg & Welzijn heeft besloten om per 15 mei 2022 het schema NCS 7516 te deactiveren. Dit betekent effectief dat er geen organisaties of oplossingen meer gecertificeerd kunnen worden en dat alle bestaande certificeringen ongeldig zijn verklaard en zijn ingetrokken. Op dit moment is het dus zo dat er geen enkele softwaretoepassing kan voldoen aan de NTA 7516-norm en het is onduidelijk óf en wanneer er mogelijk een nieuw certificeringsschema wordt bekendgemaakt. Zie voor meer informatie: https://www.nen.nl/register-nta-7516‍

Uit een telefoongesprek in juli 2022 met de NEN werd duidelijk dat dit in ieder geval niet in 2022 zal gebeuren en het is zeer onwaarschijnlijk dat dit in 2023 of later wel lukt, omdat verschillende stakeholders sterk tegengestelde belangen lijken te hebben.

FileCap gecertificeerd, maar we zagen er van af

Vanaf mei 2020 was het mogelijk voor leveranciers om zich te laten certificeren voor de nieuwe NTA 7516-norm. Op 1 april 2021 is Contec, als fabrikant van FileCap, gecertificeerd voor deze nieuwe norm. Dit hield in dat de FileCap-oplossing het zogenaamde certificatieschema (NCS 7516) met goed resultaat heeft doorlopen en daarmee heeft aangetoond in staat te zijn een veilige elektronische communicatie voor de zorg te kunnen bieden. De certificering is 3 jaar geldig dus tot en met 1-4-2024.

Aan het eind van 2021 hebben we als organisatie besloten om niet langer te willen en gaan voldoen aan de NTA7516-norm. De reden hiervoor was tweeledig. Ten eerste vonden wij het certificeringsproces en de vereisten waaraan onze oplossing zou moeten voldoen, niet passend voor onze klanten en een te zware aanslag op onze organisatie. Ten tweede zijn wij van mening dat de gebruiksvriendelijkheid, door het toepassen van de norm, sterk gereduceerd is tot een niveau die niet in lijn is met onze visie op een oplossing voor veilig e-mailen. In januari 2022 hebben we dan ook formeel aan KIWA kenbaar gemaakt dat wij niet langer gecertificeerd wensen te zijn voor de NTA-norm.

Hoe nu verder?

Om veilig te kunnen e-mailen bieden wij met FileCap een gebruiksvriendelijke oplossing aan die bedrijven in staat stelt om vanuit hun eigen e-mail omgeving eenvoudig berichten en bestanden versleuteld te versturen. Op deze pagina staan de belangrijkste features van onze oplossing uitgelegd. Wij vinden het belangrijk dat FileCap naast heel veilig ook zeer gebruiksvriendelijk moet zijn. Daar werken we dagelijks hard aan.