Direct naar inhoud
Curanta
Menu

Trust Centre · laatst herzien 26 oktober 2026

Beveiliging, privacy en koppelingen: de stand per onderwerp

Voor inkoop, de functionaris gegevensbescherming, de informatiebeveiliger en het bestuur. Per onderwerp ziet u wat geregeld is, wat in uitvoering is en wat nog niet is begonnen.

Liever in gewone taal? Op de pagina Veiligheid staat wat Curanta vanaf de eerste dag voor uw cliëntgegevens regelt, en wat bij u blijft.

Naar het inkoopdossier Vraag de verwerkersovereenkomst aan Actuele status

Maatregelen van Curanta

  • Geregeld
  • In uitvoering
  • Gepland
  • Nog niet

Functies en koppelingen

Beschikbaar
Onderdeel van Curanta. U ziet het in de online presentatie of in een demonstratie, met verzonnen gegevens.
Beschikbaar, in te richten
Onderdeel van Curanta, te gebruiken zodra het bij uw organisatie is ingericht. Denk aan een certificaat, contract of toegang bij een externe partij, een eindtest met uw gegevens, of een eigen besluit zoals een DPIA.
In ontwikkeling
Wij bouwen eraan. Bij het onderdeel staat wat er al werkt.
Op de roadmap
Gepland; de bouw is nog niet begonnen.

Informatiebeveiliging

Leidend is ons werkdocument voor NEN 7510, de norm voor informatiebeveiliging in de zorg. Per onderwerp staat de stand erbij, ook voor de externe pentest (een gecontroleerde inbraakpoging) en de versleuteling van de hele database.

  • NEN 7510:2024

    In uitvoering

    Maatregelen ingevoerd, met een eerste beoordeling. Curanta is niet gecertificeerd; het certificeringstraject is in voorbereiding.

    Meer hierover: NEN 7510:2024

  • NEN 7513 (logging)

    Geregeld

    Auditlog met hash-keten, zodat een wijziging achteraf aantoonbaar is. Elke regel zegt of iemand gegevens inzag, vastlegde, wijzigde of verwijderde. Een logregel over een cliënt blijft bewaard zolang het dossier bestaat; logregels zonder dossier 7 jaar.

  • Auditlogs naar uw SIEM

    Geregeld

    Elke minuut het beveiligingslogboek en de beheeraudit naar het SIEM van uw organisatie, en het NEN 7513-logboek gepseudonimiseerd als u dat aanzet. Getest met Splunk, Azure Monitor en een syslog-server.

    Meer hierover: Auditlogs naar uw SIEM

  • Scanblokkade

    Geregeld

    Wie bekende zwakke plekken van websites afzoekt, wordt automatisch geblokkeerd, oplopend tot een week. Verkeer van buiten Europa telt Curanta apart; binnen de EU weigert Curanta niemand.

  • NEN 7512 (uitwisseling)

    In uitvoering

    Uitgangspunt bij het bouwen van de koppelingen; nog niet extern getoetst.

  • Tweestapsverificatie

    Geregeld

    Verplicht in de backoffice voor zorg- en beheerrollen. Een nieuwe collega stelt het bij zijn eerste aanmelding zelf in, met een authenticator-app; tot dan opent Curanta voor hem alleen dat scherm.

  • Versleuteling BSN

    Geregeld

    Curanta versleutelt het BSN op veldniveau, met AES-256-GCM. Zoeken gaat via een aparte hash, zonder te ontsleutelen.

  • Versleuteling hele database

    Geregeld

    Uw gegevens staan versleuteld opgeslagen: volumeversleuteling op de server, ook voor de bijlagen en de back-ups. Het wachtwoord van dat volume staat niet op de server.

  • Virusscan op uploads

    Gepland

    Bij de oplevering aan uw organisatie gegarandeerd: elk bestand dat iemand in Curanta uploadt, scannen wij op virussen.

    Meer hierover: Virusscan op uploads

  • Externe pentest

    Nog niet

    Nog niet uitgevoerd. Wij werken naar een externe pentest toe.

    Meer hierover: Externe pentest

  • ISO 27001

    Gepland

    Wij werken naar certificering toe. Een datum is er nog niet.

    Meer hierover: ISO 27001

Privacy en gegevensbescherming

Wie welke gegevens verwerkt, en waar.

  • Functionaris gegevensbescherming

    Nog niet

    Nog niet aangesteld. Een externe FG volgt vóór de eerste zorgorganisatie met echte cliëntgegevens.

  • Verwerkersovereenkomst

    In uitvoering

    Wij stellen hem op aanvraag op, zonder geheimhoudingsverklaring (NDA).

    Meer hierover: Verwerkersovereenkomst

  • Subverwerkers

    Geregeld

    Hosting, site en mail bij een hostingpartij in Duitsland (EU); de namen staan in de subverwerkerslijst. De AI-functies: standaard Mistral AI via het EU-endpoint, gepseudonimiseerd; alleen als uw organisatie zelf kiest: Anthropic in de VS, met modelcontractbepalingen. Als u digitaal ondertekent: DocuSign in de VS.

    Meer hierover: Subverwerkers

  • Amerikaanse wetgeving (Cloud Act)

    Geregeld

    De applicatie en de databases staan bij een Europese hostingpartij in Duitsland. De AI-functies draaien standaard bij Mistral AI, een Frans bedrijf, via het EU-endpoint. Alleen als uw organisatie zelf voor Anthropic kiest, of als u digitaal ondertekenen aanzet, gaan gegevens naar Amerikaanse bedrijven (Anthropic gepseudonimiseerd, DocuSign), met modelcontractbepalingen. Het kabinet erkende op 7 oktober 2026 dat de Cloud Act kan botsen met de AVG (antwoorden op Kamervragen 2026Z16981).

    Meer hierover: Amerikaanse wetgeving (Cloud Act)

  • DPIA

    In uitvoering

    Voor de eigen DPIA van uw organisatie stellen wij de onderbouwing op aanvraag op.

    Meer hierover: DPIA

  • Pseudonimiseren

    Geregeld

    Cliëntgegevens pseudonimiseren bij een verzoek tot verwijdering; het logboek legt dat vast.

Koppelingen en uw gegevens

Welke standaarden er zijn, en hoe u uw gegevens meeneemt. De status per koppeling is dezelfde als op de pagina Koppelingen.

  • FHIR-API voor de BgZ

    Beschikbaar, in te richten

    Levert de Basisgegevensset Zorg (BgZ) van een cliënt. Publiek en alleen om te lezen (FHIR R4), voor systemen die wij vooraf registreren. Geen testomgeving en geen algemene lees- of schrijftoegang.

    Meer hierover: FHIR-API voor de BgZ

  • Wegiz / eOverdracht

    Beschikbaar, in te richten

    Het overdrachtsdocument volgens eOverdracht 4.0 gaat via het eOverdracht-netwerk; de ontvanger haalt het op en meldt terug. De aansluiting regelen wij bij de implementatie, met het UZI-servercertificaat van uw organisatie. Getest tussen twee omgevingen, nog niet met een ketenpartner, en niet door Nictiz gekwalificeerd.

    Meer hierover: Wegiz / eOverdracht

  • MedMij

    In ontwikkeling

    Registratie bij MedMij en een PKIoverheid-certificaat zijn er nog niet.

    Meer hierover: MedMij

  • LSP

    In ontwikkeling

    Voor het Landelijk Schakelpunt zijn de VZVZ-aansluiting en UZI-certificaten er nog niet.

    Meer hierover: LSP

  • Export van uw gegevens

    Geregeld

    Een volledige export van uw gegevens en bestanden in JSON. Het BSN alleen als laatste vier cijfers en hash.

    Meer hierover: Export van uw gegevens

Beschikbaarheid en continuïteit

Hosting in de EU, het onderhoud van de software en een openbare statuspagina, met per onderwerp het doel en de stand.

  • Hosting in de EU

    Geregeld

    Op een server in Duitsland (EU). Wie de hostingpartij is, staat in de subverwerkerslijst.

    Meer hierover: Hosting in de EU

  • Onderhoud van de software

    Geregeld

    Elke maand controleren wij het platform op beveiliging. Een beveiligingsupdate brengen wij uit zodra hij nodig is, zonder te wachten op de volgende versie, en elke vier maanden komt er een nieuwe versie. Op 23 oktober 2026 zat er in Curanta geen enkel softwarepakket met een bekend lek, en geen pakket dat de maker niet meer onderhoudt.

  • Techniek onder Curanta

    Geregeld

    Microsoft brengt elk jaar in november een nieuwe versie van .NET uit, de techniek onder Curanta, en wij stappen een paar weken later over. Nu is dat .NET 10, met beveiligingsupdates van Microsoft tot 14 november 2028. De databank is PostgreSQL 18, ondersteund tot november 2030.

  • Openbare statuspagina

    Geregeld

    Actuele beschikbaarheid per onderdeel; geen incidenthistorie.

    Meer hierover: Openbare statuspagina

  • Beschikbaarheid

    In uitvoering

    Doel 99,9% op kantooruren. Nog geen gemeten historie.

    Meer hierover: Beschikbaarheid

  • Exit-procedure

    Geregeld

    In onze voorwaarden (artikel 9): wij leveren de export binnen 5 werkdagen, en u hebt 30 dagen om hem op te halen. Na afloop van die 30 dagen wissen wij uw gegevens; u krijgt een vernietigingsverklaring. Wissen kan pas nadat u hebt bevestigd dat u de volledige export hebt ontvangen, of nadat wij hebben vastgelegd waarom het zonder kan.

    Meer hierover: Exit-procedure

Als het toch gebeurt

Wij gaan ervan uit dat er een keer iets misgaat, ook met de nieuwste techniek. Daarom staat hier ook hoe wij herstellen, en hoe uw team dan doorwerkt.

  • RPO en RTO

    In uitvoering

    Doel in onze voorwaarden: RPO 1 uur (hoogstens 1 uur aan gegevens kwijt) en RTO 4 uur (binnen 4 uur weer in gebruik). De database wordt doorlopend geback-upt, en elke dag gaat er een versleutelde kopie naar een plek buiten de server.

    Meer hierover: RPO en RTO

  • Hersteltest

    Geregeld

    Geslaagd op 28 oktober 2026: de kopie van buiten de server is op een aparte machine gecontroleerd, ontsleuteld en teruggezet. Binnen twee minuten stond de database weer.

  • Back-up buiten de server

    Geregeld

    Sinds 27 oktober 2026 gaat er elke dag een versleutelde kopie van de database, de sleutels en de bijlagen naar een plek buiten de server, in de EU. Een kopie telt pas als de ontvangst is bevestigd.

    Meer hierover: Back-up buiten de server

  • Bewaking dag en nacht

    Gepland

    Bij de oplevering aan uw organisatie gegarandeerd: van buitenaf controleren wij 24 uur per dag, 7 dagen per week of Curanta bereikbaar is.

    Meer hierover: Bewaking dag en nacht

  • Een gestolen schijf of back-up

    Geregeld

    Uw gegevens staan versleuteld opgeslagen, ook de bijlagen, de back-ups en de logs. Het wachtwoord van dat volume staat niet op de server.

  • Bij uitval

    Geregeld

    Elke dag een versleuteld noodoverzicht (pdf) met per cliënt de contactgegevens, waarschuwingen, allergieën en de medicatie van de dag. Daarnaast een kopie op het toestel in het medewerkerportaal, en een noodprocedure voor uw organisatie. Met de continuïteitscheck ziet u wat uw organisatie zelf nog regelt.

    Meer hierover: Bij uitval

  • Een cyberincident bij uw organisatie

    Beschikbaar

    U legt het incident vast in de module voor de Cyberbeveiligingswet, en Curanta bewaakt de meldtermijnen van 24 uur, 72 uur en één maand. Melden bij het CSIRT doet uw organisatie zelf.

    Meer hierover: Een cyberincident bij uw organisatie

Ondersteuning bij wetten

Curanta helpt u registreren en termijnen bewaken. Aan de wet voldoen doet uw organisatie zelf; de software is daar een hulpmiddel bij.

  • Cyberbeveiligingswet (NIS2)

    Beschikbaar

    Cyberincidenten registreren en de meldtermijnen van 24 uur, 72 uur en één maand bewaken. Verder de tien maatregelen van de zorgplicht met stand, bewijs en eigenaar, de vaststelling door het bestuur, en een leveranciersregister waarin Curanta zelf al staat.

    Meer hierover: Cyberbeveiligingswet (NIS2)

  • Wkkgz

    Beschikbaar

    Klachtenregeling, en de interne procedure om incidenten te melden.

    Meer hierover: Wkkgz

  • Wzd en Wvggz

    Beschikbaar

    Registratie, en het halfjaarlijkse overzicht voor de IGJ, gevalideerd tegen het XML-schema van de IGJ. Een echte aanlevering is er nog niet.

    Meer hierover: Wzd en Wvggz

  • Wtza

    Beschikbaar

    Toelating vastleggen en de jaarverantwoording bewaken (vóór 1 juni, in DigiMV).

    Meer hierover: Wtza

  • Wtta

    Beschikbaar

    Uw eigen toelating vastleggen. En als inlener per uitlener vastleggen dat u zijn toelating controleerde.

    Meer hierover: Wtta

  • AI-verordening

    Beschikbaar

    Een register en classificatie van de AI-systemen in Curanta, met een logboek van AI-aanroepen.

    Meer hierover: AI-verordening

Wettelijke termijnen 2026-2028

Wat de wet vraagt, en waarbij Curanta helpt. Of een wet voor uw organisatie geldt, hangt af van uw omvang en uw zorg; dat stelt u zelf vast.

  • Sinds 15 augustus 2026

    Cyberbeveiligingswet (NIS2)

    Zorgaanbieders met 50 of meer fte, of met een jaaromzet én balanstotaal van €10 miljoen of meer, vallen eronder. Zij registreren zich bij het Nationaal Cyber Security Centrum (NCSC). Een significant incident melden zij binnen 24 uur (vroegtijdige waarschuwing), 72 uur (melding) en één maand (eindverslag).

    Curanta: U registreert incidenten; Curanta bewaakt de drie meldtermijnen.

  • Elk jaar vóór 1 juni

    Openbare jaarverantwoording (Wtza)

    De plicht geldt voor zorgaanbieders die zorg leveren uit de Zvw of de Wlz, of subsidie van VWS krijgen. Zij maken hun jaarverantwoording openbaar via DigiMV. Solisten die zelf de zorg verlenen zijn uitgezonderd.

    Curanta: U legt de toelating vast en krijgt een herinnering vóór de uiterste datum. Aanleveren doet u zelf, in DigiMV.

  • 1 januari 2027 en 1 januari 2028

    Wtta (toelating uitleners)

    De wet geldt vanaf 1 januari 2027; 2027 is een overgangsjaar. Vanaf 1 januari 2028 mag u alleen inlenen van een uitlener met een toelating. Het register van de NAU kunt u raadplegen vanaf 1 juli 2027.

    Curanta: U legt per uitlener vast dat u de toelating controleerde: met datum, uitkomst en bewijs. Een koppeling met het register van de NAU is er niet.

  • 2 december 2027

    AI-verordening (hoog risico)

    Vanaf dan gelden de extra eisen voor AI-systemen met een hoog risico uit bijlage III. Die datum is in 2026 uitgesteld; eerst was het 2 augustus 2026. Niet elke AI-toepassing in de zorg valt eronder.

    Curanta: Een register van de AI-systemen in Curanta. Alleen de kandidaatmatching bij werving is hoog risico; die staat standaard uit.

Bronnen, geraadpleegd op 8 oktober 2026: Staatsblad 2026, 187 en 189 (Cyberbeveiligingswet en -besluit) en ncsc.nl; artikel 40a Wet marktordening gezondheidszorg en jaarverantwoordingzorg.nl; toelatinguitleenmarkt.nl (NAU); Verordening (EU) 2026/1744 en de AI Act Service Desk van de Europese Commissie.

De vraag die inkopers stellen: "Wat als Curanta wegvalt?"

Dit is de stand:

  • Broncode in bewaring bij een derde (escrow): in voorbereiding.
  • Ontwikkelaarspartnerschap: in voorbereiding.
  • Uw gegevens mee: een volledige export van uw gegevens en bestanden in JSON, zonder exit-fee. De exit staat in onze voorwaarden (artikel 9).

Ondersteuning: per e-mail, met een reactie binnen 1 werkdag; vanaf Compliance Pro ook telefonisch van 09:00 tot 17:00. Partners krijgen 36 maanden een vaste prijs en praten mee over de roadmap (het partnerprogramma). Vragen over continuïteit: trust@curanta.nl.

Kennisbank

Verder lezen in de kennisbank

Achtergrond bij wat hierboven staat, met bronnen en vrij te lezen.

Een vraag over beveiliging of privacy?

Mail ons aanspreekpunt voor privacy en beveiliging; wij reageren binnen 1 werkdag. Stuurt u uw eigen beveiligingsvragenlijst, bijvoorbeeld CAIQ, SIG of BSI C5, dan vullen wij die in.

trust@curanta.nl Mail uw vragenlijst