Beveiligd mailen

Nederlands Instituut Publieke Veiligheid

Dit algoritme helpt e-mailgebruikers te bepalen wanneer een e-mail gevoelige informatie bevat en beveiligd dient te worden verstuurd.

Laatst gewijzigd op 7 november 2025 om 11:25 | Publicatiestandaard 1.0

• Publicatiecategorie: Overige algoritmes
• Impacttoetsen: Veld niet ingevuld.
• Status: In gebruik

Algemene informatie

Thema

Organisatie en bedrijfsvoering

Begindatum

2025-10

Contactgegevens

[e-mail]

Link naar publiekspagina

https://nipv.nl/

Verantwoord gebruik

Doel en impact

Het doel van dit algoritme is om er aan bij te dragen dat informatie die wordt verzonden per e-mail op de juiste wijze wordt beveiligd. Ofwel: niet met te weinig beveiligingsmaatregelen, maar ook niet met te veel. Het algoritme levert hier een bijdrage aan door verzenders van een e-mail te attenderen op gevoelige informatie en aan te moedigen deze informatie vervolgens veilig te verzenden. Als zij hiervoor kiezen dan wordt de e-mail beveiligd met encryptie, tweefactorauthenticatie voor de ontvanger, intrekmogelijkheid en logging.

Dit zorgt ervoor dat gevoelige informatie wordt beveiligd, terwijl ongevoelige informatie toegankelijk is zonder extra frictie voor de ontvanger. Het algoritme heeft alleen impact op het proces van het verzenden van e-mails en raakt niet aan de materiële rechtspositie van burgers of bedrijven.

Afwegingen

Het gebruik van dit algoritme draagt er aan bij dat e-mails met het juiste niveau van beveiliging worden verstuurd. De classificatie van e-mails door middel van een algoritme is effectiever dan classificatie op basis van een door menselijke input samengestelde woordenlijst of classificatie door de verzender, terwijl tegelijkertijd het algoritme geen invloed heeft op de inhoud van een e-mail.

Menselijke tussenkomst

In beginsel maakt de gebruiker zelf de keuze om een e-mail wel of niet veilig te verzenden op basis van de aanbeveling door het algoritme. Het is ook mogelijk om de keuze om een e-mail wel of niet veilig te verzenden te automatiseren op basis van het algoritme. In dat geval kan een gebruiker er alsnog zelf voor kiezen om een e-mail expliciet veilig te verzenden.

Risicobeheer

De overall prestaties van het algoritme worden gemonitord door de leverancier. Als blijkt dat het algoritme vaker verkeerde classificaties maakt, wordt dit opgepikt door de monitoring, zodat aanpassingen aan het algoritme kunnen worden doorgevoerd. De woordenlijkst kan worden aangepast als blijkt dat bepaalde onderwerpen worden gemist, of juist onterecht worden aangemerkt als veilig te versturen.

Wettelijke basis

AVG artikel 32 en BIO (Baseline Informatiebeveiliging Overheid)

Links naar wettelijke basis

• BIO: https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/cybersecurity/bio-en-ensia/baseline-informatiebeveiliging-overheid/
• AVG art. 32: https://www.privacy-regulation.eu/nl/artikel-32-beveiliging-van-de-verwerking-EU-AVG.htm

Werking

Gegevens

• Afzender‑e‑mailadres
• Ontvanger‑e‑mailadressen (To, Cc, Bcc)
• Naam van de afzender en/of ontvanger (zoals opgenomen in het certificaat)
• E‑mailadres dat in het certificaat staat
• Organisatie‑/afdelings‑ID (indien opgenomen in het certificaat)
• Eventuele extra identificatoren die als “secure‑header” worden meegegeven (bijv. user‑ID, department‑ID)

(De feitelijke inhoud van de e‑mail – teksten, bijlagen, etc. – kan wel persoonsgegevens bevatten, maar deze worden alleen versleuteld en niet door het algoritme zelf verwerkt.)

Links naar gegevensbronnen

secumailer internetpagina: https://secumailer.nl/veilig-mailen/

Technische werking

Bij het samenstellen van een nieuwe e-mail wordt op basis van de termen in het bericht en de bijlagen gekeken hoe vergelijkbaar dit is met eerder (veilig of normaal) verzonden e-mails. Als de e-mail voldoende vergelijkbaar is met berichten die normaal gesproken veilig verzonden worden, wordt de e-mail als potentieel gevoelig gemarkeerd. Op basis van de terminologie in de e-mail wordt bepaald of deze relateert aan een specifieke categorie van gevoelige informatie, zoals medisch of juridisch. Op het moment dat de e-mail als gevoelig is geclassificeerd en over een onderwerp gaat waarvan de organisatie heeft ingesteld dat dit veilig verzonden moet worden, krijgt de gebruiker een aanbeveling om de e-mail veilig te verzenden. 

Leverancier

Secumailer