Deze maatregel borgt dat relevante security gebeurtenissen in systemen van de deelnemers en de beheerorganisatie (zoals het verlenen van toestemming aan aanbieder door de persoon, het inzien of wijzigen van een PGO of het wijzigen aan loggen van gebruikers aan hun PGO) ten minste 12 maanden inzichtelijk blijven.

Logging MOET plaatsvinden zoals gespecificeerd in het afsprakenstelsel (zie Functies en gegevens, Core onder Logging)

Daarnaast MOETEN de volgende acties ten minste 12 maanden onweerlegbaar en controleerbaar worden gelogd: 

• De actie waarbij de persoon via de DVP bij de DVA gegevens wil opvragen

• De acties waarbij de persoon toestemming geeft voor de uitwisseling conform de specificaties in het afsprakenstelsel (indien uitgevoerd onder verantwoordelijkheid van de DVA)

A.12.4.1 Gebeurtenissen registreren

A.10.10.1 Aanmaken audit-logbestanden

A.10.10.2 Controle van systeemgebruik

Deze maatregel borgt dat relevante security gebeurtenissen in systemen van de deelnemers en de beheerorganisatie (zoals het verlenen van toestemming aan aanbieder door de persoon, het inzien of wijzigen van een PGO of het wijzigen aan loggen van gebruikers aan hun PGO) gelogd moeten worden.

• Toegangslog

  • Vanuit wettelijke verplichting richten deelnemers de logbestanden in zoals beschreven in de de AVG en NEN 7513:2018. De minister heeft hiervoor in het besluit WJZ, houdende vaststelling van een bewaartermijn voor logging een minimale termijn van vijf jaar vastgesteld. De volgende acties moeten ten minste onweerlegbaar en controleerbaar worden gelogd voor zowel een minimale als maximale periode van vijf jaar. Na afloop van de bewaartermijn moeten deze logbestanden worden vernietigd.

    • De acties waarbij de persoon via de DVP bij de DVA gegevens wil verzamelen of delen.

    • De acties waarbij de persoon toestemming geeft voor de uitwisseling conform de specificaties in het afsprakenstelsel (indien uitgevoerd onder verwerkingsverantwoordelijkheid van de DVA).

  • Specifiek voor DVA: Als de acties onderdeel zijn van het patiëntendossier, dan valt dit onder de verantwoordelijkheid van de zorgaanbieder waar mogelijk andere regels voor bewaartermijnen van toepassing zijn.

• Technische logs

  • De bewaartermijn voor technische logbestanden, zoals applicatie of service logs, hoeven niet aan vijf jaar termijn te voldoen. Deelnemers kunnen autonoom bepalen hoelang ze technische logs moeten bewaren op basis van best practices, zoals bijvoorbeeld beschreven in NIST SP 800-92 of CIS Control 6. Daarnaast kan een risicoanalyse de organisatie in staat stellen de bewaartermijn te bepalen die het beste past bij de specifieke behoeften en risico's van hun omgeving. Als richtlijn wordt vaak aanbevolen om technische logs ten minste één jaar te bewaren, aangezien dit cruciaal kan zijn voor het uitvoeren van een effectieve incident response en forensisch onderzoek.

• Ketenlog

  • Vanuit het afsprakenstelsel moeten deelnemer gebeurtenissen vastleggen ten behoeve van ketenmonitoring en -logging (Zie de Verantwoordelijkheden, core onder logging en de Logging interface) De bewaartermijn van de logbestanden is ten minste 24 maanden en niet meer dan 36 maanden. De maximum bewaartermijn voor de loggegevens voor ketenlog is lager omdat deze niet gegevens over inzage en/of bewerkingen van het medisch dossier betreffen en daardoor niet onder het Besluit WJZ, houdende vaststelling van een bewaartermijn voor logging.De minimale en maximale bewaartermijnen van deze logbestanden passen binnen de uitersten die daartoe zijn bepaald door NEN7513:2018 (paragraaf 8.5).

  • De maximum bewaartermijn van 36 maanden is niet van toepassing op aggregaten en algemene tellingen. Deze aggregaten en algemene tellingen mogen niet zijn voorzien van herleidbare gegevens zoals trace-id en session-id.

• Uitzondering

  • Wanneer er een klacht is ingediend of juridische procedure aanhangig is gemaakt door een deelnemer, VZVZ of Stichting MedMij kan er een uitzondering worden gemaakt op de bewaartermijnen. In een dergelijke situatie of wanneer een dergelijke situatie door zowel VZVZ als Stichting MedMij als aannemelijk wordt geacht, mogen de relevant geachte logregels en de relevante geachte rapportages tot maximaal 10 jaar na het ontstaan van de loggegevens worden bewaard. Praktische aanpak is om export te maken van de relevante logregels en deze informatie vast te leggen in een register dat specifiek is gewijd voor uitzonderingen. Door deze afzonderlijke procedure voor het verlengd bewaren van logregels, kunnen organisaties voldoen bij klachten, terwijl de reguliere bewaartermijnen van loggegevens worden gehandhaafd.

A.12.4.1 Gebeurtenissen registreren

A.10.10.1 Aanmaken audit-logbestanden

A.10.10.2 Controle van systeemgebruik