Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) 910/2014 en introduceert een formeel juridisch kader voor gekwalificeerde elektronische archiveringsservices. Organisaties die juridisch relevante elektronische documenten opslaan, moeten nu voldoen aan specifieke technische en procedurele normen om te waarborgen dat die documenten geldig en betrouwbaar blijven in de loop van de tijd. Dit is een wezenlijke aanvulling op eIDAS 1.0, dat archivering niet definieerde als een gekwalificeerde vertrouwensdienst. Voor organisaties in gereguleerde sectoren heeft deze verandering directe gevolgen voor de manier waarop zij langetermijnbewaring van documenten, behoud van handtekeningen en compliancebewijs beheren.
Wat telt als conforme elektronische archivering onder eIDAS 2.0?
Onder eIDAS 2.0 betekent conforme elektronische archivering het opslaan van elektronische documenten en handtekeningen op een manier die hun juridische geldigheid, integriteit en authenticiteit op de lange termijn bewaart. Een gekwalificeerde elektronische archiveringsservice moet voldoen aan de referentienormen die zijn vastgelegd in de uitvoeringshandelingen van de Commissie die specifiek betrekking hebben op gekwalificeerde elektronische archiveringsservices, en de aanbieder moet worden vermeld op een nationale trusted list.
In de praktijk betekent dit dat het archiveringssysteem de betrouwbaarheid van documenten gedurende hun bewaartermijn actief moet handhaven. Belangrijke vereisten zijn onder meer:
- Het handhaven van de integriteit van gearchiveerde documenten zodat wijzigingen detecteerbaar zijn
- Het bewaren van de geldigheid van elektronische handtekeningen en zegels die aan die documenten zijn gekoppeld
- Ervoor zorgen dat documenten leesbaar en toegankelijk blijven, ook naarmate de technologie evolueert
- Het toepassen van tijdstempels en verlengingsmechanismen om de cryptografische geldigheid te verlengen
- Opereren onder toezicht van een nationale bevoegde autoriteit
Archivering die niet aan deze vereisten voldoet, kan documenten opslaan, maar kan hun juridische status na jaren of decennia niet garanderen. Voor organisaties die compliance moeten aantonen, geschillen moeten beslechten of audits moeten doorstaan, is dit een serieus risico.
Hoe verlengt eIDAS 2.0 de geldigheid van elektronische handtekeningen in de loop van de tijd?
eIDAS 2.0 pakt de langetermijngeldigheid van handtekeningen aan via gekwalificeerde bewaringsservices voor gekwalificeerde elektronische handtekeningen en zegels. Deze services werken door gearchiveerde handtekeningen periodiek opnieuw van een tijdstempel te voorzien voordat de onderliggende cryptografische algoritmen verlopen. Een handtekening die vandaag wordt aangemaakt, blijft daardoor jaren of zelfs decennia later juridisch verifieerbaar.
De uitdaging met elektronische handtekeningen is dat de cryptografische algoritmen waarop ze vertrouwen een beperkte levensduur hebben. Naarmate de rekenkracht toeneemt en algoritmen verouderd raken, kan een handtekening die geldig was op het moment van ondertekening technisch onverifieerbaar worden zonder actief onderhoud. Dit wordt soms het “crypto-agility”-probleem genoemd.
Gekwalificeerde bewaringsservices lossen dit op door bestaande handtekeningen te voorzien van nieuwe tijdstempels en geldigheidsbewijs voordat het oorspronkelijke algoritme verzwakt. Dit creëert een vertrouwensketen die de juridische status van de handtekening in de tijd verlengt. Voor organisaties die contracten, toestemmingen of documenten voor regelgevende indieningen archiveren, is dit mechanisme wat langetermijnrechtelijke geldigheid praktisch mogelijk maakt.
De uitvoeringshandelingen van de Commissie onder eIDAS 2.0 stellen de referentienormen vast die gekwalificeerde bewaringsservices moeten volgen. Daarmee hebben organisaties een duidelijke maatstaf om te beoordelen of hun archiveringsaanbieder daadwerkelijk langetermijnbehoud van handtekeningen ondersteunt, of enkel ondertekende documenten opslaat zonder actief onderhoud.
Wat is het verschil tussen een gekwalificeerde en een niet-gekwalificeerde elektronische archiveringsservice?
Het belangrijkste onderscheid is juridische status en verantwoordingsplicht. Een gekwalificeerde elektronische archiveringsservice wordt geleverd door een vertrouwensserviceaanbieder die is beoordeeld aan de hand van de vereisten van eIDAS 2.0, is opgenomen op een nationale trusted list en opereert onder voortdurend toezicht van een nationale autoriteit. Een niet-gekwalificeerde service heeft geen dergelijke formele erkenning en biedt geen vermoeden van juridische betrouwbaarheid onder EU-recht.
Dit verschil is van groot belang wanneer documenten als bewijs moeten worden gebruikt. Onder eIDAS 2.0 profiteren documenten die zijn bewaard door een gekwalificeerde archiveringsservice van een juridisch vermoeden van integriteit en authenticiteit. In een geschil of regelgevende audit vermindert dit vermoeden de bewijslast. Met een niet-gekwalificeerde service moeten organisaties meer moeite doen om aan te tonen dat hun gearchiveerde documenten intact en betrouwbaar zijn gebleven.
Er is ook een praktisch verschil in wat deze services daadwerkelijk doen. Gekwalificeerde aanbieders zijn verplicht specifieke technische normen te volgen voor formaatmigratie, tijdstempelverlenging en beheer van audittrails. Niet-gekwalificeerde aanbieders kunnen opslag en basistoegang bieden, maar zonder de gestructureerde bewaringsmechanismen die documenten juridisch geldig houden naarmate de technologie verandert.
Voor organisaties in de financiële dienstverlening of andere gereguleerde sectoren, waar documentbewaringsverplichting kan oplopen tot tien jaar of meer, is de keuze tussen gekwalificeerde en niet-gekwalificeerde archivering een compliance- en juridische risicobeslissing, niet alleen een technische.
Welke sectoren worden het meest getroffen door de nieuwe archiveringsverplichtingen?
De sectoren die het meest worden getroffen door de archiveringsverplichtingen van eIDAS 2.0 zijn die met langetermijnbewaarverplichtingen voor documenten, gecombineerd met een juridische noodzaak om authenticiteit en integriteit in de loop van de tijd aan te tonen. Dit omvat financiële dienstverlening, gezondheidszorg, farmaceutica, overheid en onderwijs.
Elke sector staat voor de uitdaging vanuit een iets andere invalshoek:
- Financiële dienstverlening en bankwezen: Contracten, KYC-dossiers en transactiedocumentatie moeten worden bewaard voor regelgevingsdoeleinden en juridisch geldig blijven voor geschillenbeslechting. De combinatie van AML-, PSD2- en eIDAS 2.0-verplichtingen maakt gekwalificeerde archivering een praktische noodzaak.
- Gezondheidszorg en farmaceutica: Patiënttoestemmingsregistraties, documentatie van klinische proeven en regelgevende indieningen hebben lange bewaartermijnen. De integriteit van deze documenten is cruciaal voor patiëntveiligheid, aansprakelijkheid en regelgevende audits. Organisaties in compliance in de gezondheidszorg staan hier onder bijzondere druk.
- Overheid en openbaar bestuur: Bestuurlijke beslissingen, aanbestedingsdossiers en officiële correspondentie moeten worden bewaard op een manier die transparantie en verantwoording ondersteunt. eIDAS 2.0 heeft directe gevolgen voor de manier waarop organisaties in de publieke sector hun digitale archieven beheren.
- Onderwijs en onderzoek: Academische kwalificaties, onderzoeksgegevens en institutionele dossiers bestaan steeds vaker als digitale documenten. Ervoor zorgen dat deze gedurende decennia verifieerbaar blijven, sluit direct aan bij het gekwalificeerde archiveringskader.
- Juridische en professionele dienstverlening: Notariële akten, juridische overeenkomsten en gecertificeerde documenten ondertekend met gekwalificeerde elektronische handtekeningen vereisen bewaringsservices die hun juridische status over jurisdicties en in de loop van de tijd handhaven.
In al deze sectoren is de gemeenschappelijke rode draad dat organisaties documenten bewaren omdat die documenten mogelijk iets moeten bewijzen, aan een toezichthouder, een rechtbank of een tegenpartij, vele jaren van nu af aan.
Hoe moeten organisaties hun archiveringsinfrastructuur voorbereiden op eIDAS 2.0?
Organisaties moeten beginnen met het auditeren van hun huidige archiveringspraktijken aan de hand van de gekwalificeerde archiveringsverplichtingen die zijn ingevoerd door eIDAS 2.0. Het doel is te bepalen of bestaande systemen de juridische geldigheid van documenten in de loop van de tijd actief bewaren, of enkel opslaan. Vervolgens omvat de voorbereiding het bijwerken van leveranciersrelaties, technische formaten en interne governanceprocessen.
Een gestructureerde aanpak helpt organisaties van audit naar actie te gaan. Praktische stappen zijn onder meer:
- In kaart brengen welke documenttypen langetermijnrechtelijke geldigheid vereisen en hoe lang ze moeten worden bewaard
- Beoordelen of huidige archiveringsaanbieders zijn opgenomen op een nationale trusted list onder eIDAS 2.0
- Beoordelen of bestaande systemen tijdstempelverlenging en formaatmigratie ondersteunen voor langetermijnbewaring
- Inkoopvereisten bijwerken om gekwalificeerde archivering te specificeren waar wettelijk vereist
- Archiveringsbeheer afstemmen op bredere kaders voor digitale identiteit en compliance van trust services
Het is ook relevant om te overwegen hoe archivering verbinding maakt met het bredere eIDAS 2.0-ecosysteem. Naarmate de EUDI-wallet-infrastructuur volwassener wordt, zullen meer documenten en attestaties digitaal worden uitgegeven en ondertekend. Organisaties die gekwalificeerde archivering nu in hun workflows integreren, zijn beter gepositioneerd om het groeiende volume van digitaal ondertekende documenten te verwerken dat via wallet-gebaseerde interacties binnenkomt.
Ten slotte moeten organisaties archivering niet behandelen als een op zichzelf staand technisch project. Het sluit direct aan op handtekeninginfrastructuur, identiteitsverificatieprocessen en vereisten voor audittrails. Het vroegtijdig afstemmen van deze elementen maakt compliance duurzamer en voorkomt kostbaar herstelwerk later. Voor organisaties die hun aanpak van digitale identiteit verkennen, is archivering een natuurlijk onderdeel van het bredere gesprek over vertrouwensinfrastructuur.
Hoe de ID Connector van TrustTech aansluit op elektronische archivering onder eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die gekwalificeerde archivering implementeren, sluit de ID Connector aan op de workflows die documenten en handtekeningen juridisch geldig houden. Concreet ondersteunt de ID Connector:
- Verificatie van attestaties tegen nationale trusted lists, zodat de herkomst van digitaal ondertekende documenten aantoonbaar is
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen die gegevens worden opgevraagd waarvoor de relying party is geregistreerd onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata in vervolgprocessen, waaronder het aanmaken van gekwalificeerde elektronische handtekeningen via een aangesloten QTSP
Voor organisaties in financiële dienstverlening, gezondheidszorg, farmaceutica en overheid, waar documentbewaringsverplichting lang is en juridische geldigheid aantoonbaar moet blijven, biedt de ID Connector een technische basis die aansluit op de gekwalificeerde archiveringsvereisten van eIDAS 2.0.
Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw archiveringsinfrastructuur en complianceverplichtingen onder eIDAS 2.0.