Wat is een gekwalificeerde elektronische handtekening onder eIDAS 2.0?

Een gekwalificeerde elektronische handtekening (QES) is het hoogste niveau van elektronische handtekening dat erkend wordt onder de eIDAS-verordening. Zij heeft op grond van artikel 25, lid 2, van Verordening (EU) nr. 910/2014 dezelfde rechtskracht als een handgeschreven handtekening in alle EU-lidstaten, en is het enige handtekeningtype dat deze gelijkwaardigheid automatisch bij wet bereikt. Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) 910/2014 en werkt de regels rond het aanmaken en accepteren van QES bij, onder meer door cloudgebaseerde ondertekening formeel te erkennen als gekwalificeerde vertrouwensdienst en door de koppeling met de EUDI-wallet te introduceren. Dit artikel behandelt de belangrijkste vragen die organisaties vandaag moeten begrijpen over gekwalificeerde elektronische handtekeningen.

Hoe verschilt een gekwalificeerde elektronische handtekening van andere eIDAS-handtekeningtypen?

Een gekwalificeerde elektronische handtekening is de sterkste van de drie handtekeningtypen die zijn gedefinieerd onder eIDAS. De andere twee zijn eenvoudige elektronische handtekeningen (SES) en geavanceerde elektronische handtekeningen (AdES). Het verschil zit in het niveau van identiteitszekerheid, de technische vereisten en het wettelijke vermoeden dat aan elk type is verbonden.

Een eenvoudige elektronische handtekening is in wezen elke elektronische aanduiding van intentie, zoals het typen van je naam in een formulier of het klikken op een “Ik ga akkoord”-knop. Deze biedt minimale beveiliging en beperkte juridische geldigheid. Een geavanceerde elektronische handtekening stelt hogere eisen: zij moet uniek gekoppeld zijn aan de ondertekenaar, geschikt zijn om de ondertekenaar te identificeren, aangemaakt zijn onder exclusieve controle van de ondertekenaar, en gekoppeld zijn aan de ondertekende gegevens zodat latere wijzigingen detecteerbaar zijn. Een AdES heeft echter niet automatisch dezelfde rechtskracht als een handgeschreven handtekening in alle lidstaten.

Een gekwalificeerde elektronische handtekening voegt daarbovenop aanvullende vereisten toe: zij moet aangemaakt zijn met een gekwalificeerd aanmaakapparaat voor elektronische handtekeningen (QSCD) en gebaseerd zijn op een gekwalificeerd certificaat uitgegeven door een gekwalificeerde verlener van vertrouwensdiensten (QTSP) die is opgenomen in een EU-vertrouwenslijst. Deze combinatie geeft QES zijn automatische juridische gelijkwaardigheid aan een handgeschreven handtekening in de hele EU, zoals vastgelegd in artikel 25, lid 2, van de verordening.

Welke juridische waarde heeft een gekwalificeerde elektronische handtekening onder eIDAS 2.0?

Op grond van artikel 25, lid 2, van de eIDAS-verordening heeft een gekwalificeerde elektronische handtekening dezelfde rechtskracht als een handgeschreven handtekening in alle EU-lidstaten. Dit is geen vermoeden dat op louter technische gronden kan worden betwist. Geen enkele lidstaat mag weigeren een QES te erkennen die voldoet aan de vereisten van de verordening, waardoor QES bijzonder sterk is voor grensoverschrijdende transacties.

In de praktijk betekent dit dat een contract ondertekend met een QES in Nederland juridisch bindend is in Duitsland, Frankrijk of elk ander EU-land, zonder dat aanvullende authenticatiestappen vereist zijn. Daarbij is een belangrijke kanttekening op zijn plaats: nationale vormvereisten blijven nationaal recht. eIDAS bepaalt de rechtskracht van de handtekening zelf, maar niet automatisch of iedere transactie daarmee rechtsgeldig kan worden gesloten. Voor bepaalde rechtshandelingen, zoals de overdracht van onroerend goed, kunnen lidstaten aanvullende formaliteiten vereisen die buiten het bereik van eIDAS vallen.

Verordening (EU) 2024/1183 verzwakt de juridische status van QES niet. De verordening vergroot het ecosysteem waarin QES kan worden gebruikt, met name door cloudgebaseerde ondertekening formeel te erkennen als gekwalificeerde vertrouwensdienst en door de koppeling met de EUDI-wallet te introduceren. Het toezicht op gekwalificeerde verleners van vertrouwensdiensten wordt verder aangescherpt, wat de betrouwbaarheid en afdwingbaarheid van op QES gebaseerde transacties ondersteunt.

Wat zijn de vereisten voor het afgeven van een gekwalificeerde elektronische handtekening?

Het afgeven van een gekwalificeerde elektronische handtekening vereist het voldoen aan een specifieke reeks technische en regelgevende voorwaarden. Er moeten drie elementen aanwezig zijn: een gekwalificeerd certificaat, een QSCD en een gekwalificeerde verlener van vertrouwensdiensten die het certificaat uitgeeft.

• Gekwalificeerd certificaat: Dit is een digitaal certificaat dat de identiteit van de ondertekenaar koppelt aan een cryptografische sleutel. Het moet worden uitgegeven door een QTSP die is opgenomen in een nationale trusted list conform ETSI TS 119 612, en moet voldoen aan de vereisten van eIDAS, inclusief verificatie van de identiteit van de certificaathouder op een hoog betrouwbaarheidsniveau.
• Gekwalificeerd aanmaakapparaat voor elektronische handtekeningen (QSCD): Dit is een beveiligde hardware- of softwareomgeving waarin de privé-ondertekeningssleutel wordt opgeslagen en gebruikt. De sleutel mag het QSCD nooit in bruikbare vorm verlaten. Veelvoorkomende voorbeelden zijn hardware-beveiligingsmodules (HSM’s) en smartcards.
• Identiteitsverificatie: Voordat een gekwalificeerd certificaat kan worden afgegeven, moet de identiteit van de ondertekenaar worden geverifieerd op een hoog betrouwbaarheidsniveau. Dit omvat doorgaans verificatie in persoon of een gelijkwaardig op afstand uitgevoerd proces dat is goedgekeurd onder eIDAS.
• Gekwalificeerde verlener van vertrouwensdiensten (QTSP): Alleen een QTSP die officieel onder toezicht staat en is opgenomen in een nationale trusted list, mag gekwalificeerde certificaten uitgeven. Deze aanbieders zijn onderworpen aan regelmatige audits en conformiteitsbeoordelingen.

Verordening (EU) 2024/1183 erkent het beheer op afstand van QSCD’s formeel als een gekwalificeerde vertrouwensdienst. Remote signing bestond al onder de oorspronkelijke eIDAS-verordening, maar bevond zich in een regelgevend grijs gebied. eIDAS 2.0 lost dit op door cloudgebaseerde ondertekeningsoplossingen expliciet te classificeren als gekwalificeerde vertrouwensdienst, mits zij voldoen aan de toepasselijke certificeringsvereisten. Dit maakt QES toegankelijker zonder de beveiligingsgaranties te verminderen.

Voor welke toepassingen en documenten is een gekwalificeerde elektronische handtekening vereist?

Niet elk document vereist een gekwalificeerde elektronische handtekening, maar bepaalde juridische en regelgevende contexten vereisen dit expliciet of maken het de meest geschikte keuze. QES is doorgaans vereist of sterk aanbevolen wanneer de belangen groot zijn, de juridische afdwingbaarheid ondubbelzinnig moet zijn, of grensoverschrijdende erkenning essentieel is.

Veelvoorkomende toepassingen waarbij QES vereist of sterk aanbevolen is:

1. Contracten in de financiële sector: Het openen van rekeningen, leningsovereenkomsten en beleggingsmandaten vereisen vaak het hoogste niveau van handtekeningzekerheid om te voldoen aan KYC-, AML- en PSD2-verplichtingen. Hergebruik van KYC-gegevens wordt daarbij mede bepaald door AML-regelgeving, niet uitsluitend door eIDAS.
2. Toestemming in de gezondheidszorg en farmaceutische sector: Documenten voor geïnformeerde toestemming, overeenkomsten voor klinische proeven en receptautorisaties in gereguleerde omgevingen profiteren van QES om juridische geldigheid en controleerbaarheid te waarborgen.
3. Transacties met overheid en publieke sector: Aanvragen voor officiële documenten, aanbestedingscontracten en overeenkomsten voor overheidsdiensten vereisen steeds vaker QES, met name in grensoverschrijdende contexten.
4. Arbeidscontracten: In verschillende EU-lidstaten moeten arbeidsovereenkomsten worden ondertekend met een juridisch gelijkwaardige handtekening, waardoor QES de aangewezen keuze is voor werving op afstand.
5. Vastgoed- en notariële akten: Sommige rechtsgebieden vereisen QES of een equivalent voor vastgoedtransacties, met name wanneer deze digitaal worden uitgevoerd. Nationale vormvereisten kunnen aanvullende formaliteiten stellen die buiten het bereik van eIDAS vallen.

Voor organisaties in de financiële sector of gezondheidszorg is het bepalen waar QES wettelijk vereist is, en waar een lager handtekeningtype volstaat, een wezenlijk onderdeel van complianceplanning. QES inzetten waar het niet vereist is, voegt onnodige wrijving toe aan processen. Een handtekening van lagere kwaliteit gebruiken waar QES vereist is, brengt juridisch risico met zich mee.

Hoe verandert eIDAS 2.0 de manier waarop gekwalificeerde elektronische handtekeningen worden aangemaakt?

Verordening (EU) 2024/1183 brengt twee relevante wijzigingen aan in de manier waarop gekwalificeerde elektronische handtekeningen worden aangemaakt. Ten eerste erkent de verordening het beheer op afstand van QSCD’s formeel als een gekwalificeerde vertrouwensdienst. Ten tweede introduceert zij de koppeling van QES-aanmaak met de EUDI-wallet, waardoor burgers documenten rechtstreeks vanuit hun wallet kunnen ondertekenen.

Onder de oorspronkelijke eIDAS-verordening waren QSCD’s doorgaans fysieke apparaten zoals smartcards of USB-tokens. Remote signing was technisch mogelijk, maar bevond zich in een regelgevend grijs gebied. eIDAS 2.0 lost dit op door het beheer op afstand van QSCD’s expliciet te classificeren als een gekwalificeerde vertrouwensdienst. Dit betekent dat een QTSP een ondertekeningssleutel namens een gebruiker kan hosten en beheren in een gecertificeerde cloudomgeving, en de resulterende handtekening nog steeds kwalificeert als een QES, mits aan alle toepasselijke vereisten is voldaan.

De koppeling met de EUDI-wallet is een tweede relevante ontwikkeling. Burgers kunnen hun wallet gebruiken om zichzelf te authenticeren en een gekwalificeerde handtekening te initiëren, zonder dat een aparte smartcard of token nodig is. Bovendien bepaalt eIDAS 2.0 dat burgers voor niet-professioneel gebruik gratis een QES moeten kunnen gebruiken via de EUDI-wallet. Voor organisaties betekent dit dat de gebruikerservaring van ondertekening met QES aanzienlijk soepeler kan worden, terwijl de juridische en technische garanties volledig intact blijven.

Cloudgebaseerde QES-oplossingen zijn eenvoudiger te integreren in digitale workflows, en ondertekening via de wallet vermindert de noodzaak voor gebruikers om fysieke apparaten te beheren. Organisaties die digitale identiteitsoplossingen verkennen, moeten deze wijzigingen meenemen in hun technologieplanning.

Hoe moeten organisaties zich voorbereiden op het accepteren en afgeven van gekwalificeerde elektronische handtekeningen?

Organisaties beginnen het beste met het in kaart brengen van hun bestaande ondertekeningsworkflows aan de hand van eIDAS-vereisten, het identificeren waar QES wettelijk vereist is, en het selecteren van een gekwalificeerde verlener van vertrouwensdiensten die past bij hun technische en compliancebehoeften.

Een praktische voorbereidingsroutekaart ziet er als volgt uit:

1. Breng je huidige ondertekeningsprocessen in kaart: Identificeer welke documenten en workflows vandaag elektronische handtekeningen gebruiken en beoordeel of het huidige handtekeningtype voldoet aan de wettelijke vereisten.
2. Bepaal waar QES vereist is: Werk samen met juridische en complianceteams om te verduidelijken welke transacties QES vereisen op grond van toepasselijke wetgeving, sectorale regelgeving of contractuele verplichtingen.
3. Selecteer een gekwalificeerde verlener van vertrouwensdiensten: Kies een QTSP die is opgenomen in een nationale trusted list en wiens diensten aansluiten bij jouw technische infrastructuur, volumevereisten en sectorspecifieke behoeften.
4. Plan voor integratie met de EUDI-wallet: Uiterlijk op 24 december 2026 moet iedere EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, zoals banken, zorgaanbieders en telecombedrijven, geldt op grond van artikel 5f van de verordening een acceptatieplicht vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze acceptatieplicht uitgezonderd. De periode tot 24 december 2026 biedt private organisaties de gelegenheid om walletintegratie te testen voordat de eigen deadline van kracht wordt. Beoordeel tijdig hoe jouw ondertekeningsworkflows worden gekoppeld aan op wallet gebaseerde authenticatie en handtekeninginitiatie. Houd daarbij ook rekening met de registratieplicht onder CIR (EU) 2025/848 van 6 mei 2025: een relying party moet zich registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd.
5. Werk je audit- en registratieprocessen bij: QES vereist een volledige en langdurig verifieerbare audittrail. Zorg ervoor dat jouw systemen ondertekende documenten kunnen opslaan en ophalen op een manier die hun juridische geldigheid in de loop van de tijd behoudt.
6. Train relevante teams: Compliance-, juridische, IT- en klantgerichte teams moeten allemaal begrijpen wat QES betekent, wanneer het te gebruiken en hoe ermee om te gaan in de praktijk.

Organisaties in de overheid en andere gereguleerde sectoren moeten ook de nationale uitvoering van eIDAS 2.0 volgen, omdat lidstaten sectorspecifieke vereisten kunnen introduceren bovenop de EU-basislijn. Nauw contact houden met toezichthoudende richtlijnen en sectorale werkgroepen helpt organisaties veranderingen voor te blijven.

Hoe de ID Connector van TrustTech werkt bij gekwalificeerde elektronische handtekeningen

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die QES willen integreren in hun digitale workflows ondersteunt de ID Connector concreet de volgende functionaliteit:

• Verificatie tegen trusted lists: De ID Connector verifieert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list en de EU List of Trusted Lists (LOTL), conform ETSI TS 119 612.
• Controle van intrekkingsstatus: De ID Connector controleert de intrekkingsstatus van attestaties via de statusinformatie van de uitgever, zodat verlopen of ingetrokken credentials worden herkend.
• Validatie van de wallet unit attestation: De ID Connector valideert de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution.
• Bewaking van de geregistreerde attributenscope: Verzoeken om attributen worden getoetst aan de scope die is geregistreerd onder CIR (EU) 2025/848. Verzoeken buiten de geregistreerde scope worden niet doorgelaten.
• Hergebruik van geverifieerde identiteitsdata: Geverifieerde identiteitsgegevens kunnen worden hergebruikt binnen workflows, zodat identiteitsverificatie niet bij elke ondertekeningsgebeurtenis opnieuw hoeft te worden uitgevoerd.
• Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector ondersteunt de initiatie van een gekwalificeerde handtekening via een aangesloten QTSP. De QES zelf komt tot stand bij de QTSP, niet bij TrustTech.

De ID Connector is relevant voor organisaties in financial services, healthcare, pharma en government die genotificeerde EUDI-wallets willen accepteren als onderdeel van hun identificatie- of ondertekeningsproces, verplicht of vrijwillig.

Als jouw organisatie klaar is om van het begrijpen van gekwalificeerde elektronische handtekeningen naar de implementatie ervan te gaan, neem dan contact op met TrustTech om jouw specifieke situatie te bespreken en te ontdekken hoe de ID Connector daarin past.