eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183, scherpt de regels rondom elektronische handtekeningen in contracten binnen de Europese Unie aanzienlijk aan. De verordening, die op 20 mei 2024 in werking trad, introduceert strengere vereisten voor identiteitsverificatie bij het ondertekenen, breidt de juridische erkenning over grenzen heen uit en koppelt elektronische handtekeningen expliciet aan geverifieerde digitale identiteiten via de EUDI-wallet. Of je nu actief bent in de financiële sector, de gezondheidszorg of de overheid: inzicht in deze wijzigingen helpt je compliant te blijven en jouw contractprocessen soepel te laten verlopen.
Welke wijzigingen brengt eIDAS 2.0 voor elektronische handtekeningniveaus?
Verordening (EU) 2024/1183 wijzigt Verordening (EU) nr. 910/2014. De basisstructuur van drie handtekeningniveaus blijft behouden, maar de verordening voegt strengere eisen voor identiteitsverificatie toe en introduceert de EUDI-wallet als onderdeel van het ondertekeningsecosysteem.
Een van de meest ingrijpende veranderingen is dat elektronische handtekeningen nu expliciet worden gekoppeld aan geverifieerde identiteitsgegevens. Onder de oorspronkelijke verordening was de koppeling tussen een handtekening en een bevestigde identiteit soms zwak. Onder eIDAS 2.0 moeten gekwalificeerde elektronische handtekeningen worden aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen (QSCD) en gebaseerd zijn op een gekwalificeerd certificaat. Via de EUDI-wallet kunnen burgers geverifieerde identiteitsattributen presenteren bij het ondertekenen, wat handtekeningen betrouwbaarder en beter controleerbaar maakt.
De verordening breidt haar toepassingsgebied ook uit naar de private sector. Voorheen richtte eIDAS zich voornamelijk op publieke diensten. Bepaalde gereguleerde private organisaties, zoals banken, zorgverleners en telecomaanbieders, krijgen op grond van artikel 5f van de verordening een acceptatieplicht voor genotificeerde EUDI-wallets, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, gelden uitzonderingen op deze verplichtingen.
Zijn digitale handtekeningen in contracten nog steeds rechtsgeldig onder eIDAS 2.0?
Ja, digitale handtekeningen in contracten blijven volledig rechtsgeldig onder eIDAS 2.0. Een gekwalificeerde elektronische handtekening (QES) heeft op grond van artikel 25, lid 2, van de verordening hetzelfde rechtsgevolg als een handgeschreven handtekening in alle EU-lidstaten.
Wat verandert zijn de vereisten waaraan organisaties moeten voldoen om handtekeningen correct toe te passen. Contracten ondertekend met een QES zijn juridisch bindend in de gehele EU. Geavanceerde elektronische handtekeningen (AdES) zijn ook rechtsgeldig, maar kunnen aanvullend bewijs vereisen om het rechtsgevolg bij een geschil vast te stellen. Hierbij is het belangrijk te benoemen dat nationale vormvereisten nationaal recht blijven: eIDAS bepaalt de rechtskracht van elektronische handtekeningen, maar niet automatisch of iedere transactie daarmee rechtsgeldig kan worden gesloten.
Voor organisaties die al elektronische handtekeningen gebruiken in hun contracten is de kernvraag of hun huidige opzet voldoet aan de bijgewerkte identiteits- en vertrouwensdienstenvereisten. Als jouw handtekeningen worden uitgegeven door een Gekwalificeerde Verlener van Vertrouwensdiensten (QTSP) die op de nationale trusted list staat, voldoe je aan de basiseisen. Zo niet, dan is het verstandig jouw huidige aanpak te herzien voordat de nalevingsvereisten strenger worden gehandhaafd.
Hoe beïnvloedt de EUDI-wallet de manier waarop contracten worden ondertekend?
De EUDI-wallet verandert de manier waarop ondertekenaars hun identiteit bewijzen voor en tijdens het ondertekeningsproces. In plaats van afzonderlijke identiteitsverificatiestappen te doorlopen, kunnen gebruikers met de EUDI-wallet geverifieerde identiteitsattributen rechtstreeks presenteren vanuit een vertrouwde, door de overheid ondersteunde bron bij het digitaal ondertekenen van een contract.
In de praktijk betekent dit dat het ondertekeningsproces sneller en veiliger kan worden. Een gebruiker opent de EUDI-wallet, bevestigt zijn identiteit met geverifieerde attestaties en plaatst een gekwalificeerde elektronische handtekening op een contract. De identiteit is al geverifieerd en cryptografisch gekoppeld aan de handtekening via de wallet unit, de wallet instance samen met de beveiligde cryptografische componenten. Privésleutels van attestaties kunnen het beveiligde middel niet verlaten.
Voor organisaties vermindert dit de wrijving bij onboarding en contractworkflows. Het creëert ook een volledig auditspoor, omdat elke handtekening is gekoppeld aan een bevestigde identiteit en een verifieerbare attestatie. Dit is bijzonder nuttig in gereguleerde sectoren waar het bewijzen van wie wat en wanneer heeft ondertekend een wettelijke vereiste is. De EUDI-wallet moet burgers bovendien de mogelijkheid bieden om voor niet-professioneel gebruik gratis een QES te gebruiken. Het ondertekenen van contracten is een van de kerngebruikscases die worden uitgerold in EU-lidstaten als onderdeel van de grootschalige EUDI-walletuitrol, met als deadline voor wallet-uitgifte en publieke acceptatie 24 december 2026.
Wat is het verschil tussen geavanceerde en gekwalificeerde elektronische handtekeningen?
Het belangrijkste verschil tussen een geavanceerde elektronische handtekening (AdES) en een gekwalificeerde elektronische handtekening (QES) is het niveau van identiteitszekerheid en het juridisch gewicht dat ze dragen. Een QES heeft op grond van artikel 25, lid 2, hetzelfde rechtsgevolg als een handgeschreven handtekening in de gehele EU. Een AdES is rechtsgeldig, maar kan aanvullend bewijs vereisen om het rechtsgevolg bij een geschil vast te stellen.
Hier volgt een duidelijk overzicht van beide niveaus:
- Geavanceerde Elektronische Handtekening (AdES): Uniek gekoppeld aan de ondertekenaar, geschikt om de ondertekenaar te identificeren, aangemaakt onder exclusieve controle van de ondertekenaar, en gekoppeld aan het ondertekende document op een manier die eventuele latere wijzigingen detecteerbaar maakt. Er is geen gekwalificeerd certificaat of een QTSP vereist.
- Gekwalificeerde Elektronische Handtekening (QES): Voldoet aan alle vier de vereisten van een geavanceerde handtekening, maar wordt bovendien aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen (QSCD) en is gebaseerd op een gekwalificeerd certificaat uitgegeven door een QTSP. Dit niveau draagt de sterkste juridische veronderstelling van authenticiteit.
Voor contracten met een hoog belang, zoals financiële overeenkomsten, arbeidscontracten of toestemmingsformulieren in de gezondheidszorg, is een QES de aanbevolen keuze. Voor documenten met een lager risico of interne goedkeuringen kan een AdES voldoende zijn, afhankelijk van de risicotolerantie van jouw organisatie en de toepasselijke wettelijke vereisten. Houd er rekening mee dat nationale vormvereisten kunnen voorschrijven welk handtekeningniveau voor een specifieke transactie vereist is.
Welke sectoren worden het meest beïnvloed door de handtekeningregels van eIDAS 2.0?
De sectoren die het meest worden beïnvloed door de handtekeningregels van eIDAS 2.0 zijn die sectoren die afhankelijk zijn van vertrouwde, juridisch bindende digitale contracten en opereren onder strenge regelgevingskaders. Financiële dienstverlening, gezondheidszorg, overheid, telecom en energie ondervinden de meest significante veranderingen, maar de impact strekt zich uit over elke sector waar identiteitsverificatie en contractintegriteit cruciaal zijn.
In financiële dienstverlening raakt eIDAS 2.0 aan bestaande vereisten onder PSD2, AML en KYC-regelgeving. Banken en andere financiële instellingen moeten ervoor zorgen dat hun digitale ondertekeningsprocessen zijn afgestemd op de bijgewerkte identiteitsverificatienormen, met name bij het onboarden van klanten of het op afstand uitvoeren van hoogwaardige overeenkomsten. Hergebruik van KYC-gegevens via de wallet wordt mede bepaald door AML-regelgeving en sectorale regels, en vereist een zelfstandige juridische grondslag.
In de gezondheidszorg moeten toestemmingsformulieren, behandelingsovereenkomsten en gegevensdelingscontracten steeds vaker voldoen aan de normen voor gekwalificeerde handtekeningen. De mogelijkheid om een handtekening te koppelen aan een geverifieerde patiënt- of beroepsidentiteit is zowel een nalevingsvereiste als een overweging voor patiëntveiligheid. Voor gezondheidsgegevens moet naast een AVG-grondslag ook een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Bij de overheid moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. De deadline hiervoor is 24 december 2026. Dit schept zowel een nalevingsverplichting als een kans om burgergerichte diensten te moderniseren.
Telecom, energie, onderwijs, transport en andere gereguleerde sectoren worden ook beïnvloed, met name waar grensoverschrijdende overeenkomsten, onderzoekscontracten of verificatie van beroepskwalificaties aan de orde zijn. Voor beroepskwalificaties geldt dat de wallet gegevens kan dragen, maar dat de juridische erkenningsgrondslag volgt uit Richtlijn 2005/36/EG. Voor gereguleerde private partijen in de relevante sectoren geldt op grond van artikel 5f van de verordening een acceptatieplicht voor de EUDI-wallet vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn van deze verplichting uitgezonderd.
Hoe moeten organisaties hun contractondertekeningsprocessen aanpassen voor eIDAS 2.0?
Organisaties moeten beginnen met het auditeren van hun huidige elektronische handtekeningopzet om te bepalen of deze voldoet aan de eIDAS 2.0-vereisten. De belangrijkste stappen zijn ervoor zorgen dat handtekeningen worden uitgegeven door een QTSP die op de nationale trusted list staat, dat identiteitsverificatie voldoet aan het vereiste zekerheidsniveau en dat de ondertekeningsworkflow compatibel is met de EUDI-wallet.
Hier volgt een praktische volgorde om jouw updateproces te begeleiden:
- Auditeer jouw huidige handtekeningniveau: Bepaal of jouw organisatie momenteel eenvoudige, geavanceerde of gekwalificeerde elektronische handtekeningen gebruikt en beoordeel of het niveau overeenkomt met de wettelijke vereisten van jouw contracten, inclusief eventuele nationale vormvereisten.
- Beoordeel jouw verlener van vertrouwensdiensten: Bevestig dat jouw aanbieder van elektronische handtekeningen op de nationale trusted list staat als QTSP. Zo niet, dan is overstappen naar een conforme aanbieder een prioriteit.
- Koppel identiteitsverificatie aan ondertekeningsworkflows: Zorg ervoor dat identiteitscontrole is geïntegreerd in jouw ondertekeningsproces en niet als een afzonderlijke stap wordt behandeld. Onder eIDAS 2.0 moet de koppeling tussen identiteit en handtekening duidelijk en controleerbaar zijn.
- Bereid je voor op EUDI-walletcompatibiliteit: Naarmate de EUDI-wallet het primaire identiteitsmechanisme in de EU wordt, moeten jouw ondertekeningsworkflows in staat zijn op wallet gebaseerde identiteitsattributen te accepteren. Organisaties die als relying party optreden, moeten zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 voordat walletdata kan worden opgevraagd. Voor gereguleerde private partijen geldt de deadline van 24 december 2027 wanneer artikel 5f van toepassing is.
- Werk jouw nalevingsdocumentatie bij: Herzie jouw gegevensverwerkingsovereenkomsten, toestemmingsstromen en auditspoorprocessen om de bijgewerkte eIDAS 2.0-vereisten te weerspiegelen. Houd daarbij rekening met het onderscheid tussen goedkeuring van gegevensdeling in de wallet en AVG-toestemming als rechtsgrond: een zelfstandige AVG-grondslag voor de verwerking blijft vereist.
Door deze stappen vroegtijdig te doorlopen, geef je jouw organisatie de tijd om wijzigingen te testen, trainingen te geven en te integreren voordat strengere handhavingstermijnen van kracht worden. Verken de TrustTech-resources voor diepgaandere begeleiding bij de implementatie.
Hoe de ID Connector van TrustTech helpt bij eIDAS 2.0 digitale handtekeningen
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Dit is wat de ID Connector doet voor jouw contractondertekeningsproces:
- Verificatie tegen nationale trusted lists op basis van de nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists, zodat de uitgever van een attestatie betrouwbaar kan worden vastgesteld
- Controle van intrekkingsstatus via statusinformatie van de uitgever, als onderdeel van een volledige verificatieflow naast handtekeningverificatie en validatie van de wallet unit attestation
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen de attributen worden opgevraagd die zijn vastgelegd in de registratie op grond van CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata, zodat gebruikers hun identiteit niet bij elke ondertekening opnieuw hoeven te bewijzen
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt via een gekwalificeerde verlener van vertrouwensdiensten
De ID Connector is relevant voor financiële dienstverleners die digitale ondertekeningsprocessen willen afstemmen op eIDAS 2.0 en AML-vereisten, voor zorginstellingen die toestemmingsformulieren en behandelingsovereenkomsten willen koppelen aan geverifieerde patiënt- of beroepsidentiteiten, en voor publieke instanties die hun digitale dienstverlening willen inrichten op de acceptatieplicht van 24 december 2026.
Als je wilt begrijpen hoe jouw huidige contractondertekeningsproces zich verhoudt tot de eIDAS 2.0-vereisten, of als je klaar bent om te beginnen met het bouwen van een conforme digitale ondertekeningsinfrastructuur, neem dan contact op met TrustTech.