Een gekwalificeerde elektronische handtekening (QES) is het hoogste niveau van elektronische handtekening dat erkend wordt onder de eIDAS-verordening. Deze heeft dezelfde rechtsgevolgen als een handgeschreven handtekening in alle EU-lidstaten en is het enige handtekeningtype dat deze gelijkwaardigheid automatisch bij wet bereikt. Onder eIDAS 2.0 worden de regels rond het aanmaken en accepteren van QES bijgewerkt om nieuwe technologieën te weerspiegelen, waaronder de Europese Digitale Identiteitsportemonnee. Dit artikel behandelt de belangrijkste vragen die organisaties vandaag de dag moeten begrijpen over gekwalificeerde elektronische handtekeningen.

Hoe verschilt een gekwalificeerde elektronische handtekening van andere eIDAS-handtekeningtypen?

Een gekwalificeerde elektronische handtekening is de sterkste van de drie handtekeningtypen die zijn gedefinieerd onder eIDAS. De andere twee zijn eenvoudige elektronische handtekeningen (SES) en geavanceerde elektronische handtekeningen (AdES). Het belangrijkste verschil zit in het niveau van identiteitszekerheid, de technische vereisten en het wettelijke vermoeden dat aan elk type is verbonden.

Een eenvoudige elektronische handtekening is in wezen elke elektronische aanduiding van intentie, zoals het typen van uw naam in een formulier of het klikken op een “Ik ga akkoord”-knop. Deze biedt minimale beveiliging en beperkte juridische geldigheid. Een geavanceerde elektronische handtekening gaat verder: deze moet uniek gekoppeld zijn aan de ondertekenaar, in staat zijn hem of haar te identificeren, en aangemaakt zijn met gegevens die uitsluitend onder de controle van de ondertekenaar staan. Ze heeft echter niet automatisch dezelfde juridische waarde als een handgeschreven handtekening in alle lidstaten.

Een gekwalificeerde elektronische handtekening voegt nog een laag toe bovenop AdES: deze moet aangemaakt zijn met een gekwalificeerd aanmaakapparaat voor elektronische handtekeningen (QSCD) en gebaseerd zijn op een gekwalificeerd certificaat uitgegeven door een gekwalificeerde verlener van vertrouwensdiensten (QTSP) die is opgenomen in een EU-vertrouwenslijst. Deze combinatie geeft QES zijn automatische juridische gelijkwaardigheid aan een handgeschreven handtekening in de hele EU.

Welke juridische waarde heeft een gekwalificeerde elektronische handtekening onder eIDAS 2.0?

Onder de eIDAS-verordening heeft een gekwalificeerde elektronische handtekening dezelfde rechtsgevolgen als een handgeschreven handtekening in alle EU-lidstaten. Dit is geen vermoeden dat op louter technische gronden kan worden betwist. Geen enkele lidstaat mag weigeren een QES te erkennen die voldoet aan de vereisten van de verordening, waardoor deze uniek krachtig is voor grensoverschrijdende transacties.

Deze juridische gelijkwaardigheid is in de praktijk enorm belangrijk. Het betekent dat een contract ondertekend met een QES in Nederland juridisch bindend is in Duitsland, Frankrijk of elk ander EU-land, zonder dat aanvullende authenticatiestappen of lokale notariële bekrachtiging vereist zijn. Voor organisaties die grensoverschrijdend opereren, neemt dit een belangrijke bron van juridische onzekerheid weg.

eIDAS 2.0 versterkt en breidt dit kader uit. Het verzwakt de juridische status van QES niet, maar vergroot het ecosysteem waarin het kan worden gebruikt, met name door het te koppelen aan de Europese Digitale Identiteitsportemonnee. De verordening versterkt ook het toezicht op gekwalificeerde verleners van vertrouwensdiensten, wat de betrouwbaarheid en afdwingbaarheid van op QES gebaseerde transacties verder ondersteunt.

Wat zijn de vereisten voor het afgeven van een gekwalificeerde elektronische handtekening?

Het afgeven van een gekwalificeerde elektronische handtekening vereist het voldoen aan een specifieke reeks technische en regelgevende voorwaarden. Er moeten drie elementen aanwezig zijn: een gekwalificeerd certificaat, een gekwalificeerd aanmaakapparaat voor elektronische handtekeningen en een gekwalificeerde verlener van vertrouwensdiensten om het certificaat uit te geven.

• Gekwalificeerd certificaat: Dit is een digitaal certificaat dat de identiteit van de ondertekenaar koppelt aan een cryptografische sleutel. Het moet worden uitgegeven door een QTSP die is opgenomen in een EU-vertrouwenslijst en moet voldoen aan de vereisten van eIDAS, inclusief verificatie van de identiteit van de certificaathouder.
• Gekwalificeerd aanmaakapparaat voor elektronische handtekeningen (QSCD): Dit is een beveiligde hardware- of softwareomgeving waarin de privé-ondertekeningssleutel wordt opgeslagen en gebruikt. De sleutel mag het QSCD nooit in bruikbare vorm verlaten. Veelvoorkomende voorbeelden zijn hardware-beveiligingsmodules (HSM’s) en smartcards.
• Identiteitsverificatie: Voordat een gekwalificeerd certificaat kan worden afgegeven, moet de identiteit van de ondertekenaar worden geverifieerd op een hoog betrouwbaarheidsniveau. Dit omvat doorgaans verificatie in persoon of een gelijkwaardig op afstand uitgevoerd proces dat is goedgekeurd onder eIDAS.
• Gekwalificeerde verlener van vertrouwensdiensten (QTSP): Alleen een QTSP die officieel onder toezicht staat en is opgenomen in een nationale vertrouwenslijst, mag gekwalificeerde certificaten uitgeven. Deze aanbieders zijn onderworpen aan regelmatige audits en conformiteitsbeoordelingen.

Onder eIDAS 2.0 wordt het beheer op afstand van QSCD’s formeel erkend als een gekwalificeerde vertrouwensdienst. Dit betekent dat cloudgebaseerde ondertekeningsoplossingen nu onder bepaalde voorwaarden als QSCD’s kunnen worden gekwalificeerd, waardoor QES toegankelijker wordt zonder de beveiligingsgaranties te verminderen.

Voor welke toepassingen en documenten is een gekwalificeerde elektronische handtekening vereist?

Niet elk document vereist een gekwalificeerde elektronische handtekening, maar bepaalde juridische en regelgevende contexten vereisen dit expliciet of maken het de meest geschikte keuze. QES is doorgaans vereist of sterk aanbevolen wanneer de belangen groot zijn, de juridische afdwingbaarheid ondubbelzinnig moet zijn, of grensoverschrijdende erkenning essentieel is.

Veelvoorkomende toepassingen waarbij QES vereist of sterk aanbevolen is, zijn:

1. Contracten in de financiële sector: Het openen van rekeningen, leningsovereenkomsten en beleggingsmandaten vereisen vaak het hoogste niveau van handtekeningzekerheid om te voldoen aan KYC-, AML- en PSD2-verplichtingen.
2. Toestemming in de gezondheidszorg en farmaceutische sector: Documenten voor geïnformeerde toestemming, overeenkomsten voor klinische proeven en receptautorisaties in gereguleerde omgevingen profiteren van QES om juridische geldigheid en controleerbaarheid te waarborgen.
3. Transacties met overheid en publieke sector: Aanvragen voor officiële documenten, aanbestedingscontracten en overeenkomsten voor overheidsdiensten vereisen steeds vaker QES, met name in grensoverschrijdende contexten.
4. Arbeidscontracten: In verschillende EU-lidstaten moeten arbeidsovereenkomsten worden ondertekend met een juridisch gelijkwaardige handtekening, waardoor QES de aangewezen keuze is voor werving op afstand.
5. Vastgoed- en notariële akten: Sommige rechtsgebieden vereisen QES of een equivalent voor vastgoedtransacties, met name wanneer deze digitaal worden uitgevoerd.

Voor organisaties in de financiële sector of gezondheidszorg is het begrijpen van precies waar QES vereist is versus waar een lager handtekeningtype volstaat een belangrijk onderdeel van complianceplanning. QES gebruiken waar het niet vereist is, voegt onnodige wrijving toe, terwijl het gebruik van een handtekening van lagere kwaliteit waar QES vereist is juridisch risico met zich meebrengt.

Hoe verandert eIDAS 2.0 de manier waarop gekwalificeerde elektronische handtekeningen worden aangemaakt?

eIDAS 2.0 introduceert twee belangrijke wijzigingen in de manier waarop gekwalificeerde elektronische handtekeningen worden aangemaakt. Ten eerste erkent het formeel ondertekening op afstand met cloudgebaseerde QSCD’s als een gekwalificeerde vertrouwensdienst. Ten tweede integreert het de aanmaak van QES met de Europese Digitale Identiteitsportemonnee, waardoor burgers en bedrijven documenten rechtstreeks vanuit hun portemonnee kunnen ondertekenen.

Onder de oorspronkelijke eIDAS-verordening waren QSCD’s doorgaans fysieke apparaten zoals smartcards of USB-tokens. Hoewel ondertekening op afstand technisch mogelijk was, bevond het zich in een grijs gebied. eIDAS 2.0 lost dit op door het beheer op afstand van QSCD’s expliciet te classificeren als een gekwalificeerde vertrouwensdienst. Dit betekent dat een QTSP nu een ondertekeningssleutel namens een gebruiker kan hosten en beheren in een gecertificeerde cloudomgeving, en de resulterende handtekening nog steeds kwalificeert als een QES.

De koppeling met de EUDI-portemonnee is even belangrijk. Burgers kunnen hun portemonnee gebruiken om zichzelf te authenticeren en een gekwalificeerde handtekening te initiëren zonder dat een aparte smartcard of token nodig is. Voor organisaties betekent dit dat de gebruikerservaring van ondertekening met QES veel soepeler kan worden, terwijl de juridische en technische garanties volledig intact blijven. De portemonnee wordt in wezen de interface waarmee identiteit wordt geverifieerd en handtekeningen worden geautoriseerd.

Deze wijzigingen verlagen de drempel voor adoptie aanzienlijk. Cloudgebaseerde QES-oplossingen zijn eenvoudiger te integreren in digitale workflows, en ondertekening via de portemonnee vermindert de noodzaak voor gebruikers om fysieke apparaten te beheren. Organisaties die digitale identiteitsoplossingen verkennen, moeten deze wijzigingen nu meenemen in hun technologieplanning.

Hoe moeten organisaties zich voorbereiden op het accepteren en afgeven van gekwalificeerde elektronische handtekeningen?

Organisaties moeten beginnen met het voorbereiden op gekwalificeerde elektronische handtekeningen door hun bestaande ondertekeningsworkflows in kaart te brengen aan de hand van eIDAS-vereisten, te identificeren waar QES wettelijk vereist is, en een gekwalificeerde verlener van vertrouwensdiensten te selecteren die past bij hun technische en compliancebehoeften.

Een praktische voorbereidingsroutekaart ziet er als volgt uit:

1. Audit uw huidige ondertekeningsprocessen: Identificeer welke documenten en workflows vandaag elektronische handtekeningen gebruiken en beoordeel of het huidige handtekeningtype voldoet aan de wettelijke vereisten.
2. Bepaal waar QES vereist is: Werk samen met juridische en complianceteams om te verduidelijken welke transacties QES vereisen op grond van toepasselijke wetgeving, sectorale regelgeving of contractuele verplichtingen.
3. Selecteer een gekwalificeerde verlener van vertrouwensdiensten: Kies een QTSP die is opgenomen in een EU-vertrouwenslijst en wiens diensten aansluiten bij uw technische infrastructuur, volumevereisten en sectorspecifieke behoeften.
4. Plan voor integratie met de EUDI-portemonnee: Naarmate de portemonnee wordt uitgerold in de lidstaten, moeten organisaties beoordelen hoe hun ondertekeningsworkflows worden gekoppeld aan op portemonnee gebaseerde authenticatie en handtekeninginitiatie.
5. Werk uw audit- en registratieprocessen bij: QES vereist een volledige en langdurig verifieerbare audittrail. Zorg ervoor dat uw systemen ondertekende documenten kunnen opslaan en ophalen op een manier die hun juridische geldigheid in de loop van de tijd behoudt.
6. Train relevante teams: Compliance-, juridische, IT- en klantgerichte teams moeten allemaal begrijpen wat QES betekent, wanneer het te gebruiken en hoe ermee om te gaan in de praktijk.

Organisaties in de overheid en andere gereguleerde sectoren moeten ook de nationale omzetting van eIDAS 2.0 in de gaten houden, omdat lidstaten sectorspecifieke vereisten kunnen introduceren bovenop de EU-basislijn. Nauw contact houden met toezichthoudende richtlijnen en sectorale werkgroepen helpt organisaties veranderingen voor te blijven in plaats van erop te reageren.

Hoe TrustTech helpt met gekwalificeerde elektronische handtekeningen

TrustTech ondersteunt organisaties in elke fase van hun traject met gekwalificeerde elektronische handtekeningen, van eerste compliancebeoordeling tot volledige productie-implementatie. Of u nu QES wilt uitgeven, accepteren van tegenpartijen, of integreren in een bredere digitale identiteitsworkflow, TrustTech biedt de infrastructuur en expertise om het te laten werken.

Specifiek helpt TrustTech organisaties met:

• Aan identiteit gekoppelde ondertekening: Elke gekwalificeerde handtekening die via het platform van TrustTech wordt uitgegeven, is cryptografisch gekoppeld aan een geverifieerde identiteit, waardoor een volledig en controleerbaar overzicht wordt gecreëerd van wie wat en wanneer heeft ondertekend.
• Gereedheid voor eIDAS 2.0: Het platform van TrustTech is gebouwd om te voldoen aan de vereisten van eIDAS 2.0, inclusief ondersteuning voor beheer van QSCD op afstand en integratie van de EUDI-portemonnee zodra deze beschikbaar komt.
• Herbruikbare compliance: In plaats van identiteitsverificatie te herhalen voor elke ondertekeningsgebeurtenis, stelt TrustTech organisaties in staat geverifieerde identiteitsgegevens opnieuw te gebruiken in workflows, waardoor wrijving wordt verminderd zonder de zekerheid in gevaar te brengen.
• Sectorspecifieke implementatie: TrustTech werkt met organisaties in de financiële sector, gezondheidszorg, overheid en andere gereguleerde sectoren, waarbij QES-workflows worden aangepast aan de specifieke juridische en operationele vereisten van elke sector.
• End-to-end ondersteuning: Van eerste verificatie tot definitieve handtekening verbindt TrustTech elke stap in één vertrouwd platform, met een implementatieaanpak die is ontworpen om in minder dan vijf maanden productie te bereiken.

Als uw organisatie klaar is om van het begrijpen van gekwalificeerde elektronische handtekeningen naar de implementatie ervan te gaan, neem dan contact op met TrustTech om uw specifieke situatie te bespreken en te ontdekken hoe we u kunnen helpen dit te bereiken.