Wat zijn de eIDAS 2.0-vereisten voor gekwalificeerde elektronische handtekeningen?

Onder eIDAS 2.0 — de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt — moet een gekwalificeerde elektronische handtekening (QES) worden aangemaakt met een gekwalificeerd aanmaakapparaat voor elektronische handtekeningen (QSCD) en gebaseerd zijn op een gekwalificeerd certificaat dat is uitgegeven door een Gekwalificeerde Verlener van Vertrouwensdiensten (QTSP) die is opgenomen in de vertrouwenslijst van een EU-lidstaat. Dit maakt QES de hoogst juridisch erkende vorm van elektronische handtekening in de EU: op grond van artikel 25, lid 2, van de verordening heeft een QES dezelfde rechtskracht als een handgeschreven handtekening in alle lidstaten. De onderstaande secties geven een gedetailleerd overzicht van de specifieke vereisten, technische normen en praktische stappen die organisaties moeten kennen.

Hoe verschillen de eIDAS 2.0-vereisten van de oorspronkelijke eIDAS?

eIDAS 2.0 wijzigt de oorspronkelijke verordening en introduceert een aantal belangrijke updates die de lat voor gekwalificeerde elektronische handtekeningen hoger leggen. De kernrechtsdefinitie van QES blijft hetzelfde, maar de nieuwe verordening versterkt de vereisten voor verleners van vertrouwensdiensten, bevestigt op afstand bediende gekwalificeerde aanmaakapparaten voor handtekeningen als erkende categorie binnen het regelgevingskader, en sluit QES nauwer aan bij het ecosysteem van de EUDI-wallet.

De oorspronkelijke eIDAS-verordening, van kracht sinds 2016, stelde het juridisch kader vast voor elektronische handtekeningen, zegels en andere vertrouwensdiensten in de EU. Ze functioneerde redelijk goed voor grensoverschrijdende erkenning, maar liet hiaten bestaan. Niet elke lidstaat bouwde interoperabele digitale identiteitsinfrastructuur, en de private sector was grotendeels uitgesloten van het vertrouwensecosysteem.

eIDAS 2.0 pakt deze hiaten aan door:

• De EUDI-wallet te introduceren als erkend middel voor identiteitsverificatie en initiatie van handtekeningen
• Het toepassingsgebied van gekwalificeerde vertrouwensdiensten uit te breiden met nieuwe categorieën zoals elektronische archivering en elektronische grootboeken
• De toezichts- en certificeringsvereisten voor Gekwalificeerde Verleners van Vertrouwensdiensten te versterken
• Op afstand bediende gekwalificeerde aanmaakapparaten voor handtekeningen volledig in het regelgevingskader op te nemen
• De interoperabiliteit tussen nationale identiteitssystemen en vertrouwensdiensten te verbeteren

Voor organisaties die al gebruikmaken van QES onder de oorspronkelijke eIDAS betekent dit dat de onderliggende juridische geldigheid van bestaande handtekeningen niet wordt aangetast. Systemen en processen moeten echter mogelijk worden bijgewerkt om te blijven voldoen aan de nieuwe technische normen en toezichtsvereisten die van toepassing zijn.

Aan welke technische normen moet een gekwalificeerde elektronische handtekening voldoen?

Een gekwalificeerde elektronische handtekening onder eIDAS 2.0 moet voldoen aan vier technische kernvereisten: ze moet uniek zijn gekoppeld aan de ondertekenaar, ze moet in staat zijn de ondertekenaar te identificeren, ze moet worden aangemaakt met gegevens die uitsluitend onder de controle van de ondertekenaar staan, en elke latere wijziging van de ondertekende gegevens moet detecteerbaar zijn. Deze vier eisen gelden overigens ook voor een geavanceerde elektronische handtekening (AdES). Wat een QES daarbovenop onderscheidt, is het vereiste van een gekwalificeerd certificaat én een QSCD. De vereisten worden gehandhaafd via een combinatie van cryptografische technologie en gecertificeerde infrastructuur.

In de praktijk betekent dit dat een QES gebruikmaakt van een publieke-sleutelinfrastructuur (PKI). De ondertekenaar beschikt over een privésleutel, en de bijbehorende publieke sleutel is opgenomen in een gekwalificeerd certificaat. Wanneer een document wordt ondertekend, wordt een cryptografische hash gegenereerd en versleuteld met de privésleutel. Iedereen kan de handtekening verifiëren met behulp van het publieke certificaat, waarmee zowel de identiteit van de ondertekenaar als de integriteit van het document wordt bevestigd. Een volledige verificatie van een QES omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de QSCD-omgeving waarin de handtekening is aangemaakt. Alleen de eerste controle kan volledig offline plaatsvinden.

De Europese Commissie heeft een reeks uitvoeringshandelingen en referentienormen gepubliceerd die de specifieke technische vereisten in detail omschrijven. Deze hebben betrekking op onder meer:

• Formaten voor gekwalificeerde certificaten voor elektronische handtekeningen
• Gekwalificeerde validatiediensten voor QES
• Gekwalificeerde bewaardiensten om langetermijnverifiabiliteit te garanderen
• Protocollen en interfaces voor interoperabiliteit tussen vertrouwensdiensten
• Normen voor gekwalificeerde aanmaakapparaten voor elektronische handtekeningen (QSCD)

Deze normen zijn niet optioneel. Naleving van de referentienormen die zijn opgenomen in de uitvoeringshandelingen is wat een QES onderscheidt van een geavanceerde elektronische handtekening (AdES). Het is daarbij belangrijk onderscheid te maken tussen wat juridisch bindend is via de verordening en uitvoeringshandelingen, en wat technische uitwerking betreft via het Architecture and Reference Framework (ARF). Organisaties die QES integreren in hun werkprocessen dienen te verifiëren dat hun gekozen oplossing aansluit bij de relevante uitvoeringshandelingen onder eIDAS 2.0.

Wie is bevoegd om gekwalificeerde elektronische handtekeningen uit te geven onder eIDAS 2.0?

Alleen Gekwalificeerde Verleners van Vertrouwensdiensten (QTSPs) die officieel zijn opgenomen in de nationale vertrouwenslijst van een lidstaat, zijn bevoegd om de gekwalificeerde certificaten uit te geven die vereist zijn voor een QES. Deze aanbieders moeten een conformiteitsbeoordeling doorstaan die wordt uitgevoerd door een geaccrediteerde instantie en staan onder voortdurend toezicht van nationale toezichthoudende autoriteiten.

De status van QTSP is geen zelfverklaarde status. Het certificeringsproces omvat een rigoureuze audit aan de hand van de vereisten die zijn vastgelegd in eIDAS 2.0 en de bijbehorende uitvoeringshandelingen. Na certificering verschijnt een QTSP op de nationale trusted list, die openbaar toegankelijk en machineleesbaar is. Deze lijsten zijn opgesteld conform ETSI TS 119 612 en zijn via de EU List of Trusted Lists (LOTL) raadpleegbaar. Ze vormen de gezaghebbende bron voor het verifiëren of een verlener van vertrouwensdiensten daadwerkelijk gekwalificeerd is.

Onder eIDAS 2.0 kunnen QTSPs ook op afstand bediende QSCD’s aanbieden als gekwalificeerde vertrouwensdienst. Remote signing bestond al onder de oorspronkelijke eIDAS-verordening; eIDAS 2.0 verankert en versterkt dit kader verder. Dit stelt ondertekenaars in staat een QES aan te maken zonder dat zij een fysieke smartcard of USB-token nodig hebben. De privésleutel wordt in plaats daarvan veilig beheerd in een cloudgebaseerde omgeving die wordt geëxploiteerd door de QTSP, waarbij de ondertekenaar de exclusieve controle behoudt via sterke authenticatiemechanismen.

Voor organisaties die QES-oplossingen aanschaffen, is de praktische implicatie eenvoudig: verifieer altijd of jouw aanbieder voorkomt op de relevante nationale trusted list voordat je hun diensten inzet voor juridisch bindende handtekeningen.

Hoe beïnvloedt de EUDI-wallet gekwalificeerde elektronische handtekeningen?

De EUDI-wallet introduceert een nieuw kanaal waarmee gekwalificeerde elektronische handtekeningen kunnen worden geïnitieerd en afgeleverd. Onder eIDAS 2.0 kan de EUDI-wallet de geverifieerde identiteitskenmerken van een persoon opslaan en deze koppelen aan gekwalificeerde handtekeningdiensten. Bovendien verplicht de verordening dat burgers via de EUDI-wallet voor niet-professioneel gebruik gratis een QES kunnen aanmaken. Dit maakt het eenvoudiger om documenten te ondertekenen met een QES rechtstreeks vanaf een mobiel apparaat, zonder afzonderlijke hardwaretokens.

Dit is een significante verschuiving in gebruikerservaring. Voorheen vereiste QES doorgaans een fysiek ondertekeningsapparaat of een afzonderlijke authenticatiestap via de eigen interface van een QTSP. De EUDI-wallet vereenvoudigt dit door te fungeren als een vertrouwde identiteitscontainer die al is gekoppeld aan de geverifieerde nationale identiteit van een persoon. Wanneer een handtekening nodig is, kan de wallet de gebruiker authenticeren en het aanmaakproces van de handtekening starten via een verbonden QTSP.

Voor organisaties betekent dit dat de gebruikerservaring rondom QES aanzienlijk zal verbeteren. Klanten en medewerkers hoeven geen afzonderlijke certificaten of tokens meer te beheren. De wallet verzorgt de identiteitsverificatie, en die geverifieerde identiteit kan worden hergebruikt in verschillende ondertekeningsscenario’s. Dit sluit aan bij de bredere doelstelling van eIDAS 2.0 om de drempel bij digitale interacties te verlagen, terwijl het hoogste niveau van vertrouwen en rechtszekerheid wordt gehandhaafd.

Lidstaten zijn wettelijk verplicht EUDI-wallets uiterlijk op 24 december 2026 beschikbaar te stellen aan burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor organisaties in gereguleerde private sectoren, zoals banken, zorg en telecom, geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze private acceptatieplicht uitgezonderd. Naarmate de adoptie van de wallet groeit, zullen organisaties die QES-workflows integreren die compatibel zijn met het EUDI-wallet-ecosysteem beter gepositioneerd zijn voor schaalbaar digitaal ondertekenen over de grenzen heen.

Zijn gekwalificeerde elektronische handtekeningen uit andere EU-lidstaten juridisch geldig?

Ja. Onder eIDAS 2.0 moet een gekwalificeerde elektronische handtekening die is uitgegeven in één EU-lidstaat juridisch worden erkend in alle andere lidstaten. Deze grensoverschrijdende erkenning is een van de kernbeginselen van het eIDAS-kader en is van toepassing zonder aanvullende vereisten of formaliteiten van het ontvangende land.

Deze wederzijdse erkenning maakt QES werkelijk bruikbaar voor grensoverschrijdend zakendoen. Een contract ondertekend met een QES die is uitgegeven door een QTSP in Duitsland heeft dezelfde rechtskracht in Frankrijk, Nederland of een andere EU-lidstaat als in Duitsland zelf. Organisaties die actief zijn in meerdere rechtsgebieden kunnen vertrouwen op één QES-oplossing in plaats van landspecifieke ondertekeningsprocessen te beheren.

Er zijn twee belangrijke praktische overwegingen. Ten eerste: de QES moet gebaseerd zijn op een gekwalificeerd certificaat van een aanbieder die voorkomt op de nationale trusted list. Als de uitgevende QTSP niet is opgenomen in de lijst, komt de handtekening niet in aanmerking voor automatische grensoverschrijdende erkenning. Ten tweede: eIDAS 2.0 regelt de rechtskracht van de handtekening, maar nationale vormvereisten blijven nationaal recht. Of een specifieke transactie rechtsgeldig kan worden gesloten via een QES, hangt mede af van het toepasselijke nationale recht. Controleer de nationale trusted list daarom vóór het selecteren van een aanbieder: dit is geen formaliteit, maar een juridische vereiste.

Voor sectoren zoals financiële dienstverlening of gezondheidszorg, waar grensoverschrijdende transacties en naleving van regelgeving hand in hand gaan, vermindert deze wederzijdse erkenning de juridische complexiteit en de kosten van het beheren van meerdere lokale ondertekeningsoplossingen aanzienlijk.

Wat moeten organisaties doen om te voldoen aan de eIDAS 2.0 QES-vereisten?

Om te voldoen aan de eIDAS 2.0 QES-vereisten moeten organisaties verifiëren dat hun oplossing voor elektronische handtekeningen gebruikmaakt van certificaten van een geregistreerde QTSP, voldoet aan de huidige technische referentienormen, en correct is geïntegreerd in hun workflows voor identiteitsverificatie en documentbeheer. Compliance is geen eenmalige gebeurtenis, maar een voortdurende verantwoordelijkheid naarmate uitvoeringshandelingen blijven worden bijgewerkt.

Een praktische compliancechecklist omvat de volgende stappen:

1. Controleer jouw huidige ondertekeningsoplossing: Ga na of jouw huidige aanbieder is opgenomen in de nationale trusted list en of hun dienst kwalificeert als een QES onder eIDAS 2.0.
2. Beoordeel jouw identiteitsverificatieproces: QES vereist een geverifieerde identiteit. Zorg ervoor dat jouw onboarding- of identiteitscontroleproces voldoet aan het zekerheidsniveau dat vereist is voor de uitgifte van gekwalificeerde certificaten.
3. Stem af op de huidige technische normen: Bekijk de uitvoeringshandelingen en referentienormen die relevant zijn voor jouw gebruikssituatie, inclusief die welke betrekking hebben op certificaatformaten, validatie en bewaring. Maak daarbij onderscheid tussen wat juridisch bindend is via de verordening en uitvoeringshandelingen, en wat technische uitwerking betreft via het ARF.
4. Bereid je voor op EUDI-wallet-integratie: Naarmate de adoptie van de wallet groeit, plan je hoe jouw ondertekeningsworkflows verbinding maken met op wallet gebaseerde identiteitskenmerken.
5. Zorg voor een audittrail: Zorg ervoor dat elk ondertekend document vergezeld gaat van een volledig en verifieerbaar overzicht van de ondertekeningsgebeurtenis, inclusief identiteitsverificatiegegevens en een tijdstempel.
6. Volg regelgevingsupdates: eIDAS 2.0 gaat gepaard met een groot aantal uitvoeringshandelingen die nog worden afgerond. Wijs de verantwoordelijkheid voor het bijhouden van deze updates toe binnen jouw complianceteam.

Organisaties in gereguleerde sectoren worden geconfronteerd met extra complexiteit, omdat QES-vereisten samenkomen met andere regelgeving zoals de AVG, AML, KYC en sectorspecifieke regels. Hergebruik van KYC-verificatie wordt daarbij mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Een gecoördineerde aanpak die identiteit, compliance en ondertekening behandelt als een verbonden workflow is effectiever dan elk vereiste afzonderlijk te behandelen.

Hoe ondersteunt de ID Connector van TrustTech QES-integratie onder eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor organisaties die QES inzetten of willen inzetten, voert de ID Connector de volgende technische taken uit:

• Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever van een attestatie of certificaat tegen de relevante nationale trusted list via de EU List of Trusted Lists (LOTL), conform ETSI TS 119 612.
• Controle van intrekkingsstatus: Per ondertekeningsgebeurtenis wordt de intrekkingsstatus van het gekwalificeerde certificaat gecontroleerd via de statusinformatie van de uitgevende QTSP.
• Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet instance draait op een gecertificeerde wallet solution, zodat de cryptografische omgeving van de ondertekenaar voldoet aan de QSCD-vereisten voor remote signing.
• Bewaking van de geregistreerde attributenscope: Verzoeken om identiteitsattributen worden getoetst aan de scope die is geregistreerd onder CIR (EU) 2025/848. Verzoeken buiten de geregistreerde scope worden geblokkeerd voordat ze de wallet bereiken.
• Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde identiteitskenmerken kunnen worden hergebruikt in opeenvolgende ondertekeningsscenario’s, zonder dat de gebruiker opnieuw een volledig verificatieproces doorloopt.
• Gekwalificeerd tekenen via een aangesloten QTSP: De ID Connector koppelt de wallet-identiteit aan een verbonden QTSP voor de aanmaak van de QES. TrustTech geeft zelf geen QES uit; de handtekening komt tot stand via de gekwalificeerde vertrouwensdienst van de aanbieder.

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar QES-vereisten samenkomen met strikte identiteits- en complianceverplichtingen. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw ondertekenings- en identiteitsworkflows.