eIDAS: digitaal ondertekenen van certificaten en rapporten

eIDAS is de Europese verordening over elektronische handtekeningen en andere vertrouwensdiensten: Verordening (EU) nr. 910/2014, in 2024 gewijzigd door Verordening (EU) 2024/1183. Ze onderscheidt een gewone, een geavanceerde en een gekwalificeerde elektronische handtekening. Alleen de gekwalificeerde heeft volgens eIDAS zelf in de hele EU hetzelfde rechtsgevolg als een handgeschreven handtekening; een ingeplakte scan is hooguit een gewone.

Wat regelt eIDAS?

Verordening (EU) nr. 910/2014 van 23 juli 2014 is grotendeels sinds 1 juli 2016 van toepassing. Ze gaat over elektronische identificatie over de grens, zodat een erkend inlogmiddel uit de ene lidstaat ook bij overheidsdiensten in een andere lidstaat werkt, en over vertrouwensdiensten, zoals elektronische handtekeningen, zegels en tijdstempels. De wijziging door Verordening (EU) 2024/1183 is op 20 mei 2024 in werking getreden.

eIDAS zegt niet wanneer u moet tekenen, en ook niet met welke handtekening. De verordening laat Europese en nationale regels over contracten en vormvereisten, ook sectorspecifieke, uitdrukkelijk staan (artikel 2, lid 3). In Nederland regelt artikel 3:15a van het Burgerlijk Wetboek hoe een elektronische handtekening zich verhoudt tot een handgeschreven.

Gewone, geavanceerde en gekwalificeerde elektronische handtekening

Niveau	Wat het is	Voorbeeld	Rechtskracht
Gewoon	elektronische gegevens, gehecht aan of logisch verbonden met andere elektronische gegevens, die de ondertekenaar gebruikt om te tekenen (artikel 3, punt 10)	getypte naam onder een mail, ingeplakte scan, handtekening op een tablet	rechtsgevolg en bewijskracht mogen niet worden ontzegd alleen omdat hij elektronisch is (artikel 25, lid 1)
Geavanceerd	uniek verbonden met de ondertekenaar, identificeert hem, gezet met gegevens onder zijn uitsluitende controle, en elke latere wijziging van het document is op te sporen (artikel 26)	tekenen met een persoonlijk certificaat en een cryptografische sleutel	in Nederland dezelfde toets als bij gewoon (artikel 3:15a BW), maar identiteit en ongewijzigde inhoud zijn aantoonbaar
Gekwalificeerd	geavanceerd, gezet met een gekwalificeerd middel en gebaseerd op een gekwalificeerd certificaat (artikel 3, punt 12)	certificaat van een gekwalificeerde vertrouwensdienstverlener, sleutel op een gekwalificeerd middel, eventueel op afstand beheerd	hetzelfde rechtsgevolg als een handgeschreven handtekening (artikel 25, lid 2), erkend in alle lidstaten (artikel 24 bis)

Voor de gewone en de geavanceerde handtekening geldt in Nederland artikel 3:15a BW. Ze hebben dezelfde rechtsgevolgen als een handgeschreven handtekening, als de gebruikte methode voldoende betrouwbaar is gelet op het doel en alle omstandigheden. Bij een geschil komt het dus aan op die methode. Ontkent iemand stellig dat hij een onderhandse akte heeft getekend, dan levert die akte geen bewijs op zolang niet vaststaat van wie de handtekening komt (artikel 159, lid 2, Wetboek van Burgerlijke Rechtsvordering).

Het elektronisch zegel: ondertekenen namens het bedrijf

Een elektronische handtekening zet altijd een natuurlijke persoon. Voor een document dat van het bedrijf zelf komt, kent eIDAS het elektronisch zegel. Dat zijn gegevens die een rechtspersoon aan een document verbindt om de oorsprong en de integriteit te waarborgen (artikel 3, punten 24 en 25). Ook het zegel kent een gewoon, een geavanceerd en een gekwalificeerd niveau. Voor een gekwalificeerd elektronisch zegel geldt het vermoeden dat de gegevens niet zijn gewijzigd en dat de oorsprong juist is (artikel 35, lid 2).

Volgens de Europese Commissie kan een zegel dienen als bewijs dat een document door een bepaalde organisatie is uitgegeven. Eist een transactie een gekwalificeerd zegel, dan wordt een gekwalificeerde handtekening van een bevoegde vertegenwoordiger even goed aanvaard. Bij een inspectiecertificaat kunt u beide gebruiken: de inspecteur tekent voor wat hij heeft vastgesteld, en het bedrijf zegelt het certificaat.

Certificaten en inspectierapporten: wanneer volstaat een scan?

Een scan van een handgeschreven handtekening, als plaatje in een pdf geplakt, is hooguit een gewone elektronische handtekening. Het plaatje staat los van de inhoud: wie het bestand heeft, kan het kopiëren of de tekst erboven aanpassen zonder dat het zichtbaar is. Aan de eisen van artikel 26 voldoet het daarom niet.

Een scan kan volstaan als geen wet, contract of afnemer een vorm voorschrijft en het document bij een vaste opdrachtgever blijft die het zo accepteert. Er moet dan ook weinig van afhangen als iemand de echtheid betwist. Denk aan een tussentijds rapport of een interne notitie.

Een geavanceerde of gekwalificeerde handtekening, of een zegel, is verstandiger als:

• het contract, de kredietbrief of de koper een digitaal ondertekend of gekwalificeerd document eist; zo'n vormvereiste gaat voor;
• het certificaat door de keten gaat, van verkoper via bank naar koper, en elke partij moet kunnen nagaan dat er onderweg niets is veranderd;
• het document bewijs moet leveren bij een claim of in arbitrage;
• het tijdstip ertoe doet: voor een gekwalificeerd elektronisch tijdstempel geldt het vermoeden dat datum en tijd kloppen (artikel 41, lid 2).

Een onderhandse akte mag digitaal worden opgemaakt als degene voor wie zij bewijs levert, de inhoud kan opslaan (artikel 156a, lid 1, Rv). Dat opslaan moet de inhoud toegankelijk houden voor een periode die past bij het doel van de akte, en een ongewijzigde weergave mogelijk maken. Stuur een getekend certificaat daarom als vast bestand, bijvoorbeeld een pdf, en bewaar zelf ook een exemplaar. Dit artikel legt de regels uit; het is geen juridisch advies voor uw situatie.

Wat is een gekwalificeerde vertrouwensdienstverlener?

Een vertrouwensdienstverlener geeft onder meer certificaten voor handtekeningen en zegels uit, en valideert en bewaart ze. Gekwalificeerd is hij pas als de toezichthouder hem die status heeft gegeven (artikel 3, punt 20, en artikel 21). In Nederland houdt de Rijksinspectie Digitale Infrastructuur (RDI) toezicht. Een gekwalificeerde dienstverlener staat op de vertrouwenslijst van zijn lidstaat (artikel 22) en controleert de identiteit van wie een gekwalificeerd certificaat krijgt (artikel 24, lid 1).

Welke dienstverleners gekwalificeerd zijn, ziet u in het Trust Services Dashboard van de Europese Commissie, waarnaar de RDI verwijst. Toont Adobe Acrobat Reader bij een pdf in het handtekeningenpaneel dat het een gekwalificeerde elektronische handtekening volgens Verordening 910/2014 is, dan mag u daarvan uitgaan.

Wat verandert er met Verordening (EU) 2024/1183 (eIDAS 2)?

Voor handtekeningen verandert weinig. De eisen en rechtsgevolgen in de artikelen 25 en 26 zijn inhoudelijk gebleven; de wederzijdse erkenning staat nu in artikel 24 bis.

Nieuw is de Europese portemonnee voor digitale identiteit. Elke lidstaat moet er ten minste één aanbieden, binnen 24 maanden nadat de uitvoeringshandelingen daarvoor in werking zijn getreden (artikel 5 bis, lid 1). Met die portemonnee moet iedere natuurlijke persoon standaard en kosteloos een gekwalificeerde elektronische handtekening kunnen zetten. Lidstaten mogen dat gratis gebruik beperken tot niet-professionele doeleinden (artikel 5 bis, lid 5, onder g). Daarnaast komen er vertrouwensdiensten bij, zoals elektronische archivering en de elektronische attestering van attributen: een elektronisch bewijs van een eigenschap, hoedanigheid, recht of toestemming (artikel 3, punten 43 en 44).

Digitaal ondertekenen inbouwen in uw proces

De handtekening is het laatste moment in een keten van meetwaarden, rapport, controle en akkoord. Software kan het rapport opbouwen uit de ingevoerde gegevens, het ter controle voorleggen en na akkoord laten tekenen of zegelen via een gekwalificeerde dienstverlener die u kiest. De inspecteur of een bevoegde collega beslist; Operium is zelf geen vertrouwensdienstverlener.

Hoe zo'n stap in een bestaande omgeving past, leest u in software voor havenbedrijven en douane en maatwerk software laten maken. Hoe u de stappen verdeelt over regels, AI en mens, staat in processen automatiseren met AI. Een certificaat voor handtekeningen bevestigt ten minste de naam of een pseudoniem van de ondertekenaar (artikel 3, punt 14), en eIDAS laat de AVG onverlet (artikel 2, lid 4). Wat dat vraagt, leest u in AI en de AVG.

Wilt u weten waar in uw eigen proces een handtekening of zegel hoort? In de gratis QuickScan kijken we in twee werkdagen samen naar uw processen en wijzen we een eerste stap aan. Voor inspectiebedrijven en de haven is er Operium Harbor. Neem contact op.