Compliance Statement

De digitale omgeving waarin organisaties opereren verandert in hoog tempo. Geopolitieke verhoudingen verschuiven, digitale afhankelijkheden nemen toe en Europa zet met de Digital Decade stevig in op digitale autonomie, veiligheid en betrouwbaarheid. Dit vertaalt zich in een groeiend aantal Europese kaders en verordeningen, zoals NIS2, DORA en de Data Act. Maar ook de herziening van eIDAS met de komst van de Europese digitale identiteit (EUDI-wallet).

Voor PKIsigning is deze ontwikkeling een bevestiging van een koers die wij sinds onze oprichting volgen. Wij zijn van oorsprong een EU-gericht bedrijf, met een sterke focus op Europese wet- en regelgeving rondom elektronische handtekeningen, identificatie, privacy en digitale zekerheid. Wij zijn ISO 27001:2022 gecertificeerd en nemen informatiebeveiliging zeer serieus.

Veranderende wet- en regelgeving wordt binnen PKIsigning structureel geanalyseerd. Deze analyses vinden plaats met betrokkenheid van het management en worden vertaald naar impact op onze organisatie, processen en productarchitectuur. Daarbij kijken wij niet alleen naar formele verplichtingen, maar ook naar bredere verwachtingen rondom governance, transparantie en ketenverantwoordelijkheid.

Ons uitgangspunt is dat organisaties alleen duurzaam kunnen digitaliseren als digitale processen juridisch houdbaar, technisch betrouwbaar, veilig en organisatorisch beheersbaar zijn.

1.Data-soevereiniteit

Data-soevereiniteit vormt een fundamenteel onderdeel van onze dienstverlening. PKIsigning maakt hierin bewuste en uitlegbare keuzes.

Ontwikkeling en beheer

Alle software van PKIsigning wordt in Nederland ontwikkeld en beheerd, in eigen regie. Dit betekent dat wij volledige zeggenschap houden over onze architectuur, ontwikkelprocessen en beveiligingsmaatregelen, zonder afhankelijkheid van offshore-ontwikkeling.

Opslag, versleuteling en bewaartermijnen

• Data wordt niet langer bewaard dan noodzakelijk voor het doel waarvoor deze is verwerkt.
• Gegevens en documenten worden versleuteld tijdens transport en opslag, volgens gangbare beveiligingsprincipes.
• Voor onze cloudinfrastructuur maken wij gebruik van Microsoft Azure waarbij data wordt opgeslagen in datacenters in Europa.
• Voor organisaties die maximale regie wensen, bieden wij de mogelijkheid om data op te slaan binnen de eigen tenant (bijvoorbeeld via Blob Storage).

Ketenverantwoordelijkheid

PKIsigning hanteert een zeer kritisch selectiebeleid voor subverwerkers en leveranciers. Wij geven daarbij altijd de voorkeur aan Europese partijen en beoordelen ketenpartners vooraf op transparantie, privacy, datalocatie en governance, passend bij onze rol richting klanten.

2. Visie op Artificial Intelligence

Artificial Intelligence (AI) versnelt digitale processen en vergroot de mogelijkheden voor automatisering en data-analyse. Tegelijkertijd neemt het belang toe van aantoonbare betrouwbaarheid, herkomst en integriteit van digitale gegevens — met name in gereguleerde sectoren zoals accountancy, finance en juridische dienstverlening.

PKIsigning ziet AI als een katalysator voor innovatie, mits deze wordt ingebed in betrouwbare en controleerbare digitale processen. Wij positioneren ons daarbij niet als AI-platform, maar als aanbieder van digitale zekerheden die juist in AI-gedreven workflows relevant zijn.

Onze oplossingen ondersteunen organisaties bij:

• het vaststellen van identiteiten, bijvoorbeeld via remote identificatie en gekwalificeerde elektronische handtekeningen;
• het beschermen en verzegelen van documenten en gegevens tegen ongewenste wijzigingen;
• het juridisch en technisch aantoonbaar maken van transacties en akkoordverklaringen.

3. NIS2, DORA en cyberweerbaarheid

De aanscherping van Europese cyberwetgeving benadrukt het belang van structurele digitale weerbaarheid, niet alleen bij primaire instellingen maar ook binnen hun leveranciersketens.

PKIsigning is reeds ingericht met aandacht voor onderwerpen die binnen de Europese Network and Information Security directive (NIS2), DORA en aanverwante wetgeving centraal staan, zoals:

• risicomanagement en periodieke evaluatie;
• vastgelegde processen voor incidentregistratie en opvolging;
• encryptie-beleid en beveiliging van gegevens;
• testen van digitale weerbaarheid;
• technische en organisatorische maatregelen gericht op continuïteit en weerbaarheid.

Wanneer PKIsigning in specifieke contexten als (kritieke) toeleverancier  wordt aangemerkt, zijn deze uitgangspunten richtinggevend en kan hier adequaat aan worden voldaan.

Daarnaast volgen wij actief de ontwikkelingen rondom de Nederlandse omzetting van NIS2-richtlijn in de Cyberbeveiligingswet (Cbw), gezien de impact op onze beveiligingsmaatregelen en ketenverantwoordelijkheid.

4. eIDAS2 en de Europese digitale identiteit

De herziening van eIDAS en de introductie van de Europese digitale identiteit hebben directe impact op elektronische ondertekening, identificatie en interoperabiliteit binnen Europa.

PKIsigning volgt de ontwikkelingen rondom eIDAS2 en de EUDI-wallet nauwgezet en stemt haar dienstverlening af op vastgestelde en aankomende uitvoeringswetgeving. Wij zijn betrokken bij initiatieven en overlegstructuren, waaronder TIP (Trusted Information Partners), en denken mee over governance en samenhang binnen de Nederlandse en Europese digitale identiteitsketen.

Hiermee willen wij bijdragen aan oplossingen die niet alleen technisch werken, maar ook bestuurlijk en juridisch houdbaar zijn.

5. Data Act

De Europese Data Act sluit aan bij onze visie op transparantie en regie voor klanten.

Binnen PKIsigning geldt dat:

• klanten toegang hebben tot hun data en deze kunnen meenemen naar een ander platform;
• er geen technische belemmeringen worden opgeworpen voor dataportabiliteit;
• API’s openbaar beschikbaar zijn;
• exit-afspraken en documentatie helder zijn vastgelegd.

Dit draagt bij aan keuzevrijheid en voorkomt ongewenste afhankelijkheden.

6. Kwaliteitsmanagement en risicobeheersing bij klanten

Bij steeds meer organisaties verschuift de aandacht naar risicogericht kwaliteitsmanagement, continuïteit en informatiebeveiliging. In sectoren zoals de accountancy vertaalt zich dit in kaders zoals SKM en interne beheersingsmodellen.

PKIsigning kan binnen dergelijke contexten worden ingezet als technische maatregel ter ondersteuning van:

• aantoonbare vastlegging van akkoord en ondertekening;
• borging van identiteit en integriteit van documenten;
• controleerbare audittrails binnen processen.

Wij positioneren ons hierbij nadrukkelijk als onderdeel van een bredere set aan organisatorische en procesmatige maatregelen, niet als vervanging daarvan.

~

Dit compliance statement  is geen statisch document, maar een weergave van uitgangspunten en keuzes die voortdurend worden herijkt op basis van nieuwe wetgeving, technologische ontwikkelingen en maatschappelijke verwachtingen.

Zo willen wij bijdragen aan digitale transformatie die niet alleen efficiënt is, maar ook veilig, betrouwbaar en verantwoord.