Veilig ondertekenen: wat is het en wat is ervoor nodig?  

Digitale transacties en communicatie zijn de norm. Daarmee groeit ook het risico op fraude en misbruik van digitale handtekeningen. Veilig ondertekenen beschermt persoonlijke en zakelijke gegevens tegen die risico’s. In dit artikel lees je wat veilig ondertekenen inhoudt, welke niveaus er zijn en welke technologieën ervoor nodig zijn. 

Wat is veilig ondertekenen?

Veilig ondertekenen is het digitaal ondertekenen van documenten met een elektronische handtekening die voldoet aan vastgestelde beveiligingsnormen en standaarden. Het doel: zekerheid dat de handtekening niet vervalst kan worden en dat de identiteit van de ondertekenaar verifieerbaar is. 

Elektronische handtekeningen bestaan in drie niveaus, elk met een eigen mate van beveiliging en juridische erkenning. Welk niveau je nodig hebt, hangt onder andere af van het type document, de sector waarin je werkt en de specifieke eisen die gelden. 

Juridische kaders en regelgeving

De juridische basis voor elektronische handtekeningen in de Europese Unie is de eIDAS-verordening (Verordening (EU) nr. 910/2014 en aanvullend Verordening (EU) 2024/1183). Deze verordening biedt een gemeenschappelijk kader voor veilige elektronische interacties tussen burgers, bedrijven en overheden. 

Volgens eIDAS zijn er drie niveaus van elektronische handtekeningen: 

Eenvoudige elektronische handtekening

Het basisniveau, vaak gebruikt voor informele documenten. Denk aan een gescande handtekening of een vinkje in een formulier. De rechtsgeldigheid is beperkt. 

Geavanceerde elektronische handtekening (AES) 

Dit niveau stelt hogere eisen. De handtekening moet op unieke wijze gekoppeld zijn aan de ondertekenaar, en wijzigingen in het document moeten detecteerbaar zijn. De implementatiemethode bepaalt mede het rechtsgevolg. 

Gekwalificeerde elektronische handtekening (QES)

Het hoogste niveau. Een gekwalificeerde handtekening is gebaseerd op een gekwalificeerd certificaat en een gekwalificeerd middel voor het aanmaken van handtekeningen. Dit niveau is altijd rechtsgeldig en heeft in alle EU-lidstaten dezelfde juridische status. 

De geavanceerde elektronische handtekening: juridische nuance

De gekwalificeerde elektronische handtekening biedt volledige juridische zekerheid in alle lidstaten, omdat het een verifieerbare standaard is. Voor de geavanceerde elektronische handtekening geldt dat niet automatisch. 

In Nederland zijn in artikel 3:15a van het Burgerlijk Wetboek bepalingen opgenomen over de geavanceerde elektronische handtekening. Deze kán dezelfde status hebben als een handgeschreven handtekening, op voorwaarde dat de implementatie voldoende is. Of dat het geval is, hangt af van het doel en de omstandigheden.

Soms blijkt uit jurisprudentie dat de implementatie onvoldoende is, wat onzekerheid kan geven over de rechtsgeldigheid van deze vorm van handtekening. Meer over de wettelijke eisen aan geavanceerde elektronische handtekeningen lees je in deze publicatie van de Rijksinspectie Digitale Infrastructuur (RDI).

Technologische vereisten 

Veilig ondertekenen vereist de inzet van verschillende technologieën om de integriteit en authenticiteit van de handtekening te waarborgen. De belangrijkste vereisten:

Cryptografie

Cryptografische technieken versleutelen de handtekening en beschermen deze tegen vervalsing. Denk aan Public Key Infrastructure (PKI) en digitale certificaten. Bij PKI krijgt elke ondertekenaar een uniek sleutelpaar: een privésleutel om te ondertekenen en een publieke sleutel waarmee ontvangers de handtekening kunnen verifiëren. 

Hardware Security Modules (HSM’s)

HSM’s zijn speciale hardwareapparaten die cryptografische sleutels veilig opslaan en beheren. Ze bieden een hoog niveau van fysieke en logische beveiliging. Gekwalificeerde handtekeningen vereisen het gebruik van een gekwalificeerd middel, en HSM’s vervullen vaak die rol. 

Identiteitsverificatie

De identiteit van de ondertekenaar moet verifieerbaar zijn. Methoden hiervoor zijn biometrische verificatie, controle van (digitale) identiteitsbewijzen of tweefactorauthenticatie. Hoe meer verificatiestappen, hoe betrouwbaarder de handtekening. 

 Bewijslast en logging

Alle activiteiten en gebeurtenissen rondom de ondertekening worden geregistreerd. Deze registratie (de zogenaamde transactielog of ‘certificate of completion‘) zorgt voor transparantie en naleving van regelgeving. Het bewijs wordt bij het ondertekende document opgeslagen. 

Elektronische zegels (eSeals)

Elektronische zegels waarborgen de integriteit en oorsprong van een elektronisch document. Anders dan een handtekening, die aan een persoon gekoppeld is, is een eSeal gekoppeld aan een organisatie. Ze worden gebruikt om te bevestigen dat een document afkomstig is van een specifieke organisatie en niet gewijzigd is. 

Praktische toepassingen en uitdagingen

Veilig ondertekenen is relevant in vrijwel elke sector waar documenten juridische waarde hebben. Enkele voorbeelden:

Financiële dienstverlening

Financiële instellingen gebruiken elektronische handtekeningen voor het ondertekenen van contracten, leningsovereenkomsten en financiële rapportages.  

Gezondheidszorg

Elektronische handtekeningen worden gebruikt voor het ondertekenen van medische dossiers en toestemmingsformulieren voor patiënten. De vertrouwelijkheid van medische gegevens maakt een hoog beveiligingsniveau extra relevant. 

Juridische diensten

Advocaten en notarissen gebruiken elektronische handtekeningen voor juridische documenten, volmachten en overeenkomsten. Bij notariële aktes is vaak een gekwalificeerde handtekening vereist. 

Accountancy en audit

Accountants ondertekenen onder andere jaarrekeningen, terwijl auditors verklaringen en rapportages ondertekenen. Digitaal ondertekenen versnelt het proces en biedt een volledig controleerbare audit trail.

Is veilig ondertekenen ingewikkeld?

Veilig ondertekenen heeft bij sommige organisaties het imago van ‘moeilijk’ of ‘ingewikkeld’. Het zetten van een vinkje lijkt immers eenvoudiger dan het doorlopen van meerdere verificatiestappen. 

Ondanks dat veilig ondertekenen inhoudt dat er aandacht uitgaat naar juridische en technische aspecten, is het idee dat dit ingewikkeld is voor ondertekenaars achterhaald. Softwareleveranciers zoals PKIsigning hebben het mogelijk gemaakt om ook de meest veilige methoden op een eenvoudige manier aan te bieden. De complexiteit zit in de technologie achter de schermen, niet in de ervaring van de ondertekenaar. Zo heb je meer veiligheid met hetzelfde gemak. 

Meer bewust en kritisch zijn 

Veilig digitaal ondertekenen is juist een pré, omdat het identiteitsfraude en misbruik van elektronische handtekeningen voorkomt. Veilig ondertekenen is een essentieel onderdeel van moderne digitale transacties en communicatie. 

Het is van groot belang dat organisaties en individuen zich bewust zijn van de vereisten en mogelijkheden van veilig ondertekenen en de juiste maatregelen nemen om de integriteit en authenticiteit van hun elektronische handtekeningen te waarborgen. Dat is een kwestie van kritisch zijn en doortastend handelen.

Neem contact op met onze experts voor advies over het juiste ondertekenniveau voor jouw organisatie.