EU-niveaus voor elektronische handtekeningen (eIDAS): wat is het verschil tussen een gewone, geavanceerde en gekwalificeerde handtekening?

De eIDAS-verordening van de EU definieert drie niveaus voor de elektronische handtekening: eenvoudig (SES), geavanceerd (AES) en gekwalificeerd (QES). In dit artikel leggen we in eenvoudige taal uit wat elk niveau betekent, wanneer welk niveau voldoende is en hoe een klein bedrijf deze in het dagelijks leven kan gebruiken.

Het basisidee van de eIDAS-verordening

eIDAS (electronic IDentification, Authentication and trust Services) is een EU-verordening die in 2016 van kracht werd. Het creëert gemeenschappelijke regels voor elektronische authenticatie en elektronische handtekeningen in alle EU-landen. In de praktijk betekent eIDAS het volgende: een elektronische handtekening kan in rechte niet worden afgewezen alleen omdat deze in elektronische vorm is. Dit geldt voor het hele EU-gebied. De verordening is in 2024 bijgewerkt (eIDAS 2.0), waarbij onder andere de EU Digital Identity Wallet (EUDI Wallet) en strengere eisen voor vertrouwensdiensten zijn geïntroduceerd.

SES – eenvoudige elektronische handtekening

SES is het eenvoudigste niveau van de handtekening. Het kan bijvoorbeeld zijn:

• Een naam getypt in een e-mail
• Aankruisen van 'Ik ga akkoord met de voorwaarden' in een online formulier
• Een getekende handtekening op een touchscreen

SES vereist geen afzonderlijke identiteitsverificatie. Het is voldoende in situaties met een laag risico en wanneer er al een vertrouwensrelatie is tussen de partijen. Wat betekent dit in de praktijk: als u een dienst van 500 euro verkoopt aan een kleine vaste klant en deze de bestelling per e-mail bevestigt, is dit een SES-handtekening. Deze is geldig, maar in geval van een geschil is de bewijskracht het zwakst.

AES – geavanceerde elektronische handtekening

AES vereist dat de ondertekenaar betrouwbaar is geïdentificeerd en de handtekening op zo'n manier aan hem is gekoppeld dat deze achteraf niet kan worden gewijzigd. In de praktijk betekent AES dat de ondertekenaar zich voorafgaand aan de handtekening authenticeert met bijvoorbeeld bankidentificatie, mobiele authenticatie of een vergelijkbare methode. AES voldoet aan vier vereisten:

1. De handtekening is op unieke wijze aan de ondertekenaar gekoppeld
2. De ondertekenaar is identificeerbaar
3. De ondertekenaar heeft exclusieve controle over de gegevens die worden gebruikt om de handtekening aan te maken
4. Wijzigingen in het document na de handtekening zijn detecteerbaar

Wat betekent dit in de praktijk: wanneer u een klantencontract via EpicSign ter ondertekening verstuurt en de klant zich authenticeert met bankidentificatie, dan is dit een AES-niveau handtekening. Voor de meeste commerciële contracten is dit ruim voldoende.

QES – gekwalificeerde (goedgekeurde) elektronische handtekening

QES is het sterkste niveau. In de EU-wetgeving wordt het direct gelijkgesteld aan een handgeschreven handtekening.\n\nQES vereist twee zaken:

1. Een certificaat (Qualified Certificate) uitgegeven door een goedgekeurde vertrouwensdienstverlener
2. Een goedgekeurd apparaat voor het creëren van handtekeningen (Qualified Signature Creation Device, QSCD)

De aanbieders van QES-handtekeningen zijn te vinden op de EU Trusted List – een officiële lijst waarop goedgekeurde vertrouwensdienstverleners staan geregistreerd. Elk EU-land onderhoudt zijn eigen lijst.\n\nWat dit in de praktijk betekent: QES is voornamelijk nodig wanneer de wet expliciet een schriftelijke vorm vereist (bijv. bepaalde vastgoedtransacties, officiële procedures) of wanneer de waarde en het risico van het contract bijzonder hoog zijn.

Wanneer volstaat welk niveau?

Voor een klein bedrijf hangt de keuze van het juiste niveau af van het risico en de waarde van het document:

Audit trail en bewijs

Elke elektronische handtekening laat een digitaal spoor achter, een audit trail. Het is digitaal bewijs van wie heeft ondertekend, wanneer en vandaar.\n\nEen goed geïmplementeerde audit trail bevat:

• Identificatiegegevens ondertekenaar (naam, e-mail, identificatiemethode)
• Tijdstempel (wanneer de handtekening is gezet)
• IP-adres en apparaatinformatie
• Digest (hash) van het document, die bewijst dat het document niet is gewijzigd na de handtekening

Praktisch voorbeeld: consultancybedrijf en contractbeheer

Een consultancybedrijf met drie medewerkers in Tampere sluit maandelijks 10 tot 15 klantenovereenkomsten. Voorheen werden de overeenkomsten geprint, ondertekend en gescand. Dit proces duurde 30-45 minuten per overeenkomst. De overstap naar een elektronische handtekening van AES-niveau met EpicSign veranderde het proces:

1. Contract wordt geüpload naar EpicSign (1 min)
2. Ondertekenaars worden toegevoegd en het ondertekenverzoek wordt verzonden (1 min)
3. Klant identificeert zich met bank-ID's en ondertekent (2 min)
4. Ondertekende overeenkomst wordt automatisch gearchiveerd (0 min)

Tijdsbesparing: ongeveer 2 uur per week. Bovendien is elke overeenkomst traceerbaar dankzij de audit trail.

Veelgestelde vragen

Bronnen

1. eIDAS-verordening (EU) nr. 910/2014 – betreffende elektronische identificatie en vertrouwensdiensten
2. Dienst voor Digitale en Bevolkingsgegevens (DVV) – Elektronische identificatie en vertrouwensdiensten
3. Traficom – Vertrouwensdiensten en elektronische handtekeningen
4. EU Trusted Lists – lijst van goedgekeurde vertrouwensdienstverleners

Dit artikel is algemeen van aard en vormt geen juridisch advies.