Door Tom van Bolhuis, PKIsigning.

Digitaal ondertekenen is voor veel kantoren een actueel item. Steeds meer processen verlopen digitaal en het steeds opnieuw moeten uitprinten en inscannen van PDF documenten om een handtekening te verkrijgen is inefficiënt en inmiddels overbodig.

Digitaal ondertekenen staat overal wel ergens op de agenda of men werkt er zelfs al mee. In beide gevallen merk ik dat er bij heel veel kantoren onduidelijkheid en verwarring heerst over het onderwerp. Vragen die als eerste naar voren komen zijn:

• welke niveaus zijn er?
• wanneer heb ik welk niveau nodig?
• bestaat daar wetgeving over of mag ik dat zelf bepalen?

Als je alleen offertes en contracten ondertekent met je klanten is dat misschien niet zo’n issue, maar als je corebusiness het leveren van zekerheid is die voortvloeit uit een beroepstitel is dat wél een issue.

Drie vormen van digitaal ondertekenen
Op 1 juli 2016 is de Europese eIDAS-Verordening in werking getreden. In die Verordening wordt onderscheid gemaakt tussen drie vormen van digitaal (elektronisch) ondertekenen:

1. De normale digitale handtekening;
2. De geavanceerde elektronische handtekening;
3. De gekwalificeerde elektronische handtekening.

Ad 1. De normale digitale handtekening
Dit is de simpelste vorm van digitaal ondertekenen en bestaat uit niet meer dan een plaatje van je handtekening onder een document, of zelfs alleen je naam.

Ad 2. De geavanceerde elektronische handtekening
Deze vorm van elektronisch ondertekenen moet voldoen aan de volgende eigenschappen:

1. de handtekening is op unieke wijze aan de ondertekenaar verbonden;
2. de handtekening maakt het mogelijk de ondertekenaar te identificeren;
3. de handtekening komt tot stand met gegevens voor het aanmaken van elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken;
4. de handtekening is op zodanige wijze aan de daarmee ondertekende gegevens verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.

Ad 3. De gekwalificeerde elektronische handtekening
Dit is het hoogste niveau van elektronisch ondertekenen en moet voldoen aan de volgende eisen:

1. de handtekening is aangemaakt door een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen;
2. de handtekening is gebaseerd op een gekwalificeerd persoonlijk certificaat, uitgegeven door een gekwalificeerde verlener van vertrouwensdiensten in de EU.

Alle bovenstaande niveaus zijn in Europa rechtsgeldig. Dat wil zeggen dat ze als bewijs in een rechtszaak gebruikt mogen worden. Dat betekent niet dat in alle gevallen wordt aangenomen dat de handtekening ook daadwerkelijk door de ondertekenaar is gezet, met andere woorden: dat deze authentiek is. Voor de normale digitale handtekening en de geavanceerde elektronische handtekening geld dat jij als ondertekenaar de authenticiteit van de handtekening moet kunnen bewijzen.

Alleen de authenticiteit van een gekwalificeerde elektronische handtekening wordt aangenomen, net zoals bij de natte handtekening op papier.

Niet waterdicht
Ik durf te stellen dat 99% van alle digitale handtekeningen van het laagste niveau zijn, dus niet geavanceerd of gekwalificeerd elektronisch. Dat komt omdat voor deze twee niveaus een persoonsgebonden certificaat nodig is en daar beschikken slechts weinigen over. Om dit probleem op te lossen voegen ondertekenoplossingen extra waarborgen toe aan de normale digitale handtekening in de vorm van een identiteitscontrole van de ondertekenaar op basis van een emailadres, mobiel nummer of een ander persoonlijk gegeven. Dit geeft de handtekening een hogere bewijskracht dan als er alleen een plaatje in een document wordt geplakt maar het is beslist niet waterdicht, omdat het uitgaat van de betrouwbaarheid van de ondertekenoplossing die de identiteitscontrole heeft uitgevoerd.

Persoonsgebonden
Persoonsgebonden certificaten zijn van een heel ander niveau. Een geavanceerd persoonlijk certificaat kun je online verkrijgen bij een verlener van vertrouwensdiensten na het overleggen van een identiteitsbewijs. Een gekwalificeerd persoonlijk certificaat wordt pas uitgegeven na een fysieke identiteitscontrole en mag ook alleen uitgegeven worden door een gekwalificeerde verlener van vertrouwensdiensten. Het is in beide gevallen de (gekwalificeerde) verlener van vertrouwensdiensten als uitgever van het certificaat die de identiteit van de ondertekenaar waarborgt.

Soorten certificaten
Persoonlijk gekwalificeerde certificaten zijn er op Europees niveau en op landelijk niveau. In Nederland kennen we de PKIoverheid certificaten van Logius. Deze zijn grofweg te verdelen in systeemcertificaten voor authenticatie bij overheidsdiensten en persoonlijke certificaten voor authenticatie, versleuteling en ondertekenen van documenten. Deze laatste categorie is weer te verdelen in drie verschillende typen certificaten, te weten:

1. organisatiecertificaten; ondertekenen vanuit een bepaalde organisatie.
2. beroepscertificaten; ondertekenen vanuit een beroepstitel.
3. burgercertificaten; ondertekenen op alleen op persoonlijke titel. 

Binnen de accountancy wordt het beroepscertificaat meer en meer gemeengoed, een ontwikkeling die de zekerheid en betrouwbaarheid van de beroepsgroep als geheel alleen maar ten goede komt. Fiscalisten kunnen hetzelfde niveau van vertrouwen bieden door een persoonlijk organisatiecertificaat te gebruiken voor het ondertekenen van aangiften en brieven. Het zijn echter de burgercertificaten die nog nauwelijks gebruikt worden in Nederland waardoor de klant voorlopig met de normale digitale handtekening ondertekend als je als kantoor een digitale ondertekenoplossing gebruikt.

Dat lijkt een kwestie van tijd want het burgercertificaat vormt naar alle waarschijnlijkheid de basis van het digitale paspoort waarmee je straks toegang krijgt tot overheidsdiensten, maar ook de hypotheekakte bij de notaris kunt ondertekenen. Ook de techniek is inmiddels ver genoeg gevorderd om dit voor de gebruiker zo eenvoudig mogelijk aan te kunnen bieden. Alle seinen staan op groen, nu moeten we het er alleen nog over eens worden in Europa.

Blog door Tom van Bolhuis, PKIsigning.