Hoe kunnen elektronische handtekeningen veilig worden gebruikt in uw organisatie?

Een vervalste goedkeuring, een niet nagekomen contract of een handtekening die een auditor een jaar later niet kan verifiëren, kost veel meer dan de minuut die het kost om op 'ondertekenen' te klikken. Elektronische handtekeningen zijn vrijwel overal rechtsgeldig, maar 'rechtsgeldig' en 'veilig genoeg voor dit specifieke document' zijn twee verschillende zaken. Deze handleiding beschrijft hoe elektronische handtekeningen in de praktijk werken, wat de ESIGN Act, UETA en eIDAS vereisen, en de checklist die uw organisatie nodig heeft om ze te implementeren zonder audit- of fraudeproblemen te veroorzaken.

Key Takeaways

• Elektronische handtekeningen zijn wettelijk bindend in de VS op grond van de ESIGN Act (2000) en de UETA (1999), en in de EU op grond van de eIDAS-verordening, Verordening (EU) nr. 910/2014, die van toepassing is sinds 1 juli 2016.
• Niet elke elektronische handtekening biedt dezelfde beveiliging of juridische waarde. eIDAS onderscheidt drie categorieën: eenvoudige (SES), geavanceerde (AES) en gekwalificeerde (QES) elektronische handtekeningen.
• Een digitale handtekening is een cryptografische subcategorie van elektronische handtekeningen, gebouwd op Public Key Infrastructure (PKI) en standaarden zoals PAdES, XAdES en CAdES, en vormt de basis van AES en QES.
• eIDAS 2.0 (Verordening (EU) 2024/1183), die sinds 20 mei 2024 van kracht is, introduceert de EU Digital Identity Wallet (EUDI-wallet), waarbij de uitrol naar de lidstaten en de bijgewerkte verplichtingen inzake gekwalificeerde vertrouwensdiensten gefaseerd worden ingevoerd tot en met 2026.
• Slecht geïmplementeerde workflows voor elektronische handtekeningen creëren reële risico's: vervalste goedkeuringen, niet-nagekomen contracten en mislukte audits. Dit alles kan worden voorkomen door een gedocumenteerd verificatie- en beveiligingsproces.

Gepubliceerd: mei 2022. Bijgewerkt: augustus 2026. Beoordeeld door het PKI-team van Encryption Consulting.

Wat is een elektronische handtekening en wat is het verschil met een digitale handtekening?

Een elektronische handtekening (e-handtekening) is elk elektronisch geluid, symbool of proces dat is gekoppeld aan of logisch verbonden is met een document, en dat door een persoon wordt toegepast met de bedoeling het te ondertekenen. Deze definitie, afkomstig uit de Amerikaanse ESIGN Act en UETA, is opzettelijk breed. Het omvat een getypte naam, een aangevinkt selectievakje, een geüploade afbeelding van een handgeschreven handtekening en een volledig door PKI ondersteund digitaal handtekeningcertificaat.

Een digitale handtekening is een specifiek, cryptografisch beveiligd type elektronische handtekening. Deze maakt gebruik van een privésleutel die in het bezit is van de ondertekenaar en een openbaar sleutelcertificaat dat is uitgegeven door een certificeringsinstantie (CA) binnen een Public Key Infrastructure (PKI). Hiermee wordt bewezen wie een document heeft ondertekend en worden eventuele wijzigingen na ondertekening wiskundig gedetecteerd. Elke digitale handtekening is een elektronische handtekening, maar de meeste elektronische handtekeningen (een getypte naam, een aangevinkt vakje) zijn geen digitale handtekeningen.

Een 'natte handtekening' is de traditionele handtekening met pen en inkt op papier. Deze handtekening biedt geen bescherming tegen manipulatie en is volledig afhankelijk van het fysiek bezit van het document en, in geval van een geschil, van handschriftanalyse.

Digitale handtekening

• Het document wordt cryptografisch versleuteld; elke wijziging na ondertekening is detecteerbaar.
• Ondersteund door een PKI-certificaat uitgegeven door een certificeringsinstantie.
• Geïmplementeerd via standaarden zoals PAdES, XAdES en CAdES.

elektronische handtekening

• Legt de intentie en toestemming van de ondertekenaar vast, maar niet noodzakelijkerwijs de integriteit van het document.
• Afhankelijk van het gekozen niveau van de digitale handtekening kan PKI al dan niet worden gebruikt.
• Dit omvat methoden zoals het typen van namen, ondertekenen met een muisklik, verificatie via een OTP (One-Time Password) en biometrische authenticatie.

Welke wetten en normen zijn van toepassing op elektronische handtekeningen?

De geldigheid van elektronische handtekeningen is niet alleen een technologische kwestie; deze wordt bepaald door wet- en regelgeving, en de eisen verschillen tussen de VS en de EU.

• UETA (1999) en de ESIGN Act (2000), Verenigde Staten: De Uniform Electronic Transactions Act, die door bijna alle Amerikaanse staten is aangenomen, en de federale ESIGN Act bepalen samen dat een contract, handtekening of document niet rechtsgeldig mag worden verklaard enkel omdat het in elektronische vorm is vastgelegd. Beide wetten vereisen dat de ondertekenaar de intentie heeft om te tekenen, instemt met het elektronisch afhandelen van transacties, een verband legt tussen de handtekening en het document, en het document nauwkeurig kan bewaren en reproduceren.
• eIDAS-verordening, Europese Unie: Verordening (EU) nr. 910/2014, van toepassing sinds 1 juli 2016, verving de eerdere richtlijn inzake elektronische handtekeningen uit 1999 en creëerde een uniform EU-breed juridisch kader. Deze verordening definieert drie niveaus van elektronische handtekeningen en stelt "gekwalificeerde" vertrouwensdienstverleners vast, wier handtekeningen het sterkste juridische vermoeden van gelijkwaardigheid aan een handgeschreven handtekening genieten.
• eIDAS 2.0, van kracht sinds 20 mei 2024: Verordening (EU) 2024/1183 breidt het oorspronkelijke kader uit met de introductie van de Europese digitale identiteitswallet (EUDI-wallet). Lidstaten voeren de toegang tot de wallet en de bijgewerkte verplichtingen inzake gekwalificeerde vertrouwensdiensten geleidelijk uit tot en met 2026. Organisaties die documenten ondertekenen met EU-tegenpartijen dienen deze uitrol te volgen, aangezien dit van invloed is op welke ondertekeningsgegevens grensoverschrijdend worden erkend.
• PAdES, XAdES en CAdES: Deze technische standaarden van ETSI (PAdES is gepubliceerd als ETSI EN 319 142) definiëren hoe een geavanceerde of gekwalificeerde elektronische handtekening daadwerkelijk wordt geconstrueerd voor PDF-, XML- en CMS-gebaseerde documenten, zodat deze voldoet aan de AES- en QES-vereisten van eIDAS. Het zijn geen optionele opmaakkeuzes; ze bepalen of een handtekening jaren na ondertekening nog steeds verifieerbaar is.

Welke technologieën en platforms komen in aanmerking voor elektronische handtekeningen binnen uw organisatie?

Voordat u een beleid opstelt, is het belangrijk te weten wat er in uw omgeving precies onder 'elektronische handtekening' valt. Deze categorie omvat namelijk een breed scala aan beveiligingsniveaus.

• Hulpmiddelen voor ondertekenen met een muisklik en het typen van de naam: Een selectievakje, een getypte naam of een gescande afbeelding van een handtekening zonder cryptografische zegel. Dit valt onder de categorie Eenvoudige Elektronische Handtekening (SES).
• Commerciële platforms voor elektronische handtekeningen: tools die de identiteit van de ondertekenaar verifiëren via e-maillinks, eenmalige toegangscodes of biometrie en een auditlogboek bijhouden. Afhankelijk van de configuratie kunnen deze op SES- of AES-niveau werken.
• PKI-ondersteunde digitale handtekeningcertificaten: Certificaten uitgegeven door een certificeringsinstantie die echte AES- of QES-ondertekening mogelijk maken, inclusief certificaatformaten voor documentondertekening die worden gebruikt met de ondertekeningsworkflows van Adobe en Microsoft.
• Gekwalificeerde apparaten voor het aanmaken van handtekeningen (QSCD's): Smartcards, USB-tokens of op HSM gebaseerde diensten voor het op afstand ondertekenen van gegevens zijn vereist om een ​​gekwalificeerde elektronische handtekening te genereren onder eIDAS.
• De onderliggende PKI: De certificeringsinstantie, het certificaatlevenscyclusbeheer en de sleutelopslag die de certificaten uitgeven, vernieuwen en intrekken waarop elke AES- en QES-handtekening is gebaseerd.

Welke beveiligingsrisico's brengt een slecht geïmplementeerd e-handtekeningprogramma met zich mee?

Het risico bij elektronische handtekeningen schuilt vrijwel nooit in het concept zelf, maar in een gebrek aan vertrouwen: het gebruik van een handtekening met een lage betrouwbaarheid voor een document met grote gevolgen.

• Identiteitsvervalsing: SES, gebruikt bij een contract van hoge waarde zonder identiteitsverificatie, stelt iedereen met toegang tot de link in staat om namens iemand anders te "ondertekenen".
• Afwijzing: Een ondertekenaar ontkent te hebben getekend omdat het platform onvoldoende bewijsmateriaal, zoals een toestemmingsscherm, IP-adres, tijdstempel of authenticatiemethode, heeft vastgelegd om het tegendeel te bewijzen.
• Onopgemerkte manipulatie: Zonder een cryptografische zegel kan een document na ondertekening worden gewijzigd zonder dat daar een bewijs van is.
• Ondertekening van belangrijk compromis: Een gestolen privésleutel of een onvoldoende beveiligd ondertekeningscertificaat stelt een aanvaller in staat handtekeningen te vervalsen die de volledige juridische waarde hebben die de technologie normaal gesproken biedt.
• Naleving en auditfalen: Toezichthouders of auditors wijzen ondertekende documenten af ​​wanneer de organisatie niet de toestemmingsverklaringen of het bewijs van bewaring kan overleggen die ESIGN, UETA of eIDAS vereisen.

Hoe verifieer je de geldigheid en integriteit van een elektronische handtekening?

1. Open het ondertekende document in een validator die de betreffende standaard ondersteunt (Adobe Acrobat of Reader voor PAdES-ondertekende PDF's, of een speciaal XAdES- of CAdES-validatieprogramma) en controleer of de handtekeningstatus 'geldig' aangeeft, en niet slechts 'aanwezig'.
2. Volg de certificaatketen achter de handtekening terug naar een vertrouwde root-CA en bevestig dat het ondertekeningscertificaat niet verlopen of ingetrokken was op het moment van ondertekening, met behulp van CRL- of OCSP-gegevens.
3. Zorg ervoor dat de handtekening het volledige document dekt, niet slechts een deel van het handtekeningblok, zodat elke wijziging na ondertekening de handtekening ongeldig maakt.
4. Controleer de ingebedde tijdstempel van een vertrouwde tijdstempelinstantie om precies vast te stellen wanneer de handtekening is geplaatst, onafhankelijk van de lokale klok van het apparaat van de ondertekenaar.
5. Voor SES-handtekeningen zonder cryptografische zegel kunt u vertrouwen op het auditspoor van het platform (authenticatiemethode, IP-adres, toestemmingsscherm, tijdstempel) als bewijsmateriaal in plaats van op het document zelf.
6. Bewaar de gegevens voor langetermijnvalidatie (LTV), tijdstempels en intrekkingsstatus die tijdens het ondertekenen zijn vastgelegd, zodat de handtekening verifieerbaar blijft nadat het ondertekeningscertificaat zelf is verlopen.

Hoe kunt u elektronische handtekeningen veilig implementeren binnen uw organisatie?

Gebruik deze checklist bij de implementatie of audit van een e-handtekeningprogramma.

1. Classificeer documenten op basis van risico en vereis dat het handtekeningniveau daarmee overeenkomt: SES voor interne goedkeuringen met een laag risico, AES voor de meeste commerciële contracten, QES voor alles wat de sterkste juridische presumptie vereist (onroerend goed, wettelijk verplichte registraties, waardevolle grensoverschrijdende EU-overeenkomsten).
2. AES- en QES-ondertekening verloopt via PKI-ondersteunde certificaten die zijn uitgegeven door een beheerde certificeringsinstantie, in plaats van via zelfondertekende of ad-hoccertificaten.
3. Bewaar privésleutels voor digitale handtekeningen in een hardwarebeveiligingsmodule of een gekwalificeerd apparaat voor het aanmaken van digitale handtekeningen, in plaats van in software of browseropslag.
4. Voer identiteitsverificatie uit (controle van een overheids-ID, video-identificatie of een bestaande bedrijfsreferentie) voordat u een ondertekeningscertificaat aan een werknemer of wederpartij verstrekt.
5. Leg een volledig auditspoor vast voor elke ondertekeningsgebeurtenis: authenticatiemethode, IP-adres, apparaat, weergegeven toestemmingstaal en tijdstempel, om te voldoen aan de bewijsvereisten van ESIGN, UETA en eIDAS.
6. Pas certificaatlevenscyclusbeheer, geautomatiseerde verlenging, intrekking en vervaldatumbewaking toe, zodat een verlopen of ingetrokken certificaat nooit stilletjes een document ondertekent.
7. Schakel validatie op lange termijn in voor PAdES-, XAdES- en CAdES-handtekeningen, zodat deze verifieerbaar blijven nadat het ondertekeningscertificaat is verlopen.
8. Controleer regelmatig de configuraties van leveranciers en platforms aan de hand van de huidige eIDAS- en ESIGN/UETA-vereisten, met name rond de uitrol van de EUDI Wallet, zodat grensoverschrijdende handtekeningen erkend blijven.

Eenvoudige, geavanceerde en gekwalificeerde elektronische handtekeningen: welke moet u gebruiken?

eIDAS verdeelt elektronische handtekeningen in drie categorieën op basis van identiteitsverificatie, bewijs van manipulatie en juridische waarde.

Handtekeningtype	Identiteitsverificatie	Tamper-bewijs	Wettelijk gewicht	Typisch gebruiksscenario
Eenvoudig (SES)	Minimaal of geen	Geen; geen cryptografische zegel	Juridisch geldig, maar het gemakkelijkst te betwisten.	Interne goedkeuringen, bevestigingen van een laag risico
Geavanceerd (AES)	Geverifieerd aan de hand van de ondertekenaar, PKI-ondersteund	Cryptografisch verzegeld; bewerkingen detecteerbaar	Sterk juridisch vermoeden, doorgaans voldoende voor de meeste contracten.	Commerciële contracten, leveranciersovereenkomsten, HR-documenten
Gekwalificeerd (QES)	Geverifieerd persoonlijk of via een gekwalificeerd proces, gekoppeld aan een QSCD.	Cryptografisch versleuteld met het hoogste beveiligingsniveau.	Gelijkwaardig aan een handgeschreven handtekening onder eIDAS	Vastgoedtransacties, gereguleerde registraties, grensoverschrijdende EU-contracten met een hoge waarde

Wat zijn de beperkingen van elektronische handtekeningen?

• Elektronische handtekeningen voldoen niet automatisch aan de eisen van elke jurisdictie. Voor bepaalde documenten, zoals testamenten, sommige gerechtelijke stukken en bepaalde eigendomsakten, kan afhankelijk van de lokale wetgeving nog steeds een handtekening met inkt of een notariële bekrachtiging vereist zijn.
• SES biedt gemak, maar heeft een zwakke bewijskracht. Een organisatie die voor contracten met een hoge waarde op SES vertrouwt, ruilt rechtszekerheid in voor snelheid.
• QES vereist een gekwalificeerd apparaat voor het aanmaken van digitale handtekeningen en een gekwalificeerde vertrouwensdienstverlener, wat extra kosten en onboarding-problemen met zich meebrengt die niet voor elke transactie gerechtvaardigd zijn.
• De status 'Qualified Status' onder eIDAS is EU-specifiek. Een QES (Qualified Entity Status) wordt niet automatisch buiten de EU erkend, en de Amerikaanse ESIGN/UETA (Equity Signing/Utility Employment Act) definieert geen equivalent van een 'gekwalificeerde' categorie. Grensoverschrijdende programma's vereisen daarom een ​​juridische beoordeling in elk rechtsgebied.
• Validatie op lange termijn werkt alleen als het ondertekeningsplatform tijdstempel- en intrekkingsgegevens insluit op het moment van ondertekening; deze gegevens kunnen niet achteraf worden toegevoegd.

Wat zou Encryption Consulting aanbevelen?

Het grootste risico in e-handtekeningprogramma's is terug te voeren op één tekortkoming: de certificaten en sleutels achter AES- en QES-handtekeningen worden niet met dezelfde discipline beheerd als de rest van de PKI van de organisatie. Twee maatregelen dichten die lacune.

Ten eerste kunt u ondertekeningscertificaten uitgeven via PKI-as-a-Service in plaats van een eigen certificeringsinstantie op te zetten en te beheren. Dit biedt uw organisatie de identiteitsverificatie, sleutelbescherming en audit trail die AES- en QES-ondertekening vereisen, zonder de overhead van het intern beheren van een CA-infrastructuur.

Ten tweede kunt u met CertSecure Manager levenscyclusbeheer toepassen op elk ondertekeningscertificaat , zodat verlenging, intrekking en vervaldatum automatisch worden bijgehouden in plaats van dat dit pas wordt ontdekt wanneer een handtekening niet meer gevalideerd kan worden. Organisaties die ook code of firmware ondertekenen als onderdeel van hun releaseproces, kunnen dezelfde certificaatdiscipline toepassen via CodeSign Secure , aangezien codeondertekening en documentondertekening gebaseerd zijn op dezelfde onderliggende PKI-concepten.

Encryption Consulting werkt volgens de ISO/IEC 27001:2022- en SOC 2-normen en integreert GDPR-conforme gegevensverwerking in haar PKI- en ondertekeningsdiensten. Dit is van direct belang voor organisaties die willen dat hun ondertekeningsprogramma een eIDAS- of ESIGN/UETA-audit doorstaat.

Updatelogboek

Augustus 2026: Bijgewerkt met de huidige status van eIDAS 2.0 en de EU Digital Identity Wallet, met expliciete details over de PAdES-, XAdES- en CAdES-standaarden, een verificatieproces voor de geldigheid van handtekeningen, een checklist voor de implementatie van beveiligingsversterkingen, een sectie met beperkingen, een FAQ-sectie en volledige gestructureerde gegevens voor artikelen, FAQ's en breadcrumbs. Het oorspronkelijke artikel, gepubliceerd in mei 2022, behandelt de definities van SES, AES en QES en het onderscheid tussen digitale en elektronische handtekeningen.

Conclusie

Elektronische handtekeningen zijn wettelijk bindend onder de ESIGN Act, UETA en eIDAS, maar "wettelijk bindend" is een minimumvereiste, geen garantie voor veiligheid. De gekozen handtekeningstatus (Simple, Advanced of Qualified) bepaalt hoe sterk het bewijs is als een handtekening ooit wordt betwist. Stem de status af op het risico van het document, ondersteun AES- en QES-ondertekening met correct beheerde PKI-certificaten, controleer de geldigheid van de handtekening in plaats van deze te veronderstellen, en bouw een auditspoor in voor elke ondertekening. Die combinatie maakt een elektronische handtekening daadwerkelijk veilig genoeg om op te vertrouwen.

Veelgestelde Vragen / FAQ

Zijn elektronische handtekeningen rechtsgeldig? Ja. In de Verenigde Staten bepalen de ESIGN Act (2000) en de UETA (1999) dat een handtekening of contract niet rechtsgeldig mag worden verklaard enkel omdat het elektronisch is. In de Europese Unie erkent de eIDAS-verordening elektronische handtekeningen juridisch, waarbij gekwalificeerde elektronische handtekeningen de sterkste gelijkwaardigheid aan een handgeschreven handtekening lijken te hebben.

Wat is het verschil tussen een elektronische handtekening en een digitale handtekening? Een elektronische handtekening is elke elektronische markering die wordt gebruikt met de bedoeling om te ondertekenen, zoals een getypte naam of een muisklik. Een digitale handtekening is een cryptografisch beveiligde variant van elektronische handtekeningen, gebaseerd op PKI, die tevens bewijst dat het document na ondertekening niet is gewijzigd.

Heb ik een gekwalificeerde elektronische handtekening nodig voor mijn contracten? Meestal niet. De meeste commerciële contracten voldoen aan de eisen van een geavanceerde elektronische handtekening met een PKI-certificaat. Een gekwalificeerde elektronische handtekening (QES) wordt over het algemeen gereserveerd voor transacties waarbij de wet de sterkst mogelijke juridische presumptie vereist, zoals bepaalde vastgoedtransacties of gereguleerde EU-registraties.

Kan een elektronische handtekening worden vervalst of gemanipuleerd? Een eenvoudige elektronische handtekening zonder cryptografische zegel kan worden vervalst of het onderliggende document kan worden gewijzigd zonder dat dit wordt opgemerkt. Een geavanceerde of gekwalificeerde elektronische handtekening, gebaseerd op PKI, verzegelt het document cryptografisch, waardoor elke wijziging na ondertekening de handtekening ongeldig maakt en detecteerbaar is tijdens de verificatie.

Wat gebeurt er met een ondertekend document als het ondertekeningscertificaat verloopt? Als het platform tijdens het ondertekenen gegevens over langetermijnvalidatie, zoals een tijdstempel en de intrekkingsstatus, heeft ingebed, blijft de handtekening verifieerbaar, zelfs nadat het certificaat is verlopen. Zonder langetermijnvalidatie kan het handmatig controleren van de historische certificaatstatus nodig zijn om een ​​oudere handtekening te verifiëren. Daarom is certificaatlevenscyclusbeheer net zo belangrijk als de ondertekening zelf.

Referenties

• Wet inzake elektronische handtekeningen in de wereldwijde en nationale handel (ESIGN Act), Public Law 106-229 (2000) – govinfo.gov
• Uniforme wet inzake elektronische transacties (UETA) (1999), Uniforme wetgevingscommissie – uniformlaws.org
• Verordening (EU) nr. 910/2014 (eIDAS) – eur-lex.europa.eu
• Europese Commissie, overzicht van de wetgeving inzake elektronische handtekeningen – ec.europa.eu
• PAdES (PDF Advanced Electronic Signatures), ETSI EN 319 142 – en.wikipedia.org
• XAdES (XML Advanced Electronic Signatures) – en.wikipedia.org
• CAdES (CMS Advanced Electronic Signatures) – en.wikipedia.org