Elektronisch ondertekenen: welk niveau heb je nodig?

Drie niveaus, en het verschil dat ertoe doet

De Europese verordening kent drie niveaus elektronische handtekening, en in het Nederlandse recht bepaalt artikel 3:15a BW dat een elektronische handtekening dezelfde werking heeft als een handgeschreven, mits de methode voldoende betrouwbaar is voor het doel.

Een gewone elektronische handtekening — iemand typt zijn naam en klikt op akkoord — is voor veel stukken voldoende betrouwbaar. Een geavanceerde handtekening voegt daar verificatie van de ondertekenaar en een technische binding aan het document aan toe, zodat een wijziging na ondertekening aantoonbaar is. Een gekwalificeerde handtekening komt van een erkende vertrouwensdienst en heeft wettelijk dezelfde status als een handgeschreven handtekening, zonder dat je hoeft te beargumenteren dat de methode betrouwbaar was.

Het praktische verschil is dus niet of het mag, maar wie bij een geschil de onderbouwing moet leveren. Bij een gewone handtekening ben jij dat.

Welk niveau bij welk stuk

Een vaste tabel bestaat niet, want het hangt af van wat er op het spel staat en van wat er in je eigen beroepsregels staat. Dit is de indeling die in de praktijk werkt als uitgangspunt — leg de keuze voor jouw type stukken wel een keer vast in je kantoorbeleid.

• Gewone handtekening: een opdrachtbevestiging, een akkoord op een urenoverzicht, een aanvraagformulier, een ontvangstbevestiging.
• Geavanceerde handtekening: een vaststellingsovereenkomst, een dienstverleningsdocument, een overeenkomst met een consument waar een bedenktermijn aan hangt.
• Gekwalificeerde handtekening: stukken waarvoor een wettelijke vorm geldt of waar een beroepsorganisatie het voorschrijft, en stukken met een groot belang waarbij je geen discussie over de methode wilt.

Waarom het ondertekende stuk in het dossier hoort

De gebruikelijke route is: concept per e-mail naar een ondertekendienst, ondertekend bestand per e-mail terug, en dan in iemands downloadmap. Daarmee raak je twee dingen kwijt die je bij een discussie nodig hebt.

Het eerste is de verbinding met het concept. Welke versie is er precies ondertekend? Als het ondertekende stuk een los bestand is, moet je dat met een datum reconstrueren. Als het als nieuwe versie van hetzelfde document terugkomt, staat het in de versiegeschiedenis — met het concept eronder.

Het tweede is het bewijs. Bij ons krijgt het ondertekende PDF een bewijsbladzijde met de hash van het bronbestand, en wordt het bewijsbestand met wie, wanneer, welke verificatie en welke hashes versleuteld bij diezelfde versie bewaard. Daarmee kun je aantonen dat het ondertekende stuk hoort bij het concept dat is aangeboden, en niet bij een later bewerkte versie.

Ondertekenaars zonder account

De meeste ondertekenaars zijn geen gebruikers van jouw omgeving: een cliënt, een wederpartij, een bestuurder. Die moet je dus laten ondertekenen zonder dat je een account voor hem aanmaakt, en zonder dat een doorgestuurde link volstaat om te ondertekenen.

De werkbare opzet is twee stappen: een link per e-mail, en vervolgens een code via een tweede kanaal voordat het stuk in beeld komt. Bij ons is dat een code per e-mail plus een code per sms; de link in de e-mail is daarbij nooit zelf het inloggegeven, zodat een doorgestuurde mail niemand binnenlaat.

Zet er een geldigheidsduur op en bepaal de volgorde als er meerdere ondertekenaars zijn. Een stuk waarin de een pas ondertekent nadat de ander dat heeft gedaan, is iets anders dan een stuk dat iedereen tegelijk mag ondertekenen — en dat onderscheid wil je niet in een begeleidende mail regelen.

Wat je bij een leverancier controleert

Ondertekenen is een functie waar veel aanbieders iets over zeggen en weinig aanbieders precies over zijn. Vier vragen halen het verschil naar boven.

• Welke niveaus worden werkelijk ondersteund, en voor het hoogste niveau: via welke vertrouwensdienst, en staat die in de EU?
• Komt het ondertekende stuk terug als versie van hetzelfde document, of als los bestand?
• Wat staat er in het bewijsbestand, en kun je het los downloaden en bewaren?
• Wordt een ondertekenaar zonder account via twee kanalen gecontroleerd, of is de e-maillink genoeg?