Digitale handtekening: de volledige gids

In veel organisaties eindigt een digitaal proces alsnog op papier. Een offerte wordt keurig in de software opgesteld, maar voor de laatste stap gaat het document naar de printer, komt er een krabbel op, wordt het gescand en gaat het per e-mail terug. Daarna staat het ergens in een map, los van het dossier waar het bij hoort. Dat kost tijd, levert slecht leesbare scans op en maakt het achteraf lastig om aan te tonen wie precies wat heeft getekend en op welk moment dat gebeurde.

Digitaal ondertekenen haalt die laatste stap terug in het systeem. De software zet het document klaar, nodigt de ondertekenaars uit, stelt vast wie zij zijn, legt de handtekening vast en levert een verzegeld bestand op met een verslag van wat er is gebeurd. Voor een verkoper betekent dat een offerte die de klant op zijn telefoon accordeert. Voor HR een arbeids­voorwaardenbrief die niet meer zoekraakt. Voor een monteur een opleve­ringsf­ormulier dat de klant ter plekke aftekent, met de gegevens van de afspraak eromheen.

Het helpt om twee dingen uit elkaar te houden die vaak door elkaar lopen. Een afbeelding van een handtekening onder een document zegt op zichzelf weinig, want iedereen kan die eronder plakken. Wat telt is de gebeurtenis eromheen: is vastgesteld wie er tekende, is het document sindsdien onveranderd gebleven, en kunt u dat later nog laten zien. Deze gids gaat over het gewone handelsverkeer, dus over contracten, offertes, verklaringen en formulieren. Notariële akten vallen daarbuiten; wat daar wel geldt, leest u in het volgende hoofdstuk.

Het Europese kader is de eIDAS-verordening, Verordening (EU) nr. 910/2014, die in mei 2024 is herzien met Verordening (EU) 2024/1183 over het Europese raamwerk voor digitale identiteit. Artikel 3 van die verordening definieert drie soorten. Onderdeel 10 beschrijft de gewone elektronische handtekening. Onderdeel 11 beschrijft de geavanceerde variant, die moet voldoen aan de eisen van artikel 26. Onderdeel 12 beschrijft de gekwalificeerde variant, die tot stand komt met een gekwalificeerd middel op basis van een gekwalificeerd certificaat van een aanbieder die op een nationale vertro­uwenslijst staat.

Artikel 26 stelt vier eisen aan de geavanceerde handtekening, die de Rijksinspectie Digitale Infrastructuur als volgt samenvat: zij is op unieke wijze aan de ondertekenaar verbonden, zij maakt het mogelijk de ondertekenaar te identificeren, zij komt tot stand met gegevens die de ondertekenaar met een hoog vertro­uwensniveau onder zijn uitsluitende controle kan gebruiken, en zij is zo aan de ondertekende gegevens verbonden dat elke wijziging achteraf kan worden opgespoord. Die vier eisen zijn geen formaliteit, want ze bepalen of een aanbieder het woord geavanceerd terecht gebruikt.

De rechtsgevolgen staan in artikel 25 van eIDAS en in artikel 3:15a van het Burgerlijk Wetboek. Artikel 25 bepaalt dat aan een handtekening het rechtsgevolg en de toelaatbaarheid als bewijs niet mogen worden ontzegd enkel omdat zij elektronisch is, en dat een gekwalificeerde elektronische handtekening hetzelfde rechtsgevolg heeft als een handgeschreven handtekening. Artikel 3:15a BW voegt daaraan toe dat ook de geavanceerde en de andere elektronische handtekening dezelfde rechtsgevolgen hebben, mits de gebruikte ondert­ekenmethode voldoende betrouwbaar is gelet op het doel en alle overige omstandigheden van het geval.

Daarnaast kent de wet vormvo­orschriften. Artikel 6:227a BW bepaalt dat aan een wettelijke eis van schriftelijke vorm ook langs elektronische weg kan worden voldaan, mits de overeenkomst raadpleegbaar is voor partijen, de authenticiteit voldoende is gewaarborgd, het moment van totstandkoming met voldoende zekerheid kan worden vastgesteld en de identiteit van de partijen met voldoende zekerheid kan worden vastgesteld. Het tweede lid maakt daarop een uitzondering voor overeenkomsten waarvoor de wet de tussenkomst voorschrijft van de rechter, een overheidsorgaan of een beroep­sbeoefenaar die een publieke taak uitoefent.

Welke functies u nodig heeft, hangt af van wat u laat tekenen en door wie. De zes hieronder vormen samen het hart van een ondert­ekenop­lossing die in uw eigen software zit. Ze horen niet allemaal in een eerste versie thuis. Het loont om te beginnen bij het documenttype dat het vaakst voorbijkomt en de meeste vertraging veroorzaakt, en pas daarna te kijken welke andere documenten zich erbij laten voegen.

Twee van deze zes verdienen extra aandacht, omdat zij bepalen hoeveel uw handtekening waard is. De identificatie beantwoordt de vraag wie er tekende. Het audittrail beantwoordt de vraag wat er precies is gebeurd. Een oplossing die het document netjes verzegelt maar de ondertekenaar alleen kent van een e-mailadres, geeft minder zekerheid dan u denkt. Omgekeerd heeft strenge identificatie weinig zin als u achteraf niet kunt laten zien dat het document sindsdien onveranderd is gebleven.

Een onderteken­proces volgt vrijwel altijd dezelfde volgorde. Iemand stelt een document samen vanuit een sjabloon en bepaalt wie er moeten tekenen. De ondertekenaars krijgen een uitnodiging en openen het document, meestal op hun eigen telefoon of laptop. Voordat de handtekening wordt gezet, stelt de software vast wie zij zijn, op een manier die past bij het risico van dit document. Daarna wordt het bestand verzegeld en gaat het samen met het verslag van de gebeurtenis terug naar het dossier waar het bij hoort.

De belangrijkste keuze in dat proces is welk niveau u per documenttype gebruikt. Bij een interne akkoor­dverklaring of een ontvan­gstbev­estiging volstaat vaak een gewone elektronische handtekening. De Rijksoverheid noemt de geavanceerde variant geschikt voor overeenkomsten met andere partijen waarbij sprake is van een gemiddeld risico. Bij documenten met serieuze financiële of juridische gevolgen is een gekwalificeerde handtekening nodig voor voldoende zekerheid, en soms is die zelfs verplicht: de Rijksoverheid noemt als voorbeeld het digitaal opmaken van een polis door een verzekeraar.

Onderschat de menselijke kant niet. Een onderteken­proces loopt zelden vast op de techniek en vaak op praktische zaken: een verkeerd e-mailadres, een ondertekenaar die niet tekenbevoegd blijkt, een document dat halverwege nog wordt aangepast, of iemand die de uitnodiging niet vertrouwt omdat de afzender onbekend oogt. Zorg daarom dat de uitnodiging herkenbaar van uw organisatie komt, dat de status zichtbaar is voor wie het aangaat, en dat er een eenvoudige route bestaat om een document in te trekken en opnieuw klaar te zetten.

Een ondert­ekenop­lossing staat zelden op zichzelf. De waarde ontstaat zodra het getekende document automatisch terugkomt op de plek waar de rest van het dossier staat: in uw CRM bij de klant, in uw HR-systeem bij de medewerker, in uw documentbeheer bij het project. Bepaal die koppelingen vroeg, want ze bepalen mede de opzet. Datzelfde geldt voor de vraag of u binnen uw eigen software ondertekent of dat u voor het zware werk een vertrouwens­dienstverlener inschakelt.

Voor de betrouwbaarheid op langere termijn zijn twee vertro­uwensd­iensten van belang. Een elektronisch tijdstempel legt vast op welk moment een document er in deze vorm was; voor een gekwalificeerd tijdstempel geldt volgens eIDAS het vermoeden dat de aangegeven datum en tijd juist zijn en dat de gegevens waaraan die zijn gekoppeld ongeschonden zijn. Daarnaast bestaat er een dienst voor het bewaren van gekwalificeerde elektronische handtekeningen, en een validatiedienst die achteraf vaststelt of een handtekening op een geldige manier is gezet.

Voor de identificatie zelf kunt u aansluiten op bestaande middelen in plaats van iets eigens te bedenken. Daar komt een Europese variant bij: op grond van de herziene eIDAS-verordening moet elke lidstaat eind 2026 minstens één gecertificeerde EDI-wallet beschikbaar stellen, waarmee mensen zich kunnen identificeren en ook elektronische handtekeningen kunnen zetten. Volgens Digitale Overheid moeten (semi-)publieke dienstverleners die wallet vanaf eind 2026 accepteren als inlogmiddel en private dienstverleners vanaf eind 2027; voor burgers blijft het gebruik vrijwillig. De Europese Commissie beschrijft het kader in de verordening digitale identiteit.

De grootste valkuil is het niveau van de handtekening losmaken van het risico van het document. Wie overal de zwaarste variant kiest, maakt het proces onnodig omslachtig en ziet het aantal afgeronde ondertekeningen dalen. Wie overal de lichtste kiest, houdt achteraf weinig over om zich op te beroepen. Een handvol keuzes bepaalt of uw onderteken­proces standhoudt op het moment dat iemand er vragen bij stelt.

• Bepaal het niveau per documenttype. Zet uw documenten op een rij en kies per soort een gewone, geavanceerde of gekwalificeerde handtekening, met de reden erbij. Die onderbouwing heeft u nodig bij de betrou­wbaarh­eidstoets van artikel 3:15a BW.
• Bewaar het bewijs, niet alleen het document. Het audittrail is wat u overhoudt als iemand zijn handtekening betwist. Artikel 159 lid 2 Rv bepaalt dat een onderhandse akte geen bewijs oplevert zolang niet bewezen is van wie de stellig ontkende ondertekening afkomstig is.
• Verzamel bij identificatie niet meer dan nodig. Volgens de Autoriteit Persoons­gegevens is het vaak voldoende dat iemand zijn identi­teitsbewijs toont en mag u dan geen kopie maken. Het burger­service­nummer gebruikt u alleen als de wet dat toestaat.
• Toets vooraf op vormvo­orschriften. Loop na of voor uw rechtshandeling een notariële akte of een geschrift is voorgeschreven. Een elektronische handtekening repareert een vormgebrek niet, hoe zwaar de gekozen variant ook is.
• Regel bewaartermijn en verifi­eerbaarheid samen. Een contract dat u jaren moet bewaren, moet in dat laatste jaar nog te controleren zijn. Spreek af waar het bestand en het bewijs staan, en wie de geldigheid van de handtekening kan aantonen.
• Vraag uw leverancier naar de vier eisen. Laat aantonen hoe de handtekening uniek aan de ondertekenaar is verbonden, hoe die te identificeren is, hoe de uitsluitende controle is geregeld en hoe latere wijziging wordt opgespoord.

Wat een ondert­ekenop­lossing op maat kost, hangt vooral af van het betrou­wbaarh­eidsniveau dat u nodig heeft, van het aantal documenttypen en van het aantal koppelingen. Het loont om die factoren te begrijpen, omdat ze u helpen scherp te kiezen wat in de eerste versie hoort en wat later kan. Hieronder staan de posten die in de praktijk het meeste verschil maken.

De grootste kostenbepaler is het niveau van de handtekening. Een gewone handtekening onder een interne verklaring vraagt weinig, terwijl een gekwalificeerde handtekening betekent dat u een gekwalificeerde vertrouwens­dienstverlener inschakelt en de identificatie van de ondertekenaar zwaarder inricht. Daarnaast telt het aantal documenttypen en sjablonen, want elk type brengt eigen velden, eigen ondertekenaars en eigen uitzonderingen mee. Koppelingen wegen zwaar, omdat elk systeem dat het getekende document en het bewijs moet ontvangen zijn eigen afstemming en tests vraagt.

Verder tellen mee: het aantal rollen en de routing, want tekenen met vier partijen in een vaste volgorde is iets anders dan één klant die akkoord geeft; het archief en de verificatie op termijn, omdat langdurige contro­leerba­arheid meer vraagt dan een bestand wegschrijven; en de talen en toegan­kelijkheid van het ondert­ekenscherm. Wij noemen op deze pagina geen tarieven. In een gesprek bepalen we samen welke eerste versie voor uw situatie logisch is en wat daarvoor een realistisch budget is.

Digitaal ondertekenen invoeren gaat het soepelst als u begint bij één documenttype dat vaak voorbijkomt, in plaats van het hele contra­ctenla­ndschap in één keer om te bouwen. Dit stappenplan brengt u van dat ene document naar een proces dat u breder kunt gebruiken, zonder dat u vooraf alles hoeft te overzien. De volgorde is niet willekeurig: de juridische keuzes staan bewust voor de technische, omdat het risiconiveau bepaalt hoe zwaar de identificatie en het audittrail moeten worden ingericht. Wie die volgorde omdraait, bouwt eerst en ontdekt daarna dat het gekozen niveau niet past.

1. Inventariseer wat er wordt getekendMaak een lijst van documenten die nu een handtekening vragen, met per document wie er tekent, hoe vaak het voorkomt en wat er misgaat in het huidige proces.
2. Bepaal per document het risiconiveauWeeg wat er financieel en juridisch op het spel staat en kies daarbij een gewone, geavanceerde of gekwalificeerde handtekening. Leg de motivering vast, want die heeft u later nodig.
3. Toets de vormvo­orschriftenControleer of de wet voor deze rechtshandeling een notariële akte of een geschrift eist. Laat twijfelgevallen juridisch beoordelen voordat u de eerste regel code laat schrijven.
4. Kies de identi­ficati­emethodeBepaal hoe u vaststelt wie er tekent en verzamel daarbij niet meer gegevens dan nodig. Sluit waar mogelijk aan op bestaande, erkende identificatie­middelen in plaats van iets eigens.
5. Bouw het proces rond één documenttypeBegin bij het document dat het vaakst voorbijkomt, inclusief sjabloon, ondert­ekenvo­lgorde, audittrail en de koppeling terug naar het dossier waar het thuishoort. Houd de rest op een lijst voor later.
6. Test met de uitzonderingen en breid uitTest met echte situaties: weigeren, intrekken, vervangen, een ondertekenaar die niet reageert. Meet daarna hoeveel documenten blijven hangen en voeg pas dan het volgende type toe.

• Gids: inspectie-app
• Wat is privacy by design?
• App-launch-checklist
• Alle app-gidsen

• Contractanalysesoftware
• Documentscansoftware
• Juridische en compliancesoftware
• Gids: inspectie-app