Elektronische en digitale handtekening Stand van zaken en gebruik LCDM René van den Assem

2 Zou het niet mooi zijn ….  Digitale document dezelfde status als ‘papier’. –Rechtszekerheid bij elektronische transacties –Sterke bewijsrechtelijke positie voor elektronische documenten –Het digitale document als ‘origineel’ in documentair informatie systeem

3 Elektronische handtekeningen, een breed begrip  Een elektronische hantekening wordt gevormd door gegevens, logisch geassocieerd met andere gegevens (bijvoorbeeld een document) en die dienen ter authenticatie Voorbeelden  Ingescande handtekening  TAN-codes  Digitale handtekening (PKI handtekening)

4 Een ‘goede’ elektronische handtekening  Op unieke wijze aan ondertekenaar verbonden  Maakt het mogelijk ondertekenaar te identificeren  Komt tot stand met middelen die onder uitsluitende controle staan van ondertekenaar  Maakt wijzigingen achteraf (eenvoudig) op te sporen Te beschouwen als kwaliteitscriteria.

5 Richtlijn Elektronische Handtekening (1999)

6 Wat regelt de Richtlijn niet?  De Richtlijn treedt niet in de contractvrijheid.  De richtlijn gaat over handtekeningen, niet over ondertekende documenten / bewijsrecht etc  De Richtlijn vertelt niets over het gebruik van de elektronische handtekening in het elektronische verkeer. –Voor Nederland bijvoorbeeld aangrenzende wetgeving in de Wet elektronisch bestuurlijk verkeer.  De rechter blijft (uiteraard) de ultieme toets.

7 Richtlijn EHT, rechtsgeldigheid  General principle (art. 5.2): Legal effect for all electronic signatures  Second principle (art.5.1): certain electronic signatures get the same legal effect as hand-written signature Electronic signatures Advanced electronic signatures Qualified signature: advanced electronic signature + qualified certificate + secure signature creation device Qualified signatures

8 Wet elektronische handtekeningen (2003)  Burgerlijk Wetboek –Boek 3: rechtsgevolgen, internationale aspecten –Boek 6: aansprakelijkheid  Telecommunicatiewet –Definities, identificatieplicht, toezicht, verwerking van persoonsgegevens  Besluit elektronische handtekeningen –Eisen voor gekwalificeerde handtekeningen (gekwalificeerd certificaat, CSPs, veilige middelen)  Regeling elektronische handtekeningen –Standaarden. Gebruikt u die, dan voldoet u aan bijbehorende eisen uit besluit.

9 Equivalentie bij ‘voldoende betrouwbaarheid’  Artikel 3:15a BW Lid 1 algemene norm: methode van authentificatie voldoende betrouwbaar Indien voor enig rechtsgevolg de handtekening van een persoon is vereist, is daaraan, op gelijke wijze als daaraan door een handgeschreven handtekening zou zijn voldaan, tevens voldaan door een elektronische handtekening, indien de methode die daarbij is gebruikt voor authentificatie voldoende betrouwbaar is, gelet op het doel waarvoor de elektronische gegevens werden gebruikt en op alle overige omstandigheden van het geval.  Voldoende betrouwbaarheid vermoed als voldaan aan eisen voor gekwalificeerde handtekening

10 RvA CCvDCI TTP TTP.NL,... ZELFVERKLARINGGECERTIFICEERD ONDER Toezicht en TTP.NL certificatie

11 Wet elektronisch bestuurlijk verkeer (2004)  Regelt communicatie tussen overheid (bestuursorganen) en burger  Nevenschikking elektronisch naast papier, niet uitsluitend elektronische kanaal (tenzij wettelijk anders geregeld)  Elektronisch kanaal gebruikt na instemming van beide partijen  Ruime interpretatie schriftelijk = met schrifttekens, niet noodzakelijk papier  Voldoende betrouwbaarheid  Behoudens –Expliciete uitzonderingen –Vormvoorschriften

12 EESSI, samenhangende standaarden, meerdere niveaus First priority

13 Requirements for CSPs ETSI TS Trustworthy Systems CWA 14167,1-3 Signature creation device CWA CWA Signature creation process and environment CWA Qualified certificate ETSI Signature format and syntax ETSI TS Signature validation process and environment CWA Time stamping ETSI TS User / signer Relying party / verifier Certification service provider Conformity assessment Guidance, CWA Parts1-5

14 EESSI, wat is bereikt  Samenhangend pakket van standaarden  Erkenning door EC / lidstaten van relevante stnds  Policy standaarden, m.n. TS breder opgepakt, o.a. Frankrijk, Nederland, Italië  Internationale speler. samenwerking met W3C, IETF PKIX, APEC, Asia PKI Forum, USA Federal PKI  Signature format (o.a. XML: Xades; ETSI TS ) wordt geïmplementeerd (ja, ook Microsoft); geregeld interoperablity events Meer over EESSI:

15 PKIoverheid  Betrouwbare communicatie met en binnen de overheid –Identificatie / authenticatie –Vertrouwelijkheid –Elektronische handtekening  Voor personen –Uniform betrouwbaarheidsniveau, gekwalificeerde certificaat –Smartcard als drager  Paraplu voor aanbieders –PinkRoccade –Diginotar –CIBG  High-end, komt rustig op gang

16  De authenticatie ‘broker’ voor authenticatie authenticatie / elektronische handtekeningen, diverse niveaus, –Van gebruikersnaam / wachtwoord … –Tot PKIoverheid  Nummervertaling om nummering van een ‘externe identiteit’ te vertalen in een voor de overheidspartij hanteerbaar nummer.  Met één wachtwoord naar alle websites van de overheid  Gemeenten aangesloten; straks grote uitvoerders (Belastingdienst, SVB etc)

17 Elektronische en digitale handtekening in RMA  Welke vorm wanneer voldoende betrouwbaar? –Algemene elektronische handtekening, b.v. de ingescande handtekening –Digitale handtekening  Digitale handtekening als interne paraaf?  Integriteit in DMS/RMA gehandhaafd met digitale handtekening  Wat op te slaan bij een digitale handtekening? –De handtekening zelf? –De context van het proces waarin deze is gebruikt?

18 Wat opslaan, geen uitgemaakte zaak (nog steeds niet) Voor  Dichtste bij ‘origineel’  Overtuigende reconstructie op basis van een enkel document, niet een totaal archief  Complexiteit beperkt ten opzichte van andere technische uitdagingen (migratie, emulatie, universeel document formaat) en te isoleren Tegen  Technische complexiteit (alle algoritmes moeten ‘aan boord’ zijn)  Digitale handtekeningen snel verouderd als bewijs. Veroudering cryptografie. Vraagt actief onderhoud.  Digitale handtekening  alleen kloppend bij bit-exacte documenten. Alleen emulatie ondersteund.

19 Mogelijke lijn  Bij mogelijke juridische conflicten –Kunnen reconstrueren ten overstaan van rechter. 10, 20 jaar of meer? –Digitale handtekening + certificaat (hiërarchie) + bewijs van status van certificaat op moment van ondertekening –Vraagt reeds lange termijn mechanismen  Voor historische verantwoording. –Terugval mogelijk naar opslaan van contextuele info waaruit de controle op de elektronische handtekening blijkt.

20 Lange termijn archivering  EESSI: vormen van elektronische handtekening.  ETSI TS en XML variant ETSI TS  XML-variant basis voor diverse implementaties en initiatieven, o.m. OpenXAdES  Rijkdom aan opties voor time-stamping en archivering. Korte termijn handtekening:

21 Lange termijn archivering  Middellange termijn  Lange termijn

22 Meer informatie? Verdonck, Klooster & Associates Baron de Coubertinlaan EN Zoetermeer Tel: Fax: