BREED - over de grenzen van informatie
NETWERK VOOR DE INNOVATIEVE INFORMATIEWERKER
Waarom de elektronische handtekening een risico is voor duurzame toegankelijkheid... (en wat doen we er aan?)
Ik ben bezig om een stukje beleid op te stellen voor de elektronische ondertekening van documenten in gemeente Rotterdam. De aanleiding hiertoe is de ambitie van de gemeente om 100% digitaal te werken. Het formele gekrabbel met een balpen op een vel papier is daarbij nog een van de knelpunten die we op moeten lossen.
In het beleid:
- Maak ik onderscheid tussen de gewone, de geavanceerde en de gekwalificeerde elektronische handtekening,
- Laat ik de keuze in welke soort handtekening gebruikt dient te worden afhangen van de risico-classificatie in het Informatiebeheerplan. Informatie die heel betrouwbaar moet zijn, vraagt ook om een heel betrouwbare (dus gekwalificeerde) handtekening.
- Moet ik ook iets zeggen over de duurzame toegankelijkheid van elektronisch ondertekende stukken.
Het probleem
Dat laatste punt is nog best lastig. Bij gekwalificeerde handtekeningen moet er namelijk gebruik gemaakt worden van een PKIoverheid-certificaat. Een PKIoverheid-certificaat is conform de eIDAS "gekwalificeerd", met name omdat het toezicht hierop streng geregeld is door de nationale overheid. Een dergelijk certificaat heeft een geldigheid van maximaal 5 jaar. Ik heb begrepen dat als een certificaat verlopen is, je de authenticiteit van de handtekening niet meer kunt valideren. Ik heb ook begrepen dat de geldigheid loopt vanaf het moment dat het certificaat wordt aangemaakt. Dus als je een elektronische handtekening zet met een ruim 4 jaar oud certificaat, dan kun je hem een jaar later al niet meer valideren!
Overigens kan bij de geavanceerde handtekening ook gebruik gemaakt worden van een certificaat. Dat hoeft dan niet perse een PKIoverheid-certificaat te zijn. Desalniettemin zal ook dat certificaat een beperkte geldigheid kennen.
De Archiefregeling
In de Archiefregeling, art. 24, lid c probeert men dit probleem heel eenvoudig op te lossen. Zij zegt in feite: valideer zo snel mogelijk de handtekening (nu het nog kan) en leg dit vast in de metadata. Deze oplossing zet wat mij betreft echter geen zoden aan de dijk. Allereerst kan de ontvangende partij, de burger, niet bij de metadata in het DMS. Bovendien wil ik de gekwalificeerde handtekening inzetten voor documenten uit een hoge risicoklasse. Zowel de ontvangende partij als wijzelf moeten zekerheid hebben en kunnen bieden aangaande de authenticiteit van het document en de handtekening. Denk daarbij ook aan dure, meerjarige projecten en rechtszaken! Wie zegt niet dat iemand van ICT aan die metadata heeft lopen frutselen? Ga die discussie maar eens aan voor een rechtbank!
Tijdstempels
In een reactie op een oude discussie op BREED vond ik o.a. een link naar een artikel dat ook ingaat op dit lastige vraagstuk. Blijkbaar is het mogelijk om in de digitale handtekening ook een tijdstempel op te nemen. Bij het valideren van de handtekening kan er dan rekening gehouden worden met wanneer er is getekend, zodat het certificaat opgezocht kan worden dat destijds geldig was. Dat vraagt er overigens wel om dat het verlopen certificaat nog steeds online toegankelijk is voor validatie! Daar kom ik zo op teug.
Er plopt namelijk een nieuwe uitdaging op. Hoe weet je of de tijdstempel betrouwbaar is? Ook daarbij zul je dus gebruik moeten maken van een Trusted Third Party (TTP) en zal er wederom gewerkt worden met certificaten om de betrouwbaarheid van de tijdstempel te garanderen. En ook die certificaten kennen een beperkte geldigheid. Er bestaan overigens ook gekwalificeerde tijdstempel die werken met PKIoverheid-certificaten.
Maar goed, een tijdstempel bevat uiteraard zelf ook de informatie wanneer deze gezet is, dus daar kunnen we waarschijnlijk ook nog wel iets mee.
Bewaren van (PKIoverheid-) certificaten
Belangrijk is dat bij alle oplossingen ook de inmiddels verlopen certificaten nog online toegankelijk zijn. We zullen ze dus moeten bewaren en ontsluiten. Daarbij is het verstandig om dit niet zelf te doen om verdenkingen van frauduleus gedrag te voorkomen, maar om ook hier gebruik te maken van een TTP (in de eIDAS wordt dit een "vertrouwensdienst" genoemd). Ook een TTP kan "gekwalificeerd" zijn, dat wil zeggen dat er streng toezicht door de nationale overheid op gehouden wordt.
Help mij!
In het beleidsvoorstel heb ik dit gedoe opgelost door "duurzame toegankelijkheid" op te nemen in de risico-paragraaf met als tegenmaatregel dat we bij de implementatie van het beleid een oplossing moeten zoeken. Het voorstel kan dan de besluitvorming in. Echter, wanneer het voorstel is goedgekeurd en we het een en ander willen gaan implementeren, dan zal dit vooruitgeschoven probleem opnieuw op tafel komen.
Mijn vraag aan jullie is dan ook: wie heeft al eerder dit probleem opgelost en kan mij vertellen hoe? Hebben jullie bijvoorbeeld eisen uit een Programma van Eisen of een architectuurdocument dat jullie kunnen delen?
Berichten in deze discussie
-
Permalink Antwoord van jack karelse op
-
een probleem?
Ik weet het niet. Een handtekening is 'slechts' een handtekening. Welke informatie heb je nodig en hoe lang om aan te tonen dat een document /transactie geldig is? Dat het is afgegeven of dat gehandeld is door degene die dit mag of mocht.
Kijk ik naar de papieren wereld: wat heb ik dan? Soms alleen een krabbel (oudere documenten). Andere keren een krabbel met een naam en functie. Als ik wil weten of deze persoon mocht krabbelen, dan heb ik de betreffende regeling nodig en eventueel een bewijs dat deze persoon krabbelde op de manier zoals op het stuk.
Digitaal heb ik in elk geval de tekenprocedure nodig en de bevoegdheden.
Misschien denk ik iets te simpel.
-
Permalink Antwoord van Yvonne Welings op
-
Een van de gemeenten (veel kleiner dan Rotterdam) waarvoor ik werk heeft het volgende besloten:
Met de nieuwe mandaatregeling uit januari 2018 is besloten het gebruik tot ondertekenen met de elektronische handtekening toe te staan met uitdrukkelijke toestemming van de betreffende functionaris of bestuurder. In [naam zaaksysteem] is ervoor gekozen niet met een digitale handtekening te werken. Na analyse voor welke documenten wettelijke een handtekening is vereist en voor welke dit wenselijk is, blijkt de omvang zo gering dat betreffende documenten worden geprint en na het plaatsen van de ‘natte’ handtekening opnieuw gescand.
-
Permalink Antwoord van Jolanda de Jong op
-
Als ik het goed begrijp, Marco, pleit jij dus eigenlijk voor een verzwaring van de wetgeving, waardoor validatie van de digitale handtekening heel lang of altijd mogelijk blijft. Omdat er dingen kunnen misgaan met de validatie en de metadata ervan, het laatste ook nog na validatie. Ik ben geen IT'er, maar is het dan niet beter/nodig om het validatieproces en de bewaring van de authentieke metadata kwalitatiever te regelen? Zodat de metadata een blijvend betrouwbaar bewijs zijn van wie het document wanneer heeft verstuurd?
N.B. Heb je ook de Toelichting op de Archiefregeling over artikel 24, onderdeel c, gelezen?:
"Met onderdeel c is ten opzichte van de Regeling geordende en toegankelijke staat archiefbescheiden een vast te leggen element toegevoegd, dat betrekking heeft op digitale handtekeningen. Hierover bestaat tot op heden in de praktijk veel verwarring. De digitale handtekening zélf hoeft ingevolge de Archiefwet 1995 niet te worden bewaard. Dat neemt niet weg, dat in voorkomende gevallen wel steeds de gegevens moeten kunnen worden herleid, bedoeld in onderdeel c, onder 1° tot en met 4°.
Eén van de doelen van de digitale handtekening is vaak om te kunnen vaststellen van wie een document afkomstig is. Het gaat dan om authentificatie van de opsteller(s) of afzender(s) van het document. Na controle en validatie van de handtekening verliest deze zijn rol en hoeft ten behoeve van archivering niet te worden bewaard. In de regel is validatie van een digitale handtekening na verloop van tijd niet meer mogelijk, enerzijds om technische redenen (niet meer te reproduceren), anderzijds om organisatorische redenen, omdat de gegevens over functionaris en bijbehorende handtekening niet meer beschikbaar zijn of gewijzigd.
Er kunnen echter andere redenen zijn, bijvoorbeeld juridische, om toch de digitale handtekening te bewaren. Ook in dat geval is er de plicht om de handtekening te valideren en moeten de validatiegegevens zoals beschreven in dit artikel bewaard worden, omdat deze een bewijs zijn van wie het document wanneer heeft verstuurd."
-
Permalink Antwoord van Marco Klerks op
-
@Jack, de vraag is niet zo zeer welke informatie ik nodig heb en hoe lang, maar hoe betrouwbaar deze moet zijn. In de meeste gevallen zal een oplossing waarbij de informatie wordt vastgelegd als metadata inderdaad voldoende betrouwbaar zijn. Ik wil echter de gekwalificeerde handtekening inzetten voor die uitzonderingen waarbij dat niet voldoende is! Het gaat om die gevallen dat een burger of rechtbank een gezond wantrouwen jegens de overheid moet hebben en er dus een Trusted Third Party / gekwalificeerde dienstverlener aan te pas moet komen om de betrouwbaarheid te garanderen.
Overigens vind ik het bizar dat een handgeschreven handtekening wettelijk gezien nog steeds geldt als zeer betrouwbaar. Dat is onzin natuurlijk. Even oefenen en je maak zo de handtekening van Mark Rutte na. Maar goed, als het opeens legitiem wordt om aan handgeschreven handtekeingen te gaan twijfelen.
@Jolanda, ik wil geen wetsaanpassing. Ik wil een oplossing! Ik ben bezig om een betrouwbare handtekening te realiseren. Een betrouwbaarheid die we ook over een paar jaar nog keihard aan kunnen tonen voor een rechter. De handtekening moet dus ook tegen die tijd nog gevalideerd kunnen worden. Niet de gemeente zelf moet overtuigd worden van de betrouwbaarheid, maar juist externe partijen!
Ik wil bijvoorbeeld voorkomen dat een tegenpartij de claim kan maken: "Dit document is vervalst. Die handtekening is er later op gezet. Kijk maar: als je hem wilt valideren krijg je allemaal foutmeldingen en veiligheidswaarschuwingen. En die metadata? Die hebben ze in de database veranderd. De wethouder heeft gewoon ICT onder druk gezet."
Maar goed, misschien moet ik concluderen dat langdurige garantie van de betrouwbaarheid van een gekwalificeerde handtekening niet mogelijk is. Op een zeker moment heb je alleen nog maar de metadata en is de handtekening dus gedevalueerd tot een geavanceerde handtekening. Goed is goed genoeg (?).
-
-
geef je het antwoord zelf? :-)
Je kunt en kon de betrouwbaarheid van een natte handtekening ook niet tot in lengte van jaren aantonen. Als er sprake is van een gezond wantrouwen, hoe lang kan dat spelen?
Als je nu een handtekening zet via een workflow, waarbij je de audittrail bewaart en dus kunt terugzien wie welk vakje heeft aangevinkt en je kunt aantonen dat deze persoon ook bevoegd was om dat te doen, wat heb je dan nog nodig?
In de praktijk is en wordt heel weinig getwijfeld aan de echtheid van documenten, is mij wel eens verteld. Door een advocaat en een notaris. Misschien maak je je meer zorgen dan noodzakelijk. En misschien niet :-)
-
Permalink Antwoord van Guus Benkers op
-
Ik ben momenteel bezig met hetzelfde vraagstuk. Voor de archivering is duurzaamheid inderdaad het belangrijkste probleem van de elektronische handtekening. Zoals je al zegt kun je door middel van timestamping bewijzen dat een handtekening is gezet op het moment dat het certificaat nog geldig was. Terecht merkt je op dat in dat geval weer vragen kunnen rijzen over de geldigheid van de timestamp.
Deze problemen zijn echter niet nieuw, want ze spelen ook gewoon bij ouderwetse 'natte' handtekeningen. Wanneer je doorredeneert kun je dus nooit met 100% zekerheid zeggen dat een handtekening echt is. Ook een natte handtekening is dus in ieder geval geen oplossing. Zoals in het gelinkte artikel wordt aangegeven zijn praktische oplossingen het bevestigen van een belangrijke of gevoelige overeenkomst per e-mail met de overeenkomst in de bijlage, of het tekenen van een overeenkomst in het bijzijn van getuigen of een notaris.
Persoonlijk denk ik echter dat we gewoon moeten wachten tot er jurisprudentie is over een gekwalificeerde getimestampte elektronische handtekening met een verlopen certificaat die betwist wordt. Uiteindelijk is álles immers te vervalsen. De vraag is hoe hoog je de bewijslast legt voor het bewijzen van de echtheid van een handtekening. En die vraag zal beantwoord moeten worden door een rechter.
-
Partner(s)
Sponsor(s)
Direct naar...
© 2024 Gemaakt door Marco Klerks.
Verzorgd door
