Stappenplan elektronische handtekening

Een digitaliseringsproject kiest best de meest geschikte soort handtekening om slimme digitalisering te realiseren. Niet elke elektronische handtekening is namelijk geschikt voor om het even welk document en omgekeerd vereist niet elk document een gekwalificeerde elektronische handtekening.

Stappen

Dit stappenplan onderscheidt 4 stappen die je kan volgen om te bepalen of een ondertekening in een bepaald geval noodzakelijk en/of wenselijk is en welke soort elektronische handtekening je het best kiest.

Dit stappenplan is slechts een hulpmiddel voor digitalisering. Het neemt geen verantwoordelijkheid weg in jouw finale keuze voor de ene of de andere handtekening. We illustreren ook met enkele voorbeelden uit de praktijk.

Stap 1
Aanpak
Bepaal de scope waarvoor je wil nagaan of er handtekeningvereisten werden bepaald. Meestal is dit beperkt tot één proces. Hiervoor kan je bv. een administratief handboek raadplegen waarin processen worden uitgeschreven.
Ga na of de bestuursinstantie waarvoor je werkt de volledige bevoegdheid heeft voor dit proces. Indien dat niet het geval is, ga dan na of het mogelijk is om de bevoegde instellingen te betrekken.
Ga na welke regelgeving (wetten, decreten, KB’s, omzendbrieven...) voor dit proces geldt.
Ga na of die regelgeving handtekeningsvereisten bevat, meer bepaald of de regelgeving een handtekening verplicht en of er bepaalde vormvereisten zijn voor het gebruik van die handtekening (bv. het gebruik van een specifiek soort elektronische handtekening).
Indien de regelgeving een handtekening vereist, ga naar stap 2. Indien niet, ga naar stap 3.
Tips
Een handtekeningvereiste in regelgeving kan worden herkend door het gebruik van termen zoals ‘(elektronische) handtekening’, ‘ondertekend’, ‘getekend’, ‘Verordening (EU) nr. 910/2014’ etc.
Een handtekeningsvereiste die inhoudt dat een elektronische handtekening moet voldoen aan dezelfde veiligheidswaarborgen als de elektronische handtekening die door de elektronische identiteitskaart wordt gecreëerd, betekent dat een gekwalificeerde elektronische handtekening vereist is.
Bij een handtekeningsvereiste die inhoudt dat de elektronische handtekening de identiteit van de partijen (en dus de authenticiteit) alsook het behoud van de integriteit van het document moet verzekeren, is het gebruik van een gewone elektronische handtekening uitgesloten.
Ga ook steeds na of er geen contractuele handtekeningvereisten zijn bepaald (bv. in een raamovereenkomst).
Stap 2
Als uit stap 1 blijkt dat een handtekening wettelijk vereist is, kan een risicoanalyse een helder antwoord bieden op de vraag hoe die vereiste nageleefd kan worden.
Aanpak
Om de meest geschikte keuzes bij de plaatsing van een handtekening te maken, is een beknopte risicoanalyse nodig.
Tijdens zo’n analyse plaatst men de verschillende risico’s (bv. op financieel of op reputationeel vlak) in een diagram, op basis van de impact van een gebeurtenis en de kans dat die gebeurtenis voorvalt.
Schema voor risico-analyse weergegeven als een matrix met twee assen: de verticale as geeft de impact aan (van klein tot rampzalig) en de horizontale as geeft de kans aan (van onwaarschijnlijk tot waarschijnlijk). De matrix is verdeeld in vier gekleurde zones:
Linksonder (groen): “aanvaardbaar risico” (kleine impact, onwaarschijnlijk).
Linksboven (geel): “mogelijk aanvaardbaar risico” (hevig impact, onwaarschijnlijk).
Rechtsonder (geel): “mogelijk aanvaardbaar risico” (kleine impact, waarschijnlijk).
Rechtsboven (oranje): “onaanvaardbaar risico” (hevig impact, waarschijnlijk).
Stap 3
De handtekening kan een bepaalde functie vervullen, ondanks dat ze niet wettelijk vereist is of de vereiste genuanceerd kan worden. Het achterhalen van de functie kan ook een hulp zijn bij het kiezen van een geschikte handtekening.
Deze rol of functie is eigen aan het proces, maar kan verschillen in een digitale of analoge omgeving.
Bij de omzetting van de papieren documentstroom in een digitale documentstroom zal dan ook steeds moeten worden nagegaan hoe er zal worden omgegaan met de nieuwe vorm van handtekeningen en of deze nog dezelfde functie vervult als voorheen.
Aanpak
Om de functie van de handtekening te achterhalen, kunnen de volgende vragen worden gesteld:
Is het vanuit bewijsrechtelijk perspectief relevant om het document te laten ondertekenen vanwege de bewijskracht of bewijswaarde? Is rechtszekerheid nodig?
Heeft de handtekening nog een andere functie? Zoals bijvoorbeeld:
Identificatiefunctie: de handtekening kan naar de identiteit van de ondertekenaar verwijzen (bv. naam, een deel van de naam, of een gewoonlijk pseudoniem).
Toe-eigeningsfunctie: de wil om de handtekening op een bepaald geschrift te plaatsen, duidt op de intentie om zich te binden aan de inhoud van het geschrift (“animus signandi”).
Beveiligingsfunctie: het manuele, eigenhandige, creatieve en continue karakter van de handtekening leidt ertoe dat men meer zekerheid krijgt over de identiteit van de ondertekenaar en dat deze niet bedrieglijk door een derde persoon werd geplaatst. Zo is het bijvoorbeeld gemakkelijker om een origineel van een kopie te onderscheiden en bakent het plaatsen van de handtekening de neergeschreven informatie fysiek af. Het ongezien toevoegen of verwijderen van gegevens is daardoor moeilijker.
Bescherming tegen overhaasting: om de betrokkene te doen beseffen dat een activiteit wordt ondernomen die belangrijke rechtsgevolgen kan hebben.
Een louter ceremoniële functie: als louter symbolische handeling.
Volgende stap?
Heeft de handtekening een bepaalde functie? Dan ga je verder naar stap 4.
Heeft de handtekening geen bepaalde functie én geen wettelijke vereiste, dan is een handtekening niet nodig.
Heeft de handtekening geen bepaalde functie, maar is ze wettelijk vereist, dan bekijk je het risico van niet-ondertekening. Bij een hoog risico ga je naar stap 4. Bij een laag risico kies je zelf of je verder naar stap 4 gaat.
Tip
De bovenstaande functies kunnen een andere invulling hebben in de digitale of analoge wereld.
Stap 4
Aanpak
Risicoanalyse
Om te bepalen welke soort handtekening er dient te worden gebruikt bijvoorbeeld in het geval van een wettelijke handtekeningvereiste zonder verdere bepaling of bijvoorbeeld in het geval dat er geen handtekeningvereiste is maar de handtekening wel nog een bepaalde functie vervult, zal een nieuwe risicoanalyse moeten worden uitgevoerd.
De invulling van het diagram (zie ook stap 2: maak een risicoanalyse) gebeurt op basis van de beoogde soort handtekening en aan de hand van de impact die wordt ingeschaald en de kans op gevolgen op financieel vlak en op het vlak van reputatie.
Op basis van de grafische weergave van de risicoanalyse wordt visueel weergegeven of er eerder een onaanvaardbaar/hoog risico bestaat (rode/oranje kleur), aanvaardbaar/laag risico bestaat (groene kleur) dan wel een eventueel aanvaardbaar/gemiddeld risico bestaat (gele kleur) en dus of er bepaalde risico’s kunnen worden genomen bij het gebruik van een bepaalde handtekening.
Bekijk het overzicht van de voorwaarden en rechtsgevolgen van de soorten elektronische handtekeningen.
Deze afbeelding toont een risicomatrix die risico’s beoordeelt op basis van impact en kans. De verticale as is gelabeld als “impact” en varieert van “klein” tot “hevig” en “rampzalig”. De horizontale as is gelabeld als “kans” en varieert van “onwaarschijnlijk” tot “mogelijk” en “waarschijnlijk”.
In de matrix zijn vier kwadranten, elk gekleurd:
Linksonder: groen (laag risico)
Rechtsonder: geel (gemiddeld risico)
Linksboven: geel (gemiddeld risico)
Rechtsboven: oranje (hoog risico).
In de groene zone staan risicocategorieën zoals “financieel,” “gezondheid,” en “materie.” In de gele zone staat “reputatie.” De matrix helpt bij het beoordelen en prioriteren van risico’s.
Beslissing
Op basis van de risico’s die worden ingeschat, zal een bepaalde vorm van handtekening worden gekozen die het meest geschikt is voor een bepaald document in een bepaalde fase van een proces. Naast de risicoanalyse zal ook de organisatiecultuur een bepaalde rol spelen bij het al dan niet nemen van het risico.
De uiteindelijke beslissing over de keuze van een handtekening, wordt genomen door het management van je organisatie. Dit stappenplan is slechts een hulpmiddel voor digitalisering. Het draagt geen verantwoordelijkheid in jouw finale keuze voor de ene of de andere handtekening.

Opleiden en communiceren

Het digitaliseren van een proces waarin de handtekening een rol speelt, moet gepaard gaan met sensibilisering, opleiding en communicatie.

Je kan veel nieuwe initiatieven nemen, maar als je dit niet communiceert en begeleidt, hervallen vele mensen in de oude gewoontes.

Houd dus ook in de planning rekening met opleiding en communicatie rond de nieuwe werkwijzen en procedures.

Hierna volgen een aantal voorbeelden van hoe je dit kan doen:

Houd nauwe contacten met de procesbeheerder en de informatici en leid hen intensief op. Initiatieven voor de vereenvoudiging van processen of de digitalisering van werkstromen komen meestal via deze collega’s. Begeleid hen bij hun projecten.
Organiseer opleidingen voor het management, sensibiliseer en informeer. Kritische vragen kunnen in de twee richtingen leiden tot een beter en welafgewogen resultaat. Het management zal de eindbeslissing nemen en dus ook bepalen of een risico wordt genomen of niet.
Communiceer naar een dienst of naar de ganse organisatie dat processen gewijzigd werden. Communiceer vanaf wanneer deze nieuwe processen in voege treden.
Herevalueer de gebruikte processen op gezette tijdstippen en wanneer bepaalde problemen of inefficiënties zich zouden voordoen.

Regelgeving bijsturen

Als de handtekening niet kan afgeschaft worden vanwege de regelgeving, kan het een oplossing zijn de regelgeving bij te sturen. Digitaal Vlaanderen en Het Facilitair Bedrijf ontwikkelden een uitgebreid aanbod om regelgeving digitaalvriendelijk te maken. Decreten, besluiten, reglementen of verordeningen kunnen baat hebben bij zo’n aanpassing.

Indien bij stap 2 werd vastgesteld dat er een mogelijkheid bestaat om af te wijken van regelgeving die bepaalde handtekeningvereisten oplegt, kan een wijziging van deze regelgeving worden doorgevoerd. De manier waarop een wijziging kan worden doorgevoerd, is afhankelijk van het feit of deze regelgeving onder de bevoegdheid van de organisatie valt of niet.

De basisprincipes van digitaalvriendelijke regelgeving werden alvast vastgelegd.
Indien de regelgeving onder de bevoegdheid valt van de eigen organisatie, kan je ze aanpassen.
Indien de regelgeving niet onder de eigen bevoegdheid valt, kan je dit aankaarten bij de bevoegde overheid.

Voorbeeld: Bestuurlijk toezicht op lokale besturen

De oorspronkelijke regelgeving bepaalde dat: “Bij de elektronische ondertekening [...] wordt gebruikgemaakt van het digitaal tekenplatform van de Vlaamse overheid [...]” (Bron)(opent in nieuw venster) (inmiddels opgeheven))

De nieuwe regelgeving bepaalt dat: “De kennisgeving, verzending of opvraging [...] gebeuren door gebruik te maken van het digitaal loket.” (Bron(opent in nieuw venster)).

Voorbeelden van één specifieke stap

STAP 1 Wettelijke handtekeningsvereisten

STAP 1 Geen wettelijke handtekeningsvereisten

Voorbeelden waarbij het stappenplan volledig doorlopen is

We pasten het stappenplan toe op een aantal cases en formuleerden een conclusie over de rol van de handtekening.

Briefwisseling (lokale besturen) - Vraag: het schepencollege wenst een brief te versturen aan jubilarissen. Moet deze brief ondertekend worden?

Stap 1: Uit artikel 279 Decreet Lokaal Bestuur volgt dat briefwisseling van de gemeente verplicht moet worden ondertekend door de burgemeester en de algemeen directeur. Het is dus wettelijk verplicht dat de burgemeester en de algemeen directeur deze brief ondertekenen. Het decreet bevat echter geen specifieke vormvereisten voor deze handtekening.
Stap 2: Een eenvoudige risicoanalyse wijst uit dat het risico aanvaardbaar laag is als dit niet ondertekend zou worden. Immers, de bestemmeling zal de herkomst en inhoud van de brief niet betwisten. Uitgetekend op het diagram van de risicoanalyse oogt dit als volgt:
- financieel: de kans op financiële gevolgen en een mogelijke impact op financieel vlak is bij het verzenden van brieven aan jubilarissen zonder een handtekening klein.
- reputatie: de kans van een impact op de reputatie van het lokaal bestuur bij het verzenden van brieven aan jubilarissen zonder een handtekening is mogelijk maar klein.
  
  Er zijn dus geen zware risico’s bij het niet ondertekenen van deze brieven. Het hoogste risico ligt bij de reputatie van het lokaal bestuur. Dit komt doordat de handtekening nog een andere functie kan hebben naast de wettelijke verplichting. Het risico van niet-ondertekening is echter aanvaardbaar laag.
Stap 3: In dit geval hebben deze brieven voor de bestemmeling vaak nog een ceremoniële functie. Het bestuur schat zelf in hoeveel waarde zij hieraan hecht. Indien de ceremoniële functie belangrijk wordt geacht, kan ervoor geopteerd worden om toch nog een handtekening te plaatsen. Dit kan een natte handtekening zijn of een elektronische handtekening. Het bestuur beslist om de brief te ondertekenen.
Stap 4: In deze stap gaat het bestuur na of een gewone elektronische handtekening (bv. een ingescande handtekening) volstaat.
Uit deze nieuwe risicoanalyse blijkt dat het risico aanvaardbaar laag is als een brief voor een jubilaris met een gewone elektronische handtekening ondertekend zou worden. De resultaten uit stap 2 worden hier bevestigd:
- financieel: de kans op financiële gevolgen en een mogelijke impact op financieel vlak is bij het verzenden van brieven aan jubilarissen met een gewone elektronische handtekening is klein.
- reputatie: de kans van een impact op de reputatie van het lokaal bestuur bij het verzenden van brieven aan jubilarissen met een gewone elektronische handtekening is mogelijk maar klein.
  
  Er zijn dus geen zware risico’s bij het ondertekenen van deze brieven met een gewone elektronische handtekening, zoals een gescande handtekening.

In het kader van de overheidsopdrachtenwetgeving werd een raamovereenkomst afgesloten met een leverancier. Moeten bestelbrieven gericht aan die leverancier ondertekend zijn?

Stap 1: Er is geen verplichting in regelgeving opgenomen om bestelbrieven in het kader van een raamovereenkomst te ondertekenen. Het kan echter wel steeds zijn dat de raamovereenkomst zelf specifieert hoe een bestelling onder een raamovereenkomst moet gebeuren (bv. ondertekend). Men kan meteen naar stap 3 gaan.
Stap 3: Het ondertekenen van een bestelbrief heeft echter verschillende functies. In dit geval hebben deze brieven echter verschillende functies, zoals onder meer de identificatiefunctie (is de brief opgesteld en verstuurd door het bevoegde orgaan?), toeëigeningsfunctie (is dit de effectieve bestelling die de overheid wenst te plaatsen?) etc. Dit zijn belangrijke functies, waarbij er best voor wordt geopteerd om een handtekening te plaatsen
Stap 4: Voor de bestelbrieven binnen een raamovereenkomst wordt aan de hand van een risicoanalyse nagegaan of een gewone elektronische handtekening (bv. een e-mail “ondertekend” met een naam of een scan van een handgeschreven handtekening geplakt in een e-mail) volstaat.
Het resultaat is dat de 4 mogelijke risicofactoren weinig zullen worden beïnvloed:
- financieel: bij het gebruik van een gewone elektronische handtekening bij de plaatsing van een bestelling binnen een raamovereenkomst is de kans onwaarschijnlijk dat hiervan misbruik wordt gemaakt. Medewerkers dienen al op de hoogte te zijn van het bestaan van de raamovereenkomst en zullen bepaalde afspraken moeten kennen. Indien deze afspraken niet bekend zijn, zal een valse bestelling al snel gedetecteerd worden. In een volgende stap van de bestelling zal de boekhoudkundige verwerking de nodige alarmbellen doen afgaan.
- reputatie: de kans dat de reputatie van de organisatie aangetast wordt bij misbruik, is klein. De impact op de reputatie bij misbruik kan ook mogelijks worden aangetast doordat dit bekend wordt gemaakt op kleine of grote schaal.
  
  Aangezien bij het plaatsen van een bestelling binnen een raamovereenkomst de risico’s beperkt zijn, volstaat een gewone digitale handtekening, m.n. een e-mailbericht. De e-mail kan hier in voldoende mate de integriteit en authenticiteit aantonen. Wie heeft er immers belang bij om in andermans naam een bestelling te plaatsen? Een elektronische handtekening die meer garanties inzake bijvoorbeeld integriteit biedt, is niet nodig, aangezien uit de risicoanalyse blijkt dat de risico’s verwaarloosbaar zijn. Bovendien zou een gekwalificeerde elektronische handtekening met eID de gedetecteerde risico’s niet beter uitsluiten dan een gewone elektronische handtekening. Van zodra in het proces een volgende stap genomen wordt (financiële toewijzing, controle van de inhoud), zou een frauduleuze bestelling gedetecteerd worden.
  
  De conclusie is dan ook dat de bestellingen in het kader van een raamovereenkomst per e-mail kunnen worden geplaatst. De Vlaamse overheid past deze praktijk toe.

Wij beheren en bewaren zowel analoge als digitale informatie en zijn het expertisecentrum voor archief- en informatiebeheer voor overheden in Vlaanderen.

Meer over onze organisatie

Blijf op de hoogte

Ontvang de nieuwsbrief Documentbeheer van Het Facilitair Bedrijf in je mailbox.

Schrijf je in

Het Facilitair Bedrijf Informatiemanagement

Stappenplan elektronische handtekening

Stappen

Zijn er wettelijke bepalingen of bepaalde vormvereisten?

Aanpak

Tips

Maak een risicoanalyse

Welke functie heeft de handtekening?

Kies de meest geschikte vorm van handtekening

Aanpak

Opleiden en communiceren

Regelgeving bijsturen

Voorbeelden van één specifieke stap

Voorbeelden waarbij het stappenplan volledig doorlopen is

Over ons

Blijf op de hoogte

In de kijker

Snel naar