Elektronische handtekening cloud of on-premise: welke keuze in 2026?

Inleiding

Het kiezen tussen een elektronische handtekening in de cloud en on-premise hosting is een van de meest structurerende strategische beslissingen voor een ICT-afdeling of juridische directie in 2026. Hoewel SaaS veel midden- en kleinbedrijven heeft aangetrokken door zijn eenvoud bij implementatie, twijfelen grote ondernemingen en organisaties met sectorale regelgeving nog steeds aan de relevantie van geïnternaliseerde hosting. Deze diepgaande vergelijking analyseert beide modellen aan de hand van vijf sleutelgebieden: gegevenssoevereiniteit, technische beveiliging, eIDAS-conformiteit, totale kostenbezit en bedrijfsgelijkheid. Aan het einde van dit artikel beschikt u over een operationeel besluitvormingskader om de architectuur te kiezen die bij uw context past.

De twee hosting-modellen begrijpen

Elektronische handtekening in de cloud (SaaS)

In een cloud-model beheert de uitgever de volledige infrastructuur: servers, updates, beschikbaarheid, back-up en gegevensbeveiliging. Het clientbedrijf heeft toegang tot de oplossing via een API of webinterface, zonder lokale installatie. Europese marktacteurs – waaronder Certyneo – steunen meestal op ISO 27001-gecertificeerde datacenters gelokaliseerd in de Europese Unie (Frankrijk, Duitsland, Nederland), wat GDPR-conformiteit zonder extra inspanningen aan clientzijde garandeert.

De voordelen zijn bekend: implementatie in enkele uren, onmiddellijke schaalbaarheid, automatische updates met regelgevingsveranderingen (eIDAS 2.0, DSP3, NIS2), en economisch model op basis van gebruik (OPEX). Volgens het Markess by Exaegis 2025-rapport geven 78% van de Franse bedrijven met minder dan 500 medewerkers nu de voorkeur aan SaaS voor hun dematerialisatietools.

On-premise deployment

On-premise implementatie betekent het rechtstreeks installeren van het elektronische handtekeningsplatform op de servers van het bedrijf of in een privé-datacentrum dat het beheerst. Dit model biedt volledige controle over gegevens, stromen en beveiligingsbeleid. Het wordt historisch gebruikt door banken, verzekeringsmaatschappijen, ziekenhuizen of overheidsinstellingen die gevoelige gegevens verwerken volgens specifieke referentiekaders (HDS, SecNumCloud, PGSSI-S).

Het nadeel is een aanzienlijke operationele belasting: het IT-team moet updates, kwalificeerde handtekeningscertificaten, HSM's (Hardware Security Modules), hoge beschikbaarheid en regelgevingstoezicht beheren. De initiële kosten (CAPEX) zijn hoog, met licenties die meer dan 80.000 € kunnen bedragen voor een bedrijfsimplementatie, plus jaarlijkse infrastructuurkosten.

Gegevenssoevereiniteit en regelgevingsconformiteit

GDPR en gegevenslokalisatie

De regelgeving eIDAS en implicaties voor uw gekwalificeerde handtekeningen vereisen dat leveranciers van vertrouwensdiensten (PSCo) worden gecontroleerd en vermeld in nationale vertrouwde lijsten. Of u kiest voor cloud of on-premise, uw oplossing moet absoluut steunen op een gekwalificeerde PSCo. De werkelijke GDPR-vraag betreft overdrachten buiten de EU: een cloud gehost bij een Amerikaanse hyperscaler (AWS, Azure, GCP) zonder geldige standaardcontractbepalingen (SCC) stelt het bedrijf bloot aan boetes tot 4% van de wereldwijde omzet.

Europese cloud-oplossingen zoals Certyneo voldoen aan deze eis native, met servers uitsluitend gelokaliseerd in Frankrijk en een DPA (Data Processing Agreement) conform artikel 28 van de GDPR bij inschrijving verstrekt.

SecNumCloud en gereglementeerde sectoren

Voor vitale-operatororganisaties (OIV) en entiteiten onderworpen aan de Cloud-doctrine van DINUM, wordt de SecNumCloud-kwalificatie van ANSSI geleidelijk verplicht. In 2026 hebben slechts enkele Franse cloud-actoren deze kwalificatie verkregen (OVHcloud, Outscale). Betrokken organisaties moeten dus ofwel kiezen voor een gekwalificeerde SecNumCloud-cloud, ofwel een on-premise onderhouden in overeenstemming met het ANSSI RGS v2-referentiekader.

Opmerking: NIS2, omgezet in Frans recht door de wet van 26 januari 2025, breidt cyberbeveiligingsverplichtingen uit naar meer dan 15.000 essentiële en belangrijke entiteiten, waardoor architectuurkeuze onder nieuwe regelgevingsdruk komt te staan.

Totale kostenbezit: vergelijkende analyse

TCO-analyse (Total Cost of Ownership) over 5 jaar toont systematisch een cloud-voordeel voor volumes onder 50.000 handtekeningen/jaar. Daarboven kan on-premise concurrerend worden als infrastructuur al bestaat. De ROI-calculator van Certyneo stelt u in staat dit omslagpunt nauwkeurig in te schatten op basis van uw volume en sector.

Een typische on-premise implementatie voor een bedrijf met 1.000 medewerkers vertegenwoordigt:

• Initiële licentie: 60.000 tot 120.000 €
• HSM-infrastructuur en toegewezen servers: 30.000 tot 50.000 €
• Jaarlijks onderhoud (20% van licentie): 12.000 tot 24.000 €/jaar
• Interne IT-middelen: 0,5 tot 1 FTE toegewijd

Ter vergelijking: een cloud SaaS met gelijke capaciteit kost meestal 18.000 tot 40.000 €/jaar alles inbegrepen, zonder CAPEX.

Technische beveiliging: voordelen en beperkingen van elk model

Beveiliging in cloudomgeving

In tegenstelling tot een blijvende voorkeur verschaft de cloud van een gespecialiseerde uitgever vaak een hoger beveiligingsniveau dan klassieke on-premise bedrijfsinfrastructuur. De redenen zijn structureel: uitgevers investeren massaal in toegewijde teams (24/7 SOC, driemaandelijkse penetratietests, ISO 27001- en SOC 2 Type II-certificeringen), wat buiten bereik van de meeste interne ICT-afdelingen ligt.

Best practices omvatten AES-256-codering in rust en TLS 1.3 in transit, verplichte multi-factor authenticatie, onveranderbare logging van handtekeningsgebeurtenissen, en geo-redundante back-ups. De juridische waarde van elektronische handtekeningen berust precies op deze onveranderbare traceerbaarheid.

On-premise specifieke risico's

On-premise genereert vaak onderschatte specifieke risico's:

• Versiedrift: zonder toegewijd team worden cryptografische updates (certificaatintrekking, verschuiving naar SHA-3) vertraagd, wat bedrijven blootstelt aan technisch ongeldige handtekeningen.
• HSM-beheer: een slecht geconfigureerde Hardware Security Module of waarvan firmware niet wordt bijgewerkt, maakt non-repudiatiegaranties ongeldig.
• Bedrijfsherstelplan: on-premise interne beschikbaarheid (SLA) overschrijdt zelden 99,5%, tegen 99,95% voor gestructureerde cloud SaaS.

Voor organisaties die soevereiniteit en operationele delegatie willen combineren, vormt het private cloud-model (Private Cloud toegewezen in een extern datacentrum met HDS- of SecNumCloud-certificering) een relevante middenweg.

Integratie, gelijkheid en uitbreidbaarheid

API en interoperabiliteit

Beide modellen stellen nu gedocumenteerde REST API's bloot. Toch verschilt de updatesnelheid structureel: een cloud-uitgever implementeert nieuwe functies (biometrische handtekening, AI voor documentfraude-detectie, eIDAS 2.0 Wallet-ondersteuning) in enkele weken, terwijl on-premise een interne kwalificatiecyclus van 3 tot 6 maanden per grote versie vereist.

Om elektronische handtekening in een ERP (SAP, Oracle), HRMS of DMS (OpenText, Alfresco) te integreren, biedt cloud voorgebouwde connectoren onderhouden door de uitgever. De volledige vergelijking van elektronische handtekeningsoplossingen detailleert integratiemogelijkheden van grote marktactoren.

Schaalbaarheid en volume

In de cloud is schaalbaarheid quasi-onmiddellijk: een campagne van 10.000 gelijktijdige handtekeningen (aandeelhoudersvergadering, massale HR-uitvoering) wordt zonder voorafgaande configuratie opgenomen. On-premise vereist voorziene overdimensionering van infrastructuur, waardoor kapitaalkosten ontstaan.

Snel groeiende organisaties of seizoenscyclussen (vastgoed, verzekeringen) profiteren bijzonder van cloud-elasticiteit. De elektronische handtekening in vastgoed kent bijvoorbeeld volumepiekken gekoppeld aan marktcycli die permanente on-premise overdimensionering onwerkzaam zouden maken.

Besluitvormingscriteria: welk model voor welk profiel?

Bedrijven en MKB zonder specifieke sectorale restricties

Voor een MKB van 10 tot 500 medewerkers zonder specifieke sectorale regelgevingsverplichtingen zet cloud SaaS zich door zonder aarzeling: snelle implementatie, beheerste kosten, eIDAS- en GDPR-conformiteit gegarandeerd door de uitgever. Integratie in bestaande HR-tools wordt vergemakkelijkt door native connectoren – zoals het gebruik van elektronische handtekeningen voor HR-teams toont die salarisbrieven, contracten en minnelijke verbreking zonder toegewijd infrastructuur omvat.

Grote bedrijven en gereglementeerde sectoren

Bedrijven die gezondheidsgegevens (verplichte HDS), kritieke financiële gegevens of geclassificeerde informatie verwerken, moeten on-premise of gekwalificeerde private cloud serieus evalueren. De vraag is niet technisch maar regelgeving: staat het toepasselijke referentiekader private cloud toe of niet?

Een hybridearchitectuur – cloud voor courante handtekeningen, on-premise voor gevoeligste gekwalificeerde acten – is sinds 2024 door verschillende grote Franse groepen aangenomen. Dit model vereist rigoureuze orchestratie en solide API-gateways.

Overheidsorganisaties en overheden

Sinds DINUM-circulaire 2023-1 moeten staatsoverheden offerta gekwalificeerde SecNumCloud cloud bevoordelen. On-premise blijft toegestaan voor gevoelige informatiesystemen (SIS) maar moet RGS v2 en PGSSI-S respecteren voor gezondheidsgegevens. De elektronische handtekening voor advocaten toont hoe entiteiten met hoge traceerbaarheiseis evenwicht vinden tussen beide modellen.

Toepasselijk juridisch kader voor hosting van uw elektronische handtekeningoplossing

De keuze tussen cloud en on-premise is juridisch niet neutraal. Verschillende regelgeving bepaalt rechtstreeks de technische architectuur van uw handtekeningoplossingen.

Burgerlijk Wetboek, artikelen 1366 en 1367: Deze bepalingen definiëren elektronische handtekening als een betrouwbare identificatieprocedure die verbinding met de akte waaraan zij gebonden garandeert. Procedurebetroubaarheid wordt verondersteld tot tegenbewijs wanneer gekwalificeerde elektronische handtekening wordt gebruikt. Deze veronderstelling geldt ongeacht hosting-modus, op voorwaarde dat de vertrouwensdienstleverancier (PSCo) gekwalificeerd is.

Verordening eIDAS nr. 910/2014 en eIDAS 2.0 (Verordening EU 2024/1183): De eIDAS-verordening onderscheidt drie handtekeningsniveaus (eenvoudig, geavanceerd, gekwalificeerd). Gekwalificeerde handtekening vereist verplicht tussenkomst van PSCo ingeschreven in nationale vertrouwde lijst (ANSSI-vertrouwde lijst voor Frankrijk). Of uw oplossing cloud of on-premise is, zij moet met gekwalificeerde PSCo aankoppelen voor gekwalificeerde handtekeningen. eIDAS 2.0, sinds mei 2024 van toepassing, voert EU-digitale identiteitsportefeuille (EUDIW) in en versterkt certificaatbeheervereisten.

Verordening GDPR nr. 2016/679: Artikel 28 vereist DPA-afsluiting (gegevensverwerkingscontract) met elke cloud-leverancier die persoonsgegevens voor uw rekening verwerkt. Artikel 44 verbiedt gegevensoverdrachten buiten EU zonder passende garanties (standaardcontractbepalingen of bindende bedrijfsregels). On-premise intern vervalt deze verplichting maar het bedrijf wordt volwaardige verwerkingsverantwoordelijke en moet technische en organisatorische maatregelen (TOM) conform artikel 32 documenteren.

NIS2-richtlijn (richtlijn EU 2022/2555), omgezet in Frankrijk door wet van 26 januari 2025: Essentiële en belangrijke entiteiten (sectoren energie, gezondheid, financiën, water, digitaal, vervoer, overheid) moeten evenredige cyberbeveiligingsmaatregelen nemen, inclusief ketens-risicobeheer. Een elektronische handtekening cloud-leverancier vormt kritieke derdepartij-leverancier in NIS2-zin: verplichte due diligence, specifieke contractuele bepalingen en auditrecht.

ETSI-normen EN 319 132 en EN 319 122: Deze normen bepalen formaten geavanceerde elektronische handtekening (XAdES, PAdES, CAdES) aanvaard op Europese openbare markten en B2B-uitwisselingen. Conformiteit aan deze formaten moet ongeacht architecturkeuze worden geverifieerd.

Algemeen Beveiligingsreferentiekader (RGS v2) en HDS: Voor overheden en gezondheidsgegevenshosters zijn RGS v2 van ANSSI en HDS-certificering (Gezondheidsdatahost, decreet 11 juni 2018) respectievelijk verplicht. Een niet-HDS-gecertificeerde cloud is juridisch disqualificeerd voor gezondheidsgegevens hosting, zelfs tijdelijk bij ondertekeningstoestemming.

Vooraf te voorzien juridische risico's: Handtekening uitgegeven uit non-conform systeem kan in rechtszaken betwist worden, vooral wanneer documentintegriteit of ondertekeridentiteit niet onbetwistbaar kan worden bewezen. Bewijslast ligt bij wie handtekening aanvoert. Pre-deploymentconformiteitsaudit, cloud of on-premise, is sterk aanbevolen.

Gebruiksscenario's: cloud of on-premise naar bedrijfscontext

Scenario 1 – Middelgrote industriële groep beherende 15.000 jaarlijkse contracten

Een midden- en grootbedrijf (circa 1.200 medewerkers, 3 productiesites in Frankrijk) moet alle leverancier-, klant- en onderaannemeningscontracten dematerialiseren. Het verwerkt gemiddeld 15.000 handtekeningen per jaar, met pieken in januari (hernieuwing contractkaders) en september (inkoopvorderingen). Haar industriële gegevens zijn gevoelig maar niet geclassificeerd.

Na TCO-analyse over 5 jaar concludeert financieel management dat Europese cloud SaaS ISO 27001-gecertificeerd 40% kosteneffectiver is dan gelijkwaardige on-premise (uitgevereconomie schaal versus 0,7 FTE ICT intern toegewezen). ICT selecteert cloud hostedberoep in Frankrijk met SLA 99,95% en gedocumenteerde REST API, rechtstreeks geïntegreerd in ERP. Seizoenpieken worden zonder meerkosten opgenomen. Geconstateerd resultaat na 12 maanden: 65% verlaging gemiddelde contracthandtekeningsduur (van 8,3 naar 2,9 dagen), en geschatte jaarlijkse besparing 120.000 € papierbehandeling en vervolgingskosten.

Scenario 2 – Ziekenhuisgroep met 1.200 bedden onderworpen HDS-certificering

Openbare ziekenhuisgroep wil patiënttoestemmingen, contracten liberale beoefenaars en openbare aanbestedingen dematerialiseren. Verwerkte gegevens omvatten gezondheidsinformatie, onderworpen HDS-certificering (Gezondheidsdatahost) en PGSSI-S.

Zuiver on-premise wordt afgewezen wegens complexiteit HSM-onderhoud en afwezigheid interne cryptografieexpertise. Groep kiest private cloud gehost door HDS-gecertificeerde en SecNumCloud-gekwalificeerde leverancier. Handtekeningoplossing wordt geïmplementeerd in deze exclusive cloud, met strikte netwerkisolatie en auditlogs geëxporteerd naar intern SIEM. Kosten overschrijden standaardcloud-25% maar schakelen on-premise-35% minder. Bedrijfsvoordeel: 800 maandelijkse toestemmingen verwerkt in minder 24 uur tegenover 5 papierdagen, met volledige tracering HAS-eisen conform.

Scenario 3 – Advocatencantoor met 25 medewerkers integrerende handtekening dagelijks

Parijse advocatenkantoor verwerkt dagelijks cessiakten, akkoordprotocollen en volmachten waarvoor geavanceerde of gekwalificeerde elektronische handtekening nodig is. Clientgeheimheid is topprioriteit, maar kantoor heeft geen eigen IT-infrastructuur.

On-premise is van oorzaak uitgesloten wegens resources. Kantoor kiest Europese SaaS cloud met end-to-end codering, clientbeheersde encryptietoetsen (BYOK – Bring Your Own Key), en contractuele garantie van niet-toegang door uitgever. Deze zogenoemde "zero knowledge"-architectuur voldoet aan standaarden Orde van Advocaten en GDPR-verplichtingen. Integratie met dossierbeheerssoftware (via API) vermindert voorbereiding handtekeningsacte van 45 naar 8 minuten gemiddeld, oftewel 82% productiviteitswinst op taak.

Conclusie

Cloud of on-premise: er is geen universeel antwoord, maar wel gestructureerd besluitkader. Voor meeste Franse ondernemingen – MKB, middelgrootbedrijven zonder kritische sectorbeperking – biedt Europese cloud SaaS conform eIDAS en GDPR beste verhouding beveiliging, conformiteit en totale kostenbezit. On-premise of gekwalificeerde private cloud blijft pertinent voor gereglementeerde sectoren (gezondheid, defensie, OIV) waar constrainend referentiekader (HDS, SecNumCloud, RGS v2) totale infrastructuurbeheersing dwingt.

In 2026 is werkelijke vraag niet meer "cloud of on-premise" maar "welk soevereiniteitsniveau voor welke gegevens, met welke gekwalificeerde PSCo?" Certyneo beantwoordt eisen met cloud-architectuur exclusief gehost Frankrijk, ISO 27001-gecertificeerd, conform eIDAS 2.0 en GDPR. Ontdek onze aanbiedingen en tarieven op Certyneo of neem contact met ons team voor gratis audit uw elektronische handtekeningbehoefte.