QSCD-certificaat eIDAS: alles wat u moet weten om het in Frankrijk in 2026 te verkrijgen

De toenemende digitalisering dwingt bedrijven en overheidsinstanties om precieze technische concepten onder de knie te krijgen. Onder deze concepten neemt het QSCD-certificaat (Qualified Signature Creation Device) een centrale plaats in binnen het eIDAS-systeem. Zonder dit certificaat kan geen gekwalificeerde elektronische handtekening worden uitgegeven — de enige handtekening die voorzien is van een wettelijk vermoeden van gelijkwaardigheid met de handgeschreven handtekening. Toch weten de meeste Franse organisaties nog steeds niet wat een QSCD is, hoe het zich onderscheidt van een eenvoudig digitaal certificaat en welke stappen nodig zijn om het te verkrijgen. Dit artikel geeft u een volledig antwoord: technische definitie, regelgevingsbasis, lijst van erkende actoren in Frankrijk en stapsgewijze verkrijgingsprocedure.

Wat is een QSCD-certificaat? Definitie en regelgeving

De term QSCD is het Engelse acroniem voor Qualified Signature Creation Device, wat in het Nederlands wordt vertaald als gekwalificeerd apparaat voor ondertekening. Het duidt op een hardware- of softwaretool die de cryptografische sleutels genereert en opslaat die voor elektronische ondertekening worden gebruikt, terwijl een maximaal beveiligingsniveau wordt gegarandeerd zoals gedefinieerd door de eIDAS-verordening nr. 910/2014.

Onderscheid tussen gekwalificeerd certificaat en QSCD

Het is belangrijk onderscheid te maken tussen twee vaak verwar concepten:

• Het gekwalificeerde certificaat (Qualified Certificate for Electronic Signature, QCert) is een digitaal certificaat afgegeven door een gekwalificeerde vertrouwdienstaanbieder (QTSP). Het bevestigt de identiteit van de ondertekenaar en bevat zijn openbare sleutel.
• Het QSCD is de beveiligde ondersteuning waarop de persoonlijke sleutel die aan het certificaat is gekoppeld, wordt gegenereerd en bewaard. Dit kan een cryptografische USB-token zijn, een smartcard, een HSM (Hardware Security Module) of een QSCD op afstand (remote QSCD) dat bij de dienstaanbieder is ondergebracht.

Opdat een handtekening gekwalificeerd is onder eIDAS, moeten beide elementen aanwezig zijn: een gekwalificeerd certificaat EN een QSCD. Bijlage II van de verordening bepaalt de eisen waaraan het apparaat moet voldoen (uniciteit van ondertekeningsgegevens, onmogelijkheid de persoonlijke sleutel af te leiden, bescherming tegen vervalsing, enz.).

Niveaus van elektronische handtekening en plaats van QSCD

De eIDAS-verordening definieert drie niveaus van handtekening:

1. Eenvoudige elektronische handtekening (SES): geen bijzondere technische vereisten.
2. Geavanceerde elektronische handtekening (AdES): uniek gekoppeld aan de ondertekenaar, gemaakt op basis van gegevens onder zijn exclusieve controle, maar zonder verplichting tot QSCD.
3. Gekwalificeerde elektronische handtekening (QES): vereist imperatief een gekwalificeerd certificaat opgeslagen op een QSCD. Dit is het enige niveau dat profiteert van een wettelijk vermoeden van gelijkwaardigheid met de handgeschreven handtekening in alle lidstaten.

Voor meer diepgang over de verschillen tussen deze drie niveaus biedt de vergelijking van oplossingen voor elektronische handtekeningen van Certyneo een gedetailleerde analyse.

Gekwalificeerde dienstaanbieders (QTSP) in Frankrijk: wie kan een QSCD afleveren?

In Frankrijk valt de aflevering van gekwalificeerde certificaten en de beschikbaarheid van QSCD uitsluitend onder gekwalificeerde vertrouwdienstaanbieders (QTSP) die zijn ingeschreven op de nationale vertrouwlijste (Trust Service List, TSL), gepubliceerd en onderhouden door de ANSSI (Agence nationale de la sécurité des systèmes d'information).

De ANSSI, Franse toezichtsautoriteit

De ANSSI vervult in Frankrijk de rol van toezichthouder (supervisory body) zoals voorzien in artikel 17 van eIDAS. Zij auditeerd QTSP-kandidaten volgens strikte criteria die aansluiten bij de normen ETSI EN 319 401 (algemene vereisten voor TSP) en ETSI EN 319 411 (gekwalificeerde certificaten). Een dienstaanbieder kan zich slechts "gekwalificeerd" noemen als hij op de Franse vertrouwlijst staat, gepubliceerd in ondertekend XML-formaat.

Onder de erkende Franse QTSP's bevinden zich onder meer actoren zoals Certigna, CertEurope, Docaposte, Keynectis en Thales (voorheen Gemalto). Elk biedt gekwalificeerde certificaatpakketten aan die zijn opgeslagen op hardware-QSCD's (smartcards, USB-tokens) of QSCD's op afstand, waarbij deze laatste sinds 2022 sterk in opmars zijn.

QSCD op afstand (remote QSCD): de nieuwe norm in bedrijven

De QSCD op afstand vertegenwoordigt een grote verbetering: de persoonlijke sleutel van de ondertekenaar wordt niet langer opgeslagen op een fysieke ondersteuning die aan de gebruiker wordt verstrekt, maar in een gecertificeerde HSM, ondergebracht in de beveiligde infrastructuur van de QTSP. De ondertekenaar krijgt toegang tot zijn apparaat via sterke verificatie (OTP, biometrie, mobiele app). Deze benadering, geregeld onder de norm ETSI EN 319 432 en goedgekeurd door de ANSSI, is nu geïntegreerd in de meeste SaaS-platforms voor gekwalificeerde handtekeningen, inclusief Certyneo.

De juridische waarde van de elektronische handtekening hangt niet af van het fysieke of externe karakter van de QSCD, zolang de eIDAS-conformiteit wordt bevestigd door een ANSSI-kwalificatie.

Hoe u een QSCD-certificaat in Frankrijk verkrijgt: het stapsgewijze proces

Het verkrijgen van een gekwalificeerd certificaat op QSCD volgt een geformaliseerd proces, zwaarder dan dat voor een eenvoudig of geavanceerd certificaat. Hier zijn de onvermijdbare stappen.

Stap 1: kies uw QTSP en QSCD-type

Het eerste besluit betreft het type QSCD dat wordt gewenst:

• Fysieke QSCD (smartcard of USB-token): geschikt voor incidenteel gebruik, vrijgevestigde beroepen of directeuren. Veronderstelt een fysieke overhandiging van de ondersteuning.
• QSCD op afstand: ideaal voor organisaties met hoog handtekeningsvolume of 100% digitale werking. Geen fysieke ondersteuning te beheren.

De keuze van de dienstaanbieder hangt ook af van beschikbare integraties (REST API, webhooks, HR-connectoren) en supportniveau. Het is raadzaam de officiële QTSP-lijst op de ANSSI-portal te raadplegen voordat u een keuze maakt.

Stap 2: het identiteitsverificatieproces (KYC)

De eIDAS-verordening vereist een strikte identiteitsverificatie voordat een gekwalificeerd certificaat wordt afgegeven. Twee modaliteiten worden aanvaard:

• Face-to-face fysiek (in-person): de aanvrager presenteert zich in een registratiepunt van de QTSP of bij een gemachtigde verificatieoperator, met zijn officiële identiteitsdocumenten.
• Op afstand via video (remote identity proofing): sinds 2021 bieden sommige QTSP's verificatie via videoconferencing in real-time met een medewerker aan, onder regelgeving van de vereisten ETSI EN 319 461. Automatische verificatie door AI (eKYC) wordt nog niet aanvaard voor gekwalificeerde certificaten in Frankrijk in mid-2026; de ANSSI vereist nog steeds menselijke tussenkomst.

De vereiste documenten omvatten doorgaans: geldige identiteitsdocumenten (nationale identiteitskaart, paspoort), bewijs van betrokkenheid bij de professionele entiteit (bedrijfsuittreksel, KvK-uittreksel) en soms een volmachtbrief voor ondertekenaren die namens een rechtspersoon optreden.

Stap 3: sleutelgenerering en QSCD-aflevering

Zodra de identiteit is geverifieerd, gaat de QTSP over tot generatie van het cryptografische sleutelpaar in de beveiligde omgeving van de QSCD. Voor een fysieke QSCD wordt de ondersteuning geïnitialiseerd en vervolgens aan de houder verstrekt of per post verzonden met een beveiligde PIN-code. Voor een QSCD op afstand activeert de houder zijn apparaat via de mobiele app van de dienstaanbieder en configureert zijn sterke verificatiemechanisme.

Het gekwalificeerde certificaat wordt vervolgens aan de openbare sleutel gekoppeld en gepubliceerd in de directory van de QTSP. De geldigsheidsduur bedraagt doorgaans 1 tot 3 jaar, afhankelijk van de gekozen dienst. Verlenging moet vóór afloop worden voorzien om de continuïteit van de handtekeningscapaciteit te behouden.

Kosten, termijnen en verlenging: wat u moet anticiperen

Indicatieve tariefschema in 2026

De prijzen van gekwalificeerde certificaten op QSCD variëren aanzienlijk afhankelijk van de dienstaanbieder en het apparaattype:

• Fysieke QSCD (USB-token of smartcard): tussen 80 € en 250 € excl. btw voor de eerste aflevering (inclusief materiële ondersteuning), vervolgens 50 € tot 150 € excl. btw voor jaarlijkse verlenging.
• QSCD op afstand: vaak opgenomen in SaaS-abonnementspakketten vanaf 15 € tot 40 € excl. btw per gebruiker per maand, of in per-transactie-pakketten voor lage volumes.

Deze kosten moeten worden afgezet tegen de tijdwinst en risicovermindering op juridisch vlak. De ROI-calculator van Certyneo stelt u in staat het rendement op investering precies in te schatten op basis van het volume ondertekende documenten.

Verkrijgingstermijnen

De tijd tussen de aanvraag en de daadwerkelijke beschikbaarheid van het gekwalificeerde certificaat bedraagt doorgaans 3 tot 10 werkdagen voor fysieke oplossingen (postbezorging inbegrepen) en enkele uren tot 48 uur voor QSCD's op afstand, onder voorbehoud van volledigheid van het KYC-dossier. Organisaties die piekactiviteiten voorzien (contractverlengingen aan het einde van het boekjaar, aanbestedingen, boekafsluiting) moeten dienovereenkomstig plannen.

Herroeping en certificaatlevenscyclus

Een gekwalificeerd certificaat kan voor het einde van de geldigheidsduur worden herroepen in geval van compromis van de persoonlijke sleutel, vertrek van de houder of wijziging van gecertificeerde informatie. Herroeping wordt gepubliceerd in de Certificate Revocation List (CRL) of via het OCSP-protocol (Online Certificate Status Protocol) van de QTSP. Elke handtekening aangebracht na herroeping wordt geacht ongeldig te zijn; handtekeningen aangebracht daarvoor behouden hun waarde, mits deze zijn voorzien van een timestamp. De gekwalificeerde elektronische tijdstempel speelt hier een cruciale rol in het bewijs van de voorafgaande handtekening.

Toepasselijk wettelijk kader voor QSCD-certificaat

De regelgeving die gekwalificeerde apparaten voor ondertekening regelt, is uitgebreid en verdeeld over meerdere Europese en nationale wetteksten.

eIDAS-verordening nr. 910/2014 (EU) — Deze grondwettelijke tekst vormt de basis van het systeem. Artikel 3(12) definieert het gekwalificeerde apparaat voor ondertekening. Artikel 26 stelt de vereisten voor geavanceerde handtekeningen, terwijl artikel 29 en bijlage II de technische vereisten die van toepassing zijn op QSCD's uiteenzetten (uniciteit van ondertekeningsgegevens, vertrouwelijkheid van de persoonlijke sleutel, onvervalsbarheid). Artikel 25(2) verleent aan gekwalificeerde handtekeningen een vermoeden van gelijkwaardigheid met handgeschreven handtekeningen. De eIDAS-verordening 2.0 (Verordening 2024/1183, geleidelijk van kracht geworden sinds 2024) versterkt deze vereisten en breidt het toepassingsgebied uit tot Europese portefeuilles met digitale identiteit (EUDIW).

Nederlands Burgerlijk Wetboek, artikelen 1366 en 1367 — Artikel 1366 bepaalt dat elektronische geschriften dezelfde bewijskracht hebben als papieren geschriften onder voorbehoud van betrouwbare identificatie van de auteur en integriteit van het document. Artikel 1367 verduidelijkt dat elektronische handtekening bestaat uit het gebruik van een betrouwbare identificatiemethode die de verbinding met de ondertekende akte waarborgt. De Franse decreet nr. 2017-1416 van 28 september 2017 stelt het vermoeden van betrouwbaarheid voor gekwalificeerde handtekeningen in overeenstemming met eIDAS.

ETSI-normen — De normen ETSI EN 319 132 (XAdES-indeling voor XML-ondertekening), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) en ETSI EN 319 401/411 (vereisten voor TSP en gekwalificeerde certificaten) vormen het technische kader dat voor dienstaanbieders bindend is. Niet-naleving van deze normen kan leiden tot schorsing van de QTSP-kwalificatie door de ANSSI.

AVG nr. 2016/679 — Het identiteitsverificatieproces (KYC) houdt verwerking van biometrische gegevens en persoonsgegevens in. De verwerkingsverantwoordelijke (QTSP en eventueel het opdrachtgevende bedrijf) moet de beginselen van minimalisering, beperkte doeleinden en evenredige bewaartermijn naleven. Een DPIA (Data Protection Impact Assessment) wordt aanbevolen voor grootschalige implementaties.

Aansprakelijkheid in geval van niet-naleving — Het gebruik van een niet-gekwalificeerd certificaat voor ondertekening van akten die een gekwalificeerde handtekening vereisen (bepaalde overheidsaanbestedingen, elektronische notariële akten, gedigitaliseerde belastingaangiften) stelt de organisatie bloot aan betwisting van de bewijskracht van de akte, of zelfs vernietiging ervan. Artikel 13 van eIDAS voorziet in een aansprakelijkheidsstelsel voor QTSP's in geval van schending van hun verplichtingen, maar dit stelsel ontslaat gebruikersorganisaties niet van hun zorgplicht bij de keuze en handhaving van hun systeem.

Gebruikscenario's van QSCD-certificaat in bedrijven

Scenario 1: een advocatenkantoor dat zijn gerechtelijke acten digitaliseert

Een advocatenkantoor met ongeveer vijftien medewerkers behandelt jaarlijks enkele honderden gerechtelijke acten, volmachten en honorariumakkoorden. Voordat een oplossing op basis van QSCD op afstand werd ingevoerd, vereiste elk document afdrukken, handmatige ondertekening en verzending per post of scannen. Het kantoor koos voor gekwalificeerde certificaten op afstand geïntegreerd in een SaaS-platform, waardoor elke compagnon van zijn werkstation of mobiel kan ondertekenen met gekwalificeerd niveau. Waargenomen resultaat: reductie van ongeveer 70% van de ondertekeningsduur voor minnelijke ontbindingsakkoorden (van 4 dagen tot minder dan 24 uur gemiddeld), eliminatie van verzendkosten en automatische archivering van ondertekende akten in het documentbeheersysteem van het kantoor.

Scenario 2: een MKB in de industrie dat zijn leveranciercontracten beheert

Een MKB in de verwerkende industrie dat ongeveer 300 leveranciercontracten per jaar verwerkt, werd geconfronteerd met terugkerende juridische risico's van eenvoudige of gescande handtekeningen, gemakkelijk betwistbaar. Na audit bleek dat meerdere contracten ter waarde van meer dan 100.000 € waren ondertekend zonder betrouwbare identificatiemethode. De migratie naar gekwalificeerde handtekeningen op QSCD op afstand voor contracten met hoog risico (strategische leveranciers, geheimhoudingsakkoorden, raambestellingen) maakte het contractpatrimonium veiliger. De doorlooptijd voor contractvalidering nam met ongeveer 60% af; buitenlandse tegenpartijen waarderen de onmiddellijke grensoverschrijdende erkenning die eIDAS biedt.

Scenario 3: een ziekenhuisgroep die gekwalificeerde handtekening implementeert voor haar aanbestedingen

Een ziekenhuisgroep met ongeveer 900 bedden moest voldoen aan de verplichting uit decreet nr. 2016-360 betreffende overheidsaanbestedingen, om elektronisch akten in te dienen voor contractverplichting boven bepaalde drempels. De IT-afdeling heeft USB-tokens met QSCD-certificering ingevoerd voor directeuren die gemachtigd zijn zich namens de inrichting aan te spreken. Gebruikersopleiding, integratie in de dematerialisering van aanbestedingen en jaarlijkse verlengingsprocedure werden gedocumenteerd in een intern handtekeningenbeleid (Signature Policy). De geschatte operationele winst bedraagt ongeveer 3 tot 4 dagen per aanbestedingsprocedure, dankzij eliminatie van aangetekende verzendingen en fysieke parafeernavigatie.

Veelgestelde vragen

Wat onderscheidt een QSCD van een klassieke HSM?

Een HSM (Hardware Security Module) is een generieke beveiligingsmodule die wordt gebruikt voor opslag en beheer van cryptografische sleutels. Een QSCD is een HSM — of ander beveiligd apparaat — dat is beoordeeld en gecertificeerd conform de vereisten van bijlage II van de eIDAS-verordening door een erkend laboratorium en erkend door een nationale toezichtsautoriteit. De QSCD-kwalificatie garandeert dat het apparaat voldoet aan strikte criteria voor sleuteluniciteit, niet-exporteerbaarheid en weerstand tegen fysieke en logische aanvallen.

Is een QSCD-certificaat verkregen in Frankrijk geldig in de hele Europese Unie?

Ja. Artikel 25(2) van eIDAS stelt verplichte wederzijdse erkenning van gekwalificeerde handtekeningen vast tussen alle lidstaten. Een gekwalificeerd certificaat dat is afgegeven door een Franse QTSP op de nationale vertrouwlijst, heeft dezelfde juridische werking in Duitsland, Spanje of Italië als in het land van afgifte. Deze automatische erkenning is een van de grote voordelen van het systeem voor bedrijven met grensoverschrijdende contractuele activiteiten.

Wat is de geldigheidsduur van een QSCD-certificaat en kan het op afstand worden verlengd?

De geldigheidsduur van een gekwalificeerd certificaat is doorgaans vastgesteld op 1, 2 of 3 jaar afhankelijk van het QTSP-aanbod. Verlenging kan op afstand plaatsvinden voor QSCD's op afstand, mits de identiteit van de houder eerder persoonlijk of via video is geverifieerd bij de initiële afgifte. De meeste QTSP's sturen waarschuwingen 60 en 30 dagen vóór afloop. Negeren van deze waarschuwingen leidt tot onderbreking van de gekwalificeerde handtekeningscapaciteit.

Is QSCD-certificaat verplicht voor alle elektronisch ondertekende acten?

Neen. Het vereiste handtekeningsniveau hangt af van de aard van de akte en het toepasselijke regelgevingskader. Gekwalificeerde handtekening op QSCD is verplicht voor bepaalde specifieke akten (elektronische notariële akten, bepaalde overheidsaanbestedingen, gedigitaliseerde belastingaangiften). Voor de meeste gebruikelijke commerciële contracten is een geavanceerde handtekening voldoende. Het wordt aanbevolen het woordenboek elektronische handtekening te raadplegen of juridisch advies in te winnen voor bepaling van het per akte vereiste niveau.

Hoe verifieert u dat een handtekening inderdaad op een geldig QSCD-certificaat berust?

Verificatie geschiedt door raadpleging van de metagegevens van het ondertekende document via een validatie-instrument conform ETSI-specificaties, zoals de DSS-service (Digital Signature Service) van de Europese Commissie, gratis toegankelijk. Dit instrument verifieert de vertrouwensketen van het certificaat, zijn status (niet ingetrokken), conformiteit aan het gekwalificeerde profiel en aanwezigheid van een gekwalificeerde tijdstempel. Bepaalde SaaS-platforms zoals Certyneo integreren dit validatierapport rechtstreeks in de documentbeheerinterface.

Conclusie

Het QSCD-certificaat is veel meer dan een technische formaliteit: het is de juridische en cryptografische basis van gekwalificeerde elektronische handtekening, het enige niveau dat een wettelijk vermoeden van gelijkwaardigheid met handgeschreven handtekeningen biedt in de gehele Europese Unie. In Frankrijk verloopt de verkrijging via een door de ANSSI erkende QTSP, een rigoureus identiteitsverificatieproces en een doordachte keuze tussen fysieke en QSCD op afstand — waarbij dit laatste de norm wordt voor organisaties die flexibiliteit en schaalbaarheid nastreven.

Certyneo integreert native gekwalificeerde QSCD's op afstand in zijn SaaS-platform, waardoor uw teams met gekwalificeerd niveau kunnen ondertekenen zonder fysieke ondersteuning te beheren. Of u van nul begint of van een ander systeem migreert, onze experts begeleiden u bij elke stap. Ontdek Certyneo-tarieven of neem contact op met ons team voor een beoordeling van uw gekwalificeerde handtekeningsbehoeften.