Elektronische handtekening en ISO 27001 norm: gids 2026

Elektronische handtekeningen zijn uitgegroeid tot de ruggengraat van B2B-contractprocessen, maar hun juridische en commerciële waarde berust op een voorwaarde die vaak wordt onderschat: de robuustheid van het informatiesysteem dat hieraan ten grondslag ligt. Dit is precies waar de norm ISO/IEC 27001 om het hoek komt kijken, het internationale referentiekader voor informatiebeveiligingsmanagement. In 2026, nu cyberaanvallen op handtekeningplatforms toenemen en Verordening eIDAS 2.0 de eisen voor vertrouwensverleners aanscherpt, is de vraag naar ISO 27001-certificering niet langer een luxe voor grote bedrijven: het wordt een standaardselectioncriterium voor elke implementatie van elektronische handtekeningen in bedrijven.

Dit artikel analyseert de synergieën tussen ISO 27001 en elektronische handtekeningen, de concrete verplichtingen die daaruit voortvloeien, de risico's van non-conformiteit en de stappen om een certificering bij uw SaaS-aanbieder te verkrijgen of te evalueren.

Wat is de ISO 27001 norm en waarom is deze centraal voor elektronische handtekeningen?

De ISO/IEC 27001:2022 (herziene versie uit oktober 2022), gepubliceerd door de Internationale Organisatie voor Standaardisatie (ISO) en de Internationale Elektrotechnische Commissie (IEC), definieert de eisen voor het opzetten, implementeren, onderhouden en voortdurend verbeteren van een Informatiebeveiliging Management Systeem (IBMS). Het omvat 93 controles verdeeld over vier thema's: organisatorische controles, personeelscontroles, fysieke controles en technologische controles.

Voor elektronische handtekeningen is deze norm van bijzonder belang omdat zij rechtstreeks de drie pijlers van informatiebeveiliging adresseert:

• Vertrouwelijkheid: bescherming van ondertekende documenten tegen ongeautoriseerde toegang
• Integriteit: waarborg dat documenten niet worden gewijzigd na ondertekening
• Beschikbaarheid: toegankelijkheid van handtekeningsgegevens bij mogelijke geschillen

De ISO 27001 controles rechtstreeks van toepassing op elektronische handtekeningen

Van de 93 controles in bijlage A van de norm zijn er verschillende rechtstreeks van toepassing op handtekeningsworkflows:

Controle 5.14 – Informatieoverdracht: stelt formele regels in voor veilige verzending van te ondertekenen documenten, met name via versleutelde protocollen (minimaal TLS 1.3).

Controle 8.24 – Gebruik van cryptografie: vereist een gedocumenteerd versleutelingsbeleid dat de algoritmen voor generatie en verificatie van elektronische handtekeningen omvat. In de praktijk vereist dit het gebruik van algoritmen die voldoen aan ANSSI-aanbevelingen (minimaal RSA-3072 of ECDSA-256 in 2026).

Controle 8.12 – Preventie van gegevenslekken (DLP): beschermt persoonsgegevens in ondertekende documenten, in directe aansluiting op GDPR-verplichtingen.

Controle 5.18 – Toegangsrechten: waarborgt dat alleen bevoegde personen een document in het platform kunnen initiëren, ondertekenen of raadplegen.

ISO 27001 versus andere beveiligingscertificeringen: welke complementariteit?

ISO 27001 is niet de enige relevante norm, maar vormt de basis. Het wordt aangevuld met:

• SOC 2 Type II (Amerikaanse norm, vaak vereist door NYSE-noteringsplichtige bedrijven)
• ISO/IEC 27017 en 27018: cloudspecifieke uitbreidingen en bescherming van persoonsgegevens in de cloud
• eIDAS-kwalificatie afgeleverd door erkende instanties (LSTI in Frankrijk): verplicht voor Gekwalificeerde Vertrouwensdienstaanbieders (KVDA)

Een aanbieder van elektronische handtekeningen met ISO 27001-certificering EN eIDAS-kwalificatie biedt dus een maximaal garantieniveau, in lijn met wat de volledige gids voor Verordening eIDAS 2.0 beschrijft.

Specifieke vereisten voor SaaS-aanbieders van elektronische handtekeningen

Het kiezen van een SaaS voor elektronische handtekeningen met ISO 27001-certificering betekent niet dat uw eigen organisatie is gedekt — maar dit bepaalt sterk het niveau van residueel risico dat u aanneemt.

Het certificeringsgebied: wat moet u controleren

Bij de evaluatie van een leverancier zijn drie vragen doorslaggevend:

1. Heeft het certificeringsgebied betrekking op de handtekeningsservice? Een uitgever kan ISO 27001-gecertificeerd zijn voor zijn softwareontwikkelingsactiviteiten zonder dat het handtekeningsplatform binnen het bereik valt. Eis het officiële certificaat en controleer de bereikverklaring (Statement of Applicability).

1. Is de certificering up-to-date? ISO 27001 vereist jaarlijkse toezichtaudits en een hernieuwingsaudit om de drie jaar. Een verlopen certificaat maakt alle garanties ongeldig.

1. Welke certificeringsinstantie? In Frankrijk leveren instanties erkend door COFRAC (Bureau Veritas, SGS, BSI Group, LRQA…) erkende certificeringen af. Een zelfverklaring van conformiteit heeft geen juridische waarde.

Incidentbeheer en bedrijfscontinuïteit

ISO 27001 vereist een gedocumenteerd en getest Bedrijfscontinuïteitsplan (BCP) en Herstelsplan (RP). Voor een elektronisch handtekeningplatform vertaalt dit zich concreet in:

• Een RTO (Recovery Time Objective) van minder dan 4 uur voor productieomgevingen
• Een RPO (Recovery Point Objective) van minder dan 1 uur, voorkomend gegevensverlies in handtekeningen
• Documenteerde hersttests minstens halfjaarlijks
• Een procedure voor meldingen van beveiligingsincidenten conform artikel 33 GDPR (maximaal 72 uur)

Deze vereisten sluiten aan bij die van de NIS2-richtlijn, omgezet in Frans recht door wet nr. 2024-449 van 21 mei 2024, die essentiële en belangrijke entiteiten verplicht tot incidentrapportage en versterkte cybersecurity.

Hoe ISO 27001-certificering de bewijskracht van elektronische handtekeningen versterkt

Een punt dat juridische en aankoop-professionals vaak over het hoofd zien: de juridische soliditeit van een gekwalificeerde elektronische handtekening hangt deels af van de technische vertrouwensketen erachter. Een document ondertekend op een platform waarvan de beveiliging is gecompromitteerd kan zijn bewijskracht voor een rechtbank worden betwist.

Gegevensintegriteit als juridische basis

Artikel 1366 van het Burgerlijk Wetboek bepaalt dat elektronische handtekeningen dezelfde waarde hebben als handgeschreven handtekeningen "onder voorwaarde dat de ondertekenaar naar behoren kan worden geïdentificeerd en deze wordt opgesteld en bewaard onder omstandigheden die de integriteit waarborgen". Deze integriteitsverplichting is het centrale onderwerp van ISO 27001.

Bij geschil kan een aanbieder met ISO 27001-certificering overleggen:

• Onveranderbare auditlogboeken die het toegangshistoriek bewijzen
• Certificeringsauditrapporten die de bestaande controles aantonen
• Het cryptografisch sleutelbeheerbeleid conforme bijlage A

Deze elementen vormen een bewijsmiddel dat de positie van de partij die de geldigheid van de handtekening aanvoert aanzienlijk versterkt. Voor meer informatie over de juridische waarde van verschillende handtekeningsniveaus raadpleegt u onze vergelijking van elektronische handtekeningsoplossingen.

Bewijsarchivering en bewaartermijn

ISO 27001, gecombineerd met norm NF Z42-020 (digitale kluis) en ETSI EN 319 162-aanbevelingen (gekwalificeerde elektronische archiveringsservice), maakt het mogelijk een archiveringsbeleid vast te stellen dat de bewijskracht van handtekeningen over lange periodes garandeert — tot 30 jaar voor bepaalde commerciële contracten.

Controle 8.10 – Verwijdering van informatie van ISO 27001 verplicht bovendien gedocumenteerde procedures voor veilige vernietiging van gegevens aan het einde van de levenscyclus, in lijn met het recht op verwijdering van GDPR (artikel 17).

Hoe de ISO 27001-conformiteit van uw handtekeningsaanbieder evalueren en eisen

In het kader van een SaaS-aanschaffings- of hernieuwingsproces volgt hier een evaluatieprotocol in vier stappen.

Stap 1: Officieel certificaat aanvragen en controleren

Eis het certificaat ISO/IEC 27001:2022 (niet de nu obsolete versie 2013 sinds oktober 2025) met het meest recente toezichtsaudit-rapport. Controleer de geldigheidsdatum in het register van de certificeringsinstantie.

Stap 2: De toepassingsverklaring analyseren (SoA)

De Statement of Applicability somt controles op die zijn behouden en uitgesloten, met rechtvaardiging. Elke controle die zonder gedocumenteerde rechtvaardiging is uitgesloten, vertegenwoordigt een residueel risico dat in uw leverancierrisicoanalyse moet worden geëvalueerd.

Stap 3: Vereisten in het contract opnemen

Uw contract met de aanbieder moet bevatten:

• Een clausule ter handhaving van de certificering met verplichte kennisgeving bij schorsing
• Het recht op audit of toegang tot jaarlijkse derde-audittrapporten
• SLA's voor beveiliging afgestemd op het BCP/RP van de aanbieder
• Een aansprakelijkheidsclausule in geval van beveiligingsincident dat de integriteit van handtekeningen aantast

Stap 4: Voer uw eigen risicoanalyse uit

Zelfs een gecertificeerde aanbieder dekt uw interne risico's niet. ISO 27001 verplicht uw organisatie tot een risicoanalyse (clausule 6.1.2) die met name betrekking heeft op:

• Beheer van medewerkeerstoegang tot het handtekeningsplatform
• Bewustzijn van phishing-aanvallen op handtekeningsworkflows
• Beleid voor delegatie van handtekeningsbevoegdheden

Deze aanpak sluit natuurlijk aan bij een alomvattend beleid van beheer van elektronische handtekeningen voor HR- en juridische teams, waar de hoeveelheden verwerkte documenten aanzienlijke operationele risico's met zich meebrengen.

Toepasselijk wettelijk kader voor elektronische handtekeningen en ISO 27001

De conformiteit van een elektronisch handtekeningssysteem berust op een regelstapeling die elk B2B-bedrijf moet beheersen.

Burgerlijk Wetboek, artikelen 1366 en 1367: Artikel 1366 stelt gelijkwaardigheid vast tussen elektronische en handgeschreven handtekeningen onder voorwaarde van identificatie van de ondertekenaar en integriteitswaarborg. Artikel 1367 definieert elektronische handtekening als "het gebruik van een betrouwbare identificatieprocedure die het verband met de akte waaraan zij is gehecht garandeert".

eIDAS-Verordening nr. 910/2014 en eIDAS 2.0 (EU-Verordening 2024/1183): Van toepassing in alle EU-lidstaten, onderscheidt het drie handtekeningsniveaus (eenvoudig, geavanceerd, gekwalificeerd) en verplicht Gekwalificeerde Vertrouwensdienstaanbieders (KVDA) tot nalevingsaudits door erkende instanties. De eIDAS 2.0-herziening, geleidelijk ingevoerd sinds mei 2024, verscherpt de toezichtsvereisten en voert de Europese digitale identiteitsportefeuille (EUDIW) in.

GDPR-Verordening nr. 2016/679: Persoonsgegevens in ondertekende documenten (identiteit ondertekenaar, IP-adres, tijdstip) vormen persoonsgegevens. De verwerkingsverantwoordelijke moet hun bescherming waarborgen (artikel 5), schendingen binnen 72 uur melden (artikel 33) en privacy by design implementeren (artikel 25). ISO 27001 biedt het technische kader voor naleving.

NIS2-Richtlijn (Richtlijn 2022/2555), omgezet in Frans recht door wet nr. 2024-449 van 21 mei 2024: Essentiële en belangrijke entiteiten — waarvan velen uit B2B — moeten passende cybersecurity-maatregelen invoeren, inclusief risicobeheer met betrekking tot leveranciers (artikel 21). Een aanbieder van handtekeningen zonder ISO 27001-certificering kan een risico voor derden vormen volgens NIS2.

ETSI-normen: De serie ETSI EN 319 100 bepaalt technische vereisten voor gekwalificeerde elektronische handtekeningen (EN 319 132 voor XAdES, EN 319 122 voor CAdES, EN 319 142 voor PAdES). Deze technische normen gaan uit van een veiligheidsinfrastructuur conforme ISO 27001-standaarden.

ANSSI-referentiekader: In Frankrijk publiceert het Agence nationale de la sécurité des systèmes d'information aanbevelingen over cryptografische algoritmen (RGS-referentiekader — Référentiel Général de Sécurité) waarvan de implementatie wordt vergemakkelijkt door een ISO 27001-gecertificeerd IBMS. De eIDAS-kwalificatie van Franse aanbieders wordt behandeld door de ANSSI als nationale toezichtsinstantie.

Het ontbreken van ISO 27001-certificering bij een handtekeningsaanbieder stelt het klantenorganisatie bloot aan risico's op betwisting van de bewijskracht van ondertekende documenten, GDPR-sancties (tot 4 % van de wereldwijde omzet of € 20 miljoen) en verhoogde NIS2-conformiteitsrisico's.

Illustratieve gebruiksscenario's: ISO 27001 en elektronische handtekening

Scenario 1 — Een zakelijk advocatenkantoor met 25 medewerkers

Deze scenario's zijn illustratief: ze beschrijven typische situaties en rapporteren geen gemeten resultaat bij een klant. Een kantoor gespecialiseerd in fusies en overnames behandelt jaarlijks een groot aantal akten waarvoor een geavanceerde of gekwalificeerde elektronische handtekening vereist is (NDA's, intentieverklaringen, overdrachtsovereenkomsten). Na een intern audit dat tekortkomingen aan het licht bracht in de traceerbaarheid van de toegang tot het ondertekenplatform, besluit het kantoor alleen nog dienstverleners te accepteren die ISO/IEC 27001:2022-gecertificeerd zijn met een toepassingsgebied dat expliciet de ondertekeningsdienst omvat.

Een dienstverlener die ISO 27001-gecertificeerd is voor het toepassingsgebied van de ondertekeningsdienst vergemakkelijkt het beantwoorden van security-due-diligencevragenlijsten van klanten en het op verzoek aanleveren van certificeringsauditrapporten. De tijdwinst op due diligences en contractuele validatie wordt gemeten bij het betreffende kantoor, vóór en na de verandering van dienstverlener; er wordt hier geen enkel cijfer naar voren gebracht.

Scenario 2 — Een industrie-onderneming die jaarlijks 1.500 leverancierscontracten beheert

Een midden-kleine leverancier Tier-1 van een autobouwer moet aantonen dat haar volledige handtekeningsketen (inkooporders, raamovereenkomsten, bijzonderheden) voldoet aan de door het aanschaffingsreferentiekader van de groep opgelegde ISO 27001-vereisten. Het MKB voert een kartering uit van leverancierrisico's volgens clausule 6.1.2 van de norm en stelt vast dat de voormalige SaaS-aanbieder geen geldige certificering bezit.

Na migratie naar een gecertificeerde oplossing en de invoering van een intern ISMS kan het mkb-bedrijf de leverancierskwalificatie verkrijgen die zijn opdrachtgever vereist. De kosten van een certificering hangen af van de omvang van de organisatie en het toepassingsgebied: vraag offertes op bij gespecialiseerde kantoren en vergelijk deze met het contractuele volume dat de kwalificatie helpt veiligstellen.

Scenario 3 — Een ziekenhuisgroep van ongeveer 1.200 bedden

In de gezondheidssector zijn instellingen onderworpen aan versterkte vereisten: verwerking van gezondheidsgegevens (speciale categorie onder artikel 9 GDPR), HDS-certificering (Gezondheidsgegevens-host) en nu NIS2-kwalificatie als essentiële entiteit. De ziekenhuisgroep implementeert elektronische handtekeningen voor arbeidscontracten, klinische onderzoeksovereenkomsten en openbare aanbestedingen (ongeveer 900 documenten/maand).

Door te kiezen voor een dienstverlener die ISO 27001-certificering, HDS-certificering en een passende eIDAS-kwalificatie combineert, vermindert de instelling haar blootstelling aan non-conformiteitsrisico's en kan zij rekenen op een bewijskrachtige archivering die geschikt is voor medisch-juridische documenten. De doorlooptijden voor het ondertekenen van klinische onderzoekscontracten worden gemeten vóór en na de verandering; er wordt hier geen enkel cijfer naar voren gebracht.

Conclusie

In 2026 is ISO/IEC 27001:2022-certificering niet langer een marketingargument voor elektronische handtekeningsaanbieders: het vormt een essentieel technisch en juridisch fundament voor het waarborgen van documentintegriteit, GDPR- en NIS2-conformiteit, en bewijskracht van contractuele verplichtingen. Voor B2B-bedrijven is het eisen van deze certificering bij hun SaaS-leverancier een standaardplicht van nauwkeurigheid geworden, net als verificatie van eIDAS-kwalificatie.

Certyneo is gecertificeerd ISO/IEC 27001:2022 met een bereik dat het volledige elektronische handtekeningsplatform omvat. Onze teams kunnen u ondersteunen bij evaluatie van uw huidige conformiteit en implementatie van een beveiligd handtekeningsworkflow geschikt voor uw volume en sector. Vraag een gratis demonstratie op Certyneo of verken onze prijzen om het formule voor uw organisatie te vinden.