eIDAS-elektronische handtekening in Odoo: wat is het en hoe werkt het (SES, AES en QES)

Wanneer een kmo contracten, offertes of inkooporders vanuit Odoo begint te laten ondertekenen, is het makkelijk om aan te nemen dat elke elektronische handtekening evenveel waard is. Dat klopt niet. Verordening (EU) 910/2014, bekend als eIDAS, definieert drie niveaus van elektronische handtekening (eenvoudig (SES), geavanceerd (AES) en gekwalificeerd (QES)) en slechts één daarvan heeft wettelijk hetzelfde rechtsgevolg als een handgeschreven handtekening in de hele Europese Unie. Weten welk niveau je per document nodig hebt, is het verschil tussen een waterdichte overeenkomst en een stuk papier dat je zelf zult moeten verdedigen als het wordt aangevochten.

Wat is de eIDAS-elektronische handtekening?

eIDAS staat voor electronic IDentification, Authentication and trust Services. Het is Verordening (EU) nr. 910/2014, van kracht sinds juli 2016, die de elektronische identificatie en de vertrouwensdiensten (handtekening, zegel, tijdstempel, gecertificeerde elektronische bezorging) in alle EU-lidstaten harmoniseert. Het doel is dat een elektronisch ondertekend document in Spanje dezelfde juridische erkenning krijgt in Duitsland, Frankrijk of België, zonder extra formaliteiten. Vóór eIDAS regelde elk land de elektronische handtekening op eigen houtje en was erkenning over de grenzen heen onzeker.

SES, AES en QES: het echte verschil (en waarom het juridisch telt)

Eenvoudige handtekening (SES)

De SES, gedefinieerd in artikel 3.10 van de verordening, is elk gegeven in elektronische vorm dat is gehecht aan of logisch verbonden met andere elektronische gegevens en dat de ondertekenaar gebruikt om te ondertekenen. De lat ligt extreem laag: een klik op "Akkoord", een naam onderaan een e-mail, een ingescande afbeelding van een handgeschreven handtekening of een bevestigingscheckbox zijn technisch gezien een SES. Artikel 25.1 eIDAS bepaalt dat aan een elektronische handtekening niet alleen omdat ze elektronisch is rechtsgevolg mag worden ontzegd, dus de SES is geldig. Maar ze geniet geen vermoeden van authenticiteit: als de wederpartij het document betwist, moet degene die het wil laten gelden aantonen wie heeft ondertekend en dat er niet mee is geknoeid, met de gebruikelijke bewijsmiddelen (logs, IP-adres, bevestigingsmail).

Geavanceerde handtekening (AES)

Artikel 26 eIDAS stelt vier voorwaarden om een handtekening als AES te laten gelden: ze moet op unieke wijze met de ondertekenaar verbonden zijn, diens identificatie mogelijk maken, zijn aangemaakt met handtekeninggegevens onder diens uitsluitende controle en zo met het document verbonden zijn dat elke latere wijziging opspoorbaar is. In de praktijk bereik je dat door de identiteit van de ondertekenaar te verifiëren (identiteitsdocument, gezichtsbiometrie, videocontrole) voordat hij mag ondertekenen en door een cryptografische hash van het document te genereren. De AES heeft meer bewijskracht dan de SES (er is een geverifieerde identiteit en technisch bewijs van integriteit), maar in tegenstelling tot de QES kent de verordening er niet automatisch het vermoeden van gelijkwaardigheid met de handgeschreven handtekening aan toe: bij een gerechtelijk geschil beoordeelt nog steeds de rechter het bewijs, zij het met veel beter materiaal dan bij een SES.

Gekwalificeerde handtekening (QES)

De QES is volgens artikel 3.12 een AES die is aangemaakt met een gekwalificeerd middel voor het aanmaken van handtekeningen (QSCD) en die berust op een gekwalificeerd certificaat, uitgegeven door een gekwalificeerde vertrouwensdienstverlener (QTSP) die op de vertrouwenslijst van zijn land staat. Het is de enige categorie waaraan artikel 25.2 eIDAS uitdrukkelijk "hetzelfde rechtsgevolg als een handgeschreven handtekening" toekent in de hele EU. In de praktijk keert dit de bewijslast om in het voordeel van degene die haar gebruikt: bij betwisting moet degene die ontkent te hebben ondertekend dat bewijzen, en niet andersom. Het is het niveau dat juridische afdelingen en verzekeraars standaard vragen wanneer het contract een hoge economische waarde of een reëel juridisch risico heeft.

Overzichtstabel: SES vs AES vs QES

Wat Odoo Sign, de native handtekening, wel en niet doet

Met Odoo Sign, de handtekening-app die standaard in Odoo zit, kun je een document versturen dat de ontvanger ondertekent door met de muis of met de vinger een streek te tekenen, zijn naam te typen of gewoon met een klik te accepteren, en het wordt gearchiveerd in de chatter van het record. Het is snel, gratis en perfect geldig als SES: het voldoet aan artikel 25.1 eIDAS. Wat het niet doet, is de identiteit van de ondertekenaar controleren aan de hand van een officieel document of een gekwalificeerd certificaat uitgeven, dus het kan zelf geen AES of QES opleveren. Voor ontvangstbevestigingen, interne voorwaarden of documenten met een laag risico volstaat het. Voor een distributiecontract, een samenwerkingsovereenkomst met een relevant bedrag erachter of elk document waarvan de wederpartij de auteurschap kan betwisten, volstaat het niet.

De meeste handtekeningconnectoren voor Odoo blijven ook op SES steken

Dezelfde beperking keert terug bij een groot deel van de handtekeningconnectoren die er voor Odoo bestaan: ze verpakken een integratie met een externe aanbieder, maar het echte handtekeningniveau dat ze leveren blijft SES (klik om te ondertekenen) of, met een beetje geluk, een eenvoudige AES met e-mail- of sms-verificatie. Een echte QES uitgeven vraagt iets wat de meeste connectoren niet ingebouwd hebben: directe toegang tot een gekwalificeerde vertrouwensdienstverlener (QTSP) die op de Trusted List van de EU staat, met de identificatiemethoden die die QTSP eist om het gekwalificeerde certificaat uit te geven. Zonder dat blijft het juridische plafond, hoe mooi de integratie ook is, hetzelfde als dat van de native Odoo Sign.

De echte connector van FlexigoTech met e-Signature.eu: echte QES in Odoo

FlexigoTech heeft samen met het team van e-Signature.eu (VisitOnWeb SRL, België (Bruno Biemans en Dimitri), een echte connector gebouwd voor Odoo 17, 18 en 19 waarmee je elk document uit het ERP) offerte, contract, factuur, inkooporder: kunt laten ondertekenen met een eIDAS-handtekening, waarbij je zelf het exacte niveau kiest dat je nodig hebt: SES, AES of QES, zonder Odoo te verlaten. De ondertekenaar identificeert zich met de methode die bij elk niveau en land hoort: itsme® of Evrotrust voor QES, videoverificatie met Veriff voor AES of een OTP-code via sms voor SES.

De connector staat in de Odoo App Store voor € 149 eenmalig (Odoo 17, 18 en 19). De prijs per handtekening bepaalt e-Signature.eu op basis van het gekozen niveau en de gekozen methode, en je betaalt naar gebruik, zonder abonnement: je betaalt alleen de handtekeningen die je echt verstuurt.

Wat je nodig hebt voor een echte gekwalificeerde handtekening in Odoo

• De e-Signature.eu Connector installeren vanuit de Odoo App Store (€ 149, eenmalig, Odoo 17-19).
• Een account aanmaken bij e-Signature.eu (VisitOnWeb): zonder abonnement, je betaalt per verstuurde handtekening.
• Het handtekeningniveau (SES, AES of QES) kiezen rechtstreeks in het Odoo-document zelf, voordat je het verstuurt.
• De ondertekenaar identificeert zich met itsme®, Evrotrust, Veriff of een OTP-code, afhankelijk van het gekozen niveau.
• Het ondertekende document, het certificaat en het bewijsmateriaal (inclusief tijdstempel) worden automatisch in Odoo gearchiveerd.

Wanneer je welk niveau gebruikt: praktische gids

In de praktijk hebben de meeste bedrijven geen QES nodig voor alles: QES gebruiken voor een interne ontvangstbevestiging is te veel uitgeven. De logica die werkt, is deze: SES voor documenten met een laag risico (interne bevestigingen, ontvangstbevestigingen, voorwaarden die al via een ander kanaal zijn uitonderhandeld); AES voor standaard commerciële contracten tussen bedrijven waar een geverifieerde identiteit wenselijk is maar er geen extreem juridisch risico speelt; en QES voor alles met een hoge economische waarde, voor contracten met wederpartijen die het hoogste garantieniveau eisen of voor elk document waarbij je, mocht het in een geding belanden, de bewijslast in jouw voordeel wilt hebben. Een eerlijke kanttekening: de QES vervangt niet de handelingen die volgens de wet bij notariële akte moeten worden verleden (bijvoorbeeld de koop van een onroerend goed in Spanje); daarvoor blijft een notaris nodig, ongeacht het niveau van elektronische handtekening.

Nuttige links binnen FlexigoTech

Veelgestelde vragen

Wat wij hierover doen