QSeal

eIDAS kent drie niveaus van elektronisch zegel. Een gewoon elektronisch zegel is elk gegeven dat aan andere gegevens wordt gehecht om de oorsprong en integriteit ervan te waarborgen. Een geavanceerd elektronisch zegel moet op unieke wijze aan de organisatie die het heeft aangemaakt verbonden zijn, die organisatie identificeren, worden aangemaakt met zegelaanmaakgegevens die de organisatie zelf onder controle houdt, en zo aan de verzegelde gegevens verbonden zijn dat elke latere wijziging detecteerbaar is. Een gekwalificeerd elektronisch zegel is een geavanceerd zegel dat daar twee dingen aan toevoegt: het wordt aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische zegels, en het berust op een gekwalificeerd certificaat voor elektronische zegels, in de ETSI-profielen QSealC genoemd.

Alleen het gekwalificeerde niveau levert het rechtsvermoeden op. Artikel 35 van eIDAS geeft een gekwalificeerd elektronisch zegel het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van die gegevens, wat in de praktijk de bewijslast omkeert: de partij die een verzegeld document betwist, moet aantonen dat het is gewijzigd, in plaats van dat de organisatie moet aantonen dat dat niet zo is. Een zegel dat niet gekwalificeerd is, blijft toelaatbaar bewijs, maar een rechter weegt het af in plaats van verplicht van dat vermoeden uit te gaan.

Het certificaat achter het zegel komt van een QTSP, een vertrouwensdienstverlener die van een nationale toezichthouder de gekwalificeerde status heeft gekregen en op de nationale Trusted List is gepubliceerd. Omdat het certificaat een rechtspersoon identificeert en geen mens, draagt het een organisatie-identificator, bijvoorbeeld op basis van VAT of LEI, in plaats van een persoonsnaam, en de eisen waaraan het moet voldoen staan in bijlage III van eIDAS. Het aanmaakmiddel wordt afzonderlijk gecertificeerd, onder hetzelfde regime als het middel achter een gekwalificeerde handtekening. Hetzelfde certificaat duikt onder zijn ETSI-naam QSealC ook buiten de documentwereld op: in open banking verzegelt een betaaldienstverlener zijn API-berichten met een QSealC en beveiligt hij het kanaal met een QWAC.

Het praktische verschil met een QES is wie erachter staat. Een handtekening drukt de wil uit van een met naam genoemde natuurlijke persoon en is dus het juiste instrument wanneer iemand persoonlijk met iets instemt. Een zegel drukt de oorsprong en integriteit uit van gegevens die door een organisatie zijn uitgegeven en is dus het juiste instrument voor facturen, afschriften, registeruittreksels en al het andere dat in grote aantallen wordt uitgegeven, waarbij aan niemand wordt gevraagd met iets in te stemmen. Verzegelde bestanden gebruiken dezelfde PAdES-, XAdES-, CAdES- en ASiC-containerformaten als ondertekende bestanden, zodat één verificatiestack beide aankan.

Voor digitale credentials is dit van belang omdat een uitgever doorgaans een rechtspersoon is. Uitgegeven gegevens verzegelen met een gekwalificeerd certificaat voor elektronische zegels is de manier waarop het eIDAS-vermoeden zich aan de inhoud zelf hecht, bovenop de handtekening die het credentialformaat al draagt. Een QEAA moet zelf de gekwalificeerde handtekening of het gekwalificeerde zegel dragen van de QTSP die hem uitgeeft, dus een QSeal en een QEAA werken samen en zijn geen alternatieven: de attestatie doet een uitspraak over een subject, terwijl het zegel vastlegt welke organisatie het heeft uitgegeven en dat niemand het daarna heeft gewijzigd.