Dutch 
English 
French 
German 
Veelgestelde vragen: Gekwalificeerde elektronische archivering en bewaring (QeArch / QPres)
Qualified Electronic Archiving (QeArch) is de in de eIDAS-verordening gedefinieerde benadering van vertrouwensdiensten voor het op een juridisch verdedigbare wijze bewaren van elektronische documenten gedurende lange bewaartermijnen, met verifieerbare controles, bewijsmechanismen en een duidelijk bestuurskader.
Deze FAQ is bedoeld voor gereguleerde organisaties (en hun auditors, inspecteurs en inkoopteams) die bewijsklare bewaring nodig hebben voor documenten zoals ondertekende contracten, eTMF-bestanden, financiële documenten en gereguleerde bedrijfsarchieven. Waar relevant verwijzen de antwoorden naar de mogelijkheden van Docbyte Vault.
Voor een overzicht van de commerciële oplossing, zie Docbyte gekwalificeerde elektronische archivering. Voor ondertekende of verzegelde records, zie ook bewaring van digitale handtekeningen en zegels.
Fundamentele vragen
Wat is gekwalificeerde elektronische archivering (QeArch) in het kader van eIDAS?
QeArch is een concept voor vertrouwensdiensten in het kader van Verordening (EU) nr. 910/2014 (eIDAS), dat specifiek wordt behandeld in artikel 34 betreffende gekwalificeerde bewaarservices voor gekwalificeerde elektronische handtekeningen. In de praktijk is QeArch een op standaarden gebaseerde aanpak voor het bewaren van elektronische documenten met verifieerbare integriteit, authenticiteit, beheer en bruikbaarheid op lange termijn. Documenten blijven gedurende tientallen jaren verdedigbaar bij audits, geschillen en inspecties door toezichthouders.
Wat is het verschil tussen QeArch en gewone elektronische archivering?
Bij reguliere archivering ligt de nadruk doorgaans op opslag en terugvinden. QeArch voegt hieraan toe: gecontroleerde invoer en herkomstgegevens, bewijsmechanismen (integriteitscontroles, bewijsregistraties, tijdstempels), governance (bewaartermijnen, juridische bewaarplicht, verdedigbare verwijdering), audittrajecten en bewaarplanning voor bruikbaarheid op lange termijn. QeArch voldoet aan eIDAS, ETSI TS 119 511/512, CEN TS 18170 en OAIS (ISO 14721). Bij reguliere archivering is dat doorgaans niet het geval.
Wat is CEN TS 18170 en waarom is het belangrijk?
CEN TS 18170 is de Europese technische specificatie met eisen en richtlijnen voor elektronische archiveringssystemen. Het behandelt de functionele, technische en organisatorische vereisten voor systemen die zijn ontworpen om elektronische records met bewijskracht en nalevingswaarde te bewaren. Voor Europese organisaties die archiveringsoplossingen aanschaffen of beoordelen, biedt CEN TS 18170 een gemeenschappelijke basis naast het eIDAS trust services framework.
Welke ETSI-normen zijn van toepassing op gekwalificeerde archivering?
De kernnormen van ETSI zijn: ETSI TS 119 511 (beleids- en beveiligingseisen voor VVD's die langetermijnbewaring van digitale handtekeningen of algemene gegevens bieden) en ETSI TS 119 512 (protocollen voor langetermijndiensten voor gegevensbewaring). Het ETSI definieert ook formaten voor archiefhandtekeningen voor de lange termijn (CAdES-LTA (ETSI EN 319 122), XAdES-LTA (ETSI EN 319 132), PAdES-LTA en ASiC-LTA (ETSI EN 319 162)). Dit zijn containerformaten voor elektronische handtekeningen die validatiegegevens kunnen insluiten in het ondertekende bestand zelf, en ze maken deel uit van het bredere standaardenecosysteem naast de Docbyte-benadering voor bewijsstukken.
Wat is OAIS (ISO 14721) en wat is het verband met QeArch?
OAIS (Open Archival Information System, ISO 14721) is het referentiemodel voor systemen voor digitale bewaring. Het definieert SIP/AIP/DIP-pakketten, bewaringsplanning, het concept van de aangewezen gemeenschap en de functionele verantwoordelijkheden van een archief. QeArch bouwt voort op de concepten van OAIS. Een QeArch-compatibel archief is in wezen een OAIS-conform systeem met aanvullende controles op vertrouwensdiensten voor bewijsmateriaal, tijdstempels en governance, zoals vereist door eIDAS.
Technische vragen
Wat is gekwalificeerde bewaring (QPres) en wanneer is die nodig?
QPres vormt de bewijs- en verlengingslaag die nodig is wanneer documenten elektronische handtekeningen of elektronische zegels bevatten en langdurige verifieerbaarheid vereist is. QeArch biedt het archiveringskader; QPres richt zich specifiek op de manier waarop de geldigheidsduur van het bewijs en het validatierapport kan worden verlengd. Bij het invoeren legt QPres de validatiestatus van de handtekening of het zegel vast: de certificaatketen, de intrekkingsstatus (OCSP) en een gekwalificeerde tijdstempel. Dit bewijsdocument wordt samen met het gearchiveerde document opgeslagen. Voordat algoritmen of certificaten het risico lopen te verlopen, vernieuwt QPres de bewijsketen proactief, waardoor de geldigheidsduur wordt verlengd zonder het oorspronkelijke ondertekende document te wijzigen.
Wat gebeurt er wanneer certificaten verlopen?
Zonder bewijsrecords kan een ondertekend record oncontroleerbaar worden nadat het certificaat verlopen is. Een QPres-aanpak legt validatiebewijs vast (certificaatketens, OCSP-reacties, gekwalificeerde tijdstempels) op een moment dat alles nog geldig is, slaat dit bewijs op naast het gearchiveerde record als een validatierapport en bewijsrecord, en vernieuwt de bewijsketen voordat deze dreigt te verlopen. Hierdoor blijft er een ononderbroken vertrouwensketen over de volledige bewaarperiode.
Zijn elektronische handtekeningen en zegels "veilig" als ik alleen de PDF opsla?
De PDF veilig opslaan is noodzakelijk, maar niet voldoende. Na verloop van tijd: certificaten verlopen, cryptografische algoritmen zijn verouderd, ontbrekende context of onvolledig bewijs verzwakt wat u kunt bewijzen. QPres pakt dit allemaal aan door het bewijs te bewaren dat nodig is voor toekomstige validatie, niet alleen de bytes van het bestand. Dit onderscheid is essentieel voor gereguleerde records met lange bewaarperioden.
Wat zijn bewijsstukken en waarom zijn ze belangrijk?
Bewijsrecords zijn gestructureerde pakketten die de validatiestatus van een ondertekende/verzegelde record op een specifiek tijdstip vastleggen: de certificaatketen, intrekkingsstatus (OCSP/CRL), gekwalificeerde tijdstempels en het resultaat van de handtekeningvalidatie. Ze worden ingesloten in archiefformaten voor de lange termijn of opgeslagen naast de record. Zonder bewijsrecords hangt toekomstige validatie af van het feit of de oorspronkelijke infrastructuur (certificaatautoriteiten, OCSP-diensten) nog toegankelijk is. Dit is mogelijk niet het geval na 10 tot 25 jaar.
Wat is het verschil tussen digitale bewaring en QeArch?
Digitale bewaring (OAIS) richt zich op bruikbaarheid en integriteit op de lange termijn: het waarborgen dat documenten in de loop van de tijd leesbaar, authentiek en toegankelijk blijven, met inbegrip van formaatmigratie en controle op de onveranderlijkheid. QeArch voegt hieraan de laag van vertrouwensdiensten toe: bewijsdocumenten, gekwalificeerde tijdstempels, eIDAS-conforme controles en CEN TS 18170-conform beheer. Voor documenten zonder elektronische handtekeningen kan digitale bewaring op zich voldoende zijn. Voor documenten met handtekeningen of zegels voegt QeArch/QPres de juridisch verdedigbare bewijslaag toe.
Vragen over bestuur en naleving
In hoeverre houdt QeArch verband met de AVG?
De AVG en QeArch hebben betrekking op elkaar aanvullende verplichtingen. De AVG vereist een rechtsgrondslag voor het bewaren van gegevens, gegevensminimalisatie, doelbinding en het recht op verwijdering. QeArch biedt de controlemechanismen voor een aantoonbaar verantwoorde bewaring en verwijdering: hiermee wordt aangetoond dat documenten gedurende de juiste periode, volgens het juiste beleid en met de juiste goedkeuringen zijn bewaard, en zijn verwijderd toen ze niet langer nodig waren. Een gekwalificeerd archief moet aan beide verplichtingen voldoen.
Hoe werken retentie en legal holds in een gekwalificeerd archief?
Retentieregels zijn gebaseerd op beleidsregels en worden consistent afgedwongen voor alle documenttypes. Wettelijke bewaarplichten maken opschorting van verwijdering mogelijk wanneer records onderwerp zijn van onderzoek, geschillen of rechtszaken, met volledige traceerbaarheid van bewaarplichtbeslissingen, wie ze heeft toegepast en wanneer ze zijn opgeheven. Verdedigbare verwijdering betekent dat u kunt bewijzen wat er is verwijderd, wanneer, door wie, onder welk beleid en met welke goedkeuringen.
Welke sectorspecifieke regelgeving vereist QeArch of een gelijkwaardig archiveringssysteem?
De belangrijkste voorschriften zijn onder andere: MiFID II / MiFIR (financiële records tot 7 jaar), DORA (ICT record management), ICH E6 R2/R3 en FDA 21 CFR Part 11 (klinische records tot 25 jaar, ALCOA+ vereisten), EU Annex 11 / GxP (elektronische records in gereguleerde productie), GDPR (rechtmatig bewaren en wissen), en nationale archiveringswetgeving (waaronder de Belgische e-Archive wet). De exacte vereiste controles hangen af van de regelgeving, het rechtsgebied en de use case.
Hoe wordt QeArch toegepast op documenten op het gebied van de levenswetenschappen (eTMF, GxP)?
Documenten op het gebied van de levenswetenschappen (Trial Master Files, batchrecords, validatiedocumentatie, laboratoriumnotitieboeken) moeten voldoen aan de ALCOA+-principes (toewijsbaar, leesbaar, gelijktijdig opgesteld, origineel, nauwkeurig) en gedurende 25 jaar of langer opvraagbaar en verifieerbaar blijven. QeArch biedt het kader voor het archiveren van deze documenten met volledige context, integriteitsbewijs en audittrajecten. QPres is van toepassing wanneer documenten zijn voorzien van elektronische handtekeningen of zegels overeenkomstig FDA 21 CFR Part 11 of EU-bijlage 11.
Praktische vragen
Garandeert QeArch dat het bewijsmateriaal voor de rechtbank toelaatbaar is?
QeArch ondersteunt de sterkst haalbare juridische verdedigbaarheid door verifieerbare controles, bewijsregistraties, documentatie inzake de bewakingsketen en audittrajecten te bieden die in overeenstemming zijn met eIDAS, ETSI, CEN TS 18170 en de toepasselijke normen. De precieze juridische gevolgen zijn afhankelijk van het rechtsgebied, het gebruiksscenario en de wijze waarop bewijsmateriaal in de relevante juridische context wordt beoordeeld. Docbyte richt zich op verdedigbaarheid, niet op absolute garanties voor toelaatbaarheid. Geen enkele aanbieder kan deze garanties bieden.
Welke soorten documenten hebben het meeste baat bij QeArch?
Dossiers met lange bewaartermijnen, bewijskracht of elektronische handtekeningen/zegels: contracten en addenda, facturen en financiële dossiers, HR- en tewerkstellingsdossiers, verzekeringsclaims en acceptatiedossiers, besluiten en vergunningen van de overheid, dossiers van klinische proeven (eTMF), erfgoedcollecties, archieven van buitengebruikstellingen van toepassingen en alle dossiers die gebruikt worden om naleving van regelgeving aan te tonen.
Kunnen we gegevens exporteren voor audits, migraties of leveranciersovergangen?
Ja. Met op standaarden gebaseerde packaging (E-ARK SIP/AIP/DIP) en exportmogelijkheden kunnen records gecontroleerd worden opgehaald met hun volledige context, metadata en bewijspakketten. Dit ondersteunt de reactie op audits en eDiscovery en vermindert het risico op leveranciersbinding. Een gekwalificeerd archief mag geen gijzeling van gegevens veroorzaken.
Hoe krijgen controleurs en regelgevende instanties toegang tot gearchiveerde records?
Door middel van gecontroleerde, alleen-lezen toegang met rolgebaseerde machtigingen, doelbeperking, tijdgebonden referenties waar nodig en volledige controlelogboeken. Externe toegangsmodellen stellen regelgevers, inspecteurs en externe controleurs in staat om dossiers te bekijken zonder toegang te krijgen tot operationele systemen of interne infrastructuur.
Is QeArch ook buiten de EU van belang?
Het eIDAS-kader is specifiek voor de EU, maar de onderliggende controlemaatregelen (integriteit, authenticiteit, controleerbaarheid, bruikbaarheid op lange termijn) worden wereldwijd erkend. OAIS (ISO 14721), ISO 14641, PREMIS en E-ARK zijn internationaal gehanteerde normen. Voor organisaties met wereldwijde activiteiten biedt QeArch de EU-conformiteitslaag, terwijl de op OAIS gebaseerde architectuur voldoet aan bredere internationale bewaarvereisten.
Volgende stap
Indien u de QeArch- en QPres-instellingen wilt afstemmen op uw specifieke recordtypes, bewaarplichten en regelgevingscontext, kunt u een korte sessie aanvragen met een specialist van Docbyte. Docbyte Vault is ontworpen als een op OAIS gebaseerde, eIDAS-compatibele bewaarcyclus, en niet als een opslaglaag.