Uitvoeringsverordening (EU) 2025/2532 van de Commissie van 16 december 2025 tot vaststelling van uitvoeringsbepalingen voor Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad betreffende referentienormen en specificaties voor gekwalificeerde elektronische archiveringsdiensten
European Union — Verordening 
Datum: 2025-12-16 00:00:00.000000
Rechtsgebied: EU-recht


Publicatieblad van de Europese Unie
 
 
 NL
 L-serie
 
 
 
 
 
 
 
 
 
 
 
 
 
 2025/2532
 
 
 17.12.2025
 
 
 
 
 
 
 
 UITVOERINGSVERORDENING (EU) 2025/2532 VAN DE COMMISSIE
 
 van 16 december 2025
 
 tot vaststelling van uitvoeringsbepalingen voor Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad betreffende referentienormen en specificaties voor gekwalificeerde elektronische archiveringsdiensten
 
 
 DE EUROPESE COMMISSIE,
 
 Gezien het Verdrag betreffende de werking van de Europese Unie,
 
 
 Gezien Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (1), en met name artikel 45 undecies, lid 2,
 
 Overwegende hetgeen volgt:
 
 
 
 
 
 
 
 (1)
 
 
 Bij Verordening (EU) 2024/1183 van het Europees Parlement en de Raad (2) is een lijst van nieuwe vertrouwensdiensten en gekwalificeerde vertrouwensdiensten, met inbegrip van de gekwalificeerde elektronische archiveringsdienst, in Verordening (EU) nr. 910/2014 ingevoerd. De Commissie moet een lijst van referentienormen en, indien nodig, specificaties voor dergelijke diensten opstellen.
 
 
 
 
 
 
 
 
 
 
 
 
 (2)
 
 
 Elektronische archivering is een dienst voor de ontvangst, opslag, opvraging en verwijdering van elektronische gegevens en elektronische documenten om de duurzaamheid en de leesbaarheid ervan te garanderen alsook de integriteit, de vertrouwelijkheid en het bewijs van oorsprong gedurende de volledige bewaartermijn te garanderen. Gekwalificeerde archiveringsdiensten spelen een cruciale rol in de digitale zakelijke omgeving doordat ze de transitie van traditionele, op papier gebaseerde processen naar elektronische equivalenten bevorderen. Opdat het vermoeden van integriteit en oorsprong van elektronische gegevens en elektronische documenten voor de duur van de bewaartermijn door de gekwalificeerde verlener van vertrouwensdiensten behouden blijft, en met het oog op een hoog niveau van transparantie en vertrouwen onder alle deelnemers aan de informatielevenscyclus, moeten gemeenschappelijke specificaties voor gekwalificeerde elektronische archiveringsdiensten worden vastgesteld.
 
 
 
 
 
 
 
 
 
 
 
 
 (3)
 
 
 Om de bewijskracht, de beveiliging en de betrouwbaarheid van gekwalificeerde elektronische archiveringsdiensten te vergroten, moeten gekwalificeerde vertrouwensdiensten worden ingezet bij het gebruik van elektronische handtekeningen, elektronische zegels of elektronische tijdstempels om de datum en het tijdstip van bijvoorbeeld de archivering van bewijsmateriaal, bewijsstukken, processen-verbaal, registers van de juiste uitvoering van procedures of archivering van bevestigingsverslagen aan te maken, te ondertekenen, te verzegelen of te bevestigen.
 
 
 
 
 
 
 
 
 
 
 
 
 (4)
 
 
 Het vermoeden van naleving van artikel 45 undecies, lid 2, van Verordening (EU) nr. 910/2014 mag alleen worden toegepast als gekwalificeerde verleners van elektronische archiveringsdiensten aan de vereisten van deze verordening voldoen. De referentienormen voor gekwalificeerde elektronische archiveringsdiensten moeten vastgestelde praktijken weerspiegelen en algemeen erkend zijn in de desbetreffende sectoren. Deze normen moeten worden aangepast om er aanvullende controles in op te nemen die de veiligheid en betrouwbaarheid van de gekwalificeerde elektronische archiveringsdiensten waarborgen.
 
 
 
 
 
 
 
 
 
 
 
 
 (5)
 
 
 Indien een verlener van vertrouwensdiensten aan de in deze verordening vastgestelde vereisten voldoet, moeten toezichtinstanties aannemen dat hij aan de desbetreffende vereisten van Verordening (EU) nr. 910/2014 voldoet en deze veronderstelling in aanmerking nemen voor de toekenning of bevestiging van de gekwalificeerde status van de vertrouwensdienst. Een gekwalificeerde verlener van vertrouwensdiensten kan zich echter nog steeds op andere praktijken beroepen om aan te tonen dat hij aan de vereisten van Verordening (EU) nr. 910/2014 voldoet.
 
 
 
 
 
 
 
 
 
 
 
 
 (6)
 
 
 Om de integriteit en het bewijs van oorsprong van elektronische gegevens en elektronische documenten met een of meer gekwalificeerde elektronische handtekeningen of zegels te bewaren, moeten gekwalificeerde elektronische archiveringsdiensten procedures en technologieën gebruiken waarmee de betrouwbaarheid van die elektronische handtekeningen en zegels kan worden verlengd tot na de technologische geldigheidsperiode, ten minste tijdens de gehele bewaarperiode.
 
 
 
 
 
 
 
 
 
 
 
 
 (7)
 
 
 De Commissie voert regelmatig beoordelingen van nieuwe technologieën, praktijken, normen of technische specificaties uit. Overeenkomstig overweging 75 van Verordening (EU) 2024/1183 moet de Commissie deze verordening indien nodig evalueren en actualiseren om deze in overeenstemming te houden met de mondiale ontwikkelingen, nieuwe technologieën, praktijken, normen of de technische specificaties, en om de beste praktijken op de interne markt te volgen.
 
 
 
 
 
 
 
 
 
 
 
 
 (8)
 
 
 Verordening (EU) 2016/679 van het Europees Parlement en de Raad (3) en, in voorkomend geval, Richtlijn 2002/58/EG van het Europees Parlement en de Raad (4) zijn van toepassing op activiteiten betreffende de verwerking van persoonsgegevens uit hoofde van deze verordening.
 
 
 
 
 
 
 
 
 
 
 
 
 (9)
 
 
 Overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (5) is de Europese Toezichthouder voor gegevensbescherming geraadpleegd, en op 21 oktober 2025 heeft deze een advies uitgebracht (6).
 
 
 
 
 
 
 
 
 
 
 
 
 (10)
 
 
 De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 48 van Verordening (EU) nr. 910/2014 ingestelde comité,
 
 
 
 
 
 HEEFT DE VOLGENDE VERORDENING VASTGESTELD:
 
 
 
 Artikel 1
 
 Elektronische archivering van documenten met een gekwalificeerde elektronische handtekening of een gekwalificeerd elektronisch zegel
 
 
 1.   Bij het archiveren van elektronische gegevens of elektronische documenten die gekwalificeerde elektronische handtekeningen of gekwalificeerde elektronische zegels bevatten, waarborgen aanbieders van gekwalificeerde elektronische archiveringsdiensten dat de betrouwbaarheid van die gekwalificeerde elektronische handtekeningen of gekwalificeerde elektronische zegels wordt gehandhaafd, ook na de technologische geldigheidsduur, en dat de integriteit en de nauwkeurigheid van de oorsprong van de gekwalificeerde elektronische handtekeningen en zegels wordt gehandhaafd, ten minste tot het einde van de wettelijke of contractuele bewaartermijn.
 
 
 2.   Voor de toepassing van lid 1 kunnen aanbieders van gekwalificeerde elektronische archiveringsdiensten een beroep doen op een gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische handtekeningen of op een gekwalificeerde bewaringsdienst voor gekwalificeerde elektronische zegels.
 
 
 
 Artikel 2
 
 Referentienormen en specificaties voor de verlening van gekwalificeerde elektronische archiveringsdiensten
 
 De in artikel 45 undecies, lid 2, van Verordening (EU) nr. 910/2014 genoemde referentienormen en specificaties zijn vastgesteld in de bijlage bij deze verordening.
 
 
 Artikel 3
 
 Inwerkingtreding
 
 Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
 
 
 
 
 Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.
 Gedaan te Brussel, 16 december 2025.
 
 
 Voor de Commissie
 
 
 De voorzitter
 
 Ursula VON DER LEYEN
 
 
 
 
 
 
 (1)  
 PB L 257 van 28.8.2014, blz. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
 
 (2)  Verordening (EU) 2024/1183 van het Europees Parlement en de Raad van 11 april 2024 tot wijziging van Verordening (EU) nr. 910/2014, wat betreft de vaststelling van het Europees kader voor digitale identiteit (PB L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).
 
 (3)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
 
 (4)  Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlĳke levenssfeer in de sector elektronische communicatie (richtlĳn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
 
 (5)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39, ELI: http://data. europa.eu/eli/reg/2018/1725/oj).
 
 (6)  
 EDPS Formal comments on the draft Implementing Regulation laying down rules for the application of Regulation (EU) No 910/2014 as regards reference standards and specifications for qualified electronic archiving services.
 
 
 
 
 
 BIJLAGE
 Lijst van referentienormen en specificaties voor gekwalificeerde elektronische archiveringsdiensten
 CEN/TS 18170:2025 (“CEN/TS 18170”) is van toepassing met de volgende aanpassingen:
 
 
 
 
 
 
 a)
 
 
 Normatieve referenties (punt 2)
 
 
 
 
 
 
 —
 
 
 ETSI EN 319 401 V3.1.1 (2024-06), Elektronische handtekeningen en vertrouwensinfrastructuren (ESI); Algemene beleidseisen voor verleners van vertrouwensdiensten.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 ETSI EN 319 421 V1.3.1 (2025-07) Elektronische handtekeningen en infrastructuren (ESI); Beleids- en beveiligingseisen voor verleners van vertrouwensdiensten die tijdstempels afgeven.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 ISO 14721:2025, Space Data System Practices — Reference model for an open archival information system (OAIS).
 
 
 
 
 
 
 
 
 
 
 —
 
 
 ACM-ECCG, European Cybersecurity Certification Group, Sub-group on Cryptography: “Agreed Cryptographic Mechanisms”, gepubliceerd door het Agentschap van de Europese Unie voor cyberbeveiliging (“Enisa”).
 
 
 
 
 
 
 
 
 
 
 —
 
 
 CIR (EU) 2024/482, Uitvoeringsverordening (EU) 2024/482 van de Commissie (1).
 
 
 
 
 
 
 
 
 
 
 —
 
 
 CIR (EU) 2024/3144, Uitvoeringsverordening (EU) 2024/3144 van de Commissie (2).
 
 
 
 
 
 
 
 
 
 
 —
 
 
 ISO/IEC 15408:2022 (delen 1 tot en met 5) “Informatiebeveiliging, cyberbeveiliging en privacybescherming — Evaluatiecriteria voor IT-beveiliging”.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 FIPS PUB 140-3 (2019) “Beveiligingseisen voor cryptografische modules”.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 b)
 
 
 Beleids- en praktijkverklaring (punt 6.1)
 
 
 
 
 
 
 —
 
 
 De voorwaarden van CEN/TS 18170, punt 6.1, zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De voorwaarden van ETSI EN 319 401, punt 5, zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De verlener van vertrouwensdiensten voor elektronische archivering (EATSP) stelt procedures vast om het toezichthoudend orgaan in kennis te stellen van wijzigingen in de verlening van de vertrouwensdienst voor elektronische archivering en van het voornemen om die activiteiten te beëindigen, conform de bedrijfsvereisten en de relevante wet- en regelgeving, waaronder de overeenkomstig artikel 24, lid 5, van Verordening (EU) nr. 910/2014 vastgestelde uitvoeringshandelingen [i.2].
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De EATSP licht het bevoegde toezichthoudende orgaan ten minste op de volgende momenten in:
 
 
 
 
 
 
 —
 
 
 één maand voor de invoering van een wijziging;
 
 
 
 
 
 
 
 
 
 
 —
 
 
 drie maanden voor de geplande stopzetting van de verlening van een vertrouwensdienst.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 c)
 
 
 Voorwaarden (punt 6.2)
 
 
 
 
 
 
 —
 
 
 De voorwaarden van CEN/TS 18170, punt 6.2, zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Abonnees en partijen die gebruikmaken van de vertrouwensdienst voor elektronische archivering worden, voordat zij een overeenkomst aangaan, op duidelijke, volledige en gemakkelijk toegankelijke wijze, in een publiekelijk toegankelijke ruimte en individueel, in kennis gesteld van de precieze voorwaarden.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 d)
 
 
 Personele middelen (punt 7.3)
 
 
 
 
 
 
 —
 
 
 De voorwaarden van CEN/TS 18170, punt 7.3, zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Het personeel van de EATSP in vertrouwensrollen, en indien van toepassing, zijn onderaannemers in vertrouwensrollen, is in staat om aan de eis van “deskundigheid, ervaring en kwalificaties” te voldoen, door middel van formele opleiding en referenties, of feitelijke ervaring, of een combinatie van beide. Dit gaat gepaard met regelmatig bijgewerkte informatie (ten minste elke twaalf maanden) over nieuwe dreigingen en actuele beveiligingspraktijken.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 e)
 
 
 Cryptografische controles en monitoring (punt 7.6)
 
 
 
 
 
 
 —
 
 
 Het archiveringssysteem moet de vertrouwelijkheid van gegevens en documenten waarborgen gedurende de levenscyclus van het archief, van de deponering tot de schrapping.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De in ETSI EN 319 401, subpunt 7.5 “Cryptografische controles” bedoelde vereisten zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De oorsprong van de in het elektronische archiveringssysteem te archiveren gegevens wordt door de EATSP vastgesteld. Indien daartoe elektronische handtekeningen of elektronische zegels worden gebruikt, moeten die elektronische handtekeningen of elektronische zegels gekwalificeerd zijn.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Indien de EATSP (een deel van) een digitaal voorwerp of bestand digitaal ondertekent, wordt de privésleutel voor ondertekening van de EATSP bewaard en gebruikt in een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen of zegels of in een beveiligd cryptografisch apparaat dat een betrouwbaar systeem is dat is gecertificeerd overeenkomstig:
 
 
 
 
 
 
 a)
 
 
 de gemeenschappelijke criteria voor de evaluatie van de beveiliging van informatietechnologie, zoals uiteengezet in ISO/IEC 15408 of in gemeenschappelijke criteria voor de evaluatie van de beveiliging van informatietechnologie, versie CC 2022, delen 1 tot en met 5, gepubliceerd door deelnemers aan de regeling ter erkenning van certificaten van gemeenschappelijke criteria op het gebied van IT-beveiliging, en gecertificeerd tot EAL 4 of hoger, of
 
 
 
 
 
 
 
 
 
 
 b)
 
 
 de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (CIR (EU) 2024/482, CIR (EU) 2024/3144) en gecertificeerd tot EAL 4 of hoger, of
 
 
 
 
 
 
 
 
 
 
 c)
 
 
 tot 31.12.2030, FIPS PUB 140-3 niveau 3.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Dit certificaat dient voor een beveiligingsdoelstelling of beveiligingsprofiel, of voor een moduleontwerp en beveiligingsdocumentatie, wat voldoet aan de eisen van onderhavig document, op basis van een risicoanalyse en rekening houdend met fysieke en andere niet-technische beveiligingsmaatregelen.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Indien het beveiligd cryptografisch apparaat een EUCC-certificering (IR (EU) 2024/482, CIR (EU) 2024/3144) heeft, dan wordt dit apparaat geconfigureerd en gebruikt in overeenstemming met dat certificaat.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De EATSP monitort de sterkte van het cryptografisch algoritme dat werd en wordt gebruikt. Indien een van de gebruikte algoritmen of parameters niet geschikt wordt geacht conform het risicobeheer, actualiseert de EATSP het desbetreffende archiveringsbeleid of wordt een nieuw archiveringsprofiel opgezet om de AIP’s te verwerken en passende maatregelen vast te stellen en uit te voeren.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De evaluatie van de cryptografische algoritmen en het gebruik ervan door de EATSP is in overeenstemming met de door de Europese Groep voor cyberbeveiligingscertificering goedgekeurde en door Enisa gepubliceerde Agreed Cryptographic Mechanisms (ACM-ECCG).
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Technische componenten van de EATS authenticeren elkaar op basis van cryptografische technieken alvorens te communiceren.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 f)
 
 
 Netwerk (punt 7.9)
 
 
 
 
 
 
 —
 
 
 De in ETSI EN 319 401, subpunt 7.8 “Netwerkbeveiliging” bedoelde vereisten zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De door REQ-7.8-13 van ETSI EN 319 401 aangevraagde kwetsbaarheidsscan wordt ten minste eenmaal per kwartaal uitgevoerd.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 De penetratietest op grond van REQ-7.8-17X van ETSI EN 319 401 wordt ten minste jaarlijks uitgevoerd.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Firewalls worden geconfigureerd om alle protocollen en toegangen die niet vereist zijn voor de bedrijfsvoering van de EATSP te verhinderen.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 g)
 
 
 Bewijsvergaring (punt 7.11)
 
 
 
 
 
 
 —
 
 
 De vereisten van ETSI EN 319 401, subpunt 7.10 “Bewijsvergaring”, zijn van toepassing, ook voor kritieke en niet-kritieke gebeurtenissen (zie subpunt 13.2).
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 h)
 
 
 Beëindiging en beëindigingsplan van de EATSP (punt 7.13)
 
 
 
 
 
 
 —
 
 
 De voorwaarden van CEN/TS 18170, punt 7.13, zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Het beëindigingsplan van de EATSP voldoet aan de overeenkomstig artikel 24, lid 5, van Verordening (EU) nr. 910/2014 vastgestelde uitvoeringshandelingen.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 i)
 
 
 Betrouwbaar tijdstip van gebeurtenissen (punt 13.3.1)
 
 
 
 
 
 
 —
 
 
 De voorwaarden van CEN/TS 18170, punt 13.3.1, zijn van toepassing.
 
 
 
 
 
 
 
 
 
 
 —
 
 
 Bij het gebruik van tijdstempels gebruikt de EATSP een gekwalificeerd tijdstempel.
 
 
 
 
 
 
 
 
 
 
 (1)  Uitvoeringsverordening (EU) 2024/482 van de Commissie van 31 januari 2024 houdende uitvoeringsbepalingen van Verordening (EU) 2019/881 van het Europees Parlement en de Raad wat betreft de vaststelling van de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC) (PB L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).
 
 (2)  Uitvoeringsverordening (EU) 2024/3144 van de Commissie van 18 december 2024 tot wijziging van Uitvoeringsverordening (EU) 2024/482 wat betreft toepasselijke internationale normen en tot rectificatie van die uitvoeringsverordening (PB L, 2024/3144, 19.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/3144/oj).
 
 
 
 ELI: http://data.europa.eu/eli/reg_impl/2025/2532/oj
 ISSN 1977-0758 (electronic edition)
 
 ////////////////////////$(document).ready(function(){generateTOC(true,'', 'Naar boven','false');scrollToCurrentUrlAnchor();});