RFC 3161-tijdstempels: wat ze zijn, waarom ze belangrijk zijn en wanneer ze wettelijk vereist zijn

Stel je voor dat je iemand een brief overhandigt, ze betwisten wanneer hij is geschreven en je hebt geen manier om de datum te bewijzen anders dan je eigen woord. Een notaris lost dat probleem op door het document te getuigen en er een datum op te stempelen waarvoor hij wettelijk verantwoordelijk is. RFC 3161 is het cryptografische equivalent: een vertrouwde derde partij bevestigt, op een wiskundig verifieerbare manier, dat een specifiek document op een specifiek moment bestond en sindsdien niet is gewijzigd.

Dit is van belang voor EU-e-facturatie omdat belastingwetgeving niet alleen vereist dat je facturen bewaart. Ze vereist dat je ze bewaart op een manier die manipulatie detecteerbaar maakt. Een RFC 3161-tijdstempel is een van de sterkste mechanismen die beschikbaar zijn om aan die eis te voldoen.

Hoe een vertrouwde tijdstempel werkt

Het basismechanisme bestaat uit vier stappen:

1. Hash het document. Een cryptografische hashfunctie (SHA-256 of SHA-512 in moderne implementaties) wordt toegepast op je document. Het resultaat is een vingerafdruk van vaste lengte. Elke wijziging in het document, zelfs een enkele bit, produceert een volledig andere vingerafdruk.
2. Stuur de hash naar een Timestamp Authority. Je stuurt alleen de hash, niet het document zelf, naar een vertrouwde server die een Timestamp Authority (TSA) wordt genoemd. De TSA ziet nooit de inhoud van je document.
3. De TSA ondertekent de reactie. De TSA maakt een ondertekend token dat je hash koppelt aan de huidige tijd van de TSA, ondertekend met de prive-sleutel van de TSA. Dit token is de tijdstempel. Het bevat: de hash van je document, de tijd en de digitale handtekening van de TSA.
4. Je slaat het token op naast het document. Later kan iedereen verifiëren dat de hash van je document overeenkomt met de hash in het token, en dat de handtekening van het token is uitgegeven door de TSA op het vermelde tijdstip.

De beveiligingsgarantie is eenvoudig: als iemand je document na de tijdstempel manipuleert, komt de hash niet meer overeen met die in het token. Als de prive-sleutel van de TSA vertrouwd is (wat de juridische en technische vraag is die gekwalificeerde TSA’s beantwoorden), dan wordt de tijdstempel geaccepteerd als bewijs van het bestaan en de integriteit van het document op dat moment.

RFC 3161: de norm

RFC 3161 is de IETF-norm die het protocol definieert voor het aanvragen en ontvangen van tijdstempels. Gepubliceerd in 2001 en nog steeds actueel, specificeert hij het berichtformaat voor de hash-indiening, de structuur van het ondertekende token en de betrokken cryptografische algoritmen.

Een RFC 3161-token is zelfvoorzienend. Het is niet afhankelijk van de servers van de TSA die online blijven. Je kunt een 10 jaar oude tijdstempel offline verifiëren door de certificaatketen van de TSA te controleren, die apart is gearchiveerd. Dit is belangrijk voor juridische archivering: het bewijs dat je vandaag indient, moet verifieerbaar zijn in 2035, ongeacht of de TSA die je hebt gebruikt nog in bedrijf is.

Gekwalificeerde versus gewone TSA’s

Niet alle Timestamp Authorities zijn gelijk onder EU-recht.

Een gewone TSA exploiteert een RFC 3161-dienst, maar doet geen specifieke juridische toezeggingen over zijn tijdbron, auditprocedures of sleutelbeheer. Gewone tijdstempels zijn technisch geldig maar hebben geen bijzondere juridische presumptie.

Een gekwalificeerde TSA is geaccrediteerd onder Verordening (EU) nr. 910/2014, bekend als eIDAS. Een gekwalificeerde TSA:

• Gebruikt een tijdbron die herleidbaar is naar UTC via nationale metrologische instituten
• Opereert onder geauditeerde beveiligingsprocedures
• Is vermeld op een nationale vertrouwde lijst die wordt bijgehouden door het relevante toezichthoudende orgaan
• Geeft tijdstempels uit die onder eIDAS artikel 41 een wettelijke presumptie van juistheid hebben

Onder eIDAS geniet een gekwalificeerde elektronische tijdstempel een presumptie van juistheid wat betreft de datum en tijd die hij aangeeft, en de integriteit van de gegevens waaraan de datum en tijd zijn gekoppeld. In gewone taal betekent dit dat een rechtbank hem niet gemakkelijk kan verwerpen.

Voor de meeste EU-e-facturatiebewaarvereisten is een gekwalificeerde tijdstempel de gouden standaard. Voor veel business-to-business-scenario’s is een gewone RFC 3161-tijdstempel van een gerenommeerde TSA nog steeds waardevol bewijs, zelfs zonder de gekwalificeerde status.

Wanneer tijdstempels wettelijk vereist zijn

De vereiste verschilt per land, sector en documenttype. Hier een praktisch overzicht:

Elektronische handtekeningen onder eIDAS. Een gekwalificeerde elektronische handtekening (QES) is in de hele EU wettelijk gelijkwaardig aan een handgeschreven handtekening. Tijdstempels zijn niet verplicht op elk ondertekend document, maar een tijdstempel die op het moment van ondertekening aan een handtekening is gekoppeld, voorkomt latere betwisting over de vraag of de handtekening op dat moment geldig was (relevant als het ondertekeningscertificaat verloopt of wordt ingetrokken na de ondertekening).

Factuurarchivering (alle EU-lidstaten). EU-btw-richtlijn 2006/112/EG vereist dat facturen worden bewaard op een manier die de authenticiteit van hun oorsprong en de integriteit van hun inhoud gedurende de bewaartermijn garandeert (doorgaans 7 tot 10 jaar afhankelijk van de nationale wetgeving). Een tijdstempel plus een hashmanifest is een erkende technische implementatie van deze vereiste.

Duitse GoBD (Grondbeginselen voor ordelijke boekhouding). De Duitse belastingwet vereist expliciet dat digitaal opgeslagen documenten zijn beschermd tegen onopgemerkte wijziging. Een RFC 3161-tijdstempel voldoet aan deze vereiste.

Nederlandse Archiefwet. De Nederlandse archiefwet voor overheidsinstanties vereist tijdstempels op gearchiveerde digitale documenten. Van particuliere bedrijven wordt verwacht dat ze gelijkwaardige normen volgen voor records die door belastingdiensten kunnen worden opgevraagd.

Gereguleerde sectoren. Financiele dienstverlening, gezondheidszorg, juridische sector en farmaceutische industrie in de EU hebben aanvullende documentbewaarvereisten die vaak tijdstempeling vereisen die verder gaat dan de algemene belastingwetgeving.

B2G-facturatie. Verschillende EU-landen vereisen gekwalificeerde tijdstempels of gelijkwaardige bescherming voor facturen die worden ingediend bij overheidsinstanties.

Wat er gebeurt zonder tijdstempel

Zonder tijdstempel kun je beweren dat een factuur op een bepaalde datum is aangemaakt, maar je kunt het niet bewijzen. Als een belastingdienst of rechtbank de datum betwist, of betwist of het document achteraf is gewijzigd, rust je positie volledig op je eigen administratie, wat geen onafhankelijk bewijs is.

Concreet:

• Een niet-gedateerde pdf kan in principe worden teruggedateerd. Een rechtbank kan aanvullende bevestiging vereisen om de beweerde datum te accepteren.
• Een factuur die na archivering is gewijzigd zonder manipulatiedetectiemechanisme is niet te onderscheiden van een die niet is gewijzigd.
• Bij een btw-controle rust de bewijslast dat een factuur authentiek en ongewijzigd is bij het bedrijf. Een tijdstempel is het sterkste enkele bewijsstuk dat je kunt aanleveren.

Hoe SealDoc RFC 3161-tijdstempels implementeert

Elk document dat SealDoc verwerkt, heeft standaard een RFC 3161-tijdstempel vanaf het Starter-plan. Dit is wat we doen:

1. We genereren of converteren je document (PDF/A-3, Factur-X of beide).
2. We berekenen een SHA-256-hash van het uitvoerbestand.
3. We sturen de hash naar een vertrouwde TSA en ontvangen een ondertekend token.
4. We bedden het token in in de documentmetadata van de pdf en nemen het op in het evidence pack.
5. We registreren de tijdstempel in ons chain-of-custody-log, dat apart manipulatie-evident is.

Het evidence pack dat we terugsturen, bevat het RFC 3161-token als een zelfstandig .tsr-bestand, dat kan worden geverifieerd met elk RFC 3161-conform verificatiemiddel onafhankelijk van onze servers. Het manifesthashbestand in hetzelfde evidence pack koppelt het originele document, het geconverteerde document en de tijdstempel aan elkaar, zodat de volledige keten offline verifieerbaar is.

Voor facturen waarbij gekwalificeerde tijdstempels vereist zijn (doorgaans documenten met hoge waarde of uit gereguleerde sectoren), gebruiken we een gekwalificeerde TSA van de EU-vertrouwde lijst. De TSA die we gebruiken is 100% EU-gebaseerd.

Meer lezen over juridische compliance

Als je het volledige complianceplaatje voor jouw specifieke land en factuurtype wilt begrijpen, brengt onze juridische compliancepagina elk EU-mandaat in kaart met de technische vereisten, inclusief welk tijdstempelniveau voldoende is en welk niveau vereist is.

Voor directe verificatie van een bestaand document controleert onze Validator-tool of een bestand een geldig RFC 3161-token bevat en rapporteert de tijdstempeldetails naast de PDF/A- en Factur-X-compliancecontroles.