Wat is een Legal Evidence Pack en wat zit erin?

Een document opslaan is niet hetzelfde als bewijs hebben dat het document bestond.

Als een belastingdienst, rechtbank of toezichthouder je vraagt te bewijzen dat een specifieke factuur op een specifieke datum is verzonden, dat een contract voor een deadline is ondertekend, of dat een compliance-rapport in ongewijzigde originele vorm is ingediend, is het document zelf onvoldoende. Je moet aantonen dat het document authentiek is, ongewijzigd en dat de tijdstempel betrouwbaar is.

Dat is wat een Legal Evidence Pack biedt.

Wat het is

Een Legal Evidence Pack is een gestructureerd archief dat een document combineert met het bewijs dat nodig is om het te verifiëren. Het beantwoordt vier vragen die een document alleen niet kan beantwoorden:

1. Bestond dit document op dit moment in de tijd?
2. Is het sindsdien gewijzigd?
3. Wie heeft het verwerkt, wanneer en in welke volgorde?
4. Voldoet het aan de toepasselijke standaard of het toepasselijke formaat?

Het pakket bundelt het bewijs voor alle vier de vragen in een enkel auditeerbaar artefact.

Wat het bevat

Een volledig Legal Evidence Pack bevat minimaal:

Het document zelf in een archiefformaat voor de lange termijn. Voor de meeste compliance-toepassingen is dit PDF/A-3: een ISO 19005-archiefpdf die alle lettertypen, kleurprofielen en gestructureerde gegevens inbedt, en die gegarandeerd identiek wordt weergegeven in toekomstige viewers. Een gewone pdf volstaat niet omdat externe lettertypeverwijzingen, JavaScript en gekoppelde bronnen kunnen veranderen of verdwijnen.

Een RFC 3161-tijdstempel gekoppeld aan de documenthash op het moment van aanmaak. Deze tijdstempel wordt uitgegeven door een vertrouwde tijdstempelautoriteit en bewijst dat het document in zijn exacte vorm bestond op een specifiek moment. Een RFC 3161-tijdstempel is het technische equivalent van een aangetekend poststempel: uitgegeven door een derde partij, offline verifieerbaar en niet retroactief te verschuiven. Een aanpassingsdatum van het bestandssysteem is niet gelijkwaardig; die kan zonder sporen worden gewijzigd.

Een auditspoor dat elke verwerkingsstap registreert die het document heeft geraakt. Elke vermelding in het auditspoor bevat: het staptype (aangemaakt, gevalideerd, ondertekend, gearchiveerd), de actor, een tijdstempel en een hash van de documentstaat op die stap. De vermeldingen zijn gekoppeld via een hashketen zodat het manipuleren van een enkele vermelding alle volgende ongeldig maakt.

Een validatierapport dat bevestigt dat het document op het moment van verwerking aan de toepasselijke standaard voldeed. Voor een factuur is dit EN16931 Schematron-validatie. Voor een contract kan het een formaatcontrole en een schemavalidatie zijn. Het rapport is als gestructureerd artefact in het pakket opgenomen, niet slechts als een geslaagd/mislukt-vlaggetje.

Een manifest met SHA-256-hashes van elk bestand in het pakket. Hiermee kan een auditor onafhankelijk verifiëren dat geen enkel bestand in het pakket is vervangen of gewijzigd nadat het pakket was aangemaakt.

Een Compliance Passport dat het bovenstaande samenvat in machine-leesbare en mensvriendelijke vorm. Dit is het artefact dat je aan een auditor overhandigt: een bestand dat zegt “dit document heeft deze controles doorstaan, is op dit tijdstip voorzien van een tijdstempel en heeft deze chain of custody.”

Wanneer je er een nodig hebt

Bewaarplichten voor belastingdoeleinden verschillen per land, maar het patroon is consistent door de hele EU: het document moet worden bewaard in een vorm die integriteit bewijst en verificatie mogelijk maakt. In Duitsland vereist de GoBD dat elektronische documenten worden gearchiveerd op een manier die latere wijziging verhindert en reconstructie van de oorspronkelijke staat mogelijk maakt. In Frankrijk stelt de DGFiP vergelijkbare garanties. In Nederland verwacht de Belastingdienst dat facturen zeven jaar bewaard worden in een verifieerbare vorm.

Gerechtelijke procedures stellen vergelijkbare eisen. Als een contractgeschil tot een rechtszaak leidt, wordt de vraag “bestond dit contract in deze vorm op deze datum” beantwoord door bewijs, niet door de inhoud van je bestandsserver.

Regelgevingscontroles (NIS2, AVG, sectorspecifiek: zorg, financien, verzekeringen) vereisen steeds vaker bewijs van het proces, niet alleen van de uitkomst. Een evidence pack biedt beide.

Wat een document alleen je niet geeft

Een pdf in een map op een bestandsserver zegt niets over:

• Of de pdf al voor vandaag bestond
• Of hij is gewijzigd sinds aanmaak
• Welke verwerking hij heeft ondergaan voordat hij werd opgeslagen
• Of hij aan een toepasselijke standaard voldoet

Al die dingen vereisen extern bewijs. Een RFC 3161-tijdstempel legt het “wanneer” vast. Een hashketen legt de volgorde van gebeurtenissen vast. Een validatierapport legt de conformiteit vast. Het manifest legt vast dat niets van het bovenstaande is gemanipuleerd.

Zonder het pakket heb je een document. Met het pakket heb je bewijs.

Het verschil tussen archiveren en bewijs

De meeste documentbeheersystemen bieden archivering: het document wordt opgeslagen op een locatie die niet gemakkelijk te wijzigen is. Archivering lost het toegangs- en bewaringsprobleem op.

Bewijs is anders. Bewijs betekent dat het bestaan, de vorm en de herkomst van het document kunnen worden geverifieerd door een partij die niet betrokken was bij de aanmaak, met informatie die niet kan worden gemanipuleerd door de oorspronkelijke beheerder.

Een hash voorzien van een tijdstempel door een derde autoriteit voldoet aan die maatstaf. Een bestand dat is opgeslagen op je eigen server, met je eigen back-uplogs en je eigen bewaarbeleid, voldoet niet. Dit is geen theoretisch onderscheid. Het is de vraag die een auditor zal stellen.

SealDoc en Legal Evidence Packs

SealDoc genereert een Legal Evidence Pack als gestructureerde uitvoer voor elk document dat het verwerkt. Het pakket is een enkel ZIP-bestand dat het PDF/A-3-document bevat, het RFC 3161-tijdstempeltoken, het auditspoor met hashketen, het validatierapport en het manifest. Elk onderdeel is machine-verifieerbaar zonder SealDoc te raadplegen: de tijdstempel kan worden geverifieerd aan de hand van het publieke certificaat van de uitgevende autoriteit, de hashes kunnen worden herberekend uit de bestanden in het pakket en de auditspoor-keten kan lokaal worden gevalideerd.

Als je organisatie de documentintegriteit moet aantonen aan een auditor, toezichthouder of rechtbank, is het evidence pack het artefact dat je produceert. Er is geen verdere voorbereiding nodig omdat het bewijs op het moment van verwerking is vastgelegd.