Soevereine notarisering is de praktijk waarbij een cryptografische vingerafdruk van loggegevens of documenten wordt vastgelegd op een infrastructuur die buiten de invloedsfeer van één enkele beheerder valt, zodat de integriteit ervan achteraf juridisch aantoonbaar is. Voor compliance officers en IT-beslissers in gereguleerde sectoren is dit geen academische kwestie: NIS-2, de Cyberbeveiligingswet (Cbw) en de AVG stellen concrete eisen aan de onveranderlijkheid en controleerbaarheid van audittrails, eisen die met conventionele cloudopslag of intern beheerde logservers zelden volledig afdekt zijn.
Wettelijke grondslag: wat NIS-2, de Cbw en de AVG eisen van logging
De drie regimes overlappen elkaar en versterken elkaar, maar leggen elk een eigen nadruk. Wie alle drie begrijpt, kan een notariseringsarchitectuur bouwen die aan geen enkel regime tekortschiet.
NIS-2 (Richtlijn (EU) 2022/2555), in Nederland geïmplementeerd via de Cyberbeveiligingswet, verplicht essentiële en belangrijke entiteiten in artikel 21 tot het treffen van passende technische en organisatorische maatregelen. Logging en monitoring worden daarin expliciet genoemd als onderdeel van het vereiste beveiligingsniveau. Cruciaal is dat de richtlijn niet alleen het bestaan van logs eist, maar ook de aantoonbaarheid dat die logs niet zijn gemanipuleerd. Een louter intern bewaard logbestand voldoet daar niet aan als er geen onafhankelijk referentiepunt bestaat.
“Artikel 21 van NIS-2 vereist dat organisaties technische en organisatorische maatregelen treffen om de integriteit van loggegevens te waarborgen. Een louter intern bewaard logbestand voldoet niet als er geen onafhankelijk bewijs bestaat dat het niet is gewijzigd.” (NCSC-NL, technische richtlijn NIS-2-implementatie)
De AVG stelt in artikel 5, lid 1, onder f, dat persoonsgegevens moeten worden verwerkt op een manier die passende beveiliging garandeert, inclusief bescherming tegen ongeoorloofde of onrechtmatige verwerking en tegen verlies, vernietiging of beschadiging. Dit beginsel van integriteit en vertrouwelijkheid omvat dus ook de bescherming van loggegevens die persoonsgegevens bevatten. Tegelijkertijd geldt het opslagbeperkingsbeginsel: logs mogen niet langer worden bewaard dan strikt noodzakelijk voor het beveiligingsdoel.
Statistieken die de urgentie aantonen
| Bevinding | Cijfer | Bron | Jaar |
|---|---|---|---|
| Aandeel grote organisaties met aantoonbaar volledige audittrails bij een incident | 27% | ENISA Threat Landscape 2023 | 2023 |
| Ransomware-incidenten waarbij logbestanden werden verwijderd of gewijzigd | 76% | ENISA Threat Landscape 2023 | 2023 |
| Gemiddelde tijd tussen datalek en detectie (wereldwijd) | 204 dagen | IBM Cost of a Data Breach Report 2023 | 2023 |
Het gegeven dat 76 procent van de onderzochte ransomware-aanvallen gepaard ging met het verwijderen of wijzigen van logbestanden, maakt duidelijk waarom onveranderlijkheid geen nice-to-have is. Aanvallers weten dat logs hun spoor documenteren en elimineren die als eerste.
Hoe permissioned blockchain en eIDAS 2.0-tijdstempels onveranderlijk bewijs leveren
Twee technische standaarden vormen de ruggengraat van soevereine notarisering: permissioned blockchain-platforms zoals Hyperledger Fabric, en gekwalificeerde tijdstempels conform de vernieuwde eIDAS-verordening (Verordening (EU) 2024/1183).
Hyperledger Fabric als permissioned notariseerder
Hyperledger Fabric is een door de Linux Foundation beheerde permissioned blockchain waarbij alleen geautoriseerde deelnemers transacties mogen toevoegen en valideren. Dat onderscheidt het van publieke blockchains: de organisatie behoudt volledige controle over welke partijen de ledger kunnen lezen en schrijven, terwijl de gedistribueerde structuur toch voorkomt dat één enkele beheerder eenzijdig records kan wijzigen. Voor logging betekent dit dat een SIEM-systeem periodiek een SHA-256-hash van nieuwe logrecords naar het Fabric-netwerk stuurt. Die hash is onlosmakelijk verbonden met het tijdstip van opname in het gedistribueerde grootboek. Iedere latere poging om de originele logs te wijzigen leidt tot een hashconflict dat detecteerbaar is.
Gekwalificeerde tijdstempels volgens RFC 3161 en ETSI EN 319 401
Voor organisaties die geen eigen blockchain-infrastructuur willen beheren, biedt de combinatie van RFC 3161 (het Internet X.509 timestamping-protocol) en een gekwalificeerde vertrouwensdienstverlener gecertificeerd conform ETSI EN 319 401 een volledig equivalent alternatief. RFC 3161 beschrijft hoe een hashwaarde samen met een verzoek naar een Time-Stamp Authority (TSA) wordt gestuurd, die daar een gesigneerd tijdstempeltoken op teruggeeft. Wanneer die TSA een gekwalificeerde verlener is op de EU-vertrouwenslijst (eIDAS 2.0), heeft het token dezelfde juridische werking in alle EU-lidstaten als een notariële dagtekening.
“Gekwalificeerde elektronische tijdstempels die voldoen aan eIDAS hebben in alle EU-lidstaten dezelfde juridische werking als een handgeschreven datum op een papieren document, mits afgegeven door een gekwalificeerde verlener van vertrouwensdiensten.” (ENISA, toelichting eIDAS-verordening)
Manipulatie voorkomen: de architecturele logica
Een soevereine notariseringsinfrastructuur voorkomt manipulatie door drie structurele eigenschappen te combineren. Ten eerste worden alleen hashwaarden, geen inhoud, naar de notariseringslaag gestuurd. Zelfs als een kwaadwillende toegang krijgt tot de blockchain of de TSA-server, leert hij niets over de onderliggende loginhoud. Ten tweede is de hashketen append-only: elke nieuwe hash verwijst naar de vorige, waardoor het terugdraaaien van één record de hele keten ongeldig maakt. Ten derde wordt de notariseringslaag beheerd buiten de invloedsfeer van de eigen IT-afdeling of cloudleverancier. Dit is het cruciale verschil met een intern beheerde logging-database: een bevoorrechte systeembeheerder bij een cloudleverancier kan in principe logs aanpassen zonder spoor achter te laten, terwijl een gedistribueerde blockchain of een externe TSA dat verhindert.
Juridische status in Nederland en Europa
Het Nederlandse bewijsrecht, vastgelegd in artikel 152 van het Wetboek van Burgerlijke Rechtsvordering, hanteert het beginsel van vrije bewijsleer: de rechter waardeert bewijs naar eigen inzicht. Blockchain-geregistreerde loggegevens zijn daarmee in beginsel toelaatbaar als bewijsmiddel. De bewijskracht hangt af van de vraag hoe robuust het systeem is, hoe onafhankelijk de validerende partijen zijn en of de hashketen ononderbroken aantoonbaar is. Een notarisering ondersteund door een gekwalificeerde eIDAS-tijdstempel staat sterker, omdat die tijdstempel in de EU een wettelijk vermoeden van juistheid geniet op grond van artikel 41 van de eIDAS-verordening.
Bij e-discovery in grensoverschrijdende procedures, bijvoorbeeld onder het toepasselijke regime van de EU-verordening over grensoverschrijdende samenwerking of bij internationale arbitrage, geldt dat een aantoonbaar ononderbroken chain of custody van loggegevens, gecombineerd met een gekwalificeerde tijdstempel, internationaal erkend wordt als betrouwbaar bewijsmiddel. Dit is met name relevant voor notarissen, advocatenkantoren en financiële instellingen die onderhevig zijn aan internationale audits.
Integratie met SIEM, on-premise logging en Nextcloud
De praktische integratie verloopt in drie lagen. Op het niveau van logverzameling stuurt het SIEM-systeem, bijvoorbeeld op basis van een open-source platform zoals Wazuh of een commercieel product, per configureerbaar interval een geaggregeerde hash naar de notariseringslaag. Die hash wordt berekend over alle logrecords in het interval, waardoor één hash duizenden events kan certifiëren zonder elk record afzonderlijk te notariseren.
Op het niveau van de werkplek geldt voor Nextcloud-omgevingen dat de ingebouwde activiteitenlog en auditlog-app events genereert bij elke bestandsbewerking, toegang of rechtenwijziging. Een integratiescript of webhook kan de hashwaarden van die logbatches automatisch doorzenden naar de notariseringsinfrastructuur. Omdat Nextcloud on-premise of in een soevereine Europese hostingomgeving draait, blijft de loginhoud binnen de eigen jurisdictie; alleen de hash verlaat het systeem.
Op het infrastructuurniveau kan de organisatie kiezen tussen een zelf gehoste Hyperledger Fabric-node (maximale controle, hogere beheerslast), een gecertificeerde TSA via RFC 3161 (lagere beheerslast, afhankelijkheid van externe partij) of een hybride aanpak waarbij beide worden gecombineerd voor redundantie.
Privacy en dataminimalisatie: de AVG-AVG-spanning oplossen
Het loggen van gebruikersgedrag voor NIS-2-doeleinden impliceert vrijwel altijd de verwerking van persoonsgegevens: IP-adressen, gebruikersnamen en tijdstippen zijn in de regel identificeerbaar. De AVG-beginselen van dataminimalisatie (artikel 5, lid 1, onder c) en opslagbeperking (artikel 5, lid 1, onder e) vereisen dat organisaties niet meer loggen dan nodig en logs niet langer bewaren dan het beveiligingsdoel vereist.
De praktische oplossing bestaat uit drie maatregelen. Pseudonimisering: gebruikersidentificatoren worden in de logopslag vervangen door een deterministische hash van het gebruikers-ID, zodat de log technisch nog bruikbaar is voor incident response maar niet direct leesbaar is zonder de sleutel. Retentiebeleid: stel een gedocumenteerde retentietermijn vast, doorgaans twaalf maanden operationele logs en drie tot zeven jaar genotariseerde hashketens voor juridisch bewijs. Scheiding: de notariseringslaag ontvangt uitsluitend hashes van logbatches, nooit de onderliggende persoonsgegevens zelf. Zo borgt de notarisering de integriteit zonder zelf als verwerkingsverantwoordelijke voor persoonsgegevens te fungeren.
Vergelijking van notariseringsopties
| Aanpak | Juridische sterkte (eIDAS) | Beheerslast | Geschikt voor |
|---|---|---|---|
| Gekwalificeerde TSA (RFC 3161 + ETSI EN 319 401) | Gekwalificeerd tijdstempel, EU-breed erkend | Laag (SaaS-integratie) | MKB, overheid, juridische sector |
| Hyperledger Fabric (eigen nodes) | Hoog (hashketen), geen eIDAS-kwalificatie tenzij gecombineerd | Hoog (eigen beheer) | Grote instellingen, financieel, defensie |
| Hybride (Fabric + gekwalificeerde TSA) | Maximaal: gecombineerd juridisch en technisch bewijs | Middel | Kritieke infrastructuur, advocatuur, notariaat |
FAQ: soevereine notarisering en bewijsborging
Wat is het verschil tussen soevereine notarisering en een gewone digitale handtekening?
Een digitale handtekening bevestigt de identiteit van de ondertekenaar op het moment van ondertekening. Soevereine notarisering bewijst daarnaast dat een specifieke inhoud op een exact tijdstip bestond en sindsdien niet is gewijzigd, onafhankelijk van de bewaarder. Dat onderscheid is beslissend bij forensisch onderzoek en e-discovery.
Is blockchain-bewijs juridisch afdwingbaar voor een Nederlandse rechter?
Ja, in beginsel. Op grond van de vrije bewijsleer in het Wetboek van Burgerlijke Rechtsvordering (artikel 152 Rv) kan de rechter blockchain-geregistreerde gegevens als bewijsmiddel meewegen. De bewijskracht is groter wanneer de notarisering is gecombineerd met een gekwalificeerde eIDAS-tijdstempel, die een wettelijk vermoeden van juistheid geniet.
Hoe verhoudt NIS-2 artikel 21 zich tot de AVG bij gebruikerslogging?
NIS-2 verplicht tot brede monitoring; de AVG eist dataminimalisatie en opslagbeperking. De balans ligt in pseudonimisering van identificatoren in logs, een gedocumenteerde retentietermijn en het notariseren van alleen hashwaarden, niet van de onderliggende persoonsgegevens.
Kan een bestaand SIEM worden gekoppeld aan blockchain-notarisering?
Ja. Het SIEM berekent periodiek een hash van nieuwe logbatches en stuurt die via een API naar een Hyperledger Fabric-node of een RFC 3161-compatibele TSA. De loginhoud blijft on-premise; alleen de hash wordt genotariseerd. De integratie vereist doorgaans een configuratiescript of een middleware-koppeling, geen vervanging van het SIEM zelf.
Wat is het risico van notarisering via een publieke blockchain?
Publieke blockchains bieden permanentie maar geen privacycontrole en geen gegarandeerde beschikbaarheid van het netwerk op de lange termijn. Voor NIS-2- en AVG-compliant bewijs in gereguleerde sectoren is een permissioned blockchain of een gekwalificeerde TSA doorgaans juridisch robuuster, omdat de deelnemers geïdentificeerd en gecertificeerd zijn en de organisatie controle behoudt over wie de data kan valideren.
