Tre nivåer av elektronisk signatur
eIDAS delar in elektroniska signaturer i tre typer: enkel elektronisk signatur (ES), avancerad elektronisk signatur (AdES) och kvalificerad elektronisk signatur (QES).
Enligt förordningen är en elektronisk underskrift helt enkelt uppgifter i elektronisk form som är kopplade till andra elektroniska uppgifter och som används av undertecknaren för att skriva under.
De tre nivåerna bygger på varandra. Grundkravet är alltid att signaturen visar undertecknarens avsikt att vara bunden av avtalet. För att nå upp till AdES och QES krävs dessutom två saker till: bevis på identitet och bevis på integritet.
- Identitet syftar på hur man kan visa att den som anges som undertecknare faktiskt är personen som skrev under.
- Integritet syftar på hur man kan visa att dokumentet inte har ändrats eller manipulerats efter att det signerades.
QES har de högsta säkerhetskraven och det starkaste rättsliga skyddet. Den jämställs juridiskt med en handskriven underskrift på papper.
Ett rättsligt ramverk, inte ett krav
De grundläggande principerna bakom elektroniska underskrifter kommer inte från eIDAS utan från avtalsrätten: ett anbud följt av en accept blir ett bindande avtal. Så länge det inte finns lagkrav på en viss form eller signaturnivå kan ett avtal ingås hur som helst, på papper, muntligt eller med en enkel elektronisk underskrift.
eIDAS reglerar alltså hur elektroniska signaturer får användas, men kräver inte att de används och ändrar inte avtalsrätten. Förordningen slår själv fast att den “inte påverkar nationell rätt eller unionsrätt som gäller ingående och giltighet av avtal eller andra rättsliga eller processuella skyldigheter rörande form”.
I praktiken räcker en enkel elektronisk underskrift gott och väl för de allra flesta avtal, både mellan företag, mot konsumenter och privatpersoner emellan. eIDAS är tydlig med att en elektronisk signatur “inte får förvägras rättslig verkan eller giltighet som bevis vid rättsliga förfaranden enbart för att den är elektronisk eller inte uppfyller kraven för en kvalificerad elektronisk signatur”.
Ibland kräver dock nationell lagstiftning mer, till exempel vid särskilda KYC-krav. Och även om det inte är ett juridiskt krav kan ett företag ändå vilja autentisera motparten extra noga när risken i affären är hög.
2024 kom förordningen om europeisk digital identitet, ofta kallad eIDAS 2.0, som bygger vidare på det befintliga regelverket. En av de stora nyheterna är att alla EU-medborgare ska kunna använda QES, vilket i praktiken breddar och stärker användningen av digital identitet ännu mer. Läs mer om själva förordningen och vad eIDAS innebär i sin helhet:
Skillnaden mellan avancerad (AdES) och kvalificerad (QES) elektronisk signatur
En AdES måste uppfylla fyra krav som en enkel ES inte behöver. Två av dem handlar om undertecknarens identitet, ett om att undertecknaren har exklusiv kontroll över signaturen, och det fjärde om integritet, det vill säga att man kan se om dokumentet manipulerats efter signering.
Eftersom eIDAS är teknikneutral löses identitets- och kontrollkraven för en AdES oftast med en elektronisk legitimation, till exempel BankID i Sverige, iDIN i Nederländerna eller MitID i Danmark.
En QES är i grunden en AdES, plus två saker till: den måste skapas med en kvalificerad anordning för signaturer (QSCD) och bygga på ett kvalificerat certifikat. Det här är tekniska krav som i praktiken ligger på leverantören av e-signeringstjänsten, inte på parterna som signerar. Kort sagt: den tekniska lösningen bakom en QES måste vara certifierad, och därmed är även metoderna för identifiering och integritetsskydd godkända. Läs mer om den kvalificerade nivån.
Scrive ger inte juridisk rådgivning. Informationen bygger på vår egen research och nuvarande förståelse av gällande regelverk och är avsedd som allmän vägledning. Behöver du juridisk rådgivning bör du vända dig till en kvalificerad jurist i din egen jurisdiktion.
Scrives lösning för elektronisk underskrift
Rent tekniskt räcker det enligt eIDAS att sätta sitt namn under ett vanligt mejl för att det ska räknas som en elektronisk signatur. Det kan till och med hålla som bevis i domstol, men mejl är i första hand ett kommunikationsverktyg, inte en genomtänkt lösning för signering.
En bra lösning för elektronisk underskrift, som Scrives, ger dig minst:
- bevis på avsikten att signera
- identitetsuppgifter som IP-adress, e-postadress och en fullständig logg över hela processen
- en tydlig koppling mellan signatur och dokument
- skydd mot att dokumentet ändras i efterhand
Scrive går faktiskt längre än så. Vårt bevispaket gör att alla dokument du signerar hos oss, även på den enklaste nivån, får med sig alla bevis från signeringen. Varje dokument blir en egen, förseglad bevisbehållare som fungerar oberoende av Scrive, du behöver alltså inte lita på våra register för att kunna visa att signaturen är äkta. Allt bevis finns inbakat i det digitalt förseglade dokumentet.
Med andra ord: Scrives lösning uppfyller, och överträffar, kraven för en enkel elektronisk underskrift enligt eIDAS.
Så löser Scrive avancerad elektronisk signatur
Scrive kopplar in lokala eID-lösningar direkt i signeringsflödet för att säkert bekräfta vem som signerar. Det täcker tre av de fyra kraven för en AdES: att signaturen är unikt kopplad till undertecknaren, gör det möjligt att identifiera hen, och skapas med metoder som bara undertecknaren själv kontrollerar. Det sista kravet, att man ska kunna upptäcka om dokumentet ändrats efter signering, löser Scrive med en digital försegling snarare än en signatur i juridisk mening. Tidigare byggde vi det på Guardtimes Keyless Signature Infrastructure (KSI), men standarden för alla nya kunder idag är PAdES (PDF Advanced Electronic Signatures) baserat på Public Key Infrastructure (PKI).
Eftersom eIDAS inte pekar ut en specifik teknik kan flera lösningar uppfylla kraven för AdES. Scrive stödjer både den KSI-baserade varianten och PAdES-standarden.
Scrives kvalificerade elektroniska signatur (QES)
En kvalificerad elektronisk signatur är alltså en AdES som dessutom skapas med en kvalificerad anordning och bygger på ett kvalificerat certifikat. Det låter tekniskt krångligt, och är det också, men i praktiken behöver du sällan tänka på detaljerna själv. Det handlar mest om att koppla in Scrives e-signeringstjänst i ert system.
Med Scrive QES kan mottagaren signera på några sekunder med till exempel BankID eller andra eIDAS-godkända metoder. Vi samarbetar dessutom med flera kvalificerade tillhandahållare av betrodda tjänster, så att ni kan välja den lösning som passar er verksamhet bäst. Vill ni veta mer, hör av er till oss eller läs mer om Scrive QES.
