Sikring af dine signerede dokumenter med TLS-kryptering

Hvorfor TLS-kryptering er uundværlig for dine signerede dokumenter

I 2026 er sikring af elektronisk signerede dokumenter ikke længere en mulighed: det er en juridisk og strategisk forpligtelse for enhver virksomhed, der opererer i det europæiske digitale område. TLS-kryptering (Transport Layer Security) udgør hjørnestenen for denne beskyttelse og garanterer, at data, der sendes mellem en klient og en server, forbliver fortrolige, intakte og autentificerede. Ifølge ANSSI målretter mere end 74 % af de dokumenterede cyberangreb i Europa datastrømme, som ikke er krypterede eller utilstrækkeligt sikrede. I denne sammenhæng er det blevet imperativt for IT-direktører, jurister og complianceansvarlige i franske og europæiske virksomheder at forstå, hvordan man sikrer sine dokumenter signeret med TLS-kryptering, HTTPS og inden for rammen af eIDAS-forordningen.

Denne artikel udforsker de tekniske mekanismer for TLS, dens sammenhæng med kvalificeret elektronisk signatur, de regulatoriske krav, der stilles til SaaS-platforme, og de bedste praksis, der skal implementeres i dag for at beskytte dine dokumentielle aktiver.

---

Forståelse af TLS-kryptering og dens rolle i elektronisk signatur

TLS 1.3: den aktuelle sikkerhedsstandard for udveksling

TLS-protokollen (Transport Layer Security) er den forbedrede version af SSL (Secure Sockets Layer), som nu er forældet. TLS 1.3-versionen, offentliggjort i 2018 af IETF (RFC 8446), er i dag referencen for al sikker dataudveksling. Den eliminerer flere kritiske sårbarheder fra sine forgængere, især BEAST-, POODLE- og DROWN-angreb, samtidig med at den reducerer forbindelsesforsinkelsen takket være handshake i et enkelt tur-retur.

Konkret garanterer TLS 1.3:

• Fortrolighed: de transmitterede data er krypteret fra ende til ende, hvilket gør deres opfangning ubrugelig.
• Integritet: enhver besked, der ændres under transport, opdages øjeblikkeligt.
• Autentificering: serveren (og eventuelt klienten) autentificeres via X.509-certifikat.

For en platform til elektronisk signatur i overensstemmelse med eIDAS er eksklusiv brug af TLS 1.3 — eller mindst TLS 1.2 med kryptografiske sviter godkendt af ANSSI — et grundlæggende krav. Brugen af TLS 1.0 eller 1.1 er formelt forbudt af ENISA's anbefalinger siden 2022.

HTTPS: det synlige lag af TLS-kryptering

HTTPS er intet andet end HTTP serveret over en TLS-forbindelse. For brugerne betyder låsen, der er synlig i browserens adresselinje, at kommunikationskanalen er krypteret. For virksomheder betyder det, at dokumenter, der hentes, underskrives eller deles, passerer sikkert mellem brugerens browser og platformens servere.

HTTPS garanterer dog ikke sikkerheden af dokumentet i hvile (det vil sige når det først er gemt på serveren). Derfor skal TLS-kryptering suppleres med kryptering af data i hvile (f.eks. AES-256) og robuste mekanismer til adgangskontrol. I sammenhæng med den fuldstændige guide til elektronisk signatur behandles disse supplerende sikkerhedslag som et sammenhængende hele.

TLS-certifikater og tillidschain

Et TLS-certifikat udstedes af en anerkendt Certificate Authority (CA). Det indeholder serverens offentlige nøgle, organisationens identitet og er digitalt signeret af CA'en. Tilliskæden — fra rodcertifikat til mellemliggende certifikater — garanterer, at brugeren kommunikerer med den enhed, han tror på.

For udbydere af tillidsservices (PSCo) i henhold til eIDAS-forordningen skal de TLS-certifikater, der bruges, overholde de profiler, der er defineret af ETSI EN 319 411-standarderne, især for certifikater, der bruges i signering og autentificering.

---

TLS-kryptering og eIDAS-compliance: hvad siger forordningen

eIDAS-signaturens niveauer og deres sikkerhedskrav

eIDAS-forordningen nr. 910/2014, forstærket af eIDAS 2.0, som er under implementering, skelner mellem tre niveauer af elektronisk signatur: enkel, avanceret og kvalificeret. Hvert niveau indebærer stigende sikkerhedskrav:

• Simpel signatur: intet pålagt teknisk standard, men TLS-kryptering anbefales stadig stærkt til transport.
• Avanceret signatur: platformen skal garantere dokumentets integritet og det unikke forhold mellem signaturen og underskriveren. TLS 1.3 er her næsten uundværlig for transmissionsflows.
• Kvalificeret signatur: udbyderen skal være en kvalificeret PSCo, der er indskrevet på Trust List'en for sin medlemsstat. Kryptografiske krav er defineret af ETSI EN 319 132 (XAdES), EN 319 122 (CAdES) og EN 319 142 (PAdES) standarderne. Kryptering af kommunikationskanaler skal være i overensstemmelse med ANSSI eller ENISA anbefalinger.

For virksomheder, der søger at sammenligne elektroniske signeringsløsninger, er sikkerhedniveauet for TLS-udvekslingen et afgørende og ofte undervurderet udvalgskriterium.

eIDAS 2.0's bidrag til sikkerhed af udvekslinger

eIDAS 2.0-forordningen, hvis indføring er udfaset til 2026-2027, introducerer den europæiske digitale identitetsportefølje (EUDIW) og styrker kravene til udbydere af tillidsservices. Det indebærer især:

• Sikkerhedsrevisioner i overensstemmelse med EN ISO/IEC 27001-standarderne og ENISA-specifikke krav.
• Øget transparens om de kryptografiske mekanismer, der bruges.
• Offentliggørelse af sikkerhedspolitikker, der kan revideres af nationale tilsynsmyndigheder.

Disse udvikinger betyder, at virksomheder, der bruger signeringsplatforme, skal sikre sig, at deres udbyder opretholder en opdateret og revideret TLS-infrastruktur. Det er netop det, Certyneo garanterer i sin infrastruktur, med regelmæssige sikkerhedsrevisioner og overholdelse af ANSSI-referencerammer.

---

Bedste praksis for sikring af dine signerede dokumenter i virksomheden

Revision af din nuværende TLS-infrastruktur

Før implementering eller migrering til en sikret elektronisk signeringsløsning er en TLS-revision vigtig. Værktøjer som SSL Labs (Qualys) eller testssl.sh gør det muligt at evaluere din platforms aktuelle TLS-konfiguration og identificere sårbarheder: forældede kryptografiske sviter, udløbne certifikater, dårlig HSTS-administration (HTTP Strict Transport Security), mangel på Certificate Transparency (CT-logs).

De væsentlige kontrollerpunkter er:

• Eksklusiv brug af TLS 1.2 eller 1.3 (deaktivering af SSLv3, TLS 1.0 og 1.1).
• Anbefalede kryptografiske sviter: ECDHE-RSA-AES256-GCM-SHA384, ECDHE-ECDSA-AES128-GCM-SHA256.
• HSTS aktiveret med en mindste varighed på 6 måneder og muligheden `includeSubDomains`.
• OCSP Stapling aktiveret til hurtig certifikatrevokation.
• Perfect Forward Secrecy (PFS) aktiveret for at begrænse virkningen af en nøglekompromittering.

Kryptering i hvile og under transport: en komplementær tilgang

TLS-kryptering beskytter data under transport. Men en komplet dokumentsikkerhedsstrategi skal også dække data i hvile. For signerede dokumenter betyder dette:

• AES-256-kryptering af filer, der er gemt i databasen eller på filsystemer.
• Styring af krypteringsnøgler via en HSM (Hardware Security Module) eller en FIPS 140-2-certificeret KMS-tjeneste (Key Management Service).
• Adskillelse af miljøer: produktionsdata må aldrig eksistere sammen med udviklings- eller testmiljøer.
• Sikker logning: enhver adgang til et dokument skal logges på en uændelig måde i overensstemmelse med GDPR-anbefalinger.

For virksomheder, der håndterer et stort volumen af dokumenter, gør Certyneo ROI-beregner det muligt at evaluere den økonomiske virkning af øget sikring kontra omkostningerne ved en datakrænkelse.

Træning og dokumentstyring

Teknologi alene er ikke nok. En effektiv dokumentsikkerhedspolitik hviler på tre søjler:

1. Træning af medarbejdere: kendskab til risiciene ved phishing, usikker deling af dokumenter og bedste praksis for adgangsstyring.
2. Styring af adgang: princippet om mindst privilegie, multi-faktor-autentificering (MFA) for at få adgang til signeringsplatforme, regelmæssig revision af adgangsrettigheder.
3. Håndtering af hændelser: definition af en responsplan for hændelser, der involverer kompromitterede signerede dokumenter, i overensstemmelse med GDPR-anmeldelsespligten (72 timer) og NIS2.

HR- og juridiske teams, som håndterer de mest følsomme dokumenter, er de første, der er involveret. Dedikerede løsninger som elektronisk signatur til HR eller til juridiske kontorer integrerer naturligt disse beskyttelsesslag.

---

NIS2-direktiv og sikkerhed for SaaS-signeringsplatforme

Hvad NIS2 pålægger virksomheder, der bruger det

NIS2-direktivet (Network and Information Security 2), som blev transponeret til fransk ret ved loven af 26. juli 2023 og gørende siden oktober 2024, udvider betydeligt omfanget af enheder, der er omfattet af cybersikkerhedsforpligtelser. Virksomheder af medium størrelse i kritiske sektorer (sundhed, finans, energi, administration) skal nu sikre, at deres SaaS-udbydere overholder høje sikkerhedsstandarder.

I praksis pålægger NIS2 at:

• Vurdere sikkerheden i den digitale forsyningskæde, herunder SaaS-signeringsplatforme.
• Kontraktligt kræve sikkerhedsgarantier fra udbyydere (sikkerhed SLA, ISO 27001-certificeringer, revisionsrapporter).
• Underrette ANSSI i tilfælde af en væsentlig hændelse, der påvirker kritiske digitale tjenester.

Valg af en elektronisk signaturudbyder i overensstemmelse med NIS2

For virksomheder omfattet af NIS2 kan valget af en signeringsplatform ikke længere begrænses til forretningsfunktioner. Sikkerhedskriterier skal omfatte: den understøttede TLS-version, nøglestyringspolititikken, dataplaceringen (ideelt i EU), og evnen til at levere revisionsrapporter på anmodning.

Certyneo lagrer alle sine kunders data i ISO 27001-certificerede datacentre beliggende i Frankrig, med TLS 1.3-kryptering på alle udvekslinger og AES-256 for data i hvile. For virksomheder, der vurderer at migrere fra DocuSign eller YouSign, udgør NIS2-compliance ofte en af de vigtigste triggere for ændringen.

Retslig ramme, der gælder for sikring af signerede dokumenter

Sikring af elektronisk signerede dokumenter er en del af et sæt regulatoriske tekster, hvis beherskelse er uundværlig for enhver virksomhed, der ønsker at være i overensstemmelse i 2026.

Fransk Civilkodeks: artikler 1366 og 1367

Artikel 1366 i Civilkodeksen opstiller det generelle princip om ækvivalens mellem elektronisk tekst og papirekst, forudsat at personen, fra hvem det stammer, er behørigt identificeret, og at dokumentet etableres og bevares under forhold, der garanterer dets integritet. Artikel 1367 definerer elektronisk signatur som brugen af en pålidelig identifikationsprocedure, der garanterer dens forbindelse til den akt, som den er knyttet til. TLS-kryptering bidrager direkte til denne integritetsgaranti under transport.

eIDAS-forordning nr. 910/2014 og eIDAS 2.0

eIDAS-forordningen nr. 910/2014 fra Europa-Parlamentet udgør grundlaget for elektronisk signatur i Europa. Den definerer de tre signaturniveauer (enkel, avanceret, kvalificeret) og de krav, der gælder for udbydere af kvalificerede tillidsservices (PSCo). Bilagene I til IV i forordningen angiver de tekniske krav til kvalificerede certifikater. ETSI EN 319 132 (XAdES), EN 319 122 (CAdES) og EN 319 142 (PAdES) standarderne præciserer de acceptable signaturformater. eIDAS 2.0 i implementeringsfasen styrker disse krav med indførelsen af den europæiske digitale identitetsportefølje (EUDIW) og øgede cybersikkerhedsforpligtelser for PSCo'er.

GDPR nr. 2016/679

Den Generelle Forordning om Databeskyttelse pålægger virksomheder at implementere passende tekniske og organisatoriske foranstaltninger for at garantere datasikkerheden (artikel 32). Signerede dokumenter indeholdende personlige data skal krypteres under transport (via TLS) og i hvile (via AES-256 eller tilsvarende). I tilfælde af databrud skal meddelelse til CNIL og de berørte personer finde sted inden for 72 timer (artikel 33). CNIL betragter kryptering som en grundlæggende foranstaltning, som enhver databehandler forventes at implementere.

NIS2-direktiv (2022/2555/EU)

Transponeret til Frankrig siden oktober 2024 pålægger NIS2-direktivet vigtige enheder og kritiske enheder styrket cybersikkerhedsforpligtelser. Det dækker eksplicit sikkerheden i kommunikationskanaler (herunder TLS), håndtering af hændelser og sikkerhed i den digitale forsyningskæde. SaaS-udbydere af elektronisk signatur kan kvalificeres som kritiske leverandører for deres kunder omfattet af NIS2.

ANSSI-referencerammer og ETSI-standarder

ANSSI offentliggør anbefalinger vedrørende kryptografiske parametre (ANSSI-PB-078-guide), der præciserer tilladelige algoritmer og nøglelængder. For TLS anbefaler ANSSI TLS 1.3 i prioritet, TLS 1.2 med strengt definerede kryptografiske sviter, og forbyder formelt SSLv3, TLS 1.0 og TLS 1.1. Disse anbefalinger pålægger sig faktisk sensitive informationssystemer og er integreret i evalueringskriterierne for kvalificerede eIDAS-udbydere.

Brugssituationer: TLS-sikring i en rigtig verden

Scenario 1: Et advokatbureau, der styrer privatunderskrevne aktstykker, som er digitaliserede

Et advokatbureau med omkring 15 samarbejdspartnere behandler hver måned flere hundrede mandater, aftaleprotokoller og konventionelle separationsaftaler. Før migrationen til en løsning med signatur i overensstemmelse med eIDAS med TLS 1.3 blev dokumenter udvekslet via ikke-krypteret e-mail, hvilket udsatte kontorfilen for risiko for kompromittering og bestridelse af autenticiteten af aktstykker.

Efter implementering af en SaaS-platform med TLS 1.3 og AES-256-kryptering i hvile, kombineret med MFA-autentificering for underskrivere, reducerede kontorfilen behandlingstiden for aktstykker med 68 % (fra gennemsnitlig 4,2 dage til 1,3 dag) og eliminerede hændelser relateret til usikker transmission af dokumenter. Tidsbaseret sporing af hvert trin i processen udgør nu acceptable beviser i tilfælde af tvister.

Scenario 2: En lille og mellemstor virksomhed, der styrer sine leverandørkontrakter

En lille og mellemstor virksomhed i fremstillingssektoren, der behandler cirka 300 leverandørkontrakter årligt, stod over for et problem med dokumentspredning: manuelt underskrevne kontrakter blev digitaliseret og gemt på interne servere uden kryptering, tilgængelig for hele det interne netværk. En sikkerhedsrevision, der blev foretaget som forberedelse til ISO 27001-certificering, viste, at 40 % af kontraktdokumenterne ikke var krypterede i hvile.

Migrationen til en SaaS-signeringsløsning med TLS 1.3-kryptering under transport og AES-256 i hvile, kombineret med en rollebaseret adgangskontrolpolitik, gjorde det muligt at rette disse sårbarheder. Den estimerede gevinst ved reduktion af risikoen for dokumentlækage, værdiansat ved hjælp af NIST-beregningsmetoder, repræsenterer flere titusinder euro årligt i undgået risiko. Tiden for kontraktunderskrivelse med leverandør blev reduceret fra 5 dage til mindre end 24 timer i gennemsnit.

Scenario 3: En gruppe private klinikker og GDPR/NIS2-compliance

En gruppe private klinikker, der omfatter omkring 600 sengepladser fordelt på flere institutioner, skulle sikre elektronisk signering af arbejdskontrakter, stagekonventioner og patientinformerede samlertilladelser. Da sundhedssektoren er klassificeret som kritisk enhed under NIS2, er sikkerhedskravene på transmissionskanaler særlig strenge.

Vedtagelsen af en elektronisk signaturløsning inden for sundhed med TLS 1.3, en HSM til styring af signaturKeys og uændelig logning af enhver dokumentadgang gjorde det muligt for gruppen at opfylde NIS2-revisionskravene og GDPR-registreringskravet for behandlingsaktiviteter. Omkostningen ved compliance-implementering blev amortiseret inden for mindre end 8 måneder takket være eliminering af papirsystemet for HR-mapper, hvilket repræsenterer en estimeret besparelse på mellem 15 og 25 euro pr. behandlet dokument ifølge sektorbenchmarks offentliggjort af SYNTEC Numérique.

Konklusion

Sikring af dine elektronisk signerede dokumenter med TLS-kryptering er ikke længere et spørgsmål om teknologisk bekvemmelighed: det er en juridisk forpligtelse som følge af eIDAS-forordningen, GDPR, NIS2-direktivet og ANSSI-anbefalinger. I 2026 udsætter virksomheder, som neglijererer sikkerheden for deres dokumentflows, sig selv for administrative sanktioner, risiko for nullitet af deres handlinger og tab af tillid fra deres partnere.

Implementering af TLS 1.3, kombineret med AES-256-kryptering i hvile, multi-faktor-autentificering og streng dokumentstyring, udgør det minimale grundlag for en kompatibel dokumentsikkerhedsstrategi.

Certyneo integrerer naturligt alle disse beskyttelser i en SaaS-platform, der er revideret og suveræn. Tag kontrollen over sikkerheden for dine dokumenter i dag — find ud af vores tilbud på siden med prissætning eller kontakt vores eksperter for en personlig revision.