ISO-sertifiointi sähköiseen allekirjoitukseen: opas 2026

Sähköinen allekirjoitus on vakiintuneet standardiksi Ranskan ja Euroopan yritysten asiakirjojen hallinnassa. Mutta näennäisen yksinkertaisen vahvistusklikkayksen takana piilee erittäin monimutkainen tekninen ja sääntelyekosysteemi. Vuonna 2026 kysymys ei ole enää "pitääkö ottaa sähköinen allekirjoitus käyttöön?", vaan "mikä palveluntarjoaja tarjoaa riittävät turvallisuuden ja vaatimustenmukaisuuden takeet omassa liiketoimintakontekstissani?". ISO-sertifioinnit — erityisesti ISO 27001 — muodostavat yhden luotettavimmista vastauksista tähän kysymykseen. Tämä artikkeli opastaa sinut sähköisen allekirjoituksen palveluntarjoajille soveltuvien pääsertifiointien, niiden todellisen soveltamisalan ja tiukan vertailun kriteerien läpi.

Miksi ISO-sertifioinnit ovat ratkaisevat sähköisen allekirjoituksen kannalta

Sähköinen allekirjoitus ei ole vain sovellustoiminto. Se velvoittaa allekirjoittavan yrityksen juridisen vastuun, käsiteltävien tietojen luottamuksellisuuden ja arkistoitujen asiakirjojen pitkäaikaisen eheyden. Siksi palveluntarjoajan hankkimat sertifioinnit eivät ole pelkästään markkinointimerkkejä: ne todistavat riippumattoman kolmannen osapuolen tekemällä auditolla varmistetun turvallisuuden kypsyyden.

ISO 27001: tietoturvan tiedon hallintajärjestelmän välttämätön perusta

ISO/IEC 27001 on tietoturvan hallintajärjestelmän (ISMS) kansainvälinen viitestandardi. Se kattaa tietojen luottamuksellisuuden, eheyden ja saatavuuden. Sähköisen allekirjoituksen palveluntarjoajalle tämä sertifiointi tarkoittaa, että kaikki hänen prosessinsa — allekirjoittajan tilin luomisesta allekirjoitetun asiakirjan arkistointiin — ovat dokumentoitujen valvontatoimien alaisia ja akkreditoidun organisaation (kuten LSTI, Bureau Veritas, BSI jne.) säännöllisesti auditoituja.

Käytännössä ISO 27001 vaatii palveluntarjoajalta:

• Kattava luettelo informaatiovaroista ja niihin liittyvistä riskeistä
• Tiukat pääsynhallinnan käytännöt (vahva todentaminen, oikeuksien hallinta)
• Poikkeamien hallinnan ja liiketoiminnan jatkuvuuden menettelyt
• Säännölliset sisäiset auditoinnit ja vuosittain johdon katselmukset
• Jatkuva haavoittuvuuksien valvonta

Vuodesta 2022 voimassa oleva versio (ISO/IEC 27001:2022) sisältää 93 turvallisuustoimenpidettä, jotka on ryhmitelty neljään teemaan: organisatoriset, inhimilliset, fyysiset ja teknologiset. Tähän versioon sertifioitu palveluntarjoaja osoittaa turvallisuusposition, joka on ajan tasalla nykypäivän uhkien osalta, erityisesti ransomware-hyökkäysten ja toimitusketjun kompromissien osalta.

ISO 27017 ja ISO 27018: välttämättömät pilvipalvelun laajennukset

Lähes kaikki sähköisen allekirjoituksen SaaS-ratkaisut perustuvat pilvipalvelun infrastruktuuriin. Tässä yhteydessä ISO 27000 -perheen kaksi laajennusta ansaitsevat erityisen huomion:

ISO/IEC 27017 tarjoaa pilvipalveluille spesifejä ohjeita, erityisesti palveluntarjoajan ja sen alihankintaosakasten (isännöinti-, luottamuksellisen kolmannen osapuolen) välisen jaetun vastuun osalta. B2B-ostajalle palveluntarjoajan omaamisen tarkistaminen näiden kriteerien osalta tai noudattaminen mahdollistaa pilvipalvelussa tallennettujen tietojen samansuuruisen turvallisuusvaatimuksiltaan kuin paikallisten ympäristöjen validoinnin.

ISO/IEC 27018 käsittelee erityisesti henkilötietojen suojaa pilvipalvelussa. Se täydentää GDPR:ää määrittelemällä operatiiviset käytännöt: tietojen käyttämisen kielto mainontaan ilman nimenomaista suostumusta, läpinäkyvyys alihankintaosista, tietojen siirrettävyysoikeus. DPO-vastuuhenkilöille ja vaatimustenmukaisuusvastaavalle tämä sertifiointi on lisävakuutus allekirjoittajien tietojen käsittelyn vakavuudesta.

Jotta ymmärtäisit paremmin näiden standardien juridista arvoa suhteessa eurooppalaiseen oikeuteen, tutustu meidän oppaaseen sähköisen allekirjoituksen juridisesta arvosta.

eIDAS-sertifiointi ja ETSI-standardit: mitä tarkoittaa "hyväksynnän saaneet"

ISO-standardien lisäksi eurooppalainen sääntelyköyhdistys asettaa omat vaatimustenmukaisuusvaatimuksensa luotettavuuspalveluiden tarjoajille (TSP). eIDAS-asetus (EU) 910/2014, jonka muutosta eIDAS 2.0 valmistellaan, erottaa kolme sähköisen allekirjoituksen tasoa: yksinkertainen, kehittynyt ja pätevä.

Hyväksynnän saaneen luotettavuuspalvelun tarjoajan (QSCD) asema

Hyväksynnän saaneiden sähköisten allekirjoitusten antamiseksi — ainoa taso, joka on oikeudellisesti vastaava käsin kirjoitettuun allekirjoitukseen kaikissa EU:n jäsenvaltioissa — palveluntarjoajan on oltava merkittynä jäsenvaltiossaan olevalla luottamuslistalla (Ranskassa ANSSI:n hallinnoimalla listalla). Tämä hyväksyntä perustuu akkreditoidun vaatimustenmukaisuuden arviointiorganisaation (CAB) tekemään alustavan auditointiin, jonka jälkeen säännölliset valvonta-auditoinnit.

Tekniset standardit perustuvat pääasiassa ETSI:n (Euroopan telekommunikaatioiden standardointiinstituutti) julkaisemiin standardeihin:

• ETSI EN 319 401: yleiset vaatimukset TSP:ille
• ETSI EN 319 411: sertifiointipolitiikka ja -käytännöt sertifiointiin liittyville viranomaisille
• ETSI EN 319 132: profiilit XAdES XML-allekirjoituksessa kehittynyt
• ETSI EN 319 122: profiilit CAdES CMS-allekirjoituksessa kehittynyt
• ETSI EN 319 162: rekisteröity sähköisen toimittamisen palvelu

Näiden ETSI-standardien mukaisen sertifioinnin saanut palveluntarjoaja varmistaa teknisen yhteentoimivuuden allekirjoituksissa kaikilla eurooppalaisen alueen tunnettujen ratkaisujen kanssa, mikä on ratkaisevaa yrityksille, jotka toimivat useissa maissa. Meidän kattava opas eIDAS-asetuksesta erittelee kunkin hyväksynnän tason liittyvät velvoitteet.

SOC 2 Type II: pohjoisamerikkalainen täydennys, jota tulee seurata

Vaikka se on harvinaisempi Euroopan alueella, AICPA-standardien mukainen SOC 2 Type II -raportti (Service Organization Control) pyydetään usein suurilta yrityksiltä, erityisesti niiltä, joilla on sivuliikkeitä Yhdysvalloissa tai amerikkalaisia yhteistyökumppaneita. Toisin kuin ISO 27001 (sertifiointi), SOC 2 on tilintarkastusraportti, joka todistaa trust services -kriteerien noudattamisen (turvallisuus, saatavuus, käsittelyn eheys, luottamuksellisuus, yksityisyys) yleensä kuuden kahdentoista kuukauden tarkkailujakson aikana. Kattavaan vertailuun kuuluu sen tarkistaminen, onko palveluntarjoajalla tuore (alle kahdentoista kuukautta vanha) SOC 2 Type II -raportti, joka on vahva merkki operatiivisesta kypsyydestä.

Palveluntarjoajien sertifiointien vertailu: menetelmä ja kriteerit

Kun saatavilla olevien sertifiointien moninaisuus on huomattava, B2B-ostajien tulee käyttää systemaattista analysointikehikkoa pelkän markkinointipuheenvuoron asemesta. Meidän sähköisen allekirjoituksen ratkaisujen vertailu luetteloi pääasiallisesti Ranskassa saatavilla olevat alustat; tässä on kuinka arvioida niiden sertifiointitaso.

Neljä kysymystä, jotka tulee systematisesti esittää

1. Mikä on sertifioinnin tarkka päivämäärä ja soveltamisala? Kolme vuotta sitten hankittu ja uusimatta jätetty ISO 27001 -sertifiointi ei tarjoa samoja takuita kuin voimassa oleva sertifikaatti. Vaadi systemaattisesti virallinen sertifikaatti ja tarkista auditoitavan alueen laajuus: jotkut palveluntarjoajat sertifioivat vain pääkonttorinsä, pois lukien datakeskukset tai offshore-kehitystiimit.

2. Kuka toteutti sertifioinnin auditoinnin? Sertifiointiorganisaation tulee itsensä olla akkreditoitu IAF:n (International Accreditation Forum) jäsenen kautta. Ranskassa COFRAC (Comité Français d'Accréditation) on kompetentti organisaatio. Akkreditoimattoman organisaation antama sertifikaatti ei ole mitään juridista tai sääntelyarvoa.

3. Julkaiseeko palveluntarjoaja vuosittaisen penetraaotestin raportin? ISO 27001 -sertifiointi vaatii säännöllisiä haavoittuvuuden arviointeja, mutta ei määrää penetraatiotestien standardoitua muotoa. Kypsä palveluntarjoaja julkaisee vuosittaisen penetraatiotestinsä johtopäätösten yhteenveto, jonka on toteuttanut kolmas osapuoli. ANSSI suosittelee turvautumista PASSI-hyväksynnän saaneisiin palveluntarjoajiin (Prestataire d'Audit de la Sécurité des Systèmes d'Information) tämän tyyppisille harjoituksille.

4. Mitkä ovat alihankintakaupat ja niihin liittyvät sertifioinnit? Sähköisen allekirjoituksen palveluntarjoaja perustuu yleensä pilvialusta (AWS, Azure, OVHcloud jne.) ja joskus kolmansien osapuolien sertifiointiin. Tarkista, että näillä alihankintaosilla on myös vastaavat sertifioinnit (ISO 27001, HDS terveydenhoitotiedoille, SecNumCloud arkaluontoisille tiedoille). Luottamusketju on vahva vain, jos jokainen sen lenkki on auditoitu.

Erityisesti HDS-viitetyöväline terveydenhoidon tiedoille

Terveydenhuollon laitoksille, palvelukodeille, keskinäisille vakuutusyhtiöille tai vakuutusyhtiöille, jotka hallinnoivat lääketieteellisiä tietoja, HDS-sertifiointi (Hébergeur de Données de Santé) lisätään ISO-vaatimuksiin. 26. tammikuuta 2018 annetun asetuksen jälkeen jokaisen henkilötietojen terveydentilan ylläpitäjän tulee olla sertifioitu HDS:ään akkreditoidun organisaation toimesta. Sähköisen allekirjoituksen palveluntarjoajalle, jota käytetään lääketieteellisessä kontekstissa — hoitoon suostumus, sähköinen resepti, sairaalahoitokerta — tämä sertifiointi on ominaisuuksia. Tutustu sähköisen allekirjoituksen spesifisyyksiin terveydenhoidon alalla arvioidaksesi velvoitteesi.

Sertifiointien vaikutus sopimuksellisiin neuvotteluihin ja osittaiseen huolellisesti tutkintaan

Palveluntarjoajan hankkimat sertifioinnit eivät ole vain kaupallisia perusteluja: ne muokkaavat sopimuksellista suhdetta ja vastuun jakautumista osapuolten välillä.

Sopimuslauset, jotka tulee systemaattisesti sisällyttää

Neuvoteltaessa sopimusta sähköisen allekirjoituksen palveluntarjoajan kanssa, useat sertifiointeihin suoraan liittyvät lausekkeet ansaitsevat erityisen huomion:

• Sertifioinnin ylläpidon lauseke: palveluntarjoaja sitoutuu ylläpitämään sertifioinnit koko sopimuksen voimassaoloajan ja ilmoittamaan välittömästi mistä tahansa peruutuksesta tai keskeytymisestä.
• Auditointilauseke: asiakkaalla on oikeus suorittaa tai teettää turvallisuusauditointi palveluntarjoajalla määritellyin ehdoin (ennakkoilmoitus, soveltamisala, tulosten luottamuksellisuus).
• Alihankintaosalauseke: alihankintaketjuun tehtävä muutos on ilmoitettava etukäteen, ja asiakkaalla on oikeus irtisanomiseen, jos uusi alihankintaosa ei täytä määriteltyjen sertifiointivaatimuksien kriteerejä.
• Saatavuuden SLA: ISO 27001 -sertifioitujen palveluntarjoajien osalta saatavuussitoumuksen (SLA) vähintään 99,9 % kuukausittaisella perusteella on järkevä odotus, ja rahantaloudellisia sakkoja yliarvioiduista käyttökatkoksi.

Nämä sopimusasiat ovat osa laajempaa sähköisen allekirjoituksen hallinnointia yrityksessä, jota erittelemme meidän erityisoppaassa.

Sertifiointien panos GDPR- tai NIS2-auditointiin

NIS2-direktiivin (siirretty Ranskan oikeudeksi 15. huhtikuuta 2025 annetulla lailla) voimaantulon jälkeen olennaisiin ja tärkeisiin entiteetteihin kuuluu osoittaa, että heidän kriittiset palveluntarjoajat — mukaan lukien sähköisen allekirjoituksen palveluntarjoajat — täyttävät kyberturvallisuuden vähimmäisvaatimukset. Palveluntarjoajan ISO 27001 -sertifiointi muodostaa dokumentoitua näyttöä, jonka avulla voidaan käyttää NIS2-auditoinnissa tai CNIL-tarkastuksessa. Se osoittaa erityisesti GDPR:n 32. artiklan toimeenpanoa, joka vaatii asianmukaisia teknisiä ja organisatorisia turvallisuustoimenpiteitä riskille sopivanksi turvallisuustasoksi.

Yrityksille, jotka haluavat siirtyä vähemmän sertifioidusta ratkaisusta alustalle, joka tarjoaa korkeampia vaatimustenmukaisuustakuita, meidän opas siirtymisestä Certyneoon erittelee toteutettavat vaiheet ja varotoimenpiteet.

Sähköisen allekirjoituksen palveluntarjoajien sertifiointeihin soveltava oikeudellinen kehys

Sähköisen allekirjoituksen oikeudellinen pätevyys perustuu eurooppalaisten ja kansallisten säännösten kerrostumiseen, jonka hallitseminen on välttämätöntä palveluntarjoajan sertifiointien oikeaan arviointiin.

Siviililaki, artiklainen 1366 ja 1367: Nämä artiklainen muodostavat Ranskan sähköisen allekirjoituksen oikeuden perustan. Artikla 1366 määrää, että "sähköinen asiakirja on yhtä todistusvoimainen kuin paperituella oleva asiakirja, edellyttäen, että sen lähteen henkilö voidaan asianmukaisesti tunnistaa ja että se on laadittu ja säilytetty tavoilla, jotka takaa sen eheyden". Artikla 1367 tarkentaa, että "oikeustoimen täydentämiseksi tarvittava allekirjoitus tunnistaa sen tekijän" ja että, kun se on sähköinen, se "koostuu luotettavan tunnistamiskeinotoiminnan käytöstä, joka takaa sen yhteyden asiakirjaan, johon se liittyy". ISO 27001 -sertifioinnit ja eIDAS-hyväksynnät edistävät suoraan tämän luotettavuuden oletusten vahvistamista.

Asetus eIDAS (EU) 910/2014: Tämä eurooppalainen asetus, joka on suoraan sovellettavissa kaikissa jäsenvaltioissa, määrittelee kolme sähköisen allekirjoituksen tasoa (yksinkertainen, kehittynyt, pätevä) ja vaatii luotettavuuspalvelujen tarjoajia alistamaan itsensä ETSI-standardien mukaisille vaatimustenmukaisuusauditoinneille. Sen 24. artikla täsmentää päteviin palveluntarjoajiin soveltuvat vaatimukset, erityisesti pätevän henkilöstön palkkaamisen ja riittävien taloudellisten resurssien ylläpidon velvoitteen. Muutos eIDAS 2.0 (Asetus EU 2024/1183, joka tuli voimaan 20. toukokuuta 2024) vahvistaa nämä vaatimukset ottamalla käyttöön Euroopan digitaalisen henkilöllisyystodistuksen (EUDIW) ja laajentamalla tunnustettujen luotettavuuspalvelujen soveltamisalaa.

GDPR (EU) 2016/679: Artiklainen 28 (alihankkija), 32 (käsittelyn turvallisuus) ja 35 (vaikutusanalyysi) ovat suoraan koskettavia, kun sähköisen allekirjoituksen palveluntarjoaja käsittelee henkilötietoja vastaa ollessa vastuullisen käsittelijän tilinä. Artikla 32 vaatii erityisesti henkilötietojen pseudonymisointia ja salausta, kykyä taata järjestelmien luottamuksellisuus, eheys ja kestävyys. ISO 27001 -sertifiointi, joka kattaa nämä näkökulmat, mahdollistaa tämän esittämisvelvoitteen osittaisen täyttämisen.

NIS2-direktiivi (EU 2022/2555, siirretty Ranskan oikeudeksi 15. huhtikuuta 2025 annetulla lailla): Se velvoittaa olennaiset ja tärkeät entiteetit hallitsemaan digitaalisen toimitusketjunsa riskejä, mukaan lukien sähköisen allekirjoituksen palveluntarjoajat. NIS2:n 21. artikla luettelee kyberturvallisuuden vähimmäistoimenpiteitä, joista useat päällekkäin suoraan ISO 27001 -vaatimuksista.

ETSI-standardit: Standardit EN 319 401, EN 319 411-1, EN 319 411-2, EN 319 132 (XAdES), EN 319 122 (CAdES) ja EN 319 162 määrittelevät pätevien luotettavuuspalveluiden tarjoajien tekniset vaatimukset. Niiden noudattaminen on auditoitu akkreditoiduilla organisaatioilla ennen kansallisille luottamuslistoille merkitsemistä.

Vastuu sertifioinnin puuttuessa: Palveluntarjoaja, jolla ei ole sertifiointia ja joka kärsii tietojen loukkauksesta, joka johtaa sähköisten allekirjoitusten kompromissiin, ottaa sopimuksellisen ja vahingonkorvausvastuun. Asiakkaalle sertifiointien ennakkotarkistuksen puute voidaan pitää puutteena kybertapaturvahallinnan hallinnassa, joka voi vaikuttaa kybervahinkovakuutussuojan kattavuuteen.

Käyttötapauksista: ISO-sertifioinnit käytännössä

ISO-sertifioinnit eivät ole teoreettisia abstraktioita. Tässä on kolme konkreettista skenaariota, jotka kuvaavat niiden vaikutusta eri liiketoiminnan yhteydessä.

Skenaario 1: Liikejuridiikan asiantuntija valitsemaan sähköisen allekirjoituksen palveluntarjoajaa

Noin kahdenkymmenen asiantuntijan liikejuridiikan yritys käsittelee vuosittain useita satoja arkaluontoisia asiakirjoja: osakesmyyntejä, osakekauppoja, salassapitosopimuksia. IT-vastaava joutuu perustelemaan palveluntarjoajan valintaa osakkaille ja suurille asiakkaille, jotka vaativat sopimuksellisesti, että käytetyt digitaaliset työkalut ovat ISO 27001 -sertifioituja.

Valitun palveluntarjoajan ISO 27001:2022-sertifiointiin nojautuen yritys voi tuottaa vaatimustenmukaisuustodistuksen asiakkaisiin soveltuvan huolellisen tutkinnon yhteydessä. Vuosittainen uusintaauditointi muodostaa myös argumentin tarjouskilpailuissa, joissa tietoturva arvioidaan systemaattisesti. Tämäntyyppisen rakenteen havaittavaksi tulleeksi tulokseksi on vähennetty 60-70 % turvallisuuskysymyksiin käytetystä ajasta kaupallisissa neuvotteluissa, ja kahden kuukauden aikana kahden ei-vaatimukseltaan sähköisen allekirjoitukseen liittyvät poikkeamat estettiin.

Skenaario 2: Teollisuus-PK:n hallinnoimassa tavarantoimittajien sopimuksista kansainvälisesti

Noin 150 työntekijän teollisuus-PK hallinnoi noin 300 tavarantoimittajien sopimusta vuodessa, joista merkittävä osa on saksalaisten ja hollantilaisten kumppaneiden kanssa, ja sen tulee varmistaa, että sähköiset allekirjoituksensa tunnustetaan näissä maissa. Sen palveluntarjoajan eIDAS-sertifiointi — merkittynä Ranskan luottamuslistalla ja tarjoava ETSI EN 319 132 -standardien mukaisia kehittyneitä allekirjoituksia — takaa oikeudellisen yhteentoimivuuden Euroopan alueella.

Samalla useiden sen asiakkaiden hankinnat vaativat palveluntarjoajan ISO 27001 -sertifiointia vuosittain tehdyissä alihankkija-auditoinneissa. Yritys arvioi välttäneensä kahta uudelleenluokittelua (siirtyminen käsin kirjoitettuihin allekirjoituksiin noudattamatta jättämisen vuoksi) edustaa vältettyä kustannusta noin 15 000-20 000 euroa aikarajoissa ja logistiikan kustannuksissa kahdentoista kuukauden aikana.

Skenaario 3: Sairaalan ryhmittymä integroivia sähköisen allekirjoituksen prosesseista HR ja lääketieteellisiin

Noin 600 vuoteen sairaalan ryhmittymä haluaa dematerialisoida sekä työsopimuksensa (hoitohenkilöstö, lääketieteelliset väliaikaiset työntekijät) että digitaaliset suostumuksensa hoitoon. Kaksi sertifioinnin perheistä osoittautuu välttämättömiksi: ISO 27001 palveluntarjoajan yleiselle turvallisuudelle ja HDS-sertifiointi (Hébergeur de Données de Santé) lääketieteellisten tietojen käsittelyä varten.

Ryhmittymä valitsee palveluntarjoajan, jolla on molemmat sertifioinnit, mikä mahdollistaa kaikki sen käyttötapaukset yhteen sopimukseen kuulumisen samalla kun se täyttää Santé-digitaalisen viraston (ANS) vaatimukset. Mitattu tuottavuuden voitto HR-prosesseissa (väliaikaisten lääketieteellisten sopimusten allekirjoitukset alle kahdessa tunnissa verrattuna kahteen kolmeen päivään paperiversion avulla) edustaa arvioiduksi noin 40 % vähennystä niihin liittyvien hallinnollisten hallintokustannuksille, mikä on vuosittainen arvo noin 80 000-120 000 euroa vuodessa allekirjoitettavan vuoden 1 200 sopimukselle.

Johtopäätös

ISO 27001, ISO 27017, ISO 27018 -sertifioinnit ja eIDAS-hyväksynnät eivät ole pelkästään markkinointiverkkosivulla olevia leimoja: ne muodostavat auditoitujen, säännöllisesti varmistettujen takuiden perustan, joka velvoittaa palveluntarjoajan vastuun ja suojaa asiakasyritystä oikeudellisesti. Vuonna 2026, kasvavien kyberuhkien kehittyneisyyden ja Euroopan sääntelyyn nähden kovenevan kehyksen (NIS2, eIDAS 2.0) edessä, sähköisen allekirjoituksen palveluntarjoajan valinta, jolla on sertifiointi, ei ole enää vaihtoehto vaan hallinnon vaatimus.

Saatavilla olevien palveluntarjoajien objektiiviseksi vertailuksi Ranskan markkinoilla, turvaudu tässä artikkelissa tunnistettuihin neljään pääkriteeriin: sertifioinnin tarkka soveltamisala, auditointiorganisaation akkreditointi, läpinäkyvyys alihankintaketjussa ja sertifioinnin ylläpidon sopimuslausekkeet. Certyneo täyttää kaikki nämä vaatimukset ja avustaa sinut vaatimustenmukaisuuteen siirtymisessä. Ota yhteyttä tiimihemme saadaksesi tarkastuksen nykyisestä tilanteestasi ja selvittääksesi, ku