Tryggja rafrænt undirritaðir skjöl: leiðbeiningar 2026

Inngangskaflinn

Rafræn undirritun hefur orðið staðlað í B2B samskiptum evrópskra fyrirtækja. En það nægir ekki að undirrita skjal: nauðsynlegt er að tryggja, geyma og varðveita þessa rafrænu undirritaðu skjöl í samræmi við gildandi lagaramma. Á Frakklandi og í Evrópu setja skuldbindingar frá eIDAS reglugerðinni, GDPR og borgaralögum nákvæmar kröfur um heilleika, raknanleika og geymslutíma. Þessi leiðbeiningar útskýra þér skref fyrir skref hvernig á að koma á traustri geymslurakaðri stefnu fyrir þína rafrænu undirritaðu skjöl — og hvers vegna þessi nálgun er óaðskiljanleg frá alvarlegu rafrænum undirritunarstefnu.

---

Hvers vegna trygging undirritaðra skjala er algert forgang

Áhættur sem tengist slæmri geymslur

Rafrænt undirritað skjal missi allan réttargildi sitt ef það er breytt, skemmt eða óaðgengilegt á þeim tíma sem framvísun þess er krafin — við deilur, úttekt eða skattalögunum. Áhætturnar fela í sér:

• Tap á heilleika: Allar breytingar eftir undirritun, jafnvel smærri, gera undirritunina ógilda og því réttargildi skjalsins ógilt.
• Gildistíð rafvottorða: Hæfur vottorð hefur takmarkaðan líftíma (yfirleitt 1 til 3 ár). Ef skjalið er ekki tímastælt eða geymt rétt fyrir gildistímabil endar, skaðast framtíðarsannprófun.
• Tæknileg úrelding: Skráarsnið breytast. PDF skjal undirritað 2018 með SHA-1 reikniriti, sem nú er talið veikt, gæti valdið sannprófunarvandamálum til langs tíma.
• GDPR brot: Rafrænt undirritaðir skjölar innihalda oft persónuupplýsingar (nafn, eftirnafn, IP tala, tölvupóstur). Slök stjórnun þessara gagna getur útsett fyrirtækið fyrir sektum frá gagnevernd allt að 4% af heimsvíðu tekjum.

Samkvæmt KPMG rannsókn sem birt var 2024, hafa 34% framansækilystra fyrirtækja enga formala stefnu um rafræna geymslu, og standa þau frammi fyrir verulegum réttarlegum áhættum við málaflokka.

Réttargildi: miðlægt markmið

Réttargildi rafrænt undirritaðs skjals byggir á þremur grundvallargrundvöllum:

1. Sannfærni: Undirritarinn er raunverulega sá sem hann þykist vera (auðkenning, hæfur vottorð).
2. Heilleiki: Efnið hefur ekki verið breytt frá undirritun (dulmálsgetu, SHA-256 eða betri kjötkássa).
3. Endalokun: Undirritarinn getur ekki neitað undirritun (hæfir tímasteinir, framtíðarslóð).

Þessir þrír grunnpillar verða að vera viðhaldanlegir yfir tíma, sem þýðir virka og ekki óvirka geymslurakaða stefnu.

---

Tæknilegir staðlar til að tryggja rafrænt undirritaðu skjölin þín

Undirritun til langs tíma: PAdES, XAdES, CAdES

Til að tryggja endingu skjals sem er undirritað, skilgreina staðlarnir ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) og ETSI EN 319 142 (PAdES) undirritunarsníð sem hæf til langs tíma geymslur. Mest notaði forritin B2B er PAdES (PDF Advanced Electronic Signatures) með stigum þeirra:

• PAdES-B: Grunnastig, hentugt fyrir stutta tíma.
• PAdES-T: Bætir við hæfum tímasteinsum til að sanna tilvist skjals á tilteknum tíma.
• PAdES-LT: Felur í sér gögn um afturköllunarútreikning vottorða, sem gerir staðfestingu kleift án aðgangs að nettengdum þjónustum.
• PAdES-LTA: Sterkasti stigið, bætir við arkífsgeymslutímasteinni sem gerir reglulega endurnýjun kleift. Ráðlegt fyrir allar geymslur sem standa lengur en 3 ár.

Fyrir langs tíma geymslur er PAdES-LTA tungumálið viðmið sem mælt er með af ANSSI og hæfum trausti þjónustuaðilum (QTSP).

Hæfur tímasteinir: undirstaðan geymslurakaðrar stefnu

Hæfir tímasteinir, skilgreind í kafla 42 eIDAS reglugerðarinnar, mynda lagalegar sannanir um tilvist skjals á ákveðnum tíma. Það er gefið út af hæfri tímasteinunýtun (TSA - Time Stamping Authority) sem er skráð á listann yfir evrópsk traust (EU Trust List).

Í framkvæmdinni gerir tímasteinirinn:

• Kreatíf dulmálsbundin tengingu við kjötkássann á skjalinu og staðfesta dagsetningu og tíma.
• Gerir það mögulegt að sanna að undirritunin var gild á því augnabliki sem hún var stofnuð, jafnvel þótt vottorðið hafi runnið út.
• Er nauðsynlegur til að tryggja dómshugtekið skjalsins fyrir dómstólum ár síðar eftir undirritun.

Dulmál og aðgangsstýring

Umfram dulmálavíddirnar sem tengst undirritun hennar sjálfri er líkamlega og rökranleg trygging arkífskaðra skjala jafn þýðingarmikil:

• Dulmál í hvíldarstöðu: Skjöl verða að vera dulöskuð á veitum gistheimilis (AES-256 að lágmarki).
• Dulmál við gengur: TLS 1.3 samskiptareglur fyrir allt flutninga.
• Stýring aðgangs byggð á hlutverkum (RBAC): Aðeins fólk sem hefur heimild getur nálgast arkífskaðari skjölin.
• Skráning aðgangs: Allir aðgangar, alæf eða niðurhal verður að vera rakið (óbreytanleg skilaboð).
• Þjóðarupplýsingaleg afrit: Að lágmarki tvö afrit á landfræðilega aðgreindum stöðum, með reglulega endurheimt próf.

---

Arkífskastefnur rafrænna sannanir: SAE og stafrænt hvelfing

Kerfi fyrir rafræna arkífskaðra (SAE)

Kerfi fyrir rafræna arkífskaðra (SAE) er undirstaða helguð til langs tíma varðveitu stafræna skjala með tryggingu á heilleika þeirra og aðgengi. Á Frakklandi er viðeigandi framvísunarkerfið NF Z42-013 staðall (heimilt ISO 14641) sem skilgreinir kröfur um hönnun og framkvæmd sannarraðs SAE.

Einkenni hlutaðs SAE felur í sér:

• A flokkunaráætlanir byggð upp með varðveitugildum eftir skjalaflokki.
• A heilleikamörk reiknað við inngöngu og sannaðu regluaðlega.
• A óbreytanleg skráning allra aðgerða.
• Aðferðir fyrir tæknilega flytjun til að stækka sníð án heilleika tap.
• A tryggt og endurskoðalegt aðgengi með sterkri auðkenningu.

Notkun á arkífskaðri raka stýrt af hæfum þjónustuaðili (gerð Arkívsskað Rafrænir til sannargildi - AEVP) gerir fyrirtækjum kleift að úthluta þessari flókinni meðan á því stendur framleiðslu samninglegra og réttarlegu sanngildum trausti.

Stafrænt hvelfing: viðbótarlausn

Stafrænt hvelfing er einföldari útgáfa af SAE, miðað við endanotanda. Það gerir hverjum undirritara kleift að halda persónulegu afrite, tryggu og aðgengilegu, af undirritaðu skjölum sínum. Þessi nálgun er sérstaklega viðeigandi fyrir:

• Vinnusamninga og endurbætingu (aðgengileg fyrir starfsmann).
• Almenn söluskilyrði sem samþykkt voru með rafrænum hætti.
• Skjöl frá innleiti viðskiptavinar (KYC, SEPA umboð).

Réttarlegir geymslutímar: hvað lögin setja inn

Geymslutími skjala er háð við réttarlegri nánd þeirra. Hér eru helstu sklið sem þú verður að vita:

| Skjaltype | Lágmarks réttarlegt tímabil | Lagalegur grunnur | |---|---|---| | Viðskiptasamningar | 5 ár | Art. L110-4 viðskiptakóða | | Skattskjöl | 6 ár | Art. L102 B LPF | | Vinnusamningar | 5 ár eftir uppsögn | Vinnukóði | | Einkasamningar | 5 ár (persónuleg málefni) | Art. 2224 borgaralög | | Bókhaldsskjöl | 10 ár | Art. L123-22 viðskiptakóða | | Heilbrigðisgögn | 20 ár að lágmarki | Art. R1112-7 CSP |

Þessir tímar verða að vera samsæt í stefnu arkívskað og settir inn í verkfæri skjalstjórnunar.

---

Samþætting tryggingar í yfir þinn undirritun rafrænnar vinnuferlis

Val á undirritunarkerfis með innbyggðri arkívskað

Besta stefnan samanstendur af því að velja undirritun rafrænna lausn sem felur í sér innfellda trygga arkívskað, frekar en að stýra tveimur aðskildum verkfærum. Nauðsynleg valviðmið eru:

• eIDAS hæfi: Pallinn verður að vera eða byggja á hæfum trausti þjónustuaðila (QTSP) sem er skráð á EU Trust List.
• GDPR samræmi: Geymsla gagna í Evrópusambandi, DPA (Data Processing Agreement) tiltæk, geta til að framkvæma réttindi einstaklinga.
• Stærðarfærðir arkívskað: Innfellt stuðningur fyrir PAdES-LTA eða jafngildi.
• Fullkomin framtíðarslóð: Hver þrep undirritun ferlisins verður að vera rakið og útfluttugt.
• API samþætting: Til að tengja pallinn við þinn GED (Stafræn skjalstjórnun) eða núverandi ERP.

Til að bera saman tiltæka lausnir á markaðnum, skoðaðu okkar samanburð undirritun rafrænna lausna.

Framtíðarslóðin: besta vernd þín við deilur

Framtíðarslóðin (eða endurskoðun slóð) er tímaset og óbreytanleg journal sem rakir allar aðgerðir sem tengjast skjali: sending, opnun, undirritun, höfnun, endurminningu. Hún myndar viðbótarsannanir til undirritun sjálfrar.

Fullkomin framtíðarslóð verður að innihalda:

• Hæfa tímasteinir hverrar aðgerðar.
• IP tölur og notendamiðlastýring undirritara.
• Auðkenningarkennara auðkenningar sem notuð.
• Gögn skjals (kjötkássahnappur).

Við deilur er oft framtíðarslóðin sem gerir muninn fyrir dómstólum, sérstaklega þegar einföld eða háð undirritun (ekki hæf) var notuð.

Sjálfvirkir endurminningar um endurnýjun og arkívskað

Virk stefna arkívskað er fyrst og fremst sjálfvirk stefna. Bestu aðferðir fela í sér:

• Sjálfvirkar viðvaranir áður en vottorð eða tímasteinir renna út.
• Endurnýjun tímasteinaflæðis (timestamp renewal) áður en dulmálavaldi verða úreld.
• Reglulegar endurskoðanir á lista arkífskaðra skjala með handahófi heilleika staðfestingu.
• Samræmis borðið sem gerir det mögulegt að bera kennsl á skjöl þar sem geymslutími nálgast réttarlegt lok.

Þessir sjálfvirkir aðtokar eru tiltækir innfelldir í nýjan kynslóðar undirritun rafræna pallum, eins og Certyneo fyrir fyrirtæki.

Réttarlegir rammar sem gilda um tryggingu og arkívskað undirritaðra skjala

Trygg varðveita undirritaðra rafrænna skjala fellur undir þéttan réttarlegs ramma, sem þekking á því er nauðsynleg fyrir allar stofnanir sem vilja standa þessi skjöl á móti þriðju aðila eða framvísa þeim fyrir dómstólum.

eIDAS reglugerðin n°910/2014 og endurbætur hennar

Evrópska reglugerðin eIDAS (Electronic IDentification, Authentication and trust Services), sem gildir frá 1. júlí 2016 og er endurskoðuð með eIDAS 2.0, kemur á traustsstöðu fyrir undirritun rafrænna þjónustur í Evrópu. Hún greini þrjú stig undirritun (einföld, háð, hæf) og setur kröfur á hæf traust þjónustaaðila (QTSP) strangra kröfu fyrir öryggi, endurskoðun og samfellda þjónustu. Kafli 25 viðurkennir forsendu um endalokun fyrir hæfa undirritun. Kafli 42 stjórnar hæfum tímasteinaþjónustum.

Borgaralög Frakklands: greinum 1366 og 1367

Grein 1366 borgaralaga segir að „rafræn ritun hefur sama sönnunargilt og skriftleg rit á pappír, með fyrirvara um að auðkenningu kunni að vera dúrðlega auðkennt sá sem það kemur frá og að það sé stofnað og geymt við skilyrði sem tryggja heilleika þess". Kafli 1367 skýrir gildi skilyrði fyrir rafræna undirritun. Ábyrgð geymslur við skilyrði sem tryggja heilleika liggur á stofnuninni sem á skjalið.

GDPR n°2016/679: vernd persónuupplýsinga í arkífum

Rafrænt undirritaðir skjölar innihalda kerfisbundið persónuupplýsingar (auðkenning undirritara, netfang, IP tala, stundum hegðunarlegar lífeindagögn). GDPR setur lagalega grunna fyrir hvert ferli, takmarkanir tímamarkanna sem mikil geymsla, og innleiðingu viðeigandi tækni og stjórnlægra ráðstafanir (kafli 32). Ef gagnabrot hefur áhrif á arkíf undirritaðra skjala, setur kafli 33 tilkynningu til gagnaverinnar innan 72 klukka.

Tilskipun NIS2 (2022/2555/EU)

Flutt í Frakklands lög með tilskipun 2024, setur NIS2 tilskipunin aukin skyldu gagnastofu og mikilvægra aðila um tölvuöryggi, þar með talið tryggingu á kerfi sem bera gögn sem eru viðkvæm. Pallur arkívskað rafrænna undirritaðra skjala viðkomandi stofnana fellur innan gildissviðs.

ETSI og NF Z42-013 staðlar

Staðlarnir ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) og ETSI EN 319 142 (PAdES) skilgreina undirritun rafrænna snið sem eru í samræmi við eIDAS. Staðallinn NF Z42-013 / ISO 14641 myndar Franklandi framtíðarslóðir fyrir hönnun og framkvæmd arkívskað rafrænna kerfa til sannargildi. Samræmi við það er sterklega mælt með ANSSI og myndar sterka vernd gegn málaflokkum dómstóla.

Viðurlög og áhætta við vansamræmi

Áhæturnar eru margar: dómshugtakið skjalsins, GDPR sekta (allt að 20 milljón evra eða 4% heimsvíðu tekjur fyrir veruleg GDPR brot), samningsbundin eða skaðleg ábyrgð stofnunarinnar og tap á tryggingum sem undirritun þjónustuaðili hefur veitt ef geymslur skyldur hefur ekki verið hlotið.

Notkun aðstæður: Hvernig stofnanir tryggja rafrænt undirritaðu skjölin sín

Aðstæður 1 — Lögfræðistofa sem heldur þúsundum athugasemda á ári

Lögfræðistofa fyrir viðskipti með 25 starfsmenn meðhöndlar að meðaltali 3 000 skjöl og samninga undirritaðir með rafrænum hætti á ári (samskipti um viðskipti, umboð, afsöl framsölu). Frammi fyrir nauðsyn til að framvísa skjölum sem eru 7 ár gömul við skattalegu endurskoðun viðskiptavinar, komst stofa að því að fleiri undirritanir voru ekki lengur staðfestar: vottorðin voru útrunnin og engir tímasteinir arkívskað (PAdES-LTA stig) hafðu verið notaðir.

Eftir að hafa samþætt undirritun lausn með innbyggðri arkívskað í SAE samræmi NF Z42-013 nýtur stofa af tryggðri sannprófun fyrir 30 ár. Tími til að leita og framvísa skjali við deilur fer úr 4 klukustundum í minna en 15 mínútur. Samstarfsmenn meta 60% minnkun í réttarlega áhættu sem tengist varðveitu skjala. Til að læra meira um sérstakar þarfir lögfræðistofa, skoðaðu okkar síðu helgu fyrir undirritun rafræna fyrir lögfræðistofa.

Aðstæður 2 — SME iðnaðar fyrirtæki sem stýrir birgjendum og samningum viðskiptavina

SME iðnaðar fyrirtæki með 180 starfsmenn myndar um það bil 400 birgjasamning og 250 samning viðskiptavina undirritaðir með rafrænum hætti á ári. Gögn þeirra voru hingað til geymd í óencryptuðu opinberum möppu á innri miðlara, án framtíðarslóðar, án granulara aðgangsstýringu.

Í kjölfar tölvuöryggis atviks (ransomware) sem dulóskuði hluta þjóns, þurftu nokkrir samningar sem báru fram að vera endurnýjaðir, sem myndu seinkun og kostnað sem metinn var á 40 000 €. Eftir flutning til SaaS undirritun pallur með innbyggðu stafrænu hvelfingu, fullveldislegri gisti í Frakklandi og landfræðilegra afrit, losnar SME af þessari áhættu. Hún nýtur einnig sjálfvirkra viðvörunar á samningsmaratrón gjalddögum. Til að meta arðsemi slíkra aðföra, notaðu okkar ROI reiknivél undirritun rafrænna.

Aðstæður 3 — Sjúkrahúsahópur sem stýrir samþykki sjúklinga og starfsmannasamninga

Sjúkrahúsahópur um 1 200 rúm verður að varðveita rafrænt undirritaðri heimild sjúklinga fyrir 20 ár að lágmarki (kafli R1112-7 heilbrigðiskóða), sem og vinnusamninga 2 500 starfsmanna þess. Margfeldni skjala og ólíkir geymslutímar gerðu handvirka stjórnun ómögulega og áhættusama.

Með því að setja upp undirritun rafrænna lausn með arkívskað einingunni sem sett var upp eftir skjalflokkum, gerir lögfræðileg þjónusta hópsins sjálfvirka varðveituregla: 20 ár fyrir samþykki, 5 ár eftir uppsögn fyrir starfsmannasamninga, 10 ár fyrir opinberar samkeppnir. Innri endurskoðun GDPR samræmi gefa til kynna samræmisstig skjals sem fer frá 67% til 96% á innan við ári. Fyrir sérstakar greinarflokka, okkar leiðbeiningar um undirritun rafræna í heilbrigðisvísindum útskýra viðeigandi réttarleg skilyrði.

Niðurstöður

Tryggja og varðveita rafrænt undirritaðu skjölin þín er ekki valkvætt tæknilegt fylgihluti: það er lagaleg skyldu og stefnumótunar nauðsyn fyrir allar stofnanir sem byggja á rafrænum undirritun í viðskiptum ferli sína. Milli eIDAS samræmi, GDPR kröfu, ETSI staðlum og geymslutímum sem setinn er fram af viðskiptakóða, er flókinnar raunverulega — en fullkomlega stjórnandi með réttum verkfærum.

Lyklar að vel heppnuðri arkívskað stefnu eru ljóskir: undirritun til langs tíma (PAdES-LTA), hæfir tímasteinir kerfisbundið, tryggt og fullveldi gisti, sjálfvirk varðveituregla og fullkomin framtíðarslóð.

Certyneo felur í sér allt þessa virkni innfellt í SaaS pallinn hugsað fyrir B2B teymi. Uppgötvaðu hvernig á að vernda endanlega þína rafrænt undirritaðu skjölin með Certyneo prófun ókeypis eða með könnun okkar verðlagning.