2026年における電子署名の仕組み

はじめに

電子署名は今日、企業のデジタル変革の中心となっています。2025年の調査では、ヨーロッパの大企業の70%以上が、少なくとも1つの契約プロセスにこれを導入しています（出典：Gartner Digital Process Automation Survey 2025）。しかし、電子署名が法的に有効で技術的に改ざん不可能にしているメカニズムを正確に理解している意思決定者はまれです。電子署名がどのように技術的に機能するかを理解すること（暗号化、PKI、証明書）により、適切なソリューションを選択し、法的リスクを低減し、社内採用を加速できます。この記事では、2026年における電子署名を支配する技術アーキテクチャと標準を段階的にガイドしています。

---

電子署名の暗号化の基礎

電子署名は、実証済みの暗号化プリミティブに基づいています。そのメカニズムを理解することは、デジタル化された手書き署名よりも信頼性が高い理由を理解することです。

非対称暗号化：公開鍵と秘密鍵

基本的な原則は非対称暗号化です。これは1970年代に発明され、RSA（Rivest–Shamir–Adleman）や楕円曲線（ECDSA）などのアルゴリズムで標準化されました。各署名者は、数学的に関連する2つの鍵を持っています：

• 秘密鍵：署名者によって秘密裏に保管されており、安全なデバイス（スマートカード、トークンHSM、または保護されたソフトウェアモジュール）に置かれます。これは署名を作成するために使用されます。
• 公開鍵：自由に配布され、デジタル証明書に含まれます。これは署名を検証するために使用されます。

セキュリティの原則は計算上の非対称性に基づいています。公開鍵で署名を検証することは数学的に簡単ですが、公開鍵から秘密鍵を再構成することはほぼ不可能です（離散対数問題または大整数の因数分解問題）。

ハッシュ関数：ドキュメントのデジタル指紋

署名する前に、システムはハッシュ関数（2026年ではSHA-256またはSHA-3）を使用してドキュメントの暗号化指紋を計算します。この指紋はハッシュまたはダイジェストと呼ばれ、ドキュメントのコンテンツを一意に表す固定サイズの文字列（SHA-256の場合は256ビット）です。

本質的な特性：ドキュメントの1文字だけを変更すると、全く異なるハッシュが生成されます。これがドキュメントの完全性を保証するもので、署名後のあらゆる改ざんは即座に検出可能です。

実際の電子署名は、署名者の秘密鍵によるこのハッシュの暗号化です。検証時に、受信者は：

1. 公開鍵で署名を復号化して元のハッシュを取得します；
2. 受信したドキュメント自体のハッシュを再計算します；
3. 2つを比較します：同一であれば、署名は有効です。

---

公開鍵基盤（PKI）：信頼の連鎖

暗号化だけでは十分ではありません。公開鍵が自分を主張する人物に実際に属することを証明する必要もあります。これがPKI（公開鍵基盤）の役割です。

認証局（CA）

認証局（AC）は、デジタル証明書を発行する認定された信頼できる第三者です。デジタル証明書は、以下を含む標準化されたファイル（X.509形式）です：

• 証明書所有者の身元（名前、組織、メール）；
• その公開鍵；
• 有効期間；
• 認証局自体の署名。

ヨーロッパでは、適格認証局はeIDAS規則に準拠して各EUメンバー国が公開する信頼されたリストに登録されています。フランスではANSSIがこのリストを公開・保有しています。CertSign、Certigna、Universignなどの適格信頼サービスプロバイダー（QTSP）は、ETSI EN 319 401標準に従って定期的な監査の対象となります。

認証チェーンと失効

PKIは階層型モデルで機能します：

• 最大限の物理的セキュリティ条件下でオフラインで保管されている自己署名のルート認証局（Root CA）；
• エンドユーザーの証明書を発行する中間認証局。

証明書の失効は重大なメカニズムです。秘密鍵が侵害されて場合、認証局はCRL（証明書失効リスト）またはOCSP（オンライン証明書状態プロトコル）プロトコルを介してその無効化を公開し、リアルタイム検証が可能になります。

eIDASの適格電子署名では、秘密鍵はQSCD（適格署名作成デバイス）内で生成・保管される必要があります。これはCC EAL4以上で認定されたハードウェア（スマートカードやHSMなど）です。

---

eIDASに従う3つの署名レベル

ヨーロッパの規則eIDAS第910/2014号（および展開中のeIDAS 2.0の進化）は、3つの署名レベルを定義しており、それぞれが技術的保証の増加に対応しています。この規制枠組みについてさらに詳しく知るには、eIDAS規則の完全ガイドをご覧ください。

シンプルな電子署名（SES）

シンプルな署名は技術的に最も制約の少ない形式です。チェックボックス、SMS経由で送信されるワンタイムパスワード（OTP）、または手書き署名の画像である可能性があります。必ずしも適格証明書を意味しません。

典型的な用途：見積承認、マーケティングコンセント、低リスク契約。

リスク：裁判での法的価値が限定的。署名を主張する者が証拠を証明する責任を負います。

高度な電子署名（AdES）

高度な署名は4つの正確な技術要件を満たします（eIDAS第26条）：

1. 署名者に一意に関連付けられている；
2. 署名者の識別が可能である；
3. 署名者の排他的管理下のデータから作成される；
4. ドキュメントの後続の変更を検出できる。

実際には、これはデジタル証明書の使用と堅牢な認証メカニズムが必要です。標準形式はETSIで定義されています：PAdES（PDF）、XAdES（XML）、CAdES（バイナリデータ）、JAdES（JSON）。すべてETSI EN 319 100シリーズで標準化されています。

適格電子署名（QES）

適格電子署名は最高レベルです。次の条件が必要です：

• 認定されたQTSPから発行された適格証明書；
• 署名の作成用QSCD。

これは信頼性の法的推定を受け、EU全体で手書き署名と法的に同等です（eIDAS第25条）。これは電子公正証書、特定の公証行為、または機密政府調達に必須のレベルです。

電子署名ソリューションの比較では、これらのレベルの実践的な違いを分析し、選択を支援しています。

---

電子署名の完全なプロセス、ステップバイステップ

CertyneなどのようなSaaSプラットフォームでの電子署名トランザクションの実際の進行方法は次のとおりです：

ステップ1：ドキュメントの準備と送信

署名の開始者が、ドキュメント（契約、修正、購買注文）をプラットフォームにアップロードします。システムは即座に、ファイルオリジナルのSHA-256ハッシュを生成し、タイムスタンプを付け、不変に保存します。このフィントプリントは、将来の検証のためのリファレンスとして機能します。

ステップ2：署名者の認証

選択された署名レベルに応じて、認証が異なります：

• SES：メール+署名リンク；
• AdES：強い認証（SMS OTP、FIDO2モバイルアプリケーション）；
• QES：事前の身元確認（対面またはビデオIDV）、ワンタイムまたは継続的な使用の適格証明書の発行。

ステップ3：暗号化署名の作成

署名者が署名アクションをトリガーします。プラットフォーム（またはQSCD）は：

1. ドキュメントのハッシュを計算します；
2. 署名者の秘密鍵でこのハッシュを暗号化します；
3. 署名と証明書を（長期保存用PAdES-LTV形式のPDFで署名済み）ドキュメントに統合します。

ステップ4：適格タイムスタンプ

RFC 3161に準拠した適格タイムスタンプサービス（TSA）は、暗号化タイムスタンプを適用し、署名が特定の時点で存在したことを証明します。これは日付の改ざんから保護し、署名者の証明書が後で期限切れになった場合でも、長期間にわたって法的価値を保証します。

ステップ5：証拠アーカイビング

署名済みドキュメントは、完全な監査証跡と共にアーカイブされます。署名者の身元、IPアドレス、タイムスタンプ、ドキュメントハッシュ、使用された証明書など。この証拠ファイル（audit trail）は、裁判での異議申し立ての場合に不可欠です。eIDAS準拠ソリューションは、署名後数年経っても検証できるように、PAdES-LTV（長期検証）形式で検証データを統合します。

このプロセスをHR流に統合する方法を理解するには、HR向け電子署名ソリューションとダウンロード可能な契約テンプレートをご覧ください。

電子署名に適用される法的枠組み

電子署名は、多層の規範的枠組みに属し、国の民法とEU調和法を組み合わせています。

フランス民法

民法第1366条は基本原則を述べています：「電子的記述は、その出典者を適切に特定でき、完全性を保証する条件下で作成・保管される場合、紙面の記述と同じ証拠価値を持ちます。」第1367条は、電子署名は「その出典者の確実な識別を保証し、その署名が関連する行為と結びつくことを保証する信頼できる手段の使用で構成される」と述べています。

2017年9月28日の政令第2017-1416号は、eIDASに準拠する適格および高度な署名の信頼性の推定を定義しています。

eIDAS規則第910/2014号

ヨーロッパの信頼できるデジタルの法律の礎石である、eIDAS（電子識別、認証および信頼サービス）規則は、電子署名、電子シール、適格タイムスタンプ、認定送信サービス、ウェブサイト認証証明書のための統一的な法的枠組みを確立します。その第25条第2項は、適格署名に、EU全体での手書き署名との法的同等性の法的推定を与えます。

eIDAS 2.0規則（2026年第1四半期までに転置予定）は、これらの規定を強化し、ヨーロッパデジタルアイデンティティウォレット（EUDIW）と金融サービスおよび医療市場への義務拡大を含みます。

ETSI標準

署名形式はETSIで標準化されます：

• ETSI EN 319 132（XAdES）、EN 319 122（CAdES）、EN 319 102（PAdES）は、高度および適格署名の技術プロファイルを定義します；
• ETSI EN 319 421は、適格タイムスタンプサービスのポリシーを規定します。

GDPR およびデータ保護

電子署名（名前、メール、身元確認の生体認証データ）の框組みでの身元データの処理は、GDPR規則2016/679の対象となります。データ処理責任者は：法的根拠（正当な利益または契約の実行）を持ち、データ最小化の原則を適用し、暗号化やマスキング（pseudonymisation）などの適切な技術的措置によるセキュリティを保証しなければなりません。

NIS2指令

NIS2指令（2022/2555/EU）は、2024年10月以来フランス法に転置されており、重要インフラストラクチャのオペレータおよびデジタルサービスプロバイダー（電子署名プロバイダーを含む）に対し、サイバーセキュリティ、リスク管理、24時間以内のインシデント通知に関する強化された義務を課しています。違反すると、1000万ユーロまたはグローバル売上高の2%に達する制裁に晒される可能性があります。

電子署名の具体的な使用例

シナリオ1：法律事務所が委任状署名を自動化

約12人の弁護士がいる企業法律事務所は、月平均120の代理人委任状を処理していました。紙の手続きには印刷、郵送または手渡し、その後の返送ドキュメントのデジタル化が含まれていました。このプロセスは、1ファイル当たり平均4.5営業日の遅延と、推定8%のドキュメント喪失率を招いていました。

高度な電子署名（AdES）と認証OTPを導入することで、法律事務所は平均署名遅延を4時間未満に短縮し、文書異常率を1%未満に低減し、郵送および印刷費で年間約2,200€を節約しました。自動生成された監査証跡は、2つの委任状異議申し立て手続きを簡素化し、改ざん不可能な時系列証拠を提供しました。法律事務所向けソリューションをご覧ください。

シナリオ2：中小企業が仕入先契約をデジタル化

年間約200の仕入先契約（購買規約、価格修正、秘密保持契約）を管理していた中小企業は、特に国境を越えたドイツおよびスペイン人パートナーとの契約で3週間以上の署名遅延に直面していました。異なる法的制度と相互認識の欠如により、交渉が遅延していました。

eIDAS認定QTSPから発行された適格電子署名（QES）を採用することで、中小企業は3国全体での自動法的認識から恩恵を受け、追加の合法化は不要になりました。国境を超えた署名の平均遅延は18日から2.5日に短縮されました。企業における電子署名は、購買チームの詳細な利点をします。

シナリオ3：病院グループが患者インフォームドコンセントを保護

約800床の病院グループは、臨床研究プロトコルの患者インフォームドコンセント（informed consent）を収集する必要がありました。紙の管理は、GDPR準拠リスク（ドキュメント不正保管、追跡不可能な日付）を作成し、医療専門家職員を管理業務に従事させていました。

コードSMS身元確認による単純電子署名の統合（適格要件の対象とならない行為に十分）により、病院グループはコンセント収集、アーカイビング、追跡可能性を自動化しました。患者当たりの管理時間は12分から2分未満に短縮され、年間約800時間の医療スタッフを解放しました。すべてのドキュメントは適格タイムスタンプと共にアーカイブされ、CNIL要件を完全に満たしています。医療向けソリューションをご覧ください。

まとめ

電子署名がどのように技術的に機能するか（非対称暗号化からPKI、適格証明書から証拠タイムスタンプまで）を理解することは、コンプライアンスと運用効率に関する啓発的な選択をするために不可欠です。3つのeIDASレベル（シンプル、高度、適格）は異なるニーズに対応しており、選択は常に法的リスク分析と期待される法的価値によって導かれるべきです。

CertyneはeIDAS準拠SaaSプラットフォーム、認定QTSPパートナー、および既存プロセスへの単純な統合により、この移行をサポートしています。電子署名ROI計算機を使用して組織の潜在的な利益を推定するか、オファーと価格を直接参照して開始してください。コンプライアンスとパフォーマンスは、もはや妥協ではありません。