Enkel, avansert og kvalifisert signatur: forskjellene

Den avanserte elektroniske signaturen (AES) er det mest brukte nivået i B2B og det eneste som gir en juridisk presumpsjon om integritet uten å kreve smartkort av underskriveren. Sammen med den enkle signaturen (SES) og den kvalifiserte signaturen (QES) utgjør den de tre nivåene definert av EU-forordningen eIDAS. Her er hvordan du velger riktig nivå ut fra dokumentets art, forventet bevisverdi og hvilken friksjon som er akseptabel for underskriveren.

Hva er en avansert elektronisk signatur (AES)?

Den avanserte elektroniske signaturen er mellomnivået definert av artikkel 26 i eIDAS-forordningen. Den må oppfylle fire kumulative vilkår: (1) være entydig knyttet til underskriveren, (2) gjøre det mulig å identifisere vedkommende, (3) være opprettet med data som underskriveren har enekontroll over, (4) gjøre det mulig å oppdage enhver senere endring av det signerte dokumentet. I praksis oppfylles disse vilkårene gjennom sterk autentisering (e-post + OTP på SMS), en tidsstemplet sporingslogg og en kryptografisk hashing av PDF-en.

AES nyter godt av en juridisk presumpsjon om integritet og opphav som snur bevisbyrden i retten: det er den som bestrider signaturen som må bevise at den er falsk, ikke underskriveren som må bevise at den er gyldig. Dette skiller AES grunnleggende fra SES, der påliteligheten vurderes konkret av dommeren i hvert enkelt tilfelle.

De tre nivåene definert av eIDAS

EU-forordningen eIDAS (nr. 910/2014) organiserer elektronisk signatur i tre nivåer, som tilsvarer stadig strengere krav til identifisering av underskriveren og bevisstyrke. Å forstå disse nivåene godt gjør det mulig å velge riktig signatur for hvert dokument, uten å overdimensjonere prosessen.

Nivå 1: den enkle elektroniske signaturen (SES)

Den enkle elektroniske signaturen er grunnnivået. Den tilsvarer enhver form for elektronisk samtykke: et klikk på "Jeg godtar", en avkrysningsboks, en signatur tegnet på skjerm.

• Krav: klart samtykke, minimal identifikasjon (e-post)
• Bevisverdi: lav til middels, varierer etter leverandør
• Bruksområder: tilbud, bestillinger, interne avtaler, generelle vilkår
• Friksjon for underskriveren: nesten null — underskriveren oppretter ikke en konto

SES er tilstrekkelig for de aller fleste ordinære kommersielle utvekslinger der risikoen for tvist er lav. Den er fortsatt juridisk gyldig, ettersom dommeren vurderer prosessens pålitelighet i hvert enkelt tilfelle.

Nivå 2: den avanserte elektroniske signaturen (AES)

Den avanserte signaturen styrker identifiseringen av underskriveren og etablerer en unik kobling mellom vedkommende og dokumentet. Den bygger på fire kriterier fastsatt i artikkel 26 i eIDAS:

1. den er entydig knyttet til underskriveren
2. den gjør det mulig å identifisere underskriveren
3. den er opprettet med midler som underskriveren har enekontroll over
4. den er knyttet til dokumentet på en slik måte at enhver senere endring kan oppdages

I praksis innebærer AES en tofaktorautentisering: en unik lenke sendt på e-post + en OTP-kode mottatt på SMS. Den endelige PDF-en inneholder et tidsstempel og en detaljert sporingslogg.

• Bruksområder: arbeidskontrakt, leiekontrakt, fullmakt, kommersiell avtale med høy verdi, taushetserklæring (NDA)
• Friksjon for underskriveren: lav — en SMS-kode i tillegg til e-posten
• Bevisverdi: sterk, avkreftelig presumpsjon om gyldighet

Nivå 3: den kvalifiserte elektroniske signaturen (QES)

Den kvalifiserte signaturen er det høyeste nivået. Den bygger på et kvalifisert sertifikat utstedt av en kvalifisert tillitstjenesteleverandør (QTSP) som står på tillitslisten til en EU-medlemsstat, og på en sikker signaturopprettelsesenhet (f.eks. YubiKey, smartkort).

• Juridisk verdi: tilsvarende en håndskrevet signatur i hele EU
• Bruksområder: autentiske dokumenter, offentlige anskaffelser, enkelte notarielle dokumenter
• Friksjon for underskriveren: høy — identitetsverifisering ansikt til ansikt eller via video-KYC
• Kostnad: betydelig høyere enn SES/AES

For de fleste virksomheter er QES sjelden nødvendig i det daglige. Den blir uunngåelig når loven krever det (rettslige prosesser, enkelte offentlige anskaffelser) eller når kontrakten har en eksepsjonell verdi.

Rask sammenligningstabell

Hvordan velge riktig nivå

Den enkle regelen: tilpass nivået til dokumentets betydning.

• Hvis dokumentet blir bestridt, hva står på spill? Noen hundre kroner eller en kontrakt på flere hundretusen?
• Er relasjonen til underskriveren kjent (fast kunde) eller ukjent (første kontakt)?
• Faller dokumentet inn under et rettslig rammeverk som krever et bestemt nivå (f.eks. arbeidskontrakt, leiekontrakt) ?

Som en generell regel: SES for enkle avtaler, AES for alt som gjelder HR, eiendom og finans, QES kun når loven krever det.

Vanlige feil

• Å systematisk velge QES "for sikkerhets skyld": unødvendig friksjon for underskriveren, høy kostnad, ofte overdimensjonert.
• Å nøye seg med SES til alt: ved tvist om en arbeidskontrakt kan fravær av sterk autentisering svekke bevisverdien.
• Å forveksle bekreftelse med signatur: en mottakskvittering er ikke en signatur.

Hvordan Certyneo hjelper deg

Certyneo støtter i utgangspunktet nivåene enkel (SES) og avansert (AES), med dobbel OTP via e-post og SMS gjennom Twilio Verify for AES. For tilfeller som krever QES, kobler Certyneo seg til flere europeiske kvalifiserte leverandører (Docaposte Certigna, Universign, CertEurope) for å utløse den kvalifiserte signaturen uten å bytte verktøy.

Du kan definere signaturnivået dokument for dokument ut fra betydningen — eller per mal hvis du har industrialisert en prosess.

Utforsk Certyneos løsning for elektronisk signatur

Ofte stilte spørsmål

Kan jeg blande nivåer i samme konvolutt?

Ja. En konvolutt med flere dokumenter kan for eksempel inneholde et tilbud signert med SES og en kontrakt signert med AES. Hver underskriver får den autentiseringen som passer til dokumentet vedkommende skal signere.

Er den avanserte signaturen anerkjent internasjonalt?

I EU, ja, i kraft av eIDAS' prinsipp om gjensidig anerkjennelse. Utenfor EU avhenger anerkjennelsen av det lokale rettslige rammeverket — dette bør sjekkes ut fra hvilken jurisdiksjon det gjelder.

Trenger man et personlig sertifikat for å signere med AES?

Nei. AES kan oppnås uten et personlig sertifikat på forhånd, takket være dobbel OTP. Dette er det som gjør AES svært tilgjengelig, mens QES krever et kvalifisert sertifikat.

Er kvalifisert signatur obligatorisk for en arbeidskontrakt?

Nei. Arbeidskontrakten godtar den avanserte signaturen (AES), som allerede gir en sterk presumpsjon om gyldighet. For mer informasjon, se elektronisk signatur av arbeidskontrakt.

Hvordan verifisere nivået på et signert dokument?

Åpne PDF-en i Adobe Acrobat Reader: signaturegenskapene viser nivået, underskriveren og tidsstempelet. Du kan også bruke en nettbasert verifikator.

Konklusjon

Å velge riktig nivå for elektronisk signatur handler om å finne balansen mellom bevisverdi og friksjon for underskriveren. Start enkelt, og øk nivået når det juridiske ansvaret krever det.

Prøv Certyneo for å sende, signere og følge opp dokumentene dine på nett, enkelt, raskt og trygt.