QES, AES och SES: förstå de tre nivåerna för elektronisk signatur enligt eIDAS 2026

Förordningen eIDAS (nr 910/2014) utgör hörnstenen i europeisk rätt för elektronisk signatur. Sedan den trädde i kraft har den strukturerat tre nivåer av signatur — SES, AES och QES — vars tekniska krav och bevisvärde skiljer sig radikalt åt. År 2026, när förordningen eIDAS 2.0 (EU-förordning 2024/1183) successivt träder i kraft, får dessa distinktioner ökad betydelse för varje organisation som vill digitalisera sina juridiska handlingar i full överensstämmelse. Den här artikeln förklarar de grundläggande skillnaderna mellan dessa tre nivåer, de skyldigheter de medför och kriterierna för att välja rätt format beroende på arten av dina dokument.

SES: den enkla elektroniska signaturen, flexibel men begränsad

Definition och tekniska egenskaper

Den enkla elektroniska signaturen (SES, eller Simple Electronic Signature) definieras i artikel 3(10) i eIDAS-förordningen som "data i elektronisk form bifogade eller logiskt associerade med annan data i elektronisk form, som undertecknaren använder för att underteckna". Denna definition är avsiktligt bred: ett enkelt klick på "Jag accepterar", en signatur ritad med fingret på en surfplatta, eller en markerad ruta i ett onlineformulär faller inom denna kategori.

SES kräver ingen förhandsverifiering av undertecknarens identitet, och ingen kryptografisk certifikat. Dess robusthet bygger enbart på avtalssammanhanget och omgivande bevis (IP-adress, servertidsstämpel, bekräftelseemail). Ordförrådet för elektronisk signatur innehåller alla tekniska termer som är associerade med dessa mekanismer.

Juridiskt värde och acceptansfallen

SES omfattas av principen om icke-diskriminering som anges i artikel 25(1) i eIDAS: den kan inte avvisas som bevis enbart på grund av att den är elektronisk. Den medför dock ingen presumtion om tillförlitlighet. Vid tvist ligger bevisbördan helt på den part som åberopar den. Den juridiska värdet av elektronisk signatur beror därför starkt på vilken nivå som väljs.

SES är lämplig för handlingar med låg risk: godkännande av användarvillkor, interna formulär, onlinebeställningar med lågt värde, eller tillfredsställelsebörsentällningar. Den är olämplig för något dokument som kan ifrågasättas vid domstolsförhandlingar.

AES: den avancerade signaturen, balansen mellan säkerhet och praktik

De fyra kumulativa kriterierna från artikel 26 i eIDAS

Den avancerade elektroniska signaturen (AES, Advanced Electronic Signature) definieras i artikel 3(11) i eIDAS och måste uppfylla fyra villkor som anges i artikel 26:

1. Vara entydig kopplad till undertecknaren: en unik identifierare kopplar signaturen till en bestämd fysisk person.
2. Möjliggöra identifikation av undertecknaren: identitetsverifiering genomförs (e-post, telefonnummer, identitetshandling enligt leverantör).
3. Ha skapats från data som undertecknaren kan använda med högt förtroendevärde under sin exklusiva kontroll: typiskt en OTP-kod skickad till hans telefon eller ett programcertifikat.
4. Vara kopplad till de signerade uppgifterna på sådant sätt att eventuella senare ändringar är detekterbara: signaturen bygger på en kryptografisk hash av dokumentet.

Använda teknologier och försäkringsnivåer

I praktiken implementeras AES genom numeriska certifikat på väsentlig nivå (enligt eIDAS-förordningen), flerfaktorsautentiseringsmekanismer, eller lösningar för dokumentidentitet (skanning av identitetshandling, biometrisk jämförelse). Kvalificerade leverantörer av förtroendtjänster som Certyneo erbjuder AES-signeringsflöden som integrerar identitetsverifiering på distans, i överensstämmelse med ANSSI-referensramverk och ETSI EN 319 401-normer.

AES erbjuder en utmärkt kompromiss mellan säkerhet och användarvänlig upplevelse. Den rekommenderas för vanliga kommersiella kontrakt, personalhandlingar, samarbetsavtal eller tjänsteprestationskontrakt. Se vår kompletta guide för elektronisk signatur i företag för att fördjupa användningsfallen i yrkessammanhang.

Begränsningar för AES med vissa handlingar

AES är fortfarande otillräcklig för autentiska handlingar eller för handlingar där lagen uttryckligen kräver kvalificerad signatur. I Frankrike förbehåller artikel 1367 i Code civil den högsta presumtionen om tillförlitlighet för endast kvalificerade signaturer enligt eIDAS. AES kan avvisas av en domstol om motparten visar på brister i identitetsverifieringsprocessen.

QES: den kvalificerade signaturen, laglig motsvarighet till handskriven signatur

Regulatory definition och tekniska krav

Den kvalificerade elektroniska signaturen (QES, Qualified Electronic Signature) definieras i artikel 3(12) i eIDAS som en avancerad signatur skapad av en kvalificerad signeringsuppgiftsenhet (QSCD) och baserad på ett kvalificerat certifikat för elektronisk signatur. Dessa två komponenter är oskiljaktiga.

Det kvalificerade certifikatet utfärdas av en kvalificerad leverantör av förtroendtjänster (QTSP) registrerad på den nationella förtroendelistan (Trusted List) publicerad av varje medlemsstat. I Frankrike administreras denna lista av ANSSI. QTSP måste ha granskats och godkänts enligt kraven i bilaga I till eIDAS-förordningen och ETSI EN 319 411-2-normerna.

QSCD (kvalificerad signeringsuppgiftsenhet) är en säker materiell eller programvaruplattform — typiskt ett smartcard, en kryptografisk USB-token eller en fjärr-HSM (Hardware Security Module) — som garanterar att undertecknarens privata nyckel inte kan extraheras eller kopieras. Kraven för QSCD specificeras i bilaga II till eIDAS-förordningen.

Den oemotsägliga rättsliga presumtionen från artikel 25(2)

Artikel 25(2) i eIDAS-förordningen ger QES en juridisk effekt motsvarig handskriftlig signatur i alla medlemsstater i Europeiska unionen. Denna presumtion är automatisk: till skillnad från AES behöver den part som presenterar en QES inte bevisa förfarandets tillförlitlighet. Det är motparten som måste kullkasta denna presumtion, vilket i praktiken är mycket svårt så länge QTSP och QSCD är korrekt kvalificerade.

I Frankrike föreskriver artikel 1367 andra meningen i Code civil detta krav i inhemsk rätt: tillförlitligheten hos den elektroniska signeringsprocessen presumeras korrekt tills motsatsen bevisas när den kvalificerade elektroniska signaturen eIDAS används. Denna presumtion täcker även dokumentets integritet.

Process för att erhålla ett kvalificerat certifikat

Att erhålla ett kvalificerat certifikat kräver identitetsverifiering ansikte mot ansikte eller motsvarande på distans med samma försäkringsnivå (till exempel videoverifiering i enlighet med normen EN ISO/IEC 18013 eller specifikationerna i genomförandedirektiv 2015/1502). Processen omfattar:

• Insamling av officiella identitetshandlingar
• Verifikation av deras äkthet (upptäckt av förfalskning)
• Biometrisk registrering av undertecknaren
• Utfärdande av certifikat av QTSP efter validering

Denna försäkringsnivå förklarar varför QES är reserverad för handlingar med hög risk: privaträttsliga handlingar med betydande finansiell sats, elektroniska notariella dokument, offentlig upphandling, känsliga medicinska handlingar, eller i områden där sektorspecifika regler uttryckligen kräver det. För att jämföra tillgängliga lösningar på marknaden guidar vår jämförelse av elektroniska signeringslösningar dig i ditt val.

Jämförandtabell och urvalskriterier 2026

Sammanfattning av strukturella skillnader

Tre axlar gör det möjligt att snabbt särskilja de tre nivåerna:

Identitetsverifiering: ingen för SES, dokumentär eller OTP för AES, ansikte mot ansikte eller motsvarande för QES. Kryptografiskt stöd: obefintligt för SES, programcertifikat för AES, certifierat QSCD för QES. Juridisk presumtion: frånvarande för SES, delvis för AES, total och automatisk för QES.

I fråga om friktionen för användare är ekvationen omvänd: SES är nästan genomskinlig, AES kräver några minuters verifiering, QES förutsätter en förregistrering som kan ta från några minuter (videoverifiering) till några dagar.

Effekten av eIDAS 2.0 på dessa distinktioner 2026

Förordningen eIDAS 2.0 (EU 2024/1183), vars genomförandebeslut successivt publicerats sedan 2024, stärker flera viktiga punkter. Den introducerar den europeiska digitala identitetsplånboken (EUDI Wallet), som på sikt kommer att tillåta europeiska medborgare att lagra sitt kvalificerade certifikat direkt i sin smartphone, vilket avsevärt minskar friktionen associerad med QES. Den klargör också kraven på QTSP och stärker styrningen av nationella förtroendelistan.

Dessutom utökar eIDAS 2.0 omfattningen av ömsesidig erkännande av kvalificerade signaturer mellan medlemsstater, vilket är särskilt strukturerande för företag som verkar i flera länder i unionen. Den kompletta guiden för förordningen eIDAS 2.0 beskriver alla dessa regeländringar. Slutligen förtjänar frågan om kvalificerad elektronisk tidsstämpel — komplement till QES för att bevara dokumentens bevisvärde över tid — också uppmärksamhet när du utformar din dokumentarkitektur.

Gällande rättslig ram för signaturerna SES, AES och QES

Hierarkin för elektroniska signaturer bygger på ett omfattande regelverkskorpus, artikulerat mellan europeisk rätt och fransk inhemsk rätt.

Förordning eIDAS nr 910/2014: denna grundläggande text definierar i artiklarna 3(10), 3(11) och 3(12) de tre signaturernivåerna. Artikel 25 fastställer principen om icke-diskriminering (§1) och presumtionen om likvärdighet med handskrift för QES (§2). Artikel 26 anger de fyra kumulativa villkoren för den avancerade signaturen. Bilagorna I och II specificerar respektive kraven på kvalificerade certifikat och enheter för skapande av kvalificerad signatur (QSCD).

Förordning eIDAS 2.0 — EU 2024/1183: trädde i kraft den 20 maj 2024, den ändrar väsentligt förordningen från 2014, särskilt genom införandet av den europeiska digitala identitetsplånboken (EUDI Wallet), utökningen av kvalificerade förtroendtjänster och stärkandet av QTSP-styrningen. Genomförandebesluten fortsätter att publiceras 2026.

Fransk Code civil, artiklarna 1366 och 1367: artikel 1366 erkänner den elektroniska skriften som bevis på samma sätt som skriftligt papper, förutsatt att personen vars signatur det är kan identifieras på behörigt sätt och att det fastställs och bevaras under förhållanden som garanterar dess integritet. Artikel 1367 andra meningen fastställer presumtionen om tillförlitlighet för den kvalificerade elektroniska signaturen eIDAS, i direkt genomförande av artikel 25(2) i förordningen.

Dekret nr 2017-1416 från 28 september 2017: klargör i fransk rätt villkoren för att få båtnad av presumtionen om tillförlitlighet, vilket direkt hänvisar till eIDAS-förordningens krav för kvalificerade signaturer.

ETSI-normer: normerna ETSI EN 319 102-1 (procedurer för skapande och validering av signatur), ETSI EN 319 132 (XAdES-format), ETSI EN 319 122 (CAdES-format) och ETSI EN 319 142 (PAdES-format) reglerar tekniskt skapandet av signaturer som överensstämmer med eIDAS. Kvalificerade leverantörer måste implementera dessa format för att garantera europeisk interoperabilitet.

GDPR — Förordning EU 2016/679: insamlingen av biometriska data i samband med identitetsverifiering för utfärdandet av kvalificerade certifikat utgör en behandling av känslig data enligt artikel 9. QTSP måste ha en uttrycklig juridisk grund, informera individer och genomföra lämpliga tekniska försäkringar. En konsekvensbedömning (DPIA) är vanligtvis obligatorisk.

NIS2-direktivet — EU 2022/2555: tillämpligt på leverantörer av väsentliga tjänster och leverantörer av digitala tjänster, det föreskriver förstärkta cybersäkerhetskrav som indirekt gäller för QTSP som driver kritiska infrastrukturer för elektronisk signatur.

Organisationer som implementerar elektroniska signeringslösningar utan att respektera den nivå som krävs av den juridiska handlingens art riskerar att se dokumenten för ogiltig eller kunna göra gällande, liksom riskerna för rättegång som kan leda till betydande finansiella skador.

Användningsscenarier: välj rätt nivå enligt sammanhang

Fall 1 — Liten tillverkningsindustri som hanterar hundratals leverantörbeställningar

En liten tillverkningsindustri som behandlar cirka 400 inköpsorder och leverantörskontrakt per år har implementerat AES för alla sina vanliga affärsdokument. Signeringsflödet bygger på verifiering via säker epostlänk och SMS OTP-kod, med generering av en tidsstämplad granskningsrapport för varje handling. Den genomsnittliga signeringstiden har minskat från 4,5 dagar (rekommenderad post) till mindre än 3 timmar. Graden av avtalskonflikt förblev noll under 18 månaders användning, och granskningsspåret gav tillräckliga bevis i händelse av kommersiell oenighet. Minskningen av kostnader för tryck, porto och dokumenthantering uppgår till cirka 60 % enligt interna uppskattningar, vilket är konsistent med intervallen publicerad av europeiska sektorstudie (Billentis Report, 2025).

Fall 2 — Advokatbyrå specialiserad på affärsrätt

En affärsrättsadvokatbyrå med cirka femton medarbetare har implementerat en tvånivåinfrastruktur: AES-signatur för intern korrespondens, representationsmandaten och honorarkonventioner; QES-signatur för handlingar under privat rätt med högt värde (försäljning av andelar, överenskommelseprotokoll, finansiella garantier). Erhållandet av kvalificerade certifikat för associaterna genomfördes via en videoverifieringssession i enlighet med eIDAS, utan fysisk förflyttning, på mindre än 20 minuter per person. Den lagliga presumtionen som är knuten till QES gör det möjligt för byrån att presentera sina handlingar inför alla europeiska domstolar utan att behöva bevisa förfarandets tillförlitlighet, vilket avsevärt minskar processrisken.

Fall 3 — Sjukhusgrupp som digitaliserar sina HR- och medicinska handlingar

En sjukhusgrupp med cirka 1 200 sängar har valt en differentierad strategi enligt dokumentets art. Anställningsavtal, ändringar och befattningsbeskrivningar undertecknas i AES, vilket gör att de cirka 800 berörda agenter kan underteckna från sin smartphone utan tung infrastruktur. För specifika medicinska överenskommelser och dokument som kräver stark autentisering påtvingad av hälsoreglering (HDS) implementeras QES för utnämnda läkarpraktiker som undertecknare. Denna hybridmodell minskar tiden för sammansättning av HR-dossier vid anställning med 75 %, en vinst som är särskilt kritisk under perioder av spänning på medicinska resurser. Den säkerställer dessutom överensstämmelse med CNIL:s skyldigheter angående behandling av hälsoupplysningar.

Vanliga frågor

Vad är huvudskillnaden mellan QES och AES enligt eIDAS?

Den grundläggande skillnaden ligger i två element: certifikatet och signeringsenheten. QES bygger obligatoriskt på ett kvalificerat certifikat utfärdat av en ackrediterad leverantör (QTSP) och på en kvalificerad signeringsuppgiftsenhet (QSCD) som är materiellt säker. AES kan använda ett programcertifikat och mindre streng identitetsverifiering. Direkt konsekvens: QES åtnjuter en juridisk presumtion om likvärdighet med handskriftlig signatur i hela Europeiska unionen, vilket AES inte garanterar automatiskt.

I vilka fall är det obligatoriskt att använda en QES-signatur?

Ingen europeisk text föreskriver QES på ett allmänt sätt, men flera sektorsregler eller nationella regler kräver det implicit eller uttryckligt. Detta gäller vissa elektroniska autentiska handlingar, specifik offentlig upphandling, digitaliserade notariella dokument, eller inom reglerade sektorer som bank (DSP2, förstärkt KYC) eller hälsa. Den allmänna regeln är följande: ju högre det juridiska eller finansiella värdet av handlingen är, desto mer rekommenderas användningen av QES för att undvika all tviskerisk.

Har SES-signaturen ett juridiskt värde i Frankrike 2026?

Ja, SES-signaturen är juridiskt tillåten i Frankrike enligt principen om icke-diskriminering som anges i artikel 25(1) i eIDAS-förordningen och i artikel 1366 i Code civil. Den kan inte avvisas som bevis enbart på grund av att den är elektronisk. Den åtnjuter dock ingen presumtion om tillförlitlighet: vid tvist måste den part som åberopar den bevisa dess robusthet med andra medel (loggar, IP-adress, granskningsspår). Dess användning bör därför begränsas till handlingar med låg risk.

Är ett kvalificerat certifikat erhållet i Frankrike erkänt i hela Europeiska unionen?

Ja. Artikel 25(2) i eIDAS-förordningen och mekanismen för ömsesidigt erkännande av nationella förtroendelistan (Trusted Lists) garanterar att ett kvalificerat certifikat utfärdat av en ackrediterad QTSP i Frankrike är erkänt i alla medlemsstater i Europeiska unionen med samma juridiska effekt. eIDAS 2.0 (EU 2024/1183) stärker denna princip ytterligare genom att utöka erkännandet till de nya kvalificerade förtroendtjänsterna som införts av den reviderade förordningen.

Hur verifierar du att en signeringsleverantör är korrekt ackrediterad enligt eIDAS?

Varje medlemsstat publicerar och underhåller en officiell förtroendelista (Trusted List) som listar alla ackrediterade kvalificerade leverantörer av förtroendtjänster (QTSP) på sitt territorium. I Frankrike publiceras och uppdateras denna lista av ANSSI på sin officiella webbplats. Europeiska kommissionen sammanställer alla nationella listor på portalen EU Trusted List Browser (tlbrowser.tsl.europa.eu). Verifiera att en leverantör ligger där innan du anförtror honom utfärdandet av kvalificerade certifikat eller skapandet av QES-signaturer.

Slutsats

De tre nivåerna av elektronisk signatur som definieras av eIDAS-förordningen — SES, AES och QES — svarar på fundamentalt olika juridiska och operativa behov. SES är lämplig för handlingar med låg sats, AES täcker huvuddelen av vanliga professionella kontrakt med en utmärkt balans mellan säkerhet och fluiditet, medan QES är nödvändig för handlingar med högt juridiskt värde tack vare sin juridiska presumtion om likvärdighet med handskrift i hela Europeiska unionen. År 2026, när eIDAS 2.0 successivt träder i kraft, är det mer strategiskt än någonsin att behärska dessa distinktioner för varje organisation som digitaliserar sina dokumentprocesser.

Certyneo gör det möjligt för dig att implementera alla tre nivåer av signatur enligt dina faktiska behov, med ett enhetligt gränssnitt i överensstämmelse med eIDAS- och ANSSI-kraven. Upptäck våra erbjudanden eller uppskatta dina vinster redan nu tack vare vår ROI-kalkylator för elektronisk signatur, eller kontakta vårt team för en personlig granskning av dina dokumentflöden.