Är den elektroniska signaturen säker?

Den rätta frågan: säkrare än vad?

Jämfört med papper är elektronisk signering betydligt säkrare. Ett pappersavtal kan ändras, komma bort eller förfalskas utan att lämna spår. Ett elektroniskt signerat avtal är krypterat, tidsstämplat, spårat och går att kontrollera när som helst.

De 4 säkerhetspelarna

1. Kryptering av kommunikationen

Alla moderna plattformar använder TLS 1.3: det går inte att fånga upp handlingen under överföringen. Det är samma nivå som banktransaktioner på nätet.

2. Autentisering av undertecknaren

• SES: betrodd e-post
• AES: e-post + OTP via SMS (två faktorer)
• QES: kvalificerat certifikat + säker utrustning

Ju högre nivå, desto svårare är det att utge sig för att vara undertecknaren.

3. Kryptografiskt fingeravtryck

Varje signerad handling bär ett SHA-256-hashvärde som bekräftar dess integritet. Varje ändring ger ett annat fingeravtryck → signaturen blir ogiltig. Det går inte att förfalska utan att det syns.

4. Tidsstämplad verifieringskedja

Varje åtgärd registreras: utskick, öppning, angiven OTP, signering, avslag. Med IP, user-agent och tidsstämpel. Ett bevis som kan åberopas vid tvist. Se bevis för signering.

Jämförelse med papper

Risk | Papper | Elektroniskt

Förfalskning | Lätt (efterhärmad underskrift) | Ytterst svår (kryptografiskt fingeravtryck)

Förlust | Möjlig (brand, stöld) | Redundant arkivering

Ändring | Går inte att upptäcka | Ogiltigförklarar signaturen

Bestridande av datum | Svårt att bevisa | Exakt tidsstämpel

Identitetskapning | Enkelt (falskt namn) | Autentisering med två faktorer

De verkliga riskerna

Inget system är perfekt. De verkliga kvarstående riskerna:

• Nätfiske: undertecknaren klickar på ett falskt mejl. Utbildning + kontroll av avsändaren.
• Stulen telefon: OTP via SMS fångas upp. Föredra OTP via app eller biometri.
• Kapat e-postkonto: undertecknaren måste skydda sin inkorg. MFA rekommenderas.
• Deepfake vid video-KYC: vid avtal med mycket höga belopp bör korskontroller göras.

Suveränitet och Cloud Act

Utöver den tekniska säkerheten spelar suveräniteten roll: var finns era data? En amerikansk leverantör kan omfattas av Cloud Act och tvingas lämna ut data till amerikanska myndigheter — även för franska handlingar.

Föredra hosting till 100 % inom EU för att undvika den risken, särskilt i känsliga branscher (advokater, vård, försvar).

Efterlevnad av GDPR

Reglerna i GDPR kräver:

• minimering av insamlade uppgifter
• teknisk säkerhet (kryptering)
• dokumenterad lagringstid
• rätt till tillgång och radering
• anmälan vid personuppgiftsincident

Kontrollera att er leverantör följer dessa principer.

Så hjälper Certyneo dig

Certyneo tillämpar de högsta standarderna:

• TLS 1.3 på all kommunikation
• AES-256-kryptering av lagrade data
• hosting till 100 % inom EU (Tyskland, IONOS), ingen Cloud Act
• tvåfaktorsautentisering för AES
• fullständig verifieringskedja, kvalificerad tidsstämpling
• efterlevnad av eIDAS och GDPR
• redundant, versionshanterad arkivering

Upptäck Certyneos lösning för elektronisk signering

Vanliga frågor

Är SMS säkert för OTP?

Tillräckligt för AES. Vid mycket höga belopp är OTP via app eller biometri mer robust.

Kan en hackare ändra den signerade PDF-filen?

Ja, men signaturen blir ogiltig och det syns i Adobe Reader.

Är undertecknarens IP-adress skyddad?

Den sparas i verifieringskedjan och delas inte offentligt.

Kan leverantören läsa mina handlingar?

I teorin ja (utan kryptering på klientsidan). Kontrollera de avtalade åtagandena (personuppgiftsbiträdesavtal, sekretessklausuler).

Blir jag informerad vid en incident?

GDPR-krav: anmälan inom 72 timmar.

Slutsats

Elektronisk signering är säkrare än papper i alla avseenden: integritet, autentisering, spårbarhet, motståndskraft. De kvarstående riskerna är kända och hanterbara.

Testa Certyneo för att skicka, signera och följa era handlingar online — enkelt, snabbt och säkert.