Digitale signaturer og sine respektive juridisk gyldighet – en oversikt over de ulike eIDAS-nivåene

Sammendrag

• Juridisk gyldighet. EUs eIDAS-forordning garanterer juridisk gyldighet for digitale signaturer.
• Tre kategorier av signaturer. I denne forordningen deles elektroniske signaturer inn i tre grupper: enkle elektroniske signaturer (SES), avanserte elektroniske signaturer (AES) og kvalifiserte elektroniske signaturer (QES).
• Formkrav. I henhold til eIDAS-forordningen kan en digital signatur ikke betraktes som ugyldig bare fordi signaturen er i elektronisk form, eller fordi den ikke oppfyller kravene til kvalifiserte elektroniske signaturer.

Rettsvirkningen skal være den samme som en håndskrevet underskrift

I Norge reguleres elektronisk signering av eIDAS-forordningen (EU 910/2014), som er gjennomført i norsk rett via lov om elektroniske tillitstjenester. Forordningen slår fast at en elektronisk signatur ikke kan avvises som juridisk ugyldig alene fordi den er elektronisk. Rettsvirkningen skal tilsvare en håndskrevet underskrift.

I mai 2024 trådte eIDAS 2.0 i kraft (forordning EU 2024/1183). Oppdateringen endrer ikke de tre signaturnivåene SES, AES og QES gjelder fortsatt som før. Det viktigste nye er innføringen av den europeiske digitale identitetslommeboken (EUDI Wallet), som på sikt skal gi innbyggere og bedrifter en felles digital identitet på tvers av EU/EØS. eIDAS 2.0 stiller også strengere krav til tilbydere av tillitstjenester (Trust Service Providers). For norske virksomheter som bruker digitale signaturer i dag betyr dette i praksis at reglene er de samme men rammeverket er oppdatert og mer robust.

eIDAS tre kategorier av digitale signaturer – SES, AES, QES

DigitDigitale signaturer deles inn i tre kategorier i eIDAS: enkel elektronisk signatur (SES), avansert elektronisk signatur (AES) og kvalifisert elektronisk signatur (QES).

I EU-forordningen defineres en digital signatur som data i elektronisk form som er lagt ved eller er logisk knyttet til andre data i digital form og som underskriveren bruker til å signere. Den enkleste formen er et navn skrevet på en PDF-fil — dette er SES-nivå.

Med AES menes at underskriften oppfyller kravene i artikkel 26 i eIDAS-forordningen:

• Den kan identifisere underskriveren
• Den er framstilt ved hjelp av data som underskriveren har enekontroll over
• Den er knyttet til dokumentet på en slik måte at etterfølgende endringer kan oppdages

QES er det høyeste nivået og krever et kvalifisert sertifikat fra en godkjent tilbyder av tillitstjenester (TSP). Det er verdt å merke seg at betegnelsen “kvalifisert” kan være misvisende — det betyr ikke at SES og AES er juridisk ugyldige. Forskjellen ligger i sertifikatet, ikke i juridisk gyldighet som sådan.

AES og QES – det er sertifikatet som skiller dem

Den største forskjellen mellom AES og QES er sertifikatet. Ved QES må sertifikatet være utstedt av en TSP som er oppført på EUs klarerte liste (EU Trusted List). I Norge er Commfides og Buypass godkjente TSP-er.

Ved AES er kravene til sertifikatet mindre strenge, men identifiseringen må være robust og dokumenterbar. I praksis skjer dette gjennom sterk autentisering med BankID.

Det er også verdt å merke seg at AES-signaturer der underskriveren identifiseres har samme sikkerhetsnivå som QES-nivå signaturer i henhold til norsk lov.

AES er ofte det beste alternativet

For de fleste norske bedrifter er AES det riktige valget. Det gir høy juridisk bevisverdi, er enkelt å bruke for alle parter, og underskrivere trenger ikke sertifikater eller spesialutstyr — de identifiserer seg slik de allerede gjør i nettbank.

AES-signaturer med sikker identifisering anerkjennes av finanssektoren hos banker og forsikringsselskap, samt den offentlige forvaltningen og folketrygden.

Man bør også ta artikkel 25.1 i EU-forordningen i betraktning: en digital signatur skal ikke betraktes som ugyldig bevis i rettsammenheng eller miste sin rettsvirkning bare fordi signaturen er i elektronisk form, eller fordi den ikke oppfyller kravene til kvalifiserte digitale signaturer. Med andre ord er en digital signatur gyldig som bevis i en rettssak uavhengig av nivå.

QES er aktuelt der loven eksplisitt krever det, eller der transaksjonsrisikoen er svært høy. For de aller fleste kontrakter norske virksomheter signerer daglig, gir AES tilstrekkelig juridisk styrke.

Netvisor Sign (tidligere Visma Sign) – en nordisk tjeneste for digital signering

Netvisor Sign tilbyr digitale signaturer på AES-nivå hovedsakelig, men også på SES-nivå. En signatur med sikker identifisering er det beste alternativet når alle parter bruker nordiske tjenester for sikker identifisering. Enkel identifisering på SES-nivå muliggjør global bruk av Netvisor Sign ved signering av internasjonale forretningskontrakter, for eksempel.

Netvisor Sign er sertifisert i henhold til eIDAS-forordningen og oppfyller kravene i eIDAS 2.0-rammeverket. Tjenesten brukes av tusenvis av nordiske virksomheter som ønsker en juridisk trygg og effektiv signeringsløsning.

Madeleine Sandler jobber som markedsfører hos Netvisor Sign og er opptatt av å utforske hvordan bedrifter kan jobbe mer effektivt og miljøvennlig - uten å gå på bekostning av sikkerheten.