Begrepp och grunder
Publicerat av Resly AB
Enkel, avancerad och kvalificerad underskrift
Elektroniska underskrifter kan ha olika nivåer. Vilken nivå ni behöver beror på dokumentets regler och vad ni behöver kunna visa i efterhand.[1][2]
Nivån beror på vilka krav underskriften uppfyller. Här får du hjälp att skilja nivåerna åt och välja vilka underlag du behöver begära.[1]
EU, med svenska exempelKällor kontrollerade
eIDAS-nivåer och deras rättsverkan. Formkrav och behörighet måste också kontrolleras för dokumentet och landet där det ska användas.
Enkel underskrift
Enkel är ett vanligt namn för en elektronisk underskrift utan de extra krav som gäller för avancerade och kvalificerade underskrifter. Ett inskrivet namn kan vara en underskrift om personen använder det för att skriva under. Ett namn som bara finns i en kontaktlista är inte i sig bevis på det.
[1]Avancerad underskrift
En avancerad underskrift måste uppfylla alla fyra krav:
- Den är unikt knuten till personen som skriver under.
- Det går att identifiera personen.
- Personen har med hög tillförlitlighet egen kontroll över uppgifterna som används för att skapa underskriften.
- Det går att upptäcka senare ändringar i det signerade innehållet.
Kvalificerad underskrift
En kvalificerad underskrift är avancerad. Den måste dessutom bygga på ett kvalificerat certifikat och skapas med en kvalificerad anordning. Ett kvalificerat certifikat räcker alltså inte ensamt.
En kvalificerad underskrift har samma rättsverkan som en handskriven. Även andra elektroniska underskrifter kan användas som bevis. De får inte avvisas enbart för att de är elektroniska eller inte kvalificerade.
[1]Börja med dokumentets regler
En högre nivå löser inte alla frågor. Ni måste också kontrollera vem som får skriva under och om dokumentet har särskilda krav. En årsredovisning som skapas elektroniskt kräver till exempel avancerade underskrifter.
Be leverantören förklara vilken nivå tjänsten ger och hur ni kan kontrollera underskriften senare. Inloggning med e-legitimation visar inte ensam vilken nivå en underskrift har.
[1][2]Vad menas med en enkel underskrift?
eIDAS definierar elektronisk underskrift som elektroniska uppgifter som är knutna till andra elektroniska uppgifter och används av en person för att skriva under. Ordet enkel används ofta för denna grundnivå. Det är ingen separat definition i förordningen.
Ett inskrivet namn kan exempelvis användas som en underskrift om det används för att underteckna det aktuella innehållet. Ett namn som bara finns i dokumentets kontaktuppgifter visar däremot inte i sig att personen skrivit under. Det avgörande är hur uppgiften används och vad som går att visa om undertecknandet.
[1]Avancerad underskrift ska uppfylla fyra krav
Artikel 26 ställer fyra krav som ska vara uppfyllda tillsammans. Underskriften ska:
- Ha en unik koppling till undertecknaren.
- Göra det möjligt att identifiera undertecknaren.
- Skapas med underskriftsuppgifter som undertecknaren med hög tillförlitlighet kan använda under sin egen exklusiva kontroll.
- Vara kopplad till det underskrivna innehållet så att senare ändringar kan upptäckas.
Kvalificerad underskrift kräver mer
En kvalificerad elektronisk underskrift, ofta förkortad QES, ska vara avancerad, bygga på ett kvalificerat certifikat för elektroniska underskrifter och skapas med en kvalificerad anordning för underskrift. Det följer av artikel 3.12.
Ett kvalificerat certifikat räcker därför inte ensamt för att göra en underskrift kvalificerad. eIDAS har också en separat bestämmelse, artikel 32a, om validering av avancerade underskrifter som bygger på kvalificerade certifikat. För QES ska kontrollen enligt artikel 32 även omfatta den kvalificerade anordningen.
Begär underlag för den konkreta underskriften. Medlemsstaternas tillitsförteckningar innehåller uppgifter om kvalificerade tillhandahållare och deras kvalificerade tjänster. Ett företags namn eller en allmän produktbeskrivning ersätter inte kontrollen av rätt tjänst, certifikat och underskrift.
[1]Vilken rättsverkan får nivåerna?
Enligt artikel 25.1 får en elektronisk underskrift inte nekas rättsverkan eller tillåtlighet som bevis enbart för att den är elektronisk eller inte är kvalificerad. Det betyder att även en underskrift på grundnivå kan ha rättslig betydelse. Bestämmelsen bestämmer däremot inte bevisvärdet i varje enskilt fall.
Artikel 25.2 ger en kvalificerad underskrift samma rättsverkan som en handskriven underskrift. En QES som bygger på ett kvalificerat certifikat från en medlemsstat ska dessutom erkännas som QES i övriga medlemsstater enligt artikel 24a.1.
Avtalets övriga giltighetskrav måste fortfarande vara uppfyllda. Artikel 2.3 lämnar utrymme för regler om avtalsslut, form och sektorsspecifika krav. Kontrollera därför exempelvis om vittnen behövs och om personen har rätt att företräda den som avtalet ska binda.
[1]Välj nivå utifrån handlingens krav
Börja med dokumentets rättsliga krav och mottagarens tillämpliga regler. Ett konkret svenskt exempel är en årsredovisning som upprättas elektroniskt: 2 kap. 7 § årsredovisningslagen föreskriver en avancerad elektronisk underskrift. Regeln ska inte överföras till alla andra dokument.
Bedöm sedan vilket underlag ni behöver om någon bestrider underskriften och hur dokumentet ska kunna kontrolleras senare. Be leverantören förklara hur kraven för den valda nivån uppfylls i just ert flöde. En metod för inloggning visar inte ensam att den efterföljande underskriften uppfyller alla krav i artikel 26.
[1][2]Frågor att ställa till leverantören
Begär svar som går att kontrollera i dokumentation och i ett faktiskt signerat testdokument.
- Vilken nivå enligt eIDAS gäller för den här underskriften, och vilka belägg finns för varje krav?
- Hur kopplas undertecknarens identitet och handlingen att skriva under till exakt det innehåll som signeras?
- Om QES erbjuds: vilket kvalificerat certifikat, vilken tjänst och vilken kvalificerad anordning används?
- Vilka filer och valideringsresultat får ni tillgång till för en senare kontroll?
- Vilka formkrav och behörighetskontroller behöver ni själva hantera?
Källor
- eIDAS, förordning (EU) nr 910/2014EUR-Lex · Artiklarna 2.3, 3.9–15, 22, 24a, 25–26, 32 och 32a
- Årsredovisningslag (1995:1554)Sveriges riksdag · 2 kap. 7 §: elektroniskt upprättad årsredovisning