EU:n sähköiset allekirjoitustasot (eIDAS): mitä eroa on tavallisella, kehittyneellä ja kvalifioidulla allekirjoituksella?

EU:n eIDAS-asetus määrittelee kolme sähköisen allekirjoituksen tasoa: tavallinen (SES), kehittynyt (AES) ja hyväksytty eli kvalifioitu (QES). Tässä artikkelissa käymme läpi selkokielellä, mitä kukin taso tarkoittaa, milloin mikäkin riittää ja miten pienyritys voi hyödyntää niitä arjessaan.

eIDAS-asetuksen perusidea

eIDAS (electronic IDentification, Authentication and trust Services) on EU:n asetus, joka tuli voimaan vuonna 2016. Se luo yhteiset säännöt sähköiselle tunnistamiselle ja sähköisille allekirjoituksille kaikissa EU-maissa. Käytännössä eIDAS tarkoittaa seuraavaa: sähköistä allekirjoitusta ei voi hylätä oikeudessa pelkästään siksi, että se on sähköisessä muodossa. Tämä pätee koko EU-alueella. Asetus päivitettiin vuonna 2024 (eIDAS 2.0), jolloin mukaan tulivat mm. EU:n digitaalinen henkilöllisyyslompakko (EUDI Wallet) ja tiukemmat vaatimukset luottamuspalveluille.

SES – tavallinen sähköinen allekirjoitus

SES (Simple Electronic Signature) on yksinkertaisin allekirjoitustaso. Se voi olla esimerkiksi:

• Sähköpostiin kirjoitettu nimi
• Verkkolomakkeen "Hyväksyn ehdot" -rasti
• Piirretty allekirjoitus kosketusnäytöllä

SES ei vaadi erillistä henkilöllisyyden varmistusta. Se riittää tilanteisiin, joissa riski on pieni ja osapuolten välillä on jo luottamussuhde. Mitä tämä tarkoittaa käytännössä: jos myyt pienelle vakioasiakkaallesi palvelua 500 eurolla ja hän vahvistaa tilauksen sähköpostilla, kyseessä on SES-tason allekirjoitus. Se on pätevä, mutta kiistatilanteessa todistusarvo on heikoin.

AES – kehittynyt sähköinen allekirjoitus

AES (Advanced Electronic Signature) vaatii, että allekirjoittaja on tunnistettu luotettavasti ja allekirjoitus on sidottu häneen niin, ettei sitä voi muuttaa jälkikäteen. Käytännössä AES tarkoittaa, että allekirjoittaja tunnistautuu esimerkiksi pankkitunnuksilla, mobiilivarmenteella tai vastaavalla menetelmällä ennen allekirjoitusta. AES täyttää neljä vaatimusta:

1. Allekirjoitus on yksilöllisesti sidottu allekirjoittajaan
2. Allekirjoittaja on tunnistettavissa
3. Allekirjoittajalla on yksinomainen hallinta allekirjoituksen luontiin käytettyihin tietoihin
4. Allekirjoituksen jälkeen tehdyt muutokset asiakirjaan ovat havaittavissa

Mitä tämä tarkoittaa käytännössä: kun lähetät asiakassopimuksen allekirjoitettavaksi EpicSignin kautta ja asiakas tunnistautuu pankkitunnuksilla, kyse on AES-tason allekirjoituksesta. Useimpiin kaupallisiin sopimuksiin tämä riittää hyvin.

QES – kvalifioitu (hyväksytty) sähköinen allekirjoitus

QES (Qualified Electronic Signature) on vahvin taso. EU-lainsäädännössä se rinnastuu suoraan käsinkirjoitettuun allekirjoitukseen. QES vaatii kaksi asiaa:

1. Hyväksytyn luottamuspalveluntarjoajan myöntämän varmenteen (Qualified Certificate)
2. Hyväksytyn allekirjoituksen luontilaitteen (Qualified Signature Creation Device, QSCD)

QES-allekirjoituksen tekijät löytyvät EU:n Trusted Listilta – virallisesta luettelosta, johon hyväksytyt luottamuspalveluntarjoajat on kirjattu. Jokainen EU-maa ylläpitää omaa listaansa. Mitä tämä tarkoittaa käytännössä: QES on tarpeen lähinnä, kun laki nimenomaisesti vaatii kirjallista muotoa (esim. tietyt kiinteistökaupat, viranomaisasiointi) tai kun sopimuksen arvo ja riski ovat erityisen korkeat.

Milloin mikäkin taso riittää?

Pienyritykselle oikean tason valinta riippuu dokumentin riskistä ja arvosta:

Audit trail ja todisteet

Jokainen sähköinen allekirjoitus jättää digitaalisen jäljen eli audit trailin. Se on sähköinen todiste siitä, kuka allekirjoitti, milloin ja mistä. Hyvin toteutettu audit trail sisältää:

• Allekirjoittajan tunnistustiedot (nimi, sähköposti, tunnistustapa)
• Aikaleima (milloin allekirjoitus tehtiin)
• IP-osoite ja laitetiedot
• Dokumentin tiiviste (hash), joka todistaa, ettei asiakirjaa ole muutettu allekirjoituksen jälkeen

Käytännön esimerkki: konsulttiyritys ja sopimusten hallinta

Kolmen hengen konsulttiyritys Tampereella tekee kuukausittain 10–15 asiakassopimusta. Aiemmin sopimukset tulostettiin, allekirjoitettiin ja skannattiin. Prosessi vei 30–45 minuuttia per sopimus. Siirtyminen AES-tasoiseen sähköiseen allekirjoitukseen EpicSignilla muutti prosessin:

1. Sopimus ladataan EpicSigniin (1 min)
2. Allekirjoittajat lisätään ja allekirjoituspyyntö lähetetään (1 min)
3. Asiakas tunnistautuu pankkitunnuksilla ja allekirjoittaa (2 min)
4. Allekirjoitettu sopimus arkistoituu automaattisesti (0 min)

Aikasäästö: noin 2 tuntia viikossa. Lisäksi jokainen sopimus on jäljitettävissä audit trailin ansiosta.

Usein kysytyt kysymykset

Lähteet

1. eIDAS-asetus (EU) N:o 910/2014 – sähköisestä tunnistamisesta ja luottamuspalveluista
2. Digi- ja väestötietovirasto (DVV) – Sähköinen tunnistaminen ja luottamuspalvelut
3. Traficom – Luottamuspalvelut ja sähköiset allekirjoitukset
4. EU Trusted Lists – hyväksyttyjen luottamuspalveluntarjoajien luettelo

Tämä artikkeli on yleisluontoinen eikä ole oikeudellista neuvontaa.