EUs nivåer av elektroniske signaturer (eIDAS): hva er forskjellen mellom enkel, avansert og kvalifisert signatur?

EUs eIDAS-forordning definerer tre nivåer av elektronisk signatur: enkel (SES), avansert (AES) og kvalifisert (QES). I denne artikkelen forklarer vi i et enkelt språk hva hvert nivå betyr, når hvert er tilstrekkelig, og hvordan en liten bedrift kan dra nytte av dem i hverdagen.

Grunnidéen bak eIDAS-forordningen

eIDAS (electronic IDentification, Authentication and trust Services) er en EU-forordning som trådte i kraft i 2016. Den skaper felles regler for elektronisk identifisering og elektroniske signaturer i alle EU-land. I praksis betyr eIDAS følgende: en elektronisk signatur kan ikke avvises i retten bare fordi den er i elektronisk form. Dette gjelder i hele EU-området. Forordningen ble oppdatert i 2024 (eIDAS 2.0), som blant annet inkluderte EUs digitale identitetslommebok (EUDI Wallet) og strengere krav til tillitstjenester.

SES – enkel elektronisk signatur

SES er det enkleste signaturnivået. Det kan for eksempel være:

• Navn skrevet i en e-post
• Avkryssingsboksen «Jeg godtar vilkårene» i et nettskjema
• Tegnet signatur på en berøringsskjerm

SES krever ingen separat bekreftelse av identitet. Den er tilstrekkelig i situasjoner med lav risiko og der det allerede er et tillitsforhold mellom partene.\n\nHva dette betyr i praksis: hvis du selger en tjeneste for 500 euro til en liten, fast kunde, og de bekrefter bestillingen via e-post, er dette en SES-signatur. Den er gyldig, men bevisverdien er svakest i tilfelle tvist

AES – avansert elektronisk signatur

AES krever at signatar er pålitelig identifisert og at signaturen er knyttet til vedkommende slik at den ikke kan endres etterpå.\n\nI praksis betyr AES at signatar autentiserer seg ved f.eks. bankidentifikasjon, mobilt sertifikat eller en tilsvarende metode før signering.\n\nAES oppfyller fire krav:

1. Signaturen er unikt knyttet til signatar
2. Signatar kan identifiseres
3. Signatar har eksklusiv kontroll over dataene som brukes til å opprette signaturen
4. Endringer i dokumentet etter signering kan oppdages

Hva dette betyr i praksis: når du sender en kundekontrakt for signering via EpicSign, og kunden autentiserer seg med bankidentifikasjon, er dette en AES-signatur. Dette er tilstrekkelig for de fleste kommersielle kontrakter.

QES – kvalifisert (godkjent) elektronisk signatur

QES er det sterkeste nivået. I EU-lovgivningen sidestilles den direkte med en håndskrevet signatur.\n\nQES krever to ting:

1. Et sertifikat utstedt av en godkjent tillitstjenesteleverandør (Qualified Certificate)
2. En godkjent enhet for opprettelse av signatur (Qualified Signature Creation Device, QSCD)

Skaperne av QES-signaturer finnes på EU's Trusted List – en offisiell liste der godkjente tillitstjenesteleverandører er registrert. Hvert EU-land vedlikeholder sin egen liste.\n\nHva dette betyr i praksis: QES er hovedsakelig nødvendig når loven spesifikt krever skriftlig form (f.eks. visse eiendomstransaksjoner, myndighetskontakt) eller når kontraktsverdien og risikoen er spesielt høy.

Når er hvilket nivå tilstrekkelig?

For småbedrifter avhenger valget av riktig nivå av dokumentets risiko og verdi:

Audit trail og bevis

Hver elektronisk signatur etterlater seg et digitalt spor, det vil si en audit trail. Dette er et elektronisk bevis på hvem som signerte, når og hvorfra. En godt implementert audit trail inkluderer:

• Signatarens identifikasjonsdata (navn, e-post, autentiseringsmetode)
• Tidsstempel (når signaturen ble utført)
• IP-adresse og enhetsdata
• Dokumentets hash (hash) som beviser at dokumentet ikke er endret etter signatur

Praktisk eksempel: konsulentfirma og kontraktsstyring

Et konsulentfirma med tre ansatte i Tammerfors inngår 10–15 kundekontrakter hver måned. Tidligere ble kontraktene skrevet ut, signert og skannet. Prosessen tok 30–45 minutter per kontrakt. Overgangen til AES-nivå elektronisk signatur med EpicSign endret prosessen slik:

1. Kontrakten lastes opp til EpicSign (1 min)
2. Signatarer legges til, og signeringsforespørsel sendes (1 min)
3. Kunden autentiserer seg med bank-ID og signerer (2 min)
4. Den signerte kontrakten arkiveres automatisk (0 min)

Tidsbesparelse: ca. 2 timer i uken. I tillegg er hver kontrakt sporbar takket være audit trail.

Ofte stilte spørsmål

Kilder

1. eIDAS-forordningen (EU) nr. 910/2014 – om elektronisk identifisering og tillitstjenester
2. Digital- og befolkningsdataverket (DVV) – Elektronisk identifisering og tillitstjenester
3. Traficom – Valvitjenester og elektroniske signaturer
4. EU Trusted Lists – liste over godkjente tilbydere av pålitelighetstjenester

Denne artikkelen er av generell art og utgjør ikke juridisk rådgivning.