EU:s signaturnivåer (eIDAS) och eIDAS-sigill – en guide för småföretag

Elektroniska signaturer är vardagsmat, men visste du att det finns tre olika signaturnivåer inom EU? I den här artikeln förklarar vi på ett enkelt sätt vad eIDAS-förordningen (EU:s förordning om elektronisk identifiering och betrodda tjänster) innebär, hur signaturnivåerna skiljer sig åt och vad ett eIDAS-sigill är. I slutet berättar vi hur EpicSign hjälper småföretagare i praktiken.

Vad är eIDAS och varför är det viktigt?

eIDAS (electronic IDentification, Authentication and trust Services) är en EU-förordning som skapar enhetliga regler för elektronisk identifiering och elektroniska signaturer i alla EU-länder. Den trädde i kraft 2016 och uppdaterades 2024 (eIDAS 2.0). I praktiken innebär eIDAS att en elektronisk signatur gjord i Finland också är giltig i Tyskland, Spanien eller vilket annat EU-land som helst. Det skapar förtroende och eliminerar gränser för digitala transaktioner. För småföretagare är eIDAS viktigt eftersom det anger vilken nivå av signatur som behövs i olika situationer och vilken rättslig status den har.

EU:s tre signaturnivåer

eIDAS definierar tre nivåer för elektroniska signaturer. Varje nivå erbjuder ett bevis av varierande styrka för undertecknarens identitet.

SES

SES är den enklaste nivån. Det kan till exempel vara ett namn skrivet i ett e-postmeddelande, en elektronisk kryssruta eller en signaturbild. Identifieringen är svag: undertecknarens identitet bekräftas inte separat.

Användningsfall: interna dokument, avtal med låg risk, orderbekräftelser
Risk: lätt att bestrida vem som faktiskt undertecknade
Exempel: klicka på knappen ”Jag bekräftar min beställning” i en webbutik

AES

AES kräver att undertecknaren är entydigt identifierad och att signaturen är kopplad till denne på ett sådant sätt att den inte kan ändras i efterhand. Identifiering kan ske till exempel med bank-id eller mobilcertifikat.

Användningsfall: avtal, offerter, anställningsavtal, kundavtal
Risk: låg – stark koppling till undertecknaren
Exempel: kunden autentiserar sig med bank-id och undertecknar avtalet i EpicSign

QES

QES är den starkaste nivån. Den likställs i EU-lagstiftningen med en handskriven signatur. QES kräver ett certifikat utfärdat av en godkänd betrodd tjänsteleverantör och en godkänd anordning för skapande av signaturer.

Användningsfall: fastighetsaffärer, myndighetsärenden, avtal med hög risk
Risk: mycket låg – enligt lag samma som handskriven
Exempel: advokat undertecknar ett dokument som ska lämnas till domstol med ett QES-certifikat

Jämförelsetabell: när ska man välja vilken nivå?

Behov	Rekommendation	Varför	Exempel
Intern kvittens eller beställningsbekräftelse	SES	Tillräcklig, snabb och kostnadseffektiv	Anställd erkänner att ha läst instruktionen
Kundavtal eller offert	AES	Känna igen undertecknaren på ett pålitligt sätt	Kunden undertecknar offerten med banklegitimation
Anställningsavtal eller sekretessavtal	AES	Identifiering av båda parter är viktig	Ny arbetstagare undertecknar anställningsavtalet i EpicSign
Fastighetsaffär eller myndighetsdokument	QES	Lagen kräver högsta nivån	Advokaten signerar dokumentet som lämnas till domstolen
Internationellt avtal inom EU-området	AES eller QES	EU-omfattande giltighet enligt eIDAS-förordningen	Ett finskt företag och en spansk partner undertecknar samarbetsavtalet

Vad är ett eIDAS-sigill (eSeal)?

Ett eIDAS-sigill (electronic Seal, eSeal) är en organisations ”digitala stämpel”. Det skiljer sig från en elektronisk signatur genom att signaturen uttrycker en persons vilja, medan sigillet bevisar att dokumentet härrör från en viss organisation och inte har ändrats. I praktiken är ett eIDAS-sigill som ett företagsstämpel i den digitala världen.

Användningsfall: fakturor, rapporter, myndighetsmeddelanden, massdokument
Fördel: bevisar dokumentets ursprung och integritet automatiskt
Skillnad mot signatur: sigillet kräver inte en enskild persons agerande – det kan automatiseras

Ett litet företag kan dra nytta av ett sigill när det skickar stora mängder fakturor eller rapporter och vill att mottagaren ska kunna verifiera att dokumentet verkligen kommer från det företaget.

Stark autentisering i vardagsspråk

Stark autentisering (strong authentication) innebär att undertecknarens identitet verifieras på ett tillförlitligt sätt före signering. I praktiken innebär detta vanligtvis bank-ID, mobilt BankID eller en liknande metod.\n\nVarför är stark autentisering viktig?

Det minskar risken för missbruk avsevärt
Det är svårare att bestrida ett avtal när undertecknarens identitet har verifierats
Det är ofta ett krav för signaturer på AES- och QES-nivå
Det ökar förtroendet mellan alla parter

Exempelberättelser: eIDAS i praktiken

Ett konsultföretag med tre anställda i Tammerfors gör 10–15 kundavtal varje månad. Tidigare skrevs avtalen ut, signerades och skannades sedan tillbaka. Med EpicSign övergick företaget till elektronisk signering på AES-nivå: kunden identifierar sig med bank-ID och signerar avtalet inom några minuter. Tidsbesparing: cirka 2 timmar per vecka.\n\nEn liten webbutik använder SES-nivåsignering för orderbekräftelser. Kunden klickar i rutan för godkännande av villkoren och bekräftar sin beställning elektroniskt. Detta räcker gott för situationer med låg risk och kräver ingen separat autentisering.

EpicSign i praktiken

EpicSign stöder stark autentisering. Med vår tjänst kan du skicka avtal för undertecknande, och mottagaren autentiserar sig på ett tillförlitligt sätt före signaturen. Kommer snart: stark autentisering i Baltikum och Norden samt eIDAS-sigill. Vi utvecklar för närvarande stöd för autentiseringsmetoder i fler länder samt eIDAS-sigill på organisationsnivå. EpicSign är designat för småföretag: ett tydligt användargränssnitt, inga komplicerade tekniska krav och en prissättning som skalas efter användning.

Sammanfattning

EU:s eIDAS-förordning skapar tydliga spelregler för elektroniska signaturer. De tre nivåerna (SES, AES, QES) motsvarar olika behov:

SES räcker för enkla kvitteringar och interna dokument.
AES är det bästa valet för de flesta avtal och offerter – med stark autentisering.
QES är den starkaste nivån och likställs med en handskriven signatur.
eIDAS-sigill bevisar automatiskt organisationens dokuments ursprung.

Vanliga frågor

Vad är skillnaden mellan SES-, AES- och QES-signaturer?

SES är den enklaste nivån (t.ex. ett namn skrivet i ett e-postmeddelande). AES kräver stark autentisering, som BankID. QES är den starkaste nivån, som motsvarar en handskriven signatur och kräver ett godkänt certifikat.

Behöver småföretag QES-nivåsignering?

Oftast inte. Ett litet företags vanliga avtal, offerter och anställningsavtal hanteras på AES-nivå. QES behövs främst vid myndighetsärenden eller i situationer som särskilt krävs enligt lag.

Vad är ett eIDAS-sigill?

Ett eIDAS-sigill (eSeal) är en organisations digitala stämpel. Det bevisar att ett dokument kommer från en viss organisation och att det inte har ändrats. Det skiljer sig från en signatur såtillvida att det inte kräver en enskild persons handling.

Stöder EpicSign stark autentisering?

Ja. EpicSign stöder stark autentisering, och vi utvecklar för närvarande stöd för autentiseringsmetoder i Baltikum och Norden samt för eIDAS-sigill.

Är elektroniska signaturer lagligt giltiga i Finland?

Ja. Enligt eIDAS-förordningen kan en elektronisk signatur inte avvisas i domstol enbart på grund av dess elektroniska form. AES- och QES-nivåerna ger ett starkare bevisvärde.

Hur väljer jag rätt signaturnivå?

Bedöm avtalets risk och värde. För interna dokument räcker SES, för kundavtal AES och för myndighetsdokument eller högrisksavtal QES.