Hvad er forskellene mellem SES, AES, QES og Sealing?

Når et digitalt dokument skal underskrives, kan organisationer og enkeltpersoner benytte sig af elektroniske signaturer.

Disse er digitale modstykker til håndskrevne underskrifter og tjener et lignende formål.

Men ikke alle elektroniske signaturer er ens.

Lad os se på de tre niveauer af elektroniske signaturer som defineret af eIDAS, og hvor elektronisk forsegling passer ind i billedet.

Hvad er de tre typer elektroniske signaturer?

eIDAS definerer en elektronisk signatur som følger:

»En elektronisk signatur er data i elektronisk form, der er knyttet til eller logisk forbundet med andre data i elektronisk form, og som anvendes af underskriveren til at underskrive, hvor underskriveren er en fysisk person.«

Samtidig afhænger den juridiske gyldighed, som en elektronisk signatur har, af dens type.

I henhold til eIDAS-forordningen kan elektroniske signaturer inddeles i tre forskellige niveauer, der er underlagt forskellige verifikationskrav og har forskellig juridisk gyldighed.

Disse er knyttet til de de tre sikkerhedsniveauer i EUDI-rammen – lav, betydelig eller høj – som henviser til »graden af tillid til en persons påståede identitet«.

Lad os se nærmere på de tre typer signaturer og deres anvendelsestilfælde.

For mere information om de forskellige sikkerhedsniveauer, læs »eIDAS-sikkerhedsniveauer i forskellige nationale eID-ordninger«.

De tre niveauer for elektroniske signaturer: en forklaring

En hurtig krusedulle på en touchscreen er teknisk set en elektronisk signatur. Det samme gælder en kryptografisk verificeret signatur, der er knyttet til en national eID.

Hvad du bruger, afhænger af din situation og hvor sikker du vil være på underskriverens identitet. De tre niveauer bygger på hinanden, og hvert nyt niveau skal opfylde minimumskravene for det lavere niveau.

Niveau 1: Enkle elektroniske signaturer (SES)

Dette henviser til enhver elektronisk angivelse af en hensigt om at underskrive. På dette niveau er der ingen specifikke krav til identitetsverifikation, certifikater eller detektering af manipulation.

Nogle eksempler på enkle elektroniske signaturer:

• Indsættelse af en scannet håndskrevet underskrift i et dokument (f.eks. PDF)
• At skrive sit navn i en e-mail vedrørende aftaler
• At klikke på »Jeg accepterer« i en onlineformular
• At tegne en krusedulle på en touchscreen

Enkle elektroniske signaturer er tilstrækkelige i de fleste hverdagssituationer med lav risiko, såsom kvitteringer for pakker, samtykkeformularer for medarbejdere og online servicevilkår.

Men i situationer, der kræver et mere robust identitetsbevis, har du brug for noget stærkere.

Niveau 2: Avancerede elektroniske signaturer (AES)

Avancerede elektroniske signaturer er et væsentligt skridt op fra SES og giver kryptografisk bevis for underskriverens identitet.

I henhold til eIDAS skal en signatur opfylde nogle specifikke krav for at blive betragtet som AES:

1. Den skal være entydigt knyttet til og i stand til at identificere underskriveren
2. Underskriveren skal bevare kontrollen over underskrivningen
3. Enhver efterfølgende ændring af den oprindelige signatur skal kunne spores

I praksis indebærer dette ofte, at underskriveren bruger et nationalt eID til at autentificere sig. Dette binder underskriften kryptografisk til dokumentet, hvilket betyder, at enhver fremtidig manipulation er let at opdage.

Når nogen åbner et AES-signeret dokument, vises den enkelte underskrivers navn i signaturpanelet. På denne måde kan modtagerne straks se, hvem der har underskrevet dokumentet, uden at skulle tjekke eksterne kilder.

Avancerede elektroniske signaturer bruges ofte til kontrakter, låneansøgninger og andre aftaler, der kræver en valideret personlig signatur.

Idura arbejder på at tilbyde personbaseret AES. Hvis du er interesseret, kan dutilmelde dig for at få tidlig adgang.

Niveau 3: Kvalificerede elektroniske signaturer (QES)

For langt de fleste underskrevne kontrakter er avancerede elektroniske signaturer tilstrækkelige.

Men i visse brancher kan lovgivningen kræve en endnu stærkere metode.

Det er her, QES kommer ind i billedet. Kvalificerede elektroniske signaturer har to yderligere krav:

1. En QES skal oprettes af en kvalificeret signaturgenerator (QSCD). Det drejer sig om smartcards, SIM-kort, USB-nøgler osv., der er i stand til at beskytte personens data til oprettelse af elektroniske signaturer.
2. En QES skal være baseret på et kvalificeret certifikat, udstedt af en udbyder, der officielt har fået tildelt status som »kvalificeret« af en national myndighed. Du kan finde disse udbydere på EU’s liste over pålidelige udbydere.

Et eksempel på en branche, hvor QES udtrykkeligt kræves, er den norske forsyningssektor. Her kræver de seneste regler kræver, at el-leverandører indhenter QES som bevis for kundens samtykke ved udskiftning af udbyder.

Det, der gør dette muligt, er, at Stø (virksomheden bag det norske BankID) er er opført på EU’s tillidsliste, mens det danske MitID og det svenske BankID endnu ikke er understøttet af tilsvarende kvalificerede standarder.

QES er kun virkelig nødvendigt, når strenge regler kræver det, f.eks. ved skatteindberetninger, indsendelse af dokumenter til myndighederne og patientjournaler, der skal overholde lovgivningen. Den ekstra indsats og kompleksitet er ikke det værd i situationer, hvor AES allerede klarer opgaven.

Idura tilbyder QES i Norge. Læs mere: »Idura leverer kvalificerede elektroniske signaturer via det norskeBankID«

De tre niveauer: Side-ved-side-sammenligning

Her er et overblik over signaturniveauerne og hvordan de forholder sig til hinanden:

Hvor passer »forsegling« ind?

Indtil videre har vi fokuseret på elektroniske signaturer fra fysiske personer.

Men eIDAS har en separat kategori for »sealing« til juridiske enheder. Her er den officielle definition af et elektronisk segl (vores fremhævning):

»Et elektronisk segl er data i elektronisk form, der er knyttet til eller logisk forbundet med andre data i elektronisk form for at sikre disse dataers oprindelse og integritet, hvor ophavsmanden til et segl er en juridisk person (i modsætning til den elektroniske signatur, der udstedes af en fysisk person).«

Med andre ord er en signatur knyttet til en person (og udtrykker dennes samtykke), mens et segl er knyttet til en organisation (og bekræfter et dokuments oprindelse og integritet).

En tilsvarende tredelt struktur for segl

Ligesom elektroniske signaturer følger elektroniske segl et næsten identisk forløb: Enkelt, Avanceret og Kvalificeret. Kravene på hvert niveau afspejler også kravene til signaturer, med mindre undtagelser.

Den væsentligste forskel er hvilket certifikat der fremgår af dokumentet.

Når du åbner et forseglet dokument i f.eks. Adobe Reader, vil feltet »signatur« faktisk vise navnet på den organisation, der står bag seglet, i stedet for den enkelte underskriver. Det er værd at bemærke, at underskriverens identitet stadig registreres i processen (f.eks. via eID), men den indlejres som bevis i dokumentet i stedet for at blive vist direkte.

Hvorfor B2B-kunder måske foretrækker autentificeret forsegling

Mange udbydere af underskrivningstjenester, herunder Idura Signatures, arbejder faktisk med forsegling i stedet for underskrift.

Det skyldes, at de fleste B2B-kunder finder forsegling både praktisk og tilstrækkelig til deres behov. For eksempel den danske investeringsplatform Tobi bruger Idura Signatures' produkt "autentificeret forsegling" til at lade kunderne underskrive med MitID, hvilket dækker alle de juridiske krav, såsom KYC.

Sådan fungerer Idura Signatures i praksis:

1. Et dekrypteret dokument, der skal underskrives, vises for underskriveren.
2. Underskriveren autentificerer sig med sit nationale eID og underskriver dokumentet.
3. Idura indlejrer underskriverens identitet som bevis i dokumentet.
4. Idura forsegler dokumentet med sit eget EUTL-certifikat.
5. Den forseglede PDF-fil krypteres på ny og gemmes på sikre servere.

Resultatet er et juridisk bindende dokument med beskyttelse mod manipulation og et fuldstændigt revisionsspor. Underskriverens identitet verificeres i baggrunden, og teksten »Underskrevet af Idura Signature Service« vises i PDF-panelet.

Hvornår er forsegling ikke nok?

Forsegling dækker de fleste af vores kunders forretningsbehov.

Men hvis du eller dine modparter skal vise identiteten på den person, der har underskrevet dokumentet (i stedet for den underskriftstjeneste, der står bag), bliver en underskrift med et personligt certifikat nødvendig.

På denne måde vises underskriverens navn tydeligt i stedet for blot at være indlejret som bevis.

Idura arbejder på at tilbyde personbaserede elektroniske signaturer. Hvis du er interesseret, kan du tilmelde dig for at få tidlig adgang.

Sådan vælger du den rigtige løsning

Hvad der er det rigtige for din virksomhed, afhænger af, hvordan du besvarer to centrale spørgsmål:

1. Skal underskriverens navn vises på dokumentet?
2. Hvilket sikkerhedsniveau har du brug for?

Det første svar fortæller dig, om du har brug for en elektronisk signatur eller et elektronisk segl.

Det andet svar afgør, hvilket af de tre niveauer – simpelt, avanceret eller kvalificeret – du bør vælge.

Her er en oversigt over, hvordan Iduras nuværende produktudbud passer ind i billedet:

Valg af udbyder af elektroniske signaturer

Når du har besluttet dig for, om du vil bruge forsegling eller signaturer, og ved, hvilket niveau du er ude efter, er det næste skridt at vælge en signaturtjeneste.

Det rigtige valg afhænger ofte af, om du vil designe din egen proces eller bruge en platform, der er klar til brug.

Idura Signatures tilbyder dig white-label-løsninger til eID-signatur og -stempling.

Hvis du vil prøve det selv, skal du oprette en gratis konto og begynd at teste med blot et par klik.

Hvis du vil have en bedre forståelse af, hvordan Idura Signatures fungerer, kan du læse vores dokumentation.