Mitä eroa on kehittyneellä, hyväksytyllä ja sealing-allekirjoituksella

Digitaalisen dokumentin sähköiseen allekirjoittamiseen on useita vaihtoehtoja. EU:n tunnistautumisasetus eIDAS määrittelee sähköisen allekirjoituksen seuraavasti:

“Sähköisellä allekirjoituksella tarkoitetaan sähköisessä muodossa olevaa tietoa, joka on liitetty tai loogisesti yhdistetty muuhun sähköisessä muodossa olevaan tietoon ja jota allekirjoittaja käyttää allekirjoittamiseen, kun allekirjoittaja on luonnollinen henkilö.”

Kaikki sähköiset allekirjoitukset eivät kuitenkaan ole laillisesti rinnastettavissa. eIDAS määrittelee kolme sähköisen allekirjoituksen tasoa, jotka ovat yksinkertainen SES-allekirjoitus, kehittynyt allekirjoitus (AES) sekä hyväksytty allekirjoitus (QES). Lisäksi rinnalla on erillinen malli, sähköinen leima (sealing), joka toimii hieman eri tavalla.

Tässä artikkelissa käymme läpi:

• Mitä eroa on eri allekirjoitustasoilla
• Mikä on kehittynyt allekirjoitus
• Mikä on hyväksytty allekirjoitus
• Mitä on sealing ja miten se eroaa allekirjoituksista
• Milloin mitäkin allekirjoitustasoa tulisi käyttää
  

Jos olet kiinnostunut perehtymään sähköisten allekirjoitusten PAdES-standardiin, joka niin ikään kuuluu eIDAS 2.0 -asetuksen piiriin, voit lukea aiheesta lisää täällä.

Kolme sähköisen allekirjoituksen tasoa

Sähköisten allekirjoitusten oikeudellinen painoarvo riippuu siitä, kuinka vahvasti allekirjoittajan henkilöllisyys on varmennettu.

eIDAS jakaa sähköiset allekirjoitukset kolmeen tasoon:

• Yksinkertainen sähköinen allekirjoitus (SES)
• Kehittynyt sähköinen allekirjoitus (AES)
• Hyväksytty sähköinen allekirjoitus (QES)

Nämä vastaavat eri varmuustasoja tunnistautumisessa: matala, vahva ja korkea.

Voit tutustua eIDAS-asetukseen tarkemmin Euroopan komission tai DVV:n sivuilla.

1. Taso: Yksinkertainen sähköinen allekirjoitus eli SES

Sähköinen allekirjoitus eli SES (Simple Electronic Signature) kattaa käytännössä kaiken, mikä viittaa allekirjoittamiseen ilman erityisiä tunnistautumisvaatimuksia.

Näistä esimerkkejä ovat:

• Nimen kirjoittaminen sähköpostiin
• “Hyväksyn ehdot” -painikkeen klikkaaminen
• Allekirjoituksen piirtäminen ruudulle
• Skannatun allekirjoituksen liittäminen dokumenttiin (oheinen esimerkki)

 SES-allekirjoitus riittää tilanteisiin, joissa mahdollisen väärinkäytön seuraukset ovat rajalliset eikä allekirjoittajan henkilöllisyyden vahvan varmentamisen koeta olevan tarpeen. Usein luotettavampi henkilöllisyyden todentaminen on kuitenkin tarpeen.

2. Taso: Kehittynyt sähköinen allekirjoitus eli AES

Kehittynyt sähköinen allekirjoitus eli AES (Advanced Electronic Signature) liittää allekirjoitukseen vahvan tunnistautumisen ja kryptografisen suojauksen.

Jotta allekirjoitus täyttää AES-vaatimukset, sen pitää:

• Olla yksilöllisesti sidottu allekirjoittajaan
• Mahdollistaa allekirjoittajan tunnistaminen
• Olla allekirjoittajan hallinnassa
• Varmistaa allekirjoitetun dokumentin eheys

Käytännössä tämä tarkoittaa, että allekirjoittavien osapuolten tulee tunnistautua sähköisellä tunnisteella, kuten pankkitunnuksilla.

Kun AES-allekirjoitettu dokumentti avataan esimerkiksi Adobe Readerilla, dokumentissa tulee näkyä allekirjoittajan nimi ja todiste eheydestä. Vastaanottaja siis näkee heti, kuka on allekirjoittanut asiakirjan ja ettei asiakirjaan ole tehty muutoksia allekirjoittamisen jälkeen.

AES soveltuu hyvin esimerkiksi:

• Laillisesti sitoviin sopimuksiin, kuten työsopimuksiin
• Lainahakemuksiin
• Muihin asiakirjoihin, joissa allekirjoittajan henkilöllisyys on oleellinen

Idura tarjoaa AES-allekirjoituksia ennakkokäyttöön. Voit lukea aiheesta lisää ja ottaa ominaisuuden ennakkokäyttöön täällä. 

3. Taso: Hyväksytty sähköinen allekirjoitus eli QES

Hyväksytty sähköinen allekirjoitus eli QES (Qualified Electronic Signature) on korkein eIDAS-taso. Oikeudellisesti se on rinnastettavissa käsin kirjoitettuun allekirjoitukseen kaikissa EU-maissa.

QES vastaa suurelta osin kehittynyttä sähköistä allekirjoitusta, mutta tuo mukaan lisävaatimuksia:

• Allekirjoitus tehdään hyväksytyllä allekirjoituslaitteella. Näitä ovat esimerkiksi älykortit, SIM-kortit ja USB-laitteet, jotka suojaavat allekirjoitusdataa.
• Allekirjoittamiseen käytetään eIDAS-hyväksyttyä varmennetta, jonka myöntäjän on oltava viranomaisen hyväksymä ja EU:n luottamuslistalla.

QES-allekirjoitusta käytetään lähinnä tilanteissa, joissa sääntely sitä erikseen vaatii. Näihin kuuluvat esimerkiksi:

• Viranomaisasiointi
• Tietyt terveydenhuollon prosessit, kuten potilastietojen luovutus
• Erityisen tiukasti säännellyt, esimerkiksi energia-alan sopimukset

Useimmissa liiketoimintatilanteissa AES-allekirjoitus on kuitenkin täysin riittävä.

Idura tarjoaa QES-allekirjoituksia toistaiseksi vain Norjan markkinoilla. Voit lukea aiheesta lisää täältä.

Kolme allekirjoitustasoa vertailussa

Tästä taulukosta voit vertailla eri allekirjoitustasoja yhdellä silmäyksellä:

Organisaation sähköinen leima eli "sealing"

eIDAS-asetuksessa määritellään sähköisten allekirjoitusten lisäksi myös sähköinen leima (sealing), joka vastaa käytännössä organisaation allekirjoitusta. Se toimii yksityishenkilön antaman sähköisen allekirjoituksen tavoin, mutta kohdistuu organisaatioon yksittäisen henkilön sijaan. eIDAS määrittelee sealing-allekirjoituksen näin:

“Sähköisellä leimalla tarkoitetaan sähköisessä muodossa olevaa tietoa, joka on liitetty tai loogisesti yhdistetty muuhun sähköisessä muodossa olevaan tietoon sen alkuperän ja eheyden varmistamiseksi, ja jonka luoja on oikeushenkilö (toisin kuin sähköisessä allekirjoituksessa, jonka antaa luonnollinen henkilö).”

Lyhyesti sanottuna, sähköinen allekirjoitus liittyy luonnolliseen henkilöön ja sähköinen leima eli sealing liittyy organisaatioon. 

Sealing-leimojen kolme tasoa

Sähköiset leimat noudattavat samaa tasorakennetta kuin sähköiset allekirjoitukset. Sealing-tasot ovat niin ikään yksinkertainen, kehittynyt ja hyväksytty. Niiden vaatimukset vastaavat pitkälti allekirjoituksia, pienin poikkeuksin.

Keskeinen ero liittyy siihen, mikä varmenne näkyy dokumentissa. Kun leimattu dokumentti avataan esimerkiksi Adobe Readerissa, allekirjoituskentässä näkyy yksittäisen allekirjoittajan sijaan leiman luoneen organisaation nimi. Organisaation puolesta allekirjoittavan henkilön henkilöllisyys varmennetaan silti prosessin aikana, mutta se tallentuu dokumentin taustatietoihin näkyvän allekirjoituskentän sijaan.

Miksi B2B-asiakkaat suosivat sähköistä leimaa

Monet allekirjoitusratkaisujen tarjoajat, kuten Idura, hyödyntävät sähköistä leimaa sähköisten allekirjoitusten lisäksi.

Syy on yksinkertainen: useimmille B2B-asiakkaille sähköinen leima on sekä riittävä että käytännöllinen ratkaisu. Se täyttää juridiset vaatimukset ja mahdollistaa sujuvan, automatisoidun prosessin.

Esimerkiksi tanskalainen sijoitusalusta Tobi hyödyntää Idura Signaturesin authenticated sealing -ratkaisua, jossa asiakkaat tunnistautuvat tanskalaisella MitID-tunnisteella. Tämä kattaa samalla myös KYC-vaatimukset.

Näin prosessi toimii käytännössä

1. Allekirjoitettava dokumentti näytetään allekirjoittajalle
2. Allekirjoittaja tunnistautuu kansallisella sähköisellä tunnisteella
3. Allekirjoittajan henkilöllisyys liitetään dokumenttiin todistusaineistona
4. Dokumentti leimataan Iduran EUTL-varmenteella
5. Valmis PDF suojataan ja tallennetaan

Lopputuloksena on juridisesti sitova dokumentti, jonka eheys voidaan varmistaa ja jonka käsittelyvaiheet ovat jäljitettävissä.

Allekirjoittajan henkilöllisyys varmennetaan taustalla, mutta itse dokumentissa näkyy organisaation nimi, esimerkiksi “Signed by Idura Signature Service”.

Minkälaisissa tapauksissa sealing-leima ei riitä?

Sealing-leimat ovat täysin riittävä ratkaisu suurimmalle osalle asiakaskunnastamme.

Jos allekirjoittajan henkilöllisyyden on näyttävä suoraan dokumentissa, tarvitaan henkilökohtainen allekirjoitusvarmenne. Tällöin allekirjoittajan nimi näkyy asiakirjassa selkeästi, eikä sitä tallenneta vain taustatiedoksi.

Kuinka valita yrityksellesi sopivin vaihtoehto

Valinta perustuu kahteen kysymykseen:

1. Pitääkö allekirjoittajan nimi näkyä dokumentissa?
2. Kuinka vahvasti henkilöllisyys pitää varmentaa?

Ensimmäinen määrittää, käytetäänkö allekirjoitusta vai sähköistä leimaa.
Toinen määrittää, mikä taso (SES, AES vai QES) on sopiva.

Nämä tuotteet löytyvät tämänhetkisestä tarjonnastamme:

Valitse sinulle sopivin allekirjoituspalvelu

Päätettyäsi minkälaisen allekirjoituksen tai leiman tarvitset, seuraava vaihe on sopivan allekirjoituspalvelun valinta.

Oikea ratkaisu riippuu usein siitä, haluatko rakentaa oman allekirjoitusprosessin vai hyödyntää valmista allekirjoitusalustaa.

Idura Signatures tarjoaa white label -ratkaisuja sähköiseen allekirjoittamiseen ja leimaamiseen sähköisellä tunnistautumisella.

Voit kokeilla palvelua itse luomalla maksuttoman tilin ja aloittamalla testauksen muutamassa minuutissa.

Jos haluat perehtyä tarkemmin siihen, miten Idura Signatures toimii, voit tutustua dokumentaatioomme.