Digitaalisen dokumentin sähköiseen allekirjoittamiseen on useita vaihtoehtoja. EU:n tunnistautumisasetus eIDAS määrittelee sähköisen allekirjoituksen seuraavasti:
“Sähköisellä allekirjoituksella tarkoitetaan sähköisessä muodossa olevaa tietoa, joka on liitetty tai loogisesti yhdistetty muuhun sähköisessä muodossa olevaan tietoon ja jota allekirjoittaja käyttää allekirjoittamiseen, kun allekirjoittaja on luonnollinen henkilö.”
Kaikki sähköiset allekirjoitukset eivät kuitenkaan ole laillisesti rinnastettavissa. eIDAS määrittelee kolme sähköisen allekirjoituksen tasoa. Lisäksi rinnalla on erillinen malli, sähköinen leima (sealing), joka toimii hieman eri tavalla.
Tässä artikkelissa käymme läpi:
- Mitä eri allekirjoitustasoja on ja mitä niillä tarkoitetaan
- Milloin mitäkin allekirjoitustasoa tulisi käyttää
- Miten sealing eroaa allekirjoituksista
Kolme sähköisen allekirjoituksen tasoa
Sähköisten allekirjoitusten oikeudellinen painoarvo riippuu siitä, kuinka vahvasti allekirjoittajan henkilöllisyys on varmennettu.
eIDAS jakaa sähköiset allekirjoitukset kolmeen tasoon:
- Yksinkertainen sähköinen allekirjoitus (SES)
- Kehittynyt sähköinen allekirjoitus (AES)
- Hyväksytty sähköinen allekirjoitus (QES)
Nämä vastaavat eri varmuustasoja tunnistautumisessa: matala, vahva ja korkea.
Voit tutustua eIDAS-asetukseen tarkemmin Euroopan komission tai DVV:n sivuilla.
1. Taso: Yksinkertainen sähköinen allekirjoitus eli SES
Sähköinen allekirjoitus eli SES (Simple Electronic Signature) kattaa käytännössä kaiken, mikä viittaa allekirjoittamiseen ilman erityisiä tunnistautumisvaatimuksia.
Näistä esimerkkejä ovat:
- Nimen kirjoittaminen sähköpostiin
- “Hyväksyn ehdot” -painikkeen klikkaaminen
- Allekirjoituksen piirtäminen ruudulle
- Skannatun allekirjoituksen liittäminen dokumenttiin (oheinen esimerkki)
SES-allekirjoitus riittää tilanteisiin, joissa mahdollisen väärinkäytön seuraukset ovat rajalliset eikä allekirjoittajan henkilöllisyyden vahvan varmentamisen koeta olevan tarpeen. Usein luotettavampi henkilöllisyyden todentaminen on kuitenkin tarpeen.
2. Taso: Kehittynyt sähköinen allekirjoitus eli AES
Kehittynyt sähköinen allekirjoitus eli AES (Advanced Electronic Signature) liittää allekirjoitukseen vahvan tunnistautumisen ja kryptografisen suojauksen.
Jotta allekirjoitus täyttää AES-vaatimukset, sen pitää:
- Olla yksilöllisesti sidottu allekirjoittajaan
- Mahdollistaa allekirjoittajan tunnistaminen
- Olla allekirjoittajan hallinnassa
- Varmistaa allekirjoitetun dokumentin eheyden
Käytännössä tämä tarkoittaa, että allekirjoittavien osapuolten tulee tunnistautua sähköisellä tunnisteella, kuten pankkitunnuksilla.
Kun AES-allekirjoitettu dokumentti avataan esimerkiksi Adobe Readerilla, dokumentissa tulee näkyä allekirjoittajan nimi ja todiste eheydestä. Vastaanottaja siis näkee heti, kuka on allekirjoittanut asiakirjan ja ettei asiakirjaan ole tehty muutoksia allekirjoittamisen jälkeen.
AES sopii hyvin esimerkiksi:
- Laillisesti sitoviin sopimuksiin, kuten työsopimuksiin
- Lainahakemuksiin
- Muihin asiakirjoihin, joissa allekirjoittajan henkilöllisyys on oleellinen
Idura tarjoaa AES-allekirjoituksia ennakkokäyttöön. Voit lukea aiheesta lisää ja ottaa ominaisuuden ennakkokäyttöön täällä.
3. Taso: Hyväksytty sähköinen allekirjoitus eli QES
Hyväksytty sähköinen allekirjoitus eli QES (Qualified Electronic Signature) on korkein eIDAS-taso. Oikeudellisesti se vastaa käsin kirjoitettua allekirjoitusta.
QES vastaa suurelta osin kehittynyttä sähköistä allekirjoitusta, mutta tuo mukaan lisävaatimuksia:
- Allekirjoitus tehdään hyväksytyllä allekirjoituslaitteella. Näitä ovat esimerkiksi älykortit, SIM-kortit ja USB-laitteet, jotka suojaavat allekirjoitusdataa.
- Allekirjoittamiseen käytetään eIDAS-hyväksyttyä varmennetta, jonka myöntäjän on oltava viranomaisen hyväksymä ja EU:n luottamuslistalla.
QES-allekirjoitusta käytetään lähinnä tilanteissa, joissa sääntely sitä erikseen vaatii. Näihin kuuluvat esimerkiksi:
- Viranomaisasiointi
- Tietyt terveydenhuollon prosessit, kuten potilastietojen luovutus
- Erityisen tiukasti säännellyt, esimerkiksi energia-alan sopimukset
Useimmissa liiketoimintatilanteissa AES-allekirjoitus on kuitenkin täysin riittävä.
Idura tarjoaa QES-allekirjoituksia toistaiseksi vain Norjan markkinoilla. Voit lukea aiheesta lisää täältä.
Kolme allekirjoitustasoa vertailussa
Tästä taulukosta voit vertailla eri allekirjoitustasoja yhdellä silmäyksellä:
|
SES |
AES |
QES |
|
|
Henkilöllisyyden varmennus |
Ei |
Kyllä (kansallinen eID) |
Kyllä (EU:n luottamuslistan hyväksymä) |
|
Muokkausten havaitseminen |
Ei |
Kyllä |
Kyllä |
|
Laillinen pätevyys |
Sitova (mahdollista haastaa) |
Vahva |
Vastaa käsinkirjoitettua allekirjoitusta |
|
Vaatimukset |
None |
Kansallinen eID-integraatio |
QSCD + sertifiointi |
|
Käyttöönoton vaativuus |
Minimaalinen |
Kohtalainen |
Korkea |
Organisaation sähköinen leima eli "sealing"
eIDAS-asetuksessa määritellään sähköisten allekirjoitusten lisäksi myös sähköinen leima (sealing), joka vastaa käytännössä organisaation allekirjoitusta. Se toimii yksityishenkilön antaman sähköisen allekirjoituksen tavoin, mutta kohdistuu organisaatioon yksittäisen henkilön sijaan. eIDAS määrittelee sealing-allekirjoituksen näin:
“Sähköisellä leimalla tarkoitetaan sähköisessä muodossa olevaa tietoa, joka on liitetty tai loogisesti yhdistetty muuhun sähköisessä muodossa olevaan tietoon sen alkuperän ja eheyden varmistamiseksi, ja jonka luoja on oikeushenkilö (toisin kuin sähköisessä allekirjoituksessa, jonka antaa luonnollinen henkilö).”
Lyhyesti sanottuna, sähköinen allekirjoitus liittyy luonnolliseen henkilöön ja sähköinen leima eli sealing liittyy organisaatioon.
Sealing-leimojen kolme tasoa
Sähköiset leimat noudattavat pitkälti samaa tasorakennetta kuin sähköiset allekirjoitukset. Sealing-tasot ovat niin ikään yksinkertainen, kehittynyt ja hyväksytty. Niiden vaatimukset vastaavat pitkälti allekirjoituksia, pienin poikkeuksin.
Keskeinen ero liittyy siihen, mikä varmenne näkyy dokumentissa.
Kun leimattu dokumentti avataan esimerkiksi Adobe Readerissa, allekirjoituskentässä näkyy yksittäisen allekirjoittajan sijaan leiman luoneen organisaation nimi. Organisaation puolesta allekirjoittavan henkilön henkilöllisyys varmennetaan silti prosessin aikana, mutta se vain tallentuu dokumentin taustatietoihin näkyvän allekirjoituskentän sijaan.
Miksi B2B-asiakkaat suosivat sähköistä leimaa
Monet allekirjoitusratkaisujen tarjoajat, kuten Idura Signatures, hyödyntävät sähköistä leimaa perinteisen allekirjoituksen sijaan.
Syy on yksinkertainen: useimmille B2B-asiakkaille sähköinen leima on sekä riittävä että käytännöllinen ratkaisu. Se täyttää juridiset vaatimukset ja mahdollistaa sujuvan, automatisoidun prosessin.
Esimerkiksi tanskalainen sijoitusalusta Tobi hyödyntää Idura Signaturesin authenticated sealing -ratkaisua, jossa asiakkaat tunnistautuvat tanskalaisella MitID-tunnisteella. Tämä kattaa samalla myös KYC-vaatimukset.
Näin prosessi toimii käytännössä
- Allekirjoitettava dokumentti näytetään allekirjoittajalle
- Allekirjoittaja tunnistautuu kansallisella sähköisellä tunnisteella
- Allekirjoittajan henkilöllisyys liitetään dokumenttiin todistusaineistona
- Dokumentti leimataan Iduran EUTL-varmenteella
- Valmis PDF suojataan ja tallennetaan
Lopputuloksena on juridisesti sitova dokumentti, jonka eheys voidaan varmistaa ja jonka käsittelyvaiheet ovat jäljitettävissä.
Allekirjoittajan henkilöllisyys varmennetaan taustalla, mutta itse dokumentissa näkyy organisaation nimi, esimerkiksi “Signed by Idura Signature Service”.
Minkälaisissa tapauksissa sealing-leima ei riitä?
Sealing-leimat ovat täysin riittävä ratkaisu suurimmalle osalle asiakaskunnastamme.
Jos allekirjoittajan henkilöllisyyden on näyttävä suoraan dokumentissa, tarvitaan henkilökohtainen allekirjoitusvarmenne. Tällöin allekirjoittajan nimi näkyy selkeästi, eikä sitä tallenneta vain taustatiedoksi.
Kuinka valita yrityksellesi sopivin vaihtoehto
Valinta perustuu kahteen kysymykseen:
- Pitääkö allekirjoittajan nimi näkyä dokumentissa?
- Kuinka vahvasti henkilöllisyys pitää varmentaa?
Ensimmäinen määrittää, käytetäänkö allekirjoitusta vai sähköistä leimaa.
Toinen määrittää, mikä taso (SES, AES vai QES) on sopiva.
Nämä tuotteet löytyvät tämänhetkisestä tarjonnastamme:
|
Allerkirjoitukset |
Sealing |
|
|
Yksinkertainen |
Tunnistautumista ei tarvita |
- |
|
Kehittynyt |
||
|
Hyväksytty |
- |
Picking your electronic signature provider
Once you settle on sealing vs. signatures and know which level you’re after, the next step is picking a signature service.
The right choice often depends on whether you want to design your own flow or use a ready-to-sign platform.
Idura Signatures provides you with white-label eID signature and sealing solutions.
To try it for yourself, create your free account and start testing in a few clicks.
If you want a better understanding of how Idura Signatures work, check out our documentation.