Elektroniska underskrifter

Bakgrund

Elektroniska underskrifter är standard i försäkrings- och pensionsflöden — flyttuppdrag, fullmakter, avtal. De skapas av en handfull signeringstjänster (Scrive, Visma Sign, Assently, Verified, Brandsign, Egreement/Visma Addo m.fl.), och dokumenten byter händer mellan parter som var och en måste kunna avgöra: är det här en giltig, avancerad underskrift — och kan jag lita på den?

Den vanligaste missuppfattningen är att svaret är en egenskap hos tjänsten (”vi gör avancerade underskrifter”). Det är det inte. Det är dels en rättslig nivå som definieras av tekniska krav, dels en egenskap hos den enskilda filen som måste verifieras. Det här underlaget skiljer på de sakerna så att en diskussion om signeringstjänster kan bli konkret.

Lagstiftningen: eIDAS och de tre nivåerna

EU:s eIDAS-förordning (910/2014, uppdaterad 2024 genom ”eIDAS 2.0”/EU:s identitetsplånbok — men nivådefinitionerna är oförändrade) delar in elektroniska underskrifter i tre nivåer med stigande krav.

Avancerad underskrift är inte reglerad eller registrerad — nivån definieras av de fyra tekniska kraven, inte av en licens. Det finns alltså inget register över ”AdES-leverantörer”, och en leverantörs påstående är något du själv måste granska. Eftersom svenska underskrifter i praktiken alltid görs med BankID — som ger avancerade, inte kvalificerade, underskrifter — handlar resten av det här underlaget om den avancerade nivån.

Tekniken: två modeller för hur det signeras

I Sverige autentiseras undertecknaren nästan alltid med BankID (eller Freja). Viktigt: BankID är en avancerad, inte kvalificerad, metod — och en BankID-underskrift är i grunden en XML-signatur, inte en PDF-signatur. Vad som händer sedan avgör vad filen kan bevisa, och det finns två modeller.

Modell A — organisationssigill (det normala)

Tjänsten autentiserar personen med BankID och förseglar sedan dokumentet med sitt eget organisationscertifikat (en PAdES-/CAdES-signatur, eller Scrives nyckellösa GuardTime KSI). Personens identitet står i tjänstens revisionsspår — inte i sigillets certifikat. Så här fungerar Scrive, Visma Sign, Assently, Verified och Brandsign.

Modell B — personcertifikat (ovanligt)

Signaturen bär undertecknarens eget certifikat, med namn och personnummer inbäddade. Då identifierar filen personen direkt. Det är ovanligt i Sverige — BankID-flöden ger nästan alltid modell A, som resten av underlaget utgår från.

Leverantörsval: vad du kan luta dig mot

Eftersom ingen myndighet intygar ”avancerad” och inget AdES-register finns, måste du själv granska leverantörens påstående. Det gör du en gång, när du väljer leverantör och skriver avtal. Leta efter oberoende bevis du kan kontrollera, från mest till minst formellt:

• Frivilliga revisioner. Be om dem: ETSI EN 319 401/411, ISO 27001, SOC 2, WebTrust/AATL. Seriösa leverantörer kan visa rapporten.
• Den underliggande e-legitimationen. Autentiserar de med BankID finns en tillsynad, ansvarig operatör bakom identitetsledet.
• Certifikatkedjan. Kedjar sigillet till en känd CA (AATL, publik rot eller en QTSP) är den utgivaren ansvarig och kontrollerbar.

Teknik för att verifiera filer

Leverantörsvalet gäller processen. Den enskilda filen är en annan sak — den kan ha ändrats, plattats till (vilket tar bort sigillet), laddats ner som renderad kopia eller fått ett utgånget certifikat. Därför verifierar du varje fil, helst automatiskt vid mottagande. Verifieringen prövar tre saker i tur:

1. Identitet. Läs signeringscertifikatet — vem gjorde signaturen? (I modell A: tjänsten. I modell B: personen.)
2. Äkthet + tillit. Verifierar signaturen matematiskt mot certifikatet och kedjar certifikatet till en betrodd källa (känd CA / er policy)? Utan en betrodd källa är namnet bara ett påstående utan bevis.
3. Integritet & rätt data. Täcker signaturen hela filen, stämmer hashen, är inget ändrat efteråt — och är innehållet det du väntar dig?

Var tilliten kommer ifrån — från starkast till svagast

Notera vad verifieringen inte bevisar: i modell A styrker den att tjänstens sigill är intakt, men ”var det rätt person med BankID?” vilar fortfarande på ditt leverantörsförtroende.

Juridiken: rättslig verkan

eIDAS reglerar underskrifternas rättsliga verkan (art. 25):

• En elektronisk underskrift får inte nekas rättslig verkan enbart för att den är elektronisk eller inte är kvalificerad (art. 25.1). En avancerad underskrift är alltså giltig och tillåts som bevis — men dess bevisvärde prövas i det enskilda fallet.

Praktiskt i Sverige: en avancerad underskrift via BankID är juridiskt tillräcklig för nästan alla inhemska ändamål, och bevisvärdet är i praktiken högt tack vare BankID:s tillitsnivå.

Sammanfattning: två lager av tillit

Hela underlaget kokar ner till att skilja på två beslut som fattas vid olika tillfällen:

De två lagren faller ihop bara i det ovanliga fallet att personens eget certifikat ligger i filen (modell B). För BankID-underskrifter: du väljer leverantören på processen och verifierar varje enskild fil — båda, inte antingen/eller.