Elektroniska underskrifter

Bakgrund

Elektroniska underskrifter är standard i försäkrings- och pensionsflöden — flyttuppdrag, fullmakter, avtal. De skapas av en handfull signeringstjänster (Scrive, Visma Sign, Assently, Verified, Brandsign, Egreement/Visma Addo m.fl.), och dokumenten byter händer mellan parter som var och en måste kunna avgöra: är det här en giltig, avancerad underskrift — och kan jag lita på den?

Den vanligaste missuppfattningen är att svaret är en egenskap hos tjänsten (”vi gör avancerade underskrifter”). Det är det inte. Det är dels en rättslig nivå som definieras av tekniska krav, dels en egenskap hos den enskilda filen som måste verifieras. Det här underlaget skiljer på de sakerna så att en diskussion om signeringstjänster kan bli konkret.

Lagstiftningen: eIDAS och de tre nivåerna

EU:s eIDAS-förordning (910/2014, uppdaterad 2024 genom ”eIDAS 2.0”/EU:s identitetsplånbok — men nivådefinitionerna är oförändrade) delar in elektroniska underskrifter i tre nivåer med stigande krav.

Den avgörande skillnaden: bara kvalificerad status är reglerad och registrerad. En kvalificerad leverantör (QTSP) revideras av ett ackrediterat organ, godkänns av tillsynsmyndigheten och publiceras på en Trusted List. För avancerad finns ingen sådan officiell prövning — nivån definieras av de fyra tekniska kraven, inte av en licens. Därför finns det inget register över ”AdES-leverantörer”.

Tekniken: två modeller för hur det signeras

I Sverige autentiseras undertecknaren nästan alltid med BankID (eller Freja). Viktigt: BankID är en avancerad, inte kvalificerad, metod — och en BankID-underskrift är i grunden en XML-signatur, inte en PDF-signatur. Vad som händer sedan avgör vad filen kan bevisa, och det finns två modeller.

Modell A — organisationssigill (det normala)

Tjänsten autentiserar personen med BankID och förseglar sedan dokumentet med sitt eget organisationscertifikat (en PAdES-/CAdES-signatur, eller Scrives nyckellösa GuardTime KSI). Personens identitet står i tjänstens revisionsspår — inte i sigillets certifikat. Så här fungerar Scrive, Visma Sign, Assently, Verified och Brandsign.

Modell B — personcertifikat (sällsynt: QES)

Signaturen bär undertecknarens eget certifikat, med namn och personnummer inbäddade. Då identifierar filen personen direkt. Det förekommer i praktiken bara vid kvalificerade underskrifter (QES) via en QTSP — inte i vanliga BankID-flöden.

Leverantörsval: vad du kan luta dig mot

Eftersom ingen myndighet intygar ”avancerad” och inget AdES-register finns, måste du själv granska leverantörens påstående. Det gör du en gång, vid onboarding. Leta efter oberoende bevis du kan kontrollera, från mest till minst formellt:

• Trusted List / QTSP-status. Det enda myndighetsintyget som finns. I Sverige för PTS (Post- och telestyrelsen) den nationella listan; hela EU finns i EU:s Trusted List Browser. Står de där är åtminstone deras kvalificerade tjänster reviderade — starkt även om just din underskrift ”bara” är avancerad.
• Frivilliga revisioner. Be om dem: ETSI EN 319 401/411, ISO 27001, SOC 2, WebTrust/AATL. Seriösa leverantörer kan visa rapporten.
• Den underliggande e-legitimationen. Autentiserar de med BankID finns en tillsynad, ansvarig operatör bakom identitetsledet.
• Certifikatkedjan. Kedjar sigillet till en känd CA (AATL, publik rot eller en QTSP) är den utgivaren ansvarig och kontrollerbar.

Teknik för att verifiera filer

Leverantörsvalet gäller processen. Den enskilda filen är en egen sak — den kan ha ändrats, plattats till (vilket strippar sigillet), laddats ner som renderad kopia eller fått ett utgånget certifikat. Därför verifierar du varje fil, helst automatiskt vid mottagande. Verifieringen prövar tre saker i tur:

1. Identitet. Läs signeringscertifikatet — vem gjorde signaturen? (I modell A: tjänsten. I modell B: personen.)
2. Äkthet + tillit. Verifierar signaturen matematiskt mot certet och kedjar certet till en betrodd källa (Trusted List / känd CA / er policy)? Utan en betrodd källa är namnet bara ett påstående utan bevis.
3. Integritet & rätt data. Täcker signaturen hela filen, stämmer hashen, är inget ändrat efteråt — och är innehållet det du väntar dig?

Var tilliten kommer ifrån — från starkast till svagast

Kärnan här: ”är detta betrott?” är delvis en policyfråga, inte ren kryptografi. Två parter kan bedöma samma fil olika beroende på om de accepterar en kommersiell CA eller kräver kvalificerat — båda försvarbart. Notera också vad verifieringen inte bevisar: i modell A styrker den att tjänstens sigill är intakt, men ”var det rätt person med BankID?” vilar fortfarande på ditt leverantörsförtroende.

Juridiken: rättslig verkan

eIDAS reglerar underskrifternas rättsliga verkan (art. 25):

• En elektronisk underskrift får inte nekas rättslig verkan enbart för att den är elektronisk eller inte är kvalificerad (art. 25.1). SES och AdES är alltså giltiga och tillåts som bevis — men deras bevisvärde prövas i det enskilda fallet.
• Kvalificerad underskrift (QES) likställs med en handskriven namnteckning (art. 25.2) och ska erkännas i alla EU-länder (art. 25.3).

Praktiskt i Sverige: det finns sällan ett rättsligt krav på just QES. En avancerad underskrift via BankID är juridiskt tillräcklig för nästan alla inhemska ändamål, och bevisvärdet är i praktiken högt tack vare BankID:s tillitsnivå. QES blir aktuellt främst vid gränsöverskridande behov eller specifika formkrav. Det förklarar varför kvalificerade underskrifter är ovanliga på den svenska marknaden.

Sammanfattning: två lager av tillit

Hela underlaget kokar ner till att skilja på två beslut som fattas vid olika tillfällen:

De två lagren faller ihop bara i modell B (personcert/QES). För allt annat: du väljer leverantören på processen och verifierar varje enskild fil — båda, inte antingen/eller.