En digital signatur er teknisk set en kryptografisk binding mellem et dokument, en verificeret identitet og et tidsstempel — ikke blot et billede af en underskrift. Denne digital signatur guide tager udgangspunkt i de tekniske og juridiske krav, så du kan vælge det rette signaturniveau frem for at gætte. Vi gennemgår signaturtyperne under eIDAS, hvordan identifikation med MitID fungerer, hvilken lovgivning der gælder, og hvordan du implementerer digital signering i praksis.
Den tekniske kerne: hash, certifikat og forsegling
Når et dokument signeres digitalt, beregnes først en kryptografisk hash — et unikt aftryk af dokumentets indhold. Hashen forsegles sammen med underskriverens identitetsoplysninger og et tidsstempel. Ændres så meget som ét tegn i dokumentet bagefter, vil hashen ikke længere stemme, og valideringen vil afsløre, at dokumentet er manipuleret. Det er denne mekanik, der adskiller en ægte digital signatur fra en indscannet underskrift, som blot er et billede uden binding til indhold eller identitet. Forståelsen af forseglingen er afgørende, fordi det er den, der giver signaturen bevisværdi i en eventuel tvist.
Ved de højere signaturniveauer indgår desuden et certifikat, der knytter underskriverens nøgle til en verificeret identitet. Certifikatet udstedes af en betroet udbyder og kan kontrolleres af enhver, der senere skal validere dokumentet. I praksis betyder det, at modtageren ikke behøver at stole blindt på afsenderen, men kan verificere både identitet og dokumentets uændrethed gennem en uafhængig kontrol. Det er denne kæde af tillid — fra hash over certifikat til tidsstempel — der gør, at en digital signatur kan stå alene som bevis, også flere år efter at den blev sat.
De tre signaturtyper under eIDAS: SES, AES og QES
eIDAS-forordningen definerer tre niveauer. En simpel elektronisk signatur (SES) kan være et afkrydsningsfelt eller en indskrevet navnetekst og har lav bevisværdi. En avanceret elektronisk signatur (AES) skal være entydigt knyttet til underskriveren, kunne identificere vedkommende og opdage efterfølgende ændringer — det niveau rammer signering med MitID typisk. En kvalificeret elektronisk signatur (QES) bygger oven på et kvalificeret certifikat fra en betroet udbyder og sidestilles juridisk direkte med en håndskreven underskrift. Du kan dykke dybere i forskellene under EIDAS-sikkerhedsniveauerne og læse om, hvornår en Kvalificeret elektronisk signatur er påkrævet.
Identifikation med MitID, MitID Erhverv og nordisk eID
Styrken i en dansk digital signatur ligger i identifikationen. Når en privatperson underskriver med MitID, eller en medarbejder bruger MitID Erhverv, er identiteten verificeret af den nationale eID-løsning, og din virksomhed skal ikke selv kontrollere legitimation. For nordiske underskrivere håndteres det tilsvarende af BankID i Sverige og Norge. Det gør det muligt at indhente juridisk holdbare underskrifter på tværs af landegrænser uden fysisk fremmøde. Vil du se selve flowet, gennemgår vores artikel om Digital underskrift med MitID hvert trin fra fremsendelse til validering.
Forskellen mellem MitID og MitID Erhverv er værd at have med. MitID bruges af privatpersoner, mens MitID Erhverv knytter en medarbejder til en bestemt virksomhed og dennes rettigheder — det er relevant, når en medarbejder skal underskrive på virksomhedens vegne snarere end som privatperson. For internationale aftaler giver det desuden mening at vælge en platform, der understøtter både dansk MitID og svensk/norsk BankID, så samme dokument kan underskrives af parter i flere lande uden at skifte løsning. Jo bedre eID-dækningen passer til dine faktiske underskrivere, desto mindre friktion oplever modtagerne, og desto højere bliver gennemførelsesraten på de dokumenter, du sender til signering.
Lovgivning: eIDAS, GDPR og branchespecifikke krav
To regelsæt er centrale. eIDAS afgør, om signaturen er gyldig og anerkendt på tværs af EU, mens GDPR stiller krav til, hvordan persondata i signeringsprocessen behandles og opbevares. Oven i det kommer branchespecifikke regler — for eksempel bogføringsloven for finansbilag eller ansættelsesretlige krav til kontrakter — der bestemmer, hvor længe dokumenter skal kunne fremvises. En korrekt opsat digital signatur håndterer alle tre lag på én gang: gyldighed efter eIDAS, databehandling efter GDPR og opbevaring efter den relevante særlovgivning.
For den offentlige sektor og for regulerede brancher som finans og forsikring er kravene ofte skærpede. Her kan der både være krav om et bestemt signaturniveau og om, at leverandøren kan dokumentere sine databehandlingsaftaler, herunder brug af eventuelle underdatabehandlere. Det er derfor en god idé tidligt at afklare, om de dokumenter, din virksomhed underskriver, falder ind under særlige regler, så signaturløsningen vælges på det rigtige grundlag fra start. At rette op på et for lavt signaturniveau bagudrettet er sjældent muligt — gyldigheden skal være på plads, i samme øjeblik underskriften sættes.
Audit trail: dokumentationen der gør signaturen holdbar
En digital signatur er kun så stærk som den dokumentation, der følger med. Audit trailen registrerer, hvem der modtog dokumentet, hvornår det blev åbnet, hvilken eID der blev brugt, og det præcise underskriftstidspunkt. Dette revisionsspor er det, der giver underskriften bevisværdi og samtidig opfylder GDPR-kravet om sporbarhed. Når en aftale bestrides, er det sjældent selve underskriften, men derimod evnen til at bevise forløbet, der afgør sagen — og derfor bør audit trail aldrig være valgfri.
Compliance og driftssikkerhed: ISAE 3000
Når du vælger leverandør, bør du se på, hvordan platformen selv er revideret. En ISAE 3000-erklæring dokumenterer, at udbyderens kontroller for sikkerhed og databehandling er gennemgået af en uafhængig revisor — det er især vigtigt for offentlige organisationer, finans og forsikring. Sammen med eIDAS-compliance udgør det fundamentet for, at signaturerne ikke kun er gyldige, men også produceret i et miljø, der lever op til kravene. Læs mere om, hvad ISAE 3000-revision dækker, før du beslutter dig.
Implementering: fra kortlægning til drift
Start med at kortlægge dine dokumentflows: hvilke dokumenter underskrives oftest, af hvem, og hvilket eIDAS-niveau kræver de hver især? Match derefter signaturniveauet til kravet, så du hverken vælger for lavt og risikerer gyldigheden eller for højt og pålægger unødig friktion. Vælg en platform, der understøtter de eID, dine underskrivere faktisk bruger, integrerer med dine eksisterende systemer via API, og leverer fuld audit trail samt sikker arkivering.
Rul løsningen ud på ét dokumentflow ad gangen — typisk HR-kontrakter eller kundeaftaler — så medarbejderne lærer processen, før den udbredes. Det giver et målbart udgangspunkt og gør det nemt at justere skabeloner og roller, inden flere afdelinger kobles på. Sørg samtidig for at definere, hvem der må oprette og udsende dokumenter til signering, og hvordan underskrevne filer arkiveres, så I undgår, at vigtige aftaler ligger spredt i indbakker. Når processen er forankret ét sted, kan den udbredes til indkøb, ledelse og økonomi med minimal ekstra indsats. Med Digital signering og en gennemtænkt Elektronisk underskrift på plads kan virksomheden afskaffe print og scan helt og samtidig stå stærkere juridisk end før.
