Når man vurderer omkostningen ved en aftale, handler det sjældent kun om prisen for selve underskriften, men om risikoen for, at en signatur senere bliver underkendt. Med digital signering findes der tre niveauer under eIDAS, og det dyreste fejlvalg er at bruge et for lavt signaturniveau på et dokument, der kræver QES. Dette spørgsmål om kvalificeret elektronisk signatur afgør både den juridiske vægt og den indsats, der kræves, hvis en aftale en dag bliver bestridt.
Prisen for en elektronisk signatur er sjældent det interessante tal. Det afgørende er, hvad det koster, hvis en modpart bestrider, at en underskrift er ægte. Med et lavt niveau skal du selv kunne bevise, hvem der underskrev, og at dokumentet ikke er ændret, hvilket kan kræve interne logs, vidner og advokattid. Med QES er bevisbyrden vendt om, og det reducerer den juridiske risiko på netop de aftaler, hvor en tvist ville være dyrest. Derfor bør valget af signaturniveau ses som en risikobeslutning og ikke kun en teknisk detalje.
eIDAS-forordningen definerer tre niveauer af elektroniske signaturer. SES (Simple Electronic Signature) dækker enhver elektronisk markering af samtykke, fx et afkrydsningsfelt eller et indscannet navn, og har ingen indbygget identitetssikring. AES (Advanced Electronic Signature) knytter signaturen entydigt til én underskriver, gør det muligt at identificere personen og afslører efterfølgende ændringer i dokumentet. QES er en AES, der yderligere er baseret på et kvalificeret certifikat og oprettet med en kvalificeret signaturoprettelsesenhed. Forskellen ligger altså i graden af identitetssikring og i den tekniske ramme omkring certifikatet.
Det centrale ved QES er den juridiske ligestilling: en QES har samme retsvirkning som en håndskreven underskrift i samtlige EU-lande. Hvor man ved AES og SES i en tvist selv skal kunne dokumentere, at underskriveren er den rette, er bevisbyrden vendt om ved QES. Modparten skal modbevise gyldigheden, hvilket gør niveauet relevant for aftaler med høj værdi eller lang løbetid. Du kan læse mere om de retlige rammer i vores gennemgang af EIDAS og de forskellige signaturniveauer, der uddyber, hvordan niveauerne anerkendes på tværs af landegrænser.
De fleste erhvervsaftaler, ansættelseskontrakter og samarbejdsaftaler kan indgås gyldigt med AES, hvor stærk identifikation kombineres med fuld sporbarhed. QES bliver først nødvendigt, når national lovgivning udtrykkeligt foreskriver en kvalificeret signatur, eller når et dokument ellers ville kræve fysisk underskrift for at være gyldigt. En praktisk fremgangsmåde er at kortlægge dine dokumenttyper og kun anvende QES, hvor lovkravet er konkret, så du undgår unødvendig friktion i de øvrige flows for Elektronisk underskrift af dokumenter. På den måde rammer du det rette niveau uden at overdimensionere processen for almindelige aftaler.
QES forudsætter et kvalificeret certifikat udstedt af en tillidstjenesteudbyder, der er optaget på EU's betroede liste. Identifikationen skal ske med høj sikkerhed, hvilket i Norden ofte sker via nationale eID-ordninger som MitID og BankID. Sammenhængen mellem stærk identifikation og signaturniveau er afgørende, fordi et certifikat aldrig bliver stærkere end den identifikation, det bygger på. Du finder en gennemgang af identitetsdelen i vores artikel om Digital underskrift med MitID.
Uanset signaturniveau er det vigtigt at kunne fremvise et komplet hændelsesforløb for hver underskrift. En revideret platform med audit trail viser, hvem der underskrev, hvornår, og med hvilken identifikationsmetode. Den driftsmæssige kontrol bag dette dokumenteres typisk gennem en uafhængig revisionserklæring, som vi beskriver i artiklen om ISAE 3000-erklæringer og dokumentkontrol, der supplerer den juridiske gyldighed med driftssikkerhed. Behandlingen af personoplysninger i forløbet skal samtidig følge reglerne, som vi beskriver i artiklen om GDPR og e-signatur.
En enkel beslutningsmodel er at gennemgå hver dokumenttype og stille tre spørgsmål: kræver loven et bestemt niveau, hvor stor er den økonomiske eksponering ved en tvist, og hvor sandsynligt er det, at underskriften bliver bestridt. Lovkrav vejer tungest og afgør sagen, når de findes. Findes der intet lovkrav, kan du lade værdi og risiko styre valget mellem AES og QES. Vil du se det samlede billede af løsningen, kan du starte med vores overblik over Digital signering for virksomheder og derfra knytte niveauerne til dine konkrete flows.