QES: pätevä sähköinen allekirjoitus sekä SES:n, AES:n ja QES:n väliset erot

Sopimuksen kustannuksia arvioitaessa kyse ei ole harvoin pelkästään allekirjoituksen hinnasta, vaan riskistä, että allekirjoitus myöhemmin mitätöidään. Digitaalisen allekirjoituksen osalta eIDAS-asetuksessa on kolme tasoa, ja kallein virhe on käyttää liian matalaa allekirjoitustasoa asiakirjassa, joka vaatii QES-allekirjoitusta. Tämä kysymys pätevästä sähköisestä allekirjoituksesta määrää sekä sopimuksen oikeudellisen painoarvon että sen, kuinka paljon vaivaa joudutaan näkemään, jos sopimus jonain päivänä kiistetään.

Mitä väärän allekirjoitustason valinta todellisuudessa maksaa

Sähköisen allekirjoituksen hinta on harvoin se mielenkiintoinen luku. Ratkaisevaa on se, mitä se maksaa, jos vastapuoli kiistää allekirjoituksen aitouden. Alhaisella tasolla sinun on itse pystyttävä todistamaan, kuka allekirjoitti ja että asiakirjaa ei ole muutettu, mikä voi vaatia sisäisiä lokitietoja, todistajia ja asianajajan työaikaa. QES-tasolla todistustaakka kääntyy päinvastaiseksi, mikä vähentää oikeudellista riskiä juuri niissä sopimuksissa, joissa riita olisi kallein. Siksi allekirjoitustason valintaa tulisi pitää riskipäätöksenä eikä pelkästään teknisenä yksityiskohtana.

Kolme eIDAS-tasoa: SES, AES ja QES selitettynä

eIDAS-asetuksessa määritellään kolme sähköisten allekirjoitusten tasoa. SES (Simple Electronic Signature) kattaa kaikenlaisen sähköisen suostumuksen merkinnän, kuten valintaruudun tai skannatun nimen, eikä siinä ole sisäänrakennettua henkilöllisyyden varmistusta. AES (Advanced Electronic Signature) liittää allekirjoituksen yksiselitteisesti yhteen allekirjoittajaan, mahdollistaa henkilön tunnistamisen ja paljastaa asiakirjaan myöhemmin tehdyt muutokset. QES on AES, joka perustuu lisäksi pätevään varmenteeseen ja on luotu pätevällä allekirjoituslaitteella. Ero on siis identiteetin varmistuksen tasossa ja varmenteen teknisessä kehyksessä.

Mikä tekee QES:stä oikeudellisesti erityisen

QES:n ydin on oikeudellinen tasavertaisuus: QES:llä on sama oikeudellinen vaikutus kuin käsinkirjoitetulla allekirjoituksella kaikissa EU-maissa. Kun AES- ja SES-allekirjoitusten tapauksessa riitatilanteessa allekirjoittajan on itse pystyttävä todistamaan, että hän on oikea henkilö, QES:n kohdalla todistustaakka on käännetty päinvastaiseksi. Vastapuolen on kumottava allekirjoituksen pätevyys, mikä tekee tästä tasosta merkittävän suuriarvoisissa tai pitkäkestoisissa sopimuksissa. Voit lukea lisää oikeudellisista puitteista EIDAS-katsauksest amme ja eri allekirjoitustasoista, joissa selitetään tarkemmin, miten tasot tunnustetaan maiden rajojen yli.

Milloin asiakirjasi vaatii QES:ää AES:n sijaan

Useimmat liiketoimintasopimukset, työsopimukset ja yhteistyösopimukset voidaan solmia pätevästi AES:llä, jossa vahva tunnistautuminen yhdistyy täydelliseen jäljitettävyyteen. QES tulee tarpeelliseksi vasta silloin, kun kansallisessa lainsäädännössä nimenomaisesti vaaditaan pätevää sähköistä allekirjoitusta tai kun asiakirja muuten vaatisi fyysistä allekirjoitusta ollakseen pätevä. Käytännöllinen toimintatapa on kartoittaa asiakirjatyyppisi ja käyttää QES:ää vain silloin, kun lakivaatimus on konkreettinen, jotta vältät tarpeettomia hankaluuksia muissa asiakirjojen sähköisen allekirjoittamisen prosesseissa. Näin löydät oikean tason ilman, että prosessia ylimitoitetaan tavallisten sopimusten osalta.

Tunnistaminen ja varmenteet pätevän allekirjoituksen taustalla

QES edellyttää pätevää varmennetta, jonka on myöntänyt EU:n luotettavien palveluntarjoajien luetteloon merkitty varmennepalveluntarjoaja. Tunnistautumisen on tapahduttava erittäin turvallisesti, mikä Pohjoismaissa tapahtuu usein kansallisten eID-järjestelmien, kuten MitID:n ja BankID:n, kautta. Vahvan tunnistautumisen ja allekirjoitustason välinen yhteys on ratkaiseva, koska varmenne ei voi koskaan olla vahvempi kuin tunnistautuminen, johon se perustuu. Löydät katsauksen tunnistautumiseen liittyvistä seikoista artikkelistamme Digitaalinen allekirjoitus MitID:llä.

Dokumentointi, tarkastus ja kirjausketju

Allekirjoitustasosta riippumatta on tärkeää pystyä esittämään jokaisen allekirjoituksen täydellinen tapahtumaketju. Tarkastettu alusta, jossa on kirjausketju, osoittaa, kuka allekirjoitti, milloin ja millä tunnistautumismenetelmällä. Tämän taustalla oleva operatiivinen valvonta dokumentoidaan tyypillisesti riippumattomalla tilintarkastuskertomuksella, jota kuvailemme artikkelissa ISAE 3000 -kertomuksista ja asiakirjojen valvonnasta; se täydentää oikeudellista pätevyyttä toimintavarmuudella. Henkilötietojen käsittelyn on samalla noudatettava sääntöjä, joita kuvailemme artikkelissa, joka käsittelee GDPR:ää ja sähköistä allekirjoitusta.

Näin valitset oikean tason käytännössä

Yksinkertainen päätöksentekomalli on käydä läpi jokainen asiakirjatyyppi ja esittää kolme kysymystä: vaatiiko laki tiettyä tasoa, kuinka suuri on taloudellinen riski riitatapauksessa ja kuinka todennäköistä on, että allekirjoitusta kiistetään. Lakisääteiset vaatimukset painavat eniten ja ratkaisevat asian, kun niitä on. Jos lakivaatimuksia ei ole, voit antaa arvon ja riskin ohjata valintaa AES:n ja QES:n välillä. Jos haluat nähdä ratkaisun kokonaiskuvan, voit aloittaa katsauksestamme Digitaalinen allekirjoitus yrityksille ja liittää sieltä tasot omiin konkreettisiin prosesseihisi.