Digital signering har blivit en naturlig del av advokatverksamheten. Avtal, fullmakter och andra handlingar kan signeras elektroniskt utan att parterna behöver mötas fysiskt.
Men när en advokatbyrå väljer en digital signeringstjänst är det lätt att fokusera på fel fråga.
Det räcker inte att fråga om underskriften är juridiskt giltig. Byrån behöver också förstå hur klientinformationen identifieras, överförs, behandlas, lagras och skyddas – och vad som händer med informationen om något går fel eller samarbetet med leverantören upphör.
Det perspektivet är centralt i Sveriges Advokatsamfunds uppdaterade vägledning om externa IT-tjänster från 2026. Vägledningen handlar inte specifikt om digital signering, men är relevant när en extern tjänst används för att hantera klientinformation.
En juridiskt giltig underskrift säger inte allt
Elektroniska underskrifter regleras inom EU genom eIDAS och finns på olika säkerhetsnivåer. Post- och telestyrelsen skiljer mellan enkla, avancerade och kvalificerade elektroniska underskrifter.
Det finns ingen generell regel som säger att alla dokument måste signeras med en kvalificerad elektronisk underskrift. Valet bör i stället utgå från lagkrav, dokumentets betydelse och verksamhetens risknivå.
En avancerad elektronisk underskrift kan exempelvis vara relevant när det finns höga krav på säker identifiering, dokumentets integritet och möjligheten att upptäcka ändringar efter signering.
Frågan är alltså vilken säkerhetsnivå som är tillräcklig i den aktuella processen.
För en advokatbyrå är själva signaturen dock bara en del av bedömningen. Minst lika viktiga frågor är:
- Vem kan få tillgång till klientinformationen?
- Kan dokumentet ändras efter signering utan att det upptäcks?
- Var lagras informationen och säkerhetskopiorna?
- Vilka underleverantörer är involverade?
- Kan byrån få tillbaka all information i ett användbart format?
- Vad händer vid driftstörning, uppköp eller konkurs?
Ansvaret kan inte outsourcas
Advokatsamfundets utgångspunkt är tydlig: externa IT-tjänster, inklusive molntjänster, kan användas. Men advokatbyråns skyldigheter när det gäller tystnadsplikt, klientinformation och informationssäkerhet kvarstår.
Byrån kan därför inte nöja sig med att en leverantör är etablerad, använder molninfrastruktur eller har vissa säkerhetscertifieringar. Byrån behöver själv bedöma om tjänsten är lämplig för den information och de processer som ska hanteras.
Att välja en digital tjänst är därför också en del av arbetet med att upprätthålla advokatetiska skyldigheter.
Börja med en dokumenterad riskbedömning
En säker signeringsprocess börjar med att förstå vilken information tjänsten faktiskt ska hantera. Ett standardiserat anställningsavtal och en handling med känslig klientinformation har inte nödvändigtvis samma riskprofil.
Bedömningen bör därför utgå från den verkliga användningen, inte bara från produktens tekniska funktioner. Den bör också ses över löpande eftersom hotbilden, tjänsten och leveranskedjan kan förändras.
Vilken typ av klientinformation kommer tjänsten att hantera – och vilka konsekvenser kan en brist i skyddet få?
Granska leverantören och hela leveranskedjan
En digital tjänst kan upplevas som säker för användaren, medan riskerna finns längre ned i leveranskedjan. Därför behöver advokatbyrån granska både leverantörens säkerhetsarbete och de underleverantörer som används för exempelvis drift, support, backup och identitetstjänster.
Det kan bland annat handla om:
- systematiskt säkerhets- och riskarbete
- incidenthantering och kontinuitetsplaner
- kryptering och kontroll över administrativ åtkomst
- oberoende granskningar och relevanta certifieringar, exempelvis ISO 27001
- kontroll av underleverantörer och deras åtkomst
En viktig fråga är inte bara om tjänsten är säker, utan om leverantören kan visa hur säkerheten upprätthålls, kontrolleras och följs upp över tid.
Vem kan faktiskt läsa klientinformationen?
För advokatbyråer är åtkomstfrågan särskilt viktig. Leverantörens personal och underleverantörer bör normalt inte kunna läsa klientinformation i klartext. Om åtkomst undantagsvis krävs, till exempel vid felsökning, bör det finnas tydliga och dokumenterade rutiner.
Frågor att ställa till en signeringsleverantör är exempelvis:
- Kan supportpersonal eller administratörer komma åt dokument?
- Hur fungerar åtkomst vid felsökning?
- Loggas och begränsas privilegierad åtkomst?
- Kan underleverantörer tekniskt få tillgång till informationen?
- Från vilka länder kan systemen administreras?
Det räcker alltså inte att veta var en tjänsts servrar finns. Byrån behöver förstå vilka aktörer som kan få teknisk eller organisatorisk åtkomst till informationen – och under vilka jurisdiktioner de verkar.
Glöm inte metadata, loggar och kontroll över data
En digital signeringstjänst hanterar mer än själva dokumentet. Den skapar också metadata och loggar, till exempel information om när dokument skickas, vilka användare som är aktiva och hur processer används.
Sådana uppgifter kan i sig vara känsliga. Avtalet med leverantören bör därför tydligt reglera vilken information som behandlas, vilken användningsrätt leverantören har och vad som händer med data när avtalet upphör.
Advokatbyrån bör samtidigt kunna exportera både dokument och relevant information om signeringsprocessen i ett användbart format.
Säkerhet handlar också om att kunna lämna tjänsten
En tjänst kan fungera utmärkt så länge allt är normalt. Den verkliga prövningen kan komma vid ett längre driftstopp, ett uppköp, en kris eller om leverantören inte längre kan leverera tjänsten.
Därför bör advokatbyrån redan vid avtalsstarten förstå hur backup, redundans, dataexport och övergång till en annan leverantör fungerar.
Vad händer med klientinformationen om leverantören inte längre kan leverera tjänsten i morgon?
En bra digital lösning ska alltså inte bara vara säker under normal drift. Den ska också vara möjlig att lämna utan att byrån förlorar kontrollen över sin information.
Checklista inför valet av signeringstjänst
- Har vi dokumenterat vilken klientinformation tjänsten ska hantera och vilka risker som finns?
- Kan leverantören visa hur informationssäkerhet, incidenter och underleverantörer hanteras?
- Kan leverantörens personal eller andra parter läsa klientinformation i klartext?
- Vet vi var data, backup och administrativ åtkomst finns?
- Reglerar avtalet hur dokument, metadata och loggar får användas?
- Kan vi exportera all information snabbt och i ett användbart format?
- Finns en tydlig plan för driftstörningar, byte av leverantör och exit?
- Har vi valt en nivå på den elektroniska underskriften som motsvarar processens risk och behov?
Slutsats: bedöm hela tjänsten – inte bara signaturen
Digital signering kan göra advokatverksamheten snabbare och enklare. Men säkerheten avgörs inte enbart av vilken underskriftsmetod som används.
För advokatbyråer handlar bedömningen också om risk, leverantörskontroll, åtkomst, underleverantörer, lagring, jurisdiktion, metadata, kontinuitet och möjligheten att återfå kontrollen över informationen.
Den avgörande frågan är därför inte bara om underskriften är juridiskt giltig, utan om hela den digitala tjänsten är tillräckligt säker för den information och det ansvar som advokatbyrån hanterar.
En säker och dokumenterbar lösning för elektronisk signering bör därför bedömas utifrån både signaturen, identiteten, dokumentets integritet och hur informationen hanteras genom hela tjänsten.
I slutändan handlar det om att kunna upprätthålla det klienten förväntar sig av en advokat: lojalitet, oberoende och sekretess – även när delar av verksamheten sker genom externa digitala tjänster.
Vanliga frågor om digital signering och säkerhet
Ja. Elektroniska underskrifter regleras inom EU genom eIDAS. Det finns olika typer av elektroniska underskrifter med olika säkerhetsnivåer. Vilken nivå som behövs beror på lagkrav och verksamhetens behov.
Nej, inte generellt. Det finns ingen generell regel som kräver kvalificerade elektroniska underskrifter i Sverige. Behovet måste bedömas utifrån den aktuella situationen och eventuella lagkrav.
Advokatsamfundet bedömer att advokatbyråer kan använda externa IT-lösningar, inklusive molntjänster, förutsatt att tystnadsplikt, skyddet av klientinformation och övriga yrkesplikter kan upprätthållas.
Advokatsamfundets vägledning anger att leverantörens personal och underleverantörer normalt inte bör ha åtkomst till klientinformation på ett sådant sätt att den kan läsas i klartext. Om sådan åtkomst undantagsvis krävs bör det finnas tydliga och dokumenterade rutiner.
Det finns inte en enkel regel som säger att all klientinformation måste lagras i Sverige. Däremot bör var informationen lagras och vilka jurisdiktioner som är involverade ingå i advokatbyråns riskbedömning.
Avtalet bör bland annat reglera advokatbyråns rättigheter till klientinformationen, leverantörens nyttjanderätt, användning av metadata och loggdata, åtkomst, underleverantörer samt frågor om kontinuitet, backup och exit.
Advokatbyrån bör kunna få tillbaka sin klientinformation i ett hanterbart format och behålla åtkomsten till informationen. Advokatsamfundets vägledning betonar också behovet av att avtalen hanterar exit och övergångstjänster.
En kvalificerad elektronisk underskrift har högre formella säkerhetskrav än en avancerad underskrift, men den är inte automatiskt rätt lösning. Rätt säkerhetsnivå beror på situationen och verksamhetens behov.
Källor
- Sveriges Advokatsamfund – Advokatsamfundets vägledning om externa IT-tjänster har uppdaterats
- Sveriges Advokatsamfund – Uppdaterad vägledning om användningen av externa IT-tjänster i advokatverksamhet
- Post- och telestyrelsen – Elektroniska underskrifter
- Post- och telestyrelsen – Vägledning vid val av elektronisk underskrift
- Post- och telestyrelsen – Information om kvalificerad elektronisk underskrift
Esben Emborg
I dag arbetar jag på Addo Sign med kommunikation och marknadsföring, där jag använder min erfarenhet av design och digitala produkter för att göra komplexa ämnen enklare att förstå och mer tillgängliga.
