Digital signering har blivit en naturlig del av advokatverksamheten. Avtal, fullmakter och andra handlingar kan signeras elektroniskt utan att parterna behöver mötas fysiskt.
Men när en advokatbyrå väljer en digital signeringstjänst är det lätt att fokusera på fel fråga.
Det räcker inte att fråga om underskriften är juridiskt giltig. Byrån behöver också förstå hur klientinformationen identifieras, överförs, behandlas, lagras och skyddas – och vad som händer med informationen om något går fel eller samarbetet med leverantören upphör.
Det perspektivet är centralt i Sveriges Advokatsamfunds uppdaterade vägledning om externa IT-tjänster från 2026. Vägledningen handlar inte specifikt om digital signering, men är relevant när en extern tjänst används för att hantera klientinformation.
Elektroniska underskrifter regleras inom EU genom eIDAS och finns på olika säkerhetsnivåer. Post- och telestyrelsen skiljer mellan enkla, avancerade och kvalificerade elektroniska underskrifter.
Det finns ingen generell regel som säger att alla dokument måste signeras med en kvalificerad elektronisk underskrift. Valet bör i stället utgå från lagkrav, dokumentets betydelse och verksamhetens risknivå.
En avancerad elektronisk underskrift kan exempelvis vara relevant när det finns höga krav på säker identifiering, dokumentets integritet och möjligheten att upptäcka ändringar efter signering.
Frågan är alltså vilken säkerhetsnivå som är tillräcklig i den aktuella processen.
För en advokatbyrå är själva signaturen dock bara en del av bedömningen. Minst lika viktiga frågor är:
Advokatsamfundets utgångspunkt är tydlig: externa IT-tjänster, inklusive molntjänster, kan användas. Men advokatbyråns skyldigheter när det gäller tystnadsplikt, klientinformation och informationssäkerhet kvarstår.
Byrån kan därför inte nöja sig med att en leverantör är etablerad, använder molninfrastruktur eller har vissa säkerhetscertifieringar. Byrån behöver själv bedöma om tjänsten är lämplig för den information och de processer som ska hanteras.
Att välja en digital tjänst är därför också en del av arbetet med att upprätthålla advokatetiska skyldigheter.
En säker signeringsprocess börjar med att förstå vilken information tjänsten faktiskt ska hantera. Ett standardiserat anställningsavtal och en handling med känslig klientinformation har inte nödvändigtvis samma riskprofil.
Bedömningen bör därför utgå från den verkliga användningen, inte bara från produktens tekniska funktioner. Den bör också ses över löpande eftersom hotbilden, tjänsten och leveranskedjan kan förändras.
Vilken typ av klientinformation kommer tjänsten att hantera – och vilka konsekvenser kan en brist i skyddet få?
En digital tjänst kan upplevas som säker för användaren, medan riskerna finns längre ned i leveranskedjan. Därför behöver advokatbyrån granska både leverantörens säkerhetsarbete och de underleverantörer som används för exempelvis drift, support, backup och identitetstjänster.
Det kan bland annat handla om:
En viktig fråga är inte bara om tjänsten är säker, utan om leverantören kan visa hur säkerheten upprätthålls, kontrolleras och följs upp över tid.
För advokatbyråer är åtkomstfrågan särskilt viktig. Leverantörens personal och underleverantörer bör normalt inte kunna läsa klientinformation i klartext. Om åtkomst undantagsvis krävs, till exempel vid felsökning, bör det finnas tydliga och dokumenterade rutiner.
Frågor att ställa till en signeringsleverantör är exempelvis:
Det räcker alltså inte att veta var en tjänsts servrar finns. Byrån behöver förstå vilka aktörer som kan få teknisk eller organisatorisk åtkomst till informationen – och under vilka jurisdiktioner de verkar.
En digital signeringstjänst hanterar mer än själva dokumentet. Den skapar också metadata och loggar, till exempel information om när dokument skickas, vilka användare som är aktiva och hur processer används.
Sådana uppgifter kan i sig vara känsliga. Avtalet med leverantören bör därför tydligt reglera vilken information som behandlas, vilken användningsrätt leverantören har och vad som händer med data när avtalet upphör.
Advokatbyrån bör samtidigt kunna exportera både dokument och relevant information om signeringsprocessen i ett användbart format.
En tjänst kan fungera utmärkt så länge allt är normalt. Den verkliga prövningen kan komma vid ett längre driftstopp, ett uppköp, en kris eller om leverantören inte längre kan leverera tjänsten.
Därför bör advokatbyrån redan vid avtalsstarten förstå hur backup, redundans, dataexport och övergång till en annan leverantör fungerar.
Vad händer med klientinformationen om leverantören inte längre kan leverera tjänsten i morgon?
En bra digital lösning ska alltså inte bara vara säker under normal drift. Den ska också vara möjlig att lämna utan att byrån förlorar kontrollen över sin information.
Digital signering kan göra advokatverksamheten snabbare och enklare. Men säkerheten avgörs inte enbart av vilken underskriftsmetod som används.
För advokatbyråer handlar bedömningen också om risk, leverantörskontroll, åtkomst, underleverantörer, lagring, jurisdiktion, metadata, kontinuitet och möjligheten att återfå kontrollen över informationen.
Den avgörande frågan är därför inte bara om underskriften är juridiskt giltig, utan om hela den digitala tjänsten är tillräckligt säker för den information och det ansvar som advokatbyrån hanterar.
En säker och dokumenterbar lösning för elektronisk signering bör därför bedömas utifrån både signaturen, identiteten, dokumentets integritet och hur informationen hanteras genom hela tjänsten.
I slutändan handlar det om att kunna upprätthålla det klienten förväntar sig av en advokat: lojalitet, oberoende och sekretess – även när delar av verksamheten sker genom externa digitala tjänster.