Elektroniska signaturer är juridiskt giltiga på alla nivåer enligt eIDAS. Men bara en kvalificerad elektronisk signatur (QES) likställs automatiskt med en namnteckning. Enkla och avancerade signaturer är också giltiga — de är bara lättare att bestrida.
Enligt eIDAS artikel 25.1 får en elektronisk signatur inte underkännas enbart för att den är elektronisk. Det gäller på alla nivåer. Men "får inte underkännas" är något annat än "likställs automatiskt med en namnteckning". Den starkare garantin gäller exakt en nivå.
Frågan är alltså sällan om signaturen är giltig. Den är vad du kan bevisa om motparten säger att den inte är deras — och det avgörs av nivån, och av vad som faktiskt ligger i filen.
Nästan varje svensk e-signering går via BankID, och därför är det där de flesta antar att svaret finns. Men BankID är en identifieringsmetod, inte ett signaturformat. Det besvarar *vem* som legitimerade sig i signeringsögonblicket.
Vad som hamnar i själva dokumentet — vilket ETSI-format det bär, vilket certifikat signaturen vilar på, om beviset går att kontrollera i efterhand utan plattformen — avgörs av signeringstjänsten ovanpå BankID. Två tjänster som båda "signerar med BankID" kan ge dokument med helt olika bevisvärde. Det är därför nivån, inte legitimeringsmetoden, är det du behöver veta.
Ett namn du skrivit in, en inskannad namnteckning, ett mejl som bekräftar en överenskommelse, en kryssruta där du klickar för att signera — allt detta kan räknas som en enkel elektronisk signatur. Den är juridiskt giltig och användbar som bevis. Men om motparten bestrider att det var de, eller att de menade att signera, ligger bevisbördan hos den som förlitar sig på signaturen. Ingen ackrediterad tredje part står bakom signeringen.
En AdES måste uppfylla fyra villkor: den ska vara unikt knuten till undertecknaren, kunna identifiera denne, skapas med signeringsdata som undertecknaren kontrollerar, och vara kopplad till dokumentet så att varje senare ändring går att upptäcka. Det är starkare bevis än SES, i praktiken oftast med en identitetskontroll bakom sig — i Sverige nästan alltid BankID — och en manipulationssäkrad kryptografisk signatur.
Den likställs fortfarande inte automatiskt med en namnteckning, men den är väsentligt svårare att bestrida än en SES. Det är också den nivå de flesta svenska signeringstjänster levererar som standard.
En QES lägger två krav ovanpå AdES: en kvalificerad anordning för signaturframställning, och ett kvalificerat certifikat utfärdat av en betrodd tjänsteleverantör som står på EU:s betrodda listor. I utbyte ger artikel 25.2 den automatisk rättslig likvärdighet med en namnteckning i samtliga EU-länder, och bevisbördan vänder: signaturen presumeras giltig tills den som bestrider den kan visa något annat.
Läs vad en kvalificerad elektronisk signatur är för hela genomgången.
Signeringsplattformen talar sällan om nivån av sig själv. Många vanliga e-signeringsverktyg landar på SES eller AdES om inte en kvalificerad leverantör uttryckligen används för just den signaturen. Det enda tillförlitliga sättet att veta är att kontrollera signaturen i sig: vilket certifikat den bygger på, och om det certifikatet leder tillbaka till en betrodd tjänsteleverantör på de betrodda listorna — i stället för att lita på plattformens egen sammanfattning av vad som hände.