Vad är en kvalificerad elektronisk signatur (QES)?

De tre signaturnivåerna i eIDAS

eIDAS (förordning (EU) nr 910/2014) definierar tre nivåer av elektronisk signatur, med olika bevisvärde:

• Enkel elektronisk signatur (SES). Uppgifter i elektronisk form som fogas till andra uppgifter och används för att signera. Ett inskrivet namn, en inskannad namnteckning eller en kryssruta kan alla räknas hit. Lägst bevisvärde.
• Avancerad elektronisk signatur (AdES). Unikt knuten till undertecknaren, kan identifiera denne, skapad med data som undertecknaren kontrollerar, och kopplad till dokumentet så att varje senare ändring går att upptäcka.
• Kvalificerad elektronisk signatur (QES). Allt som krävs för AdES, plus två villkor till: den ska skapas med en kvalificerad anordning för signaturframställning (QSCD), och bygga på ett kvalificerat certifikat utfärdat av en betrodd tjänsteleverantör (QTSP) som står under tillsyn och revideras enligt eIDAS.

Var BankID hamnar i det här

BankID är en identifieringsmetod — ett sätt att fastställa vem som legitimerar sig. Nivån på signaturen avgörs av vad signeringstjänsten sedan gör med den identifieringen: vilket certifikat som används, hur det förvaras, och vad som bäddas in i dokumentet.

I praktiken landar de flesta svenska BankID-baserade signeringstjänster på avancerad nivå (AdES), inte kvalificerad. Det är inget fel — AdES är giltigt och betydligt svårare att bestrida än en enkel signatur. Men det är inte samma sak som artikel 25.2, och skillnaden märks först den dagen någon bestrider.

Varför QES är annorlunda: artikel 25

Artikel 25.1 i eIDAS slår fast att ingen elektronisk signatur, på någon nivå, får underkännas enbart för att den är elektronisk. Det omfattar även SES och AdES. Men artikel 25.2 går längre och gäller bara QES: en kvalificerad elektronisk signatur "ska ha motsvarande rättsliga verkan som en handskriven underskrift". Den likvärdigheten är automatisk och gäller i alla EU-länder, utan att en domstol behöver fastställa den från fall till fall.

Med SES och AdES ligger bevisbördan normalt hos den som förlitar sig på signaturen, om den bestrids. Med QES vänder bördan: signaturen presumeras giltig, och den som bestrider måste visa motsatsen.

Vem utfärdar en QES

En QES kan inte utfärdas av en själv, och inte av en vanlig signeringsplattform på egen hand. Det krävs en betrodd tjänsteleverantör (QTSP) som står på ett medlemslands nationella betrodda lista och därmed på EU:s lista över betrodda listor (LOTL). Leverantören kontrollerar undertecknarens identitet enligt en fastställd standard och utfärdar det kvalificerade certifikat signaturen bygger på.

Värt att veta för svenska köpare: det finns i dag inga svenskregistrerade leverantörer av kvalificerade sigill, så en svensk organisation som vill nå kvalificerad nivå gör det via en leverantör i ett annat EU- eller EES-land. Det är helt i sin ordning enligt eIDAS — listan är gemensam — men det överraskar ofta i en upphandling. Listorna ändras löpande, så kontrollera alltid mot den aktuella listan innan ni bygger ett krav på den.

Vad det betyder i praktiken

Om ett dokument signerats med en QES beror dess giltighet som namnteckningsekvivalent inte på vilken plattform som var värd för signeringen. Vilken oberoende validerare som helst som kontrollerar signaturen mot samma betrodda listor bör komma till samma slutsats — den rättsliga tyngden kommer från certifikatet och leverantören bakom det, inte från plattformen.