Ett kvalificerat elektroniskt sigill tillhör en juridisk person, inte en fysisk. Enligt eIDAS artikel 35 bär det en presumtion om integritet och ursprung — inte likvärdighet med en namnteckning, som bara gäller signaturer av fysiska personer.
eIDAS drar en tydlig gräns. En kvalificerad elektronisk signatur utfärdas till en fysisk person och uttrycker den personens vilja att signera. Ett kvalificerat elektroniskt sigill utfärdas till en juridisk person — ett bolag, en myndighet, en bank — och intygar att dokumentet kommer från den organisationen. Det uttrycker ursprung, inte någon enskild persons samtycke.
Nivåstrukturen är densamma som för signaturer: det finns enkla, avancerade och kvalificerade sigill, och bara den kvalificerade nivån kräver en betrodd tjänsteleverantör (QTSP) och en kvalificerad anordning för sigillframställning.
Det här är detaljen som oftast blir fel, även i leverantörers eget material. En kvalificerad signatur får sin rättsliga tyngd ur artikel 25.2: likvärdighet med en namnteckning. Ett kvalificerat sigill regleras av en annan artikel — 35.2 — som ger det "en presumtion om integriteten hos uppgifterna och riktigheten av uppgifternas ursprung".
I klartext: ett sigill bevisar att dokumentet kommer från den organisation det utger sig för att komma från, och att det inte ändrats sedan dess. Det bär inte namnteckningsekvivalens, av det enkla skälet att ett sigill aldrig varit tänkt att ersätta en persons namnteckning. Avancerade (icke-kvalificerade) sigill bär ingen av presumtionerna — de går fortfarande att verifiera tekniskt, men utan samma rättsliga stöd i hela EU.
Om någon säger att ett sigill "är juridiskt likställt med en underskrift" är det alltså fel, oavsett hur välmenande påståendet är.
Sigill hör hemma där en organisation, inte en enskild medarbetare, ska stå bakom ett dokument i stor volym: fakturor, myndighetsbeslut och annan officiell korrespondens, kontoutdrag, rapportering till tillsynsmyndigheter — kort sagt allt som mottagaren behöver kunna lita på kommer från avsändaren, utan att först leta reda på vem som personligen skrev under.
För en svensk myndighet är det ofta den mer relevanta frågan än signaturer: besluten fattas i organisationens namn, och det är organisationens ursprung som ska gå att bevisa i efterhand.
Precis som för en signatur avgörs ett kvalificerat sigills giltighet av att certifikatet leder tillbaka till en betrodd tjänsteleverantör på en nationell betrodd lista, och därmed på EU:s lista över betrodda listor. Den kontrollen går att göra oberoende av plattformen som satte sigillet — och det är just därför ett sigill är användbart som bevis flera år senare, även om plattformen bytt skepnad eller lagts ner.
Värt att veta för svenska organisationer: det finns i dag inga svenskregistrerade leverantörer av kvalificerade sigill, så vägen till kvalificerad nivå går via en leverantör i ett annat EU- eller EES-land. Enligt eIDAS är det oproblematiskt — listan är gemensam och giltigheten gäller i hela unionen — men det brukar överraska i en upphandling. Listorna ändras löpande, så kontrollera mot den aktuella listan innan ni skriver in ett krav.