Att införa ett e-signeringsverktyg är ett upphandlingsbeslut. ETSI-efterlevnad är en egenskap hos det specifika signaturformat och den valideringskedja verktyget faktiskt producerar. De två följs inte automatiskt åt, och en organisation kan använda e-signering i åratal utan att någon kontrollerat det andra påståendet.
"Vi använder e-signering" beskriver ett beslut som fattades en gång, oftast av inköp eller IT: att införa ett signeringsverktyg i stället för penna och papper. "Våra signaturer följer ETSI" är ett specifikt tekniskt påstående om formatet verktyget producerar (PAdES, XAdES eller CAdES enligt ETSI EN 319 122/132/142), vilken betrodd lista certifikaten leder till, och vilken rättslig nivå som faktiskt utfärdas.
Det första påståendet görs en gång, vid införandet. Det andra kontrolleras sällan alls — för att det inte står i någons uppdrag att göra det.
Inköp eller IT äger normalt det första: verktyget är upphandlat, integrerat och i drift. Compliance, juridik eller internrevision borde äga det andra — men får ofta veta att det är deras ansvar först när en tvist tvingar fram frågan.
Det glappet i överlämningen, mellan den funktion som införde verktyget och den som svarar för dess efterlevnadsegenskaper, är precis där exponeringen ligger. I en svensk organisation går skarven ofta rakt mellan IT och juristfunktionen, och båda utgår från att den andra kollat.
Det är ingen enskild ja/nej-egenskap hos en leverantör. Det beror på vilket format som produceras, om certifikatet leder till en erkänd betrodd lista, vilken rättslig nivå som gäller, och om signaturen fortfarande går att kontrollera om flera år. Se en praktisk checklista för granskningsbara signaturer för vad som konkret bör verifieras — i stället för att anta att leverantörsrelationen avgör saken.
De flesta signerade dokument granskas aldrig tillräckligt noga för att glappet ska synas. En signatur som inte går att verifiera oberoende ser i praktiken exakt likadan ut som en som gör det — ända fram till den dag någon ska bevisa den i en tvist eller en revision. Det finns ingen naturlig utlösare som tvingar fram kontrollen tidigare. Därför måste den vara medveten.
Bekräfta vad er signeringsprocess faktiskt producerar — inte vad upphandlingsbeslutet antog att den producerade — och bekräfta det tillräckligt konkret för att kunna svara på de frågor en revisor eller en bestridande motpart faktiskt ställer. Se vad som händer när en signatur som inte uppfyller kraven ifrågasätts för hur det ser ut när saken prövas första gången i en skarp tvist i stället för i en lugn genomgång.