Digital signatur eller BankID: hva er juridisk bindende?

Mange tror at alle digitale signaturer er juridisk bindende på samme måte. Det er de ikke. En skannet underskrift, en signatur med BankID og en kvalifisert elektronisk signatur ligger på tre forskjellige nivåer, med ulike krav til identitet, sporbarhet og bevisverdi.

Hvordan selve signeringen med BankID virker, og hva den koster, har vi skrevet om i E-signering med BankID. Denne artikkelen handler om det neste spørsmålet: hvilket nivå trenger avtalen din, og hva avgjør om signaturen holder hvis noen bestrider den?

Hvorfor digital signatur, elektronisk signering og BankID-signering ikke er samme ting

Begrepsforvirringen starter i språket. Digital signatur og elektronisk signatur brukes om hverandre i dagligtale, men det er «elektronisk signatur» som er begrepet i regelverket. BankID-signering er ikke et eget juridisk nivå. BankID er en måte å bekrefte hvem du er på, og kan brukes for å oppfylle kravene til avansert eller kvalifisert elektronisk signatur. Rettsvirkningen følger av regelverket, ikke av hva verktøyet heter.

Forvirringen oppstår når man setter et verktøynavn (BankID), et dagligord (digital signatur) og en juridisk kategori (kvalifisert elektronisk signatur) på samme skala. De hører ikke hjemme der.

Det er også nyttig å skille signatur som handling fra signatur som bevis. Elektronisk signering er måten du bekrefter på. Beviset er det som ligger igjen etterpå: hvem som logget inn, når, med hvilket middel, og at dokumentet er det samme som ble signert. Beviset er ikke bildet av en underskrift, men sporet.

Kort ordliste:

• Elektronisk signatur: den juridiske kategorien, med tre nivåer.
• Digital signatur: upresist dagligord.
• BankID-signering: et verktøy for å bekrefte identitet, ikke et eget nivå.
• Signering: handlingen.
• Signert dokument: beviset.

Flere praktiske avklaringer finner du i spørsmål og svar om e-signering.

Nivå 1: den skannede underskriften, og hvorfor den ofte ikke holder

Det laveste nivået er knapt et teknisk nivå. En skannet underskrift er et bilde av en signatur med penn, lagt inn i en PDF. Bildet har ingen teknisk kobling til en identitet, og ingen logg viser hvem som la det inn eller når.

I regelverkets forstand er det en enkel elektronisk signatur. eIDAS-forordningen artikkel 25 sier at en elektronisk signatur ikke kan avvises som bevis bare fordi den er elektronisk. Men det betyr ikke at den beviser mye. Verdien avhenger av hva partene har avtalt, og av om bildet lar seg knytte til en bestemt person.

Når en part bestrider å ha signert, må du kunne vise hvem som faktisk gjorde det. En skannet underskrift har ingenting å vise til: ingen innlogging, ingen tidsstempel og ikke noe sertifikat. Du står igjen med et bilde som kunne vært limt inn av hvem som helst.

Avtalefriheten gjør at en skannet underskrift kan være nok mellom parter som selv har avtalt det. Den er svak når avtalen skal dokumenteres overfor en tredjepart eller en oppdragsgiver. Bruk den bare der avtalen eller prosessen sier at det er akseptabelt, og aldri som standard for avtaler med økonomisk risiko.

Nivå 2: avansert elektronisk signatur, og hvordan BankID-signering oppfyller den

Der den skannede underskriften mangler kobling til en identitet, stiller neste nivå konkrete krav. Etter eIDAS-forordningen artikkel 26 må en avansert elektronisk signatur:

• være knyttet entydig til den som signerer
• kunne identifisere den som signerer
• være laget med data som bare den som signerer, har kontroll over
• være knyttet til dokumentet slik at senere endringer kan oppdages

Det er dette nivået signering med BankID som regel ligger på. BankID bekrefter hvem som signerer, signeringsloggen viser når, og forseglingen av dokumentet avslører om noe er endret etterpå.

Relation Sign er e-signering med BankID for norske bedrifter, og hvert signert dokument får beviset lagt ved som en del av den forseglede PDF-en.

Avansert nivå er i praksis utgangspunktet der det ikke er stilt krav om kvalifisert signatur. Det gir sporbar identitet uten at man trenger kvalifisert sertifikat og godkjent utstyr for å lage signaturen.

Nivå 3: kvalifisert elektronisk signatur og likeverdet med håndskrift

Kvalifisert elektronisk signatur er ikke et eget fjerde nivå, men en avansert signatur som i tillegg bygger på et kvalifisert sertifikat og er laget med godkjent utstyr. Begge deler må være oppfylt. BankID alene gjør ikke en signatur kvalifisert.

Bare dette nivået har en uttrykkelig regel om likeverd: etter eIDAS-forordningen artikkel 25 har en kvalifisert elektronisk signatur samme rettsvirkning som en håndskrevet underskrift.

Kvalifisert status er ingen egenerklæring. Den som utsteder sertifikatene, må stå på den nasjonale tillitslisten, og listen endres over tid. I Norge er det Nkom som fører tillitslisten. En leverandør som var kvalifisert i fjor, er ikke nødvendigvis det i dag.

Sammenligning: identitet, sporbarhet, bevisverdi og rettsvirkning

Forskjellene blir tydeligst når nivåene står side om side. Tabellen sammenligner nivåene, ikke leverandører.

Nivå	Identitet	Sporbarhet	Bevisverdi	Rettsvirkning
Skannet underskrift	Ingen eller svak identitetskontroll	Ingen teknisk sporbarhet	Lav ved tvist	Kan ikke avvises bare fordi den er elektronisk
Avansert elektronisk signatur via BankID	Sterk identitetskontroll	Logg med tid og signatar	God ved tvist	Vurderes som bevis, og oppfyller de fleste avtalte formkrav
Kvalifisert elektronisk signatur	Kvalifisert sertifikat og utstyr	Sterkest sporbarhet	Sterkest	Samme rettsvirkning som håndskrevet underskrift rett fra loven

Bruk tabellen som beslutningsverktøy: velg nivå etter krav og risiko, ikke etter vane. Et høyere nivå betyr som regel mer administrasjon og strengere rutiner.

Digdirs veileder om identifikasjon og sporbarhet i offentlig sektor forklarer godt hvorfor valg av nivå egentlig er et valg av bevis.

Lovgrunnlaget: eIDAS i norsk rett

Norges første lov på området var esignaturloven fra 2001. Den ble opphevet i 2018 og erstattet av lov om elektroniske tillitstjenester. Loven gjør eIDAS-forordningen til norsk lov gjennom EØS-avtalen, så de samme tre nivåene gjelder i Norge som i resten av EU og EØS.

To regler i forordningen er de viktigste for avtaler:

• Artikkel 25: en elektronisk signatur kan ikke avvises som bevis bare fordi den er elektronisk, og en kvalifisert elektronisk signatur har samme rettsvirkning som en håndskrevet underskrift.
• Artikkel 26: kravene til en avansert elektronisk signatur, som er listet opp under nivå 2.

Det er nyttig å skille mellom tre typer utsagn: hva loven fastsetter, hva myndighetenes veiledere anbefaler, og hva som er vanlig praksis i norske virksomheter.

Er elektronisk signatur gyldig? Krav til form, dokumentasjon og bevis

I norsk rett er utgangspunktet avtalefrihet. Det finnes ingen generelle formkrav, og en avtale kan inngås muntlig, på e-post eller med elektronisk signatur. Det som oftest avgjør en tvist, er derfor ikke om avtalen er gyldig, men formkrav og bevis.

Skill mellom to spørsmål: er avtalen gyldig inngått, og kan signaturen bevises hvis motparten nekter for å ha signert? Det første er sjelden problemet. Det andre er der saken faller.

Formkrav kommer typisk fra tre steder: lov eller forskrift, oppdragsgiverens konkurransegrunnlag og avtalevilkår, og partenes egne regler om hvordan endringer skal signeres. Avklar kravet før du signerer.

Minsteanbefaling: bruk minst avansert elektronisk signatur der avtalen skal dokumenteres overfor en tredjepart, og kvalifisert der lov eller oppdragsgiver krever det. Bruker dere Relation OS, er Relation Sign innebygd.

Hvilket nivå krever din avtale? Anskaffelse, kontrakter og bygg og anlegg

Minsteanbefalingen blir konkret først når du vet hvilken avtaletype du står i. De tre spørsmålene over, om lov, oppdragsgiver og partenes egne krav, peker på nivået.

Anskaffelse

Tilbud og kontrakt bør kunne knyttes entydig til en navngitt person, med tidsstempel. Sporbarheten er en del av dokumentasjonen oppdragsgiveren må legge fram ved en klage eller en tvist.

Bygg og anlegg

Entrepriseavtaler lever lenge. Endringsordrer, tillegg og befaringer dokumenteres over år, og svak sporbarhet i én signatur blir dyr når en part senere skifter standpunkt.

Tommelfingerregel

• Lav verdi og liten risiko for tvist: skannet eller håndskrevet underskrift kan holde.
• Kontrakter og anskaffelser: avansert elektronisk signatur er normalvalget.
• Der lov, forskrift eller oppdragsgiver krever det: kvalifisert elektronisk signatur.

Kvalifisert nivå er bare nødvendig når kravene faktisk peker dit.

Når signaturen bestrides: hva som faktisk avgjør

Selv når nivået er riktig, avgjøres en bestridt signatur av hva som kan dokumenteres. Det er loggen, sertifikatet og tidsstempelet som er beviset, ikke PDF-en med et bilde av en signatur. Disse opplysningene må kunne hentes fram år senere.

Bevis som ikke ble sikret da avtalen ble signert, kan nesten aldri skaffes i ettertid. Styrk bevissikringen med faste rutiner:

• signering i navngitt rekkefølge
• tidsstempling
• versjonering av dokumentet
• arkivering av signeringsloggen sammen med den signerte avtalen

Denne artikkelen er ikke juridisk rådgivning om en konkret tvist. Det må vurderes av en jurist, sammen med den faktiske signeringsloggen.

Oppsummering: velg nivå før du velger verktøy

Tre neste steg:

1. Kartlegg hvilke avtaletyper i virksomheten som faktisk krever kvalifisert signatur.
2. Be oppdragsgiveren eller motparten om signeringskravet skriftlig før kontrakten sendes ut.
3. Sørg for at logg og tidsstempel arkiveres sammen med hver signerte avtale.

Det er bevisstheten om hvilket nivå avtalen trenger, ikke hvilket verktøy som er billigst, som avgjør om signaturen holder når den bestrides.