Hva er digital signering, og hva kreves av norske bedrifter?

Når en kunde skal godkjenne et tilbud eller en endringsordre, er det ikke lenger penn og papir som gjelder. Men en PDF med et bilde av en underskrift er ikke en digital signatur, og forskjellen merkes først når noen bestrider avtalen.

Her går vi gjennom hva digital signering er, hva loven faktisk krever, hvilket signaturnivå du trenger, og hvordan et prosjektbasert firma tar det i bruk. Hvordan selve signeringen med BankID virker teknisk, og hva den koster hos de ulike leverandørene, har vi skrevet om i E-signering med BankID.

Hva er digital signering?

Digital signering blandes ofte sammen med to andre ting. En skannet underskrift er et bilde av en signatur med penn. En signatur tegnet med mus eller finger er en tegning. Ingen av dem er i seg selv knyttet til en bekreftet identitet.

En digital signatur, i regelverket kalt elektronisk signatur, knytter dokumentet til den som signerer. Når den lages med BankID, kan den vise fire ting:

• hvem som signerte, bekreftet med BankID
• hva som ble signert, som et digitalt fingeravtrykk av akkurat dette dokumentet
• når det skjedde
• at dokumentet ikke er endret etter signeringen

Et eksempel fra prosjektbasert virksomhet: byggherren godkjenner en endringsordre fra mobilen samme dag som arbeidet bestilles. Både bestillingen og godkjenningen er dokumentert, uten papir og uten oppmøte.

Er digital signering juridisk bindende?

Ja, men det er bindingen og beviset som er to forskjellige spørsmål. Norsk avtalerett har ingen generelle formkrav. En avtale kan inngås muntlig, på e-post eller med elektronisk signatur, og den er like bindende.

Det signaturen avgjør, er hvor godt du kan bevise avtalen. eIDAS-forordningen, som er norsk lov gjennom lov om elektroniske tillitstjenester, sier at en elektronisk signatur ikke kan avvises som bevis bare fordi den er elektronisk. Hvor mye den beviser, avhenger av nivået og av sporet den etterlater.

Mange tror at en PDF sendt på e-post er signert fordi den ser signert ut. Uten en sporbar identitetsbekreftelse er den bare en fil. Hva som skal til for at en signatur holder når den bestrides, har vi gått grundig gjennom i Digital signatur eller BankID: hva er juridisk bindende?.

Enkel, avansert og kvalifisert signatur

eIDAS deler elektroniske signaturer i tre nivåer.

Enkel elektronisk signatur er den laveste formen. Det kan være en avkrysning, et navn i et felt eller en skannet underskrift. Den stiller ingen krav til identitetsbekreftelse.

Avansert elektronisk signatur er unikt knyttet til den som signerer, kan identifisere vedkommende, og er knyttet til innholdet slik at senere endringer avsløres. Signering med BankID oppfyller som regel disse kravene.

Kvalifisert elektronisk signatur bygger i tillegg på et kvalifisert sertifikat fra en godkjent tillitstjenesteyter, laget med godkjent utstyr. Det er bare dette nivået som har samme rettsvirkning som en håndskrevet underskrift rett fra loven.

Hva avgjør nivået i praksis

Fire forhold veier tyngst: hvem motparten er, verdien på avtalen, hvilken type dokument det gjelder, og hva motparten eller oppdragsgiveren krever. Et prosjektbasert firma trenger sjelden samme nivå på alt. Et enkelt tilbud kan klare seg med lite, mens en entreprisekontrakt, en endringsordre med stor verdi og et sluttoppgjør bør signeres med BankID.

Kvalifisert signatur trengs bare når lov, forskrift eller oppdragsgiver krever det. Er du i tvil, avklar nivået tidlig og skriv det inn i kontrakten. Flere spørsmål om nivåer og krav er samlet i spørsmål og svar om e-signering.

Digital signering med BankID

I Norge er BankID den vanligste måten å bekrefte identitet på når noe skal signeres. De fleste voksne har den allerede på mobilen, og det gir lav terskel for kunden.

Innlogging og signering er ikke det samme. Innlogging bekrefter hvem du er. Signering er en handling knyttet til et bestemt dokument. Det er kombinasjonen av sterk identifisering og et spor som binder identiteten til dokumentet, som gir signaturen verdi i en tvist.

Offentlige tjenester godtar også andre eID-er, som MinID og Buypass ID. Men når en kunde eller en byggherre skal signere en kontrakt eller en endringsordre, er BankID det motparten nesten alltid har og kjenner.

Ett råd før du velger leverandør: be om å få se hva slags bevis som følger med hver signatur, ikke bare hvordan signeringen ser ut for kunden. Se etter logg, tidsstempel, og om beviset kan kontrolleres av andre enn leverandøren.

eIDAS 2.0: hva endres, og når?

EU vedtok i 2024 en revisjon av eIDAS, ofte kalt eIDAS 2.0 (forordning 2024/1183). Det store nye er den europeiske digitale identitetslommeboken, en app der innbyggerne skal kunne vise frem identitet og bevis, og signere.

For norske bedrifter er det viktigste å vite at forordningen ikke er norsk lov ennå. Digdir skriver at den er EØS-relevant og skal inn i norsk lov gjennom en vanlig lovprosess, med høring og behandling i Stortinget, og at reglene fra eIDAS 1 gjelder inntil videre.

Det betyr at nivåene over, og kravene til dem, er de som gjelder i dag. Følg med på når lovprosessen kommer, men ikke vent på den. En signering med BankID som etterlater et sporbart bevis, holder også når reglene en dag oppdateres.

Krav fra offentlige oppdragsgivere

Digdirs veileder om identifikasjon og sporbarhet beskriver hvordan elektronisk kommunikasjon med og i offentlig sektor skal knyttes til en bekreftet identitet og kunne etterprøves. Prinsippet er enkelt: det skal gå an å se hvem som sendte eller godkjente noe, når det skjedde, og at innholdet ikke er endret siden.

Veilederen gjelder det offentlige selv. Når du leverer til en offentlig byggherre, er det kontrakten som binder deg. Derfor havner kravene i praksis i kontraktsvilkårene: hvordan endringsordrer, fremdriftsplaner og fakturaer skal godkjennes, hvem som kan signere, og med hvilken identifisering.

Avtal signeringsmetode og nivå før første endringsordre skal godkjennes. Lag også en enkel intern rutine: hvem i firmaet har fullmakt til å signere hvilke dokumenter, og hvor store beløp kan hver enkelt godkjenne alene? Skriv den ned, så den ikke forsvinner når prosjektlederen byttes ut.

Slik tar et prosjektbasert firma digital signering i bruk

Når fullmakter og nivå er på plass, gjenstår det å gjøre signeringen til en fast del av prosjektflyten.

1. Kartlegg dokumentene. List opp alt som krever signatur i et prosjekt: tilbud, kontrakt, endringsordrer, timelister og sluttoppgjør. Noter hvem som signerer hva.
2. Bestem nivå per dokumenttype. Vurder verdi og motpart, og skriv beslutningen ned, så samme type dokument alltid behandles likt.
3. Lag maler med ferdige signaturfelt. Kunden skal signere, ikke lete etter hvor.
4. Koble signeringen til prosjekt og økonomi. Når en signert endringsordre går rett inn i prosjektøkonomien og fakturagrunnlaget, forsvinner dobbeltføring. Relation OS samler tilbud, prosjektøkonomi, kundeportal, fakturering og kontantstrøm, og Relation Sign er inkludert.
5. Mål tiden til signatur. Ta tiden fra dokumentet sendes til det er signert. Det tallet er den enkleste begrunnelsen for å ta ordningen i bruk på flere dokumenttyper.
6. Gi kunden én fast inngang. Samle signeringen på ett sted, og forklar første gang hva kunden skal gjøre: åpne lenken, bekrefte med BankID, signere.

Slik sikrer du at en signert avtale kan etterprøves

Hver signatur skal etterlate et bevis på hvem som signerte, hva som ble signert og når. Beviset må kunne hentes ut og kontrolleres av andre enn den som laget det. Motparten, en revisor eller en advokat skal kunne se at dokumentet er uendret og at identiteten er bekreftet, uten å måtte stole på leverandørens ord.

Forskjellen er stor mellom en signert PDF i en e-postmappe og et forseglet dokument. E-postmappen kan slettes, og leverandøren kan forsvinne. Et segl ligger inne i selve PDF-en og kan kontrolleres med vanlige PDF-programmer.

Arkiver signerte dokumenter etter en fast rutine, for eksempel med prosjektnummer i filnavnet, som 2026-014-endringsordre-03.pdf. Da finner dere dem igjen om flere år, også når prosjektlederen har sluttet.

Relation Sign: digital signering med BankID for norske bedrifter

Relation Sign er digital signering med BankID fra Relation Labs. Dere betaler 12 kroner per eID-bruk, uten fast månedspris, med ubegrenset antall brukere og ingen binding. Hvert signerte dokument forsegles, og beviset følger med dokumentet, så det kan etterprøves av hvem som helst.

Bruker dere Relation OS, er Relation Sign inkludert i pakkene, og signerte tilbud og endringsordrer havner rett i prosjektet de hører til.