E-signering med BankID: slik virker det, og hva det koster

De fleste av oss har signert noe med BankID. En leiekontrakt, et lån, en kontrakt med en underleverandør. Det tar et halvt minutt, og etterpå tenker man ikke mer på det.

Men en signatur er ikke laget for det halve minuttet. Den er laget for dagen, kanskje fem år senere, da noen er uenige om hva som ble avtalt. Da er spørsmålet ikke om du klikket på en knapp. Spørsmålet er om det kan bevises hvem som signerte, hva de signerte, og at ingenting er endret siden.

Vi laget Relation Sign først til eget bruk, fordi det vi prøvde, var dyrt og tungvint. Underveis måtte vi sette oss inn i hva som faktisk gjør en elektronisk signatur til å stole på. Det er mindre magi i det enn man skulle tro, og det meste kan forklares med fire figurer.

Er elektronisk signatur gyldig i Norge?

Ja. Norsk avtalerett har ingen generelle formkrav. En avtale kan inngås muntlig, på e-post eller med et håndtrykk, og en elektronisk signatur er minst like god som noen av dem. Spørsmålet er aldri om signaturen er «gyldig», men hvor godt den beviser det den skal.

I EU og EØS er dette regulert av eIDAS-forordningen, som gjelder i Norge gjennom loven om elektroniske tillitstjenester fra 2018. Den sier at en elektronisk signatur ikke kan avvises som bevis bare fordi den er elektronisk, og den deler signaturene i tre nivåer:

Nivå	Hva det betyr	Eksempel
Enkel	Alt som viser at noen har godtatt noe elektronisk	Et navn under en e-post, en avkrysning
Avansert	Knyttet entydig til den som signerer, kan identifisere personen, og avslører endringer i dokumentet	Signering med e-ID, bundet til dokumentet
Kvalifisert	En avansert signatur laget med et kvalifisert sertifikat og godkjent utstyr	BankID-signering med kvalifisert sertifikat

Bare den kvalifiserte signaturen har samme rettsvirkning som en håndskrevet signatur rett fra loven. De to andre er like gyldige, men må vurderes som bevis hvis noen bestrider dem, og da er det beviset som teller. For kontrakter, endringsmeldinger, tilbud og avtaler mellom bedrifter er det sjelden noe krav om nivå, og BankID er det de fleste i Norge bruker. Noen få dokumenter har egne formkrav, som testamenter. De kan ikke signeres elektronisk uansett nivå.

Hvordan fungerer signering med BankID?

Når du signerer et dokument i Relation Sign, skjer dette, i rekkefølge:

1. Dokumentet er ferdig, og det regnes ut et digitalt fingeravtrykk av det.
2. Du logger inn med BankID. Innloggingen bindes til nøyaktig det fingeravtrykket, så den gjelder dette dokumentet og ikke noe annet.
3. Beviset fra BankID lagres kryptert, og signeringen skrives i en hendelseslogg.
4. Når den siste har signert, forsegles hele dokumentet, og alle får det samme forseglede dokumentet.

Hvert av stegene har sin egen jobb. La oss ta dem én og én.

Hva er et digitalt fingeravtrykk?

Et digitalt fingeravtrykk er et tall regnet ut fra innholdet i en fil. Den vanligste metoden heter SHA-256, og den gjør hva som helst, en setning eller en kontrakt på hundre sider, om til 64 tegn.

Tre egenskaper gjør det nyttig. Den samme teksten gir alltid det samme fingeravtrykket. Den minste endring gir et helt annet fingeravtrykk. Og det går ikke an å regne seg baklengs fra fingeravtrykket til teksten.

Kontraktssum: 1 250 000 kr eks. mva.

SHA-256

472d6e41 e73ebf6a 5b93dc4a 97ce3a78 62b15ad6 887da89a 50ba448d 7b4d6084

Kontraktssum: 1 250 001 kr eks. mva.

SHA-256

5736c352 da19f3cd f16b555a 26d34754 5001132b cdc7946e 2c03fb4b 304d2791

Ett tegn endret i teksten. 59 av 64 tegn endret i fingeravtrykket.

Det betyr at fingeravtrykket kan stå i stedet for dokumentet. Har du fingeravtrykket fra signeringsdagen, og dokumentet gir det samme fingeravtrykket i dag, er det det samme dokumentet. Ett komma flyttet, og det stemmer ikke.

Fingeravtrykket er ikke kryptering. Det skjuler ingenting, og det kan ikke låses opp. Det er bare et svært presist mål på hva dokumentet inneholdt.

Hva er et PAdES-segl?

Et fingeravtrykk alene er ikke nok. Den som endrer dokumentet, kan jo regne ut et nytt. Derfor må fingeravtrykket låses, av noen andre enn den som kunne tenkes å jukse. Det er det seglet gjør.

Seglet er fingeravtrykket låst med en hemmelig nøkkel som bare den som forsegler, har. Til nøkkelen hører et sertifikat som alle kan lese, og med det kan hvem som helst kontrollere at seglet er ekte og at fingeravtrykket i det stemmer med dokumentet. Ingen kan lage et nytt segl uten den hemmelige nøkkelen.

Nordlys Bygg AS

Endringsmelding 14

Beskrivelse

Peler forlenges 2,4 m etter ny grunnundersøkelse

Fremdrift

Fem arbeidsdager tillegg i fase 2

Pris

186 400 kr eks. mva.

1. Ola Berg
2. Kari Nilsen

Forseglet

Nytt fingeravtrykk

1ea11210 7094 ea67 …

Seglet: fingeravtrykket, låst med nøkkelen

b6ff33a3 2f3a 40fd …

Seglet er heltStemmer ikke. Seglet er brutt

Endringsmelding 14 får fingeravtrykket b6ff33a32f3a40fd9d35713ff1fc5672fa78bbc05f475b835e2f9e1aab6e966d. Endres fremdrift etterpå, blir fingeravtrykket 1ea112107094ea6764e69fa96c5c332c665190abc6834d712993503ec82f912d, og seglet stemmer ikke lenger.

Dokumentet er ferdig, og begge partene har signert med BankID.

Det regnes ut et fingeravtrykk av hele dokumentet, med signaturene.

Fingeravtrykket låses med nøkkelen til den som forsegler. Det er seglet, og det legges inn i PDF-en.

Noen endrer seks dager til fem i ettertid. Fingeravtrykket blir et annet, det stemmer ikke med seglet, og seglet vises som brutt.

Standarden for segl i PDF heter PAdES, og den er europeisk og åpen. Det betyr at seglet ligger inne i selve PDF-en, og at det kan kontrolleres med vanlige PDF-programmer, uten å spørre oss. I Relation Sign får hele PDF-en et elektronisk PAdES-segl når den siste har signert.

Er e-signering kryptert?

Kryptering er noe annet enn signering, og de blandes ofte sammen. Kryptering gjør innhold uleselig for alle som ikke har nøkkelen. Det handler om hemmelighold, ikke om ekthet.

Et signert dokument er som regel ikke kryptert. Det skal jo leses av partene, sendes videre og arkiveres. Men bak hver BankID-signatur ligger et bevis fra BankID, med navn, fødselsdato og en referanse til selve innloggingen. Det er personopplysninger, og de skal ingen andre enn de som har grunn til det, kunne lese.

BankID-bevis Kryptert Klartekst

hpyEsNEokbFnSJkMJLN1088j1etEkOgdmz8ENB/Ro0Md0BxuVGvLaU+wWsuEaNgOyPu9aEm3hlKzyR0l1Vj2WtlWY+saXhKoib78NuCP4g0Q9WEHMJL1ixPjjkTSapqeIrwOEKM/DVDtxTLFwA6jrH8xajbVnqXnzh/NGUNy53MfhSKsOi0PZcAssA==

Nøkkel, 256 bitdcb76f634ed787ca…

Klartekst: Navn: Kari Nilsen. Fødselsdato: 14.03.1986. Metode: BankID. Signert: 21.10.2026 kl. 14.32.08. Dokument: 9c41b8e2 07d3 3f9a …. Kryptert med AES-256-GCM: hpyEsNEokbFnSJkMJLN1088j1etEkOgdmz8ENB/Ro0Md0BxuVGvLaU+wWsuEaNgOyPu9aEm3hlKzyR0l1Vj2WtlWY+saXhKoib78NuCP4g0Q9WEHMJL1ixPjjkTSapqeIrwOEKM/DVDtxTLFwA6jrH8xajbVnqXnzh/NGUNy53MfhSKsOi0PZcAssA==

Beviset fra BankID: hvem som signerte, når, og hvilket dokument det gjaldt.

Beviset krypteres med en nøkkel på 256 bit før det lagres. Uten nøkkelen er det bare støy, også for den som skulle få tak i lagringen.

Med nøkkelen kommer beviset tilbake, tegn for tegn som det var. Det trengs bare den dagen noen må etterprøve signaturen.

Kryptering skjer to steder: på veien, når dokumentet og beviset sendes mellom nettleseren og oss, og der det ligger lagret. Dataene i Relation Sign lagres i Norge og EU.

Kort sagt har de tre verktøyene hver sin jobb:

Verktøy	Hva det gjør	Kan det reverseres?
Fingeravtrykk	Måler nøyaktig hva dokumentet inneholder	Nei
Segl	Låser fingeravtrykket, så endringer oppdages	Nei, bare kontrolleres
Kryptering	Skjuler innhold for alle som ikke har nøkkelen	Ja, med nøkkelen

Hvordan bevises det hvem som gjorde hva?

Det siste beviset er historien. Hvem sendte dokumentet, hvem åpnet det, hvem kommenterte, og når signerte hver enkelt? Det står i en hendelseslogg.

En vanlig logg er en liste, og en liste kan endres. Derfor bærer hver hendelse i loggen fingeravtrykket til hendelsen før. Endres én linje, får den et nytt fingeravtrykk, og den neste linjen peker fortsatt på det gamle. Kjeden er brutt, og det synes.

1. 14.02Ola Berg sendte endringsmelding 14 til signeringpeker på 000000egen b4b13e
2. 14.10Kari Nilsen åpnet dokumentetpeker på b4b13eegen 113c67
3. 14.18Ola Berg svarte på kommentarenpeker på 1eaedbmen forrige er nå 113c67egen 781461
4. 14.25Ola Berg signerte med BankIDpeker på 781461egen 472f25
5. 14.32Kari Nilsen signerte med BankID, dokumentet ble forsegletpeker på 472f25egen 1c6b2b

Kjeden er hel. Hvert ledd peker på det forrige.Linje 2 er endret. Fingeravtrykket stemmer ikke med det neste leddet, og kjeden er brutt herfra.

Hendelsesloggen: 14.02, Ola Berg sendte endringsmelding 14 til signering, fingeravtrykk b4b13e; 14.10, Kari Nilsen kommenterte fremdriften, fingeravtrykk 1eaedb; 14.18, Ola Berg svarte på kommentaren, fingeravtrykk 781461; 14.25, Ola Berg signerte med BankID, fingeravtrykk 472f25; 14.32, Kari Nilsen signerte med BankID, dokumentet ble forseglet, fingeravtrykk 1c6b2b. Endres linje 2 til «Kari Nilsen åpnet dokumentet», blir fingeravtrykket 113c67, og neste ledd peker fortsatt på 1eaedb.

Det er samme prinsipp som i en blokkjede, uten resten av maskineriet. I Relation Sign kan revisjonssporet lastes ned som PDF, og det ligger også i det forseglede dokumentet.

Hvorfor du kan stole på en e-signatur

Du skal ikke trenge å stole på oss. Det er hele poenget. Et signert dokument fra Relation Sign skal kunne etterprøves av hvem som helst, også om mange år, også uten oss:

• Alt ligger i én PDF. Originalsidene urørt, kommentarene, en signaturside med et sølvsegl per signatar, og PAdES-seglet over det hele.
• Beviset er lagt ved. Originalfilen og et maskinlesbart bevis, evidence.json, ligger vedlagt inne i PDF-en.
• Verifiseringssiden er åpen. Last opp dokumentet, og se om seglet er helt og hvem som signerte. Filen lagres ikke.
• Standardene er åpne. SHA-256, PAdES og BankID er ikke noe vi har funnet på. De er de samme som bankene og det offentlige bruker.
• Endringer synes, også før forseglingen. En kommentar eller en ny versjon etter at noen har signert, opphever signaturene som er gitt. Da må partene signere på nytt, og alle vet at det de signerte, er det som står der nå.

Det er også verdt å si hva som ikke er like sterkt. Relation Sign lar partene signere med en engangskode på e-post eller SMS, for eksempel utenlandske parter uten norsk eller svensk BankID. Koden beviser at signataren hadde tilgang til e-postadressen eller telefonnummeret. Den beviser ikke hvem personen er. Det står i beviset, og det bør dere vite når dere velger metode.

Hva koster e-signering med BankID?

Her blir det interessant. Den tekniske jobben bak en signatur, et fingeravtrykk, et segl og litt lagring, koster nesten ingenting. Det som koster, er BankID. Stø AS, selskapet bak BankID, tar i 2026 4,46 kroner per signering fra forhandlerne, og prisen er den samme uansett volum. Resten er drift, support og fortjeneste. Likevel betaler en bedrift alt fra under 10 til 20 kroner per BankID-signatur, avhengig av leverandør, og mer når pakken ikke passer.

Forskjellen ligger sjelden i signaturen. Den ligger i hvordan prisen er bygget opp:

• Pakker med fast månedspris, der dere betaler for et antall dokumenter enten dere bruker dem eller ikke.
• Lisens per bruker, så hver kollega som skal sende noe til signering, koster ekstra.
• BankID som tillegg, slik at prisen på forsiden er for signering uten BankID.
• Per dokument eller per signatur. Et dokument med tre signatarer kan være tre signaturer, og det gjør sammenligning vanskelig.
• Binding, gjerne årsavtaler som fornyes av seg selv.

10 BankID-signaturer i måneden. Per måned, eks. mva.

1. Relation Sign, Løs vekt120 kr10 eID-bruk à 12 kr, ingen fast pris
2. Posten signering176 kr17,60 kr per signatur, ingen fast pris
3. Visma Sign, Basic200 kr120 kr med 6 signaturer, så 20 kr per signatur. Én bruker
4. Signant, Basic200 kr20 kr per signatur, ingen fast pris. Én bruker

Vi har valgt å prise det enkelt. Relation Sign koster 12 kroner per eID-bruk, uten fast pris. En eID-bruk er hver innlogging med BankID, for å signere eller for å lese. Logger en signatar inn for å lese i dag og signerer i morgen, er det to. Sender dere mye, er det Bedrift til 890 kroner i måneden med 100 eID-bruk, eller Konsern til 2 490 kroner med 300. Planene har også med like mange SMS og engangskoder på e-post. Ut over det, og på Løs vekt, koster engangskode på e-post 2 kroner per signatur og SMS 3 kroner per SMS. Alle planer har ubegrenset antall brukere, og ingen av dem har binding. Nye kunder på Løs vekt får de to første signeringene gratis, med opptil fem bruk på hver. Alle detaljene og en kalkulator står på prisene for Relation Sign.

Relation Sign: et norsk alternativ til Visma Sign

Visma Sign, Signant og Posten er gode tjenester, og mange bedrifter er godt fornøyd med dem. Vi laget Relation Sign fordi vi ville ha noe enklere og billigere for den måten prosjektbedrifter faktisk signerer på: mange endringsmeldinger, flere parter, og uenigheter som må løses før noen signerer.

• Kommentarer i dokumentet. Partene kommenterer der det gjelder, festet til et punkt på siden, i stedet for i en e-post ved siden av.
• Endres noe, signerer alle på nytt. En kommentar eller en ny versjon etter at noen har signert, opphever signaturene som er gitt.
• Én forseglet PDF. Originalsidene, kommentarene, et sølvsegl per signatar, PAdES-seglet og beviset, i samme fil.
• Ubegrenset antall brukere. Hele bedriften kan sende til signering uten at det koster mer.
• API og webhooks. Egne systemer kan sende dokumenter og få beskjed når de er signert. Gratis i Bedrift og Konsern. Hvorfor det som regel lønner seg framfor å bygge selv, står i E-signering med BankID: bygge selv eller kjøpe ferdig?.
• Utenlandske parter. Engangskode på e-post eller SMS, og signeringen på engelsk.
• Bygget inn i Relation OS. Bruker dere Relation OS, går dokumentene til signering uten at noe må lastes opp.

Les mer om Relation Sign, eller regn ut hva dere vil betale på prisene for Relation Sign.

Det dere bør spørre leverandøren om

Uansett hvem dere velger, er dette spørsmålene som avslører hva e-signering faktisk koster, og om den holder:

1. Er BankID med i prisen, eller kommer det i tillegg per signatur?
2. Teller dere per dokument eller per signatur, og hva koster et dokument med tre signatarer?
3. Hva koster en bruker til? Og hva koster det når en ny kollega skal sende kontrakter?
4. Hvor lang er bindingen, og fornyes avtalen av seg selv?
5. Kan dokumentet etterprøves uten dere? Ligger seglet og beviset i selve PDF-en, eller bare i leverandørens system?
6. Hvor lagres dokumentene og beviset, og er beviset kryptert?
7. Hva skjer hvis noe endres etter at noen har signert? Må partene signere på nytt?

En god e-signering er usynlig den dagen dere signerer, og ugjendrivelig den dagen dere trenger den. Den trenger ikke å være dyr.