MitID-signatur vs. digital underskrift

MitID beskriver selv løsningen som et identifikationsmiddel med sikringsniveauerne Lav, Betydelig og Høj. Sikringsniveauet siger noget om tilliden til identiteten og autentifikationsprocessen. Det er ikke det samme som eIDAS-forordningens niveauer for elektroniske signaturer.

Ved MitID-autentifikation bruger en digital tjeneste MitID til at kontrollere, hvem der logger ind eller godkender en handling. Brugeren anvender eksempelvis MitID app, kodeviser, kodeoplæser eller chip sammen med de nødvendige koder eller lokal autentifikation.

Autentifikation kan blandt andet bruges til at:

• Logge ind i netbank eller offentlig selvbetjening
• Bekræfte en betaling eller en ændring
• Knytte en identificeret bruger til et dokumentflow
• Understøtte en elektronisk underskrift hos en signeringstjeneste

Den digitale tjeneste bestemmer konteksten omkring godkendelsen. Derfor er teksten, som brugeren ser, vigtig. MitID anbefaler, at man afbryder, hvis teksten i appen ikke svarer til den handling, man selv er i gang med.

“MitID-signatur” er et almindeligt søgeord, men ikke en selvstændig signaturkategori i eIDAS-forordningen. Udtrykket kan dække over forskellige løsninger:

1. MitID bruges kun til login, hvorefter en anden handling accepterer dokumentet.
2. MitID bruges som identitetskontrol i et samlet signeringsflow.
3. En signeringstjeneste bruger MitID sammen med certifikater og tekniske mekanismer til at oprette en avanceret eller kvalificeret elektronisk signatur.
4. En offentlig selvbetjening lader brugeren godkende en konkret handling, uden at resultatet nødvendigvis er et PDF-dokument med en indlejret signatur.

Det afgørende er altså ikke navnet på knappen, men hvad der sker i hele løsningen. Et godt svar på “er dokumentet underskrevet med MitID?” bør forklare både identitetskontrollen, brugerens accept og den tekniske forbindelse til den endelige dokumentversion.

eIDAS-forordningen opstiller krav til elektroniske signaturer. I praksis skelnes der mellem tre niveauer:

Europa-Kommissionens eSignature FAQ understreger, at kravene bygges oven på hinanden: En kvalificeret signatur opfylder flest krav, mens den simple elektroniske signatur har færrest tekniske særkrav.

Nej, ikke alene fordi MitID indgår i processen. MitID kan levere en stærk identitets- og autentifikationskomponent, men en kvalificeret elektronisk signatur kræver også et kvalificeret certifikat og en kvalificeret signaturgenereringsenhed.

Det betyder, at to tjenester begge kan bede brugeren godkende med MitID og alligevel skabe forskellige juridiske og tekniske resultater. Den ene kan bruge MitID som login før en simpel elektronisk accept. Den anden kan indgå i en tjeneste, der opfylder alle krav til kvalificeret signering.

Hvis signaturniveauet er afgørende, bør du kontrollere:

• Hvilket eIDAS-niveau udbyderen oplyser
• Om der udstedes og anvendes et kvalificeret certifikat
• Om den konkrete kvalificerede tjeneste fremgår af en national eller europæisk tillidsliste
• Om der følger en valideringsrapport eller anden dokumentation med

Digitaliseringsstyrelsen fører tilsyn med danske tillidstjenester og optager kvalificerede tjenester på den danske eIDAS-positivliste. En markedsføringsformulering som “sikker digital signatur” er ikke i sig selv dokumentation for kvalificeret status.

eIDAS-forordningens artikel 25 indeholder to regler, som ofte bliver blandet sammen:

• En elektronisk signatur må ikke nægtes retsvirkning eller adgang som bevis alene, fordi den er elektronisk eller ikke er kvalificeret.
• En kvalificeret elektronisk signatur har samme retsvirkning som en håndskreven underskrift.

Den første regel betyder ikke, at enhver elektronisk signatur automatisk beviser alt. Hvis en aftale bliver bestridt, kan vurderingen stadig handle om, hvem der accepterede, hvad der blev accepteret, om dokumentet er ændret, og hvilke øvrige beviser der findes.

Det er derfor mere præcist at tale om dokumentation og bevisværdi end blot at stemple en løsning som “gyldig” eller “ugyldig”.

Uanset om løsningen bruger MitID eller en anden metode, bør et gennemarbejdet flow kunne belyse fem spørgsmål:

1. Identitet: Hvem gennemførte signeringen, og hvordan blev personen identificeret eller inviteret?
2. Hensigt: Hvilken handling viste, at personen ville underskrive og ikke blot se eller downloade dokumentet?
3. Indhold: Hvilken præcis dokumentversion blev accepteret?
4. Integritet: Kan efterfølgende ændringer i dokumentet opdages?
5. Forløb: Findes der tidsstempel, hændelseslog, kvittering eller anden revisionsdokumentation?

E-mailadresse, telefonnummer, IP-adresse og en tegnet signatur kan indgå som støttende oplysninger, men ingen af delene bør isoleret beskrives som sikker identitetskontrol. Det samlede spor er vigtigere end ét enkelt datapunkt.

Et typisk digitalt signeringsflow kan se sådan ud:

1. Dokumentet færdiggøres og låses som en bestemt version.
2. Underskriveren får adgang til dokumentet.
3. Tjenesten autentificerer underskriveren, eventuelt med MitID.
4. Tjenesten viser, hvad der underskrives, og indhenter en tydelig accept.
5. Accepten bindes teknisk og dokumentarisk til den viste version.
6. Det færdige dokument og signeringsoplysningerne gemmes eller sendes til parterne.

Trin 3 handler om identitet. Trin 4 handler om vilje. Trin 5 handler om forbindelsen mellem viljen og det konkrete dokument. En sikker løsning skal håndtere alle tre dele tydeligt.

Når en person handler på vegne af en virksomhed, kommer et ekstra spørgsmål til: Har personen ret til at binde virksomheden?

MitID Erhverv kan bruges til at handle digitalt på vegne af en organisation. Men adgang til en løsning, en tildelt brugerrettighed og selskabets civilretlige tegningsret er ikke nødvendigvis samme ting. Ved en vigtig aftale bør modparten derfor også kontrollere CVR-oplysninger, tegningsregel og eventuel fuldmagt.

Der er desuden forskel på:

• En elektronisk signatur fra en fysisk person
• En signatur afgivet af en person på vegne af en organisation
• Et elektronisk segl, der dokumenterer en juridisk persons oprindelse og dokumentintegritet

MitID Erhverv oplyser også, at organisationer kan administrere rettigheder til signering og segl. Hvilken løsning der er relevant, afhænger af tjenesten og den konkrete handling.

Før du vælger et signeringsflow, kan du stille disse spørgsmål:

• Bruges MitID til login, identitetskontrol, godkendelse eller selve signaturgenereringen?
• Hvilket dokument og hvilken version ser underskriveren før accept?
• Er signaturen simpel, avanceret eller kvalificeret efter eIDAS?
• Hvordan opdages ændringer efter underskrift?
• Hvilken dokumentation modtager hver part?
• Kan signaturen valideres senere, og hvordan?
• Hvad sker der, hvis en part ikke har eller kan bruge MitID?
• Ved erhverv: Dokumenteres rolle, fuldmagt eller tegningsret?

De spørgsmål giver et mere præcist billede end et enkelt logo eller ordet “MitID-signatur”.

En MitID-godkendelse skal kun gennemføres, når du selv har startet den relevante handling. Kontroller teksten i appen, domænet eller tjenesten og det dokument, du forventer at godkende.

MitID anbefaler udtrykkeligt, at du aldrig logger ind eller godkender på baggrund af et telefonopkald fra nogen, der eksempelvis udgiver sig for at være banken, Borgerservice eller MitID Support. Hvis teksten ikke passer til din handling, skal du afbryde.

Er MitID en digital underskrift?

MitID er først og fremmest et elektronisk identifikationsmiddel. Det kan bruges til login og godkendelse og kan indgå i en signeringstjeneste. Om resultatet er en elektronisk signatur, og hvilket niveau den har, afhænger af den konkrete tjeneste.

Er godkendelse med MitID det samme som at skrive under?

Det afhænger af handlingen og den tekst, som tjenesten viser. En godkendelse kan være login, betaling, samtykke, indsendelse eller underskrift. Tjenesten skal gøre formålet tydeligt og knytte accepten til de relevante data.

Er alle MitID-underskrifter lig med en håndskreven underskrift?

Nej. eIDAS giver specifikt en kvalificeret elektronisk signatur samme retsvirkning som en håndskreven underskrift. MitID i processen er ikke alene bevis for, at alle tekniske krav til en kvalificeret signatur er opfyldt.

Kan en elektronisk underskrift uden MitID have retsvirkning?

Ja. Efter eIDAS artikel 25 må den ikke afvises alene, fordi den er elektronisk eller ikke kvalificeret. Dens konkrete bevisværdi afhænger af aftalen og dokumentationen omkring signeringen.

Hvad er forskellen på signatur og segl?

En elektronisk signatur afgives af en fysisk person. Et elektronisk segl bruges af en juridisk person, eksempelvis en virksomhed, til blandt andet at understøtte dokumentets oprindelse og integritet.

• MitID: Sådan logger du på eller godkender med MitID
• MitID: Legitimation, identifikationsmidler og sikringsniveau
• Digitaliseringsstyrelsen: Tilsyn med eIDAS og kvalificerede tillidstjenester
• Europa-Kommissionen: eSignature FAQ om simple, avancerede og kvalificerede signaturer
• eIDAS-forordningen, artikel 25 og 26 (EUR-Lex)
• MitID Erhverv: MitID Privat til Erhverv-brugere og tegningsret

Vil du se, hvordan begreberne bruges ved privat handel? Læs guiden til digital slutseddel, MitID og omregistrering.