Säkra rutiner vid digital signering av avtal: Så undviker du juridiska fallgropar
Den digitala avtalsrevolutionen ställer nya krav på säkerhet
Allt fler företag har ersatt papper, kuvert och manuella påminnelser med digitala avtalsflöden. Avtal kan skickas, signeras och arkiveras på några minuter, oavsett var parterna befinner sig. Det sparar administrativ tid, minskar risken för borttappade dokument och gör det enklare att följa upp vilka avtal som väntar på åtgärd.
Men snabbhet är inte samma sak som juridisk trygghet. Svensk avtalsrätt bygger i stor utsträckning på principen om avtalsfrihet och formfrihet, vilket innebär att elektroniska avtal och signaturer ofta kan vara giltiga. Det skapar samtidigt en falsk trygghet om organisationen inte kan visa vem som signerade, vad personen faktiskt godkände och att dokumentet inte ändrats i efterhand. Välj rätt säkerhetsnivå utifrån avtalets ekonomiska och juridiska värde, snarare än att använda samma metod för alla dokument.

Tre nivåer av e-signaturer enligt eIDAS
EU:s eIDAS-förordning, förordning (EU) nr 910/2014, delar in elektroniska signaturer i tre nivåer: enkel, avancerad och kvalificerad elektronisk signatur. Förordningen innebär bland annat att en signatur inte får underkännas enbart därför att den är elektronisk. Den bestämmer dock inte att alla signaturer har samma bevisstyrka. I praktiken avgör identifiering, kontroll över signeringsuppgifterna och skyddet mot ändringar hur väl signaturen står sig vid en tvist. Den aktuella förordningstexten finns hos EUR-Lex och eIDAS.
En enkel elektronisk signatur, ofta kallad SES, kan vara ett namn inskrivet i ett formulär, en bild av en namnteckning, en kryssruta eller ett klick på knappen ”Jag godkänner”. Metoden kan vara tillräcklig för lågriskärenden, interna godkännanden eller dokument där andra omständigheter tydligt visar vem som agerat. Nackdelen är att kopplingen mellan personen och signaturen kan vara svag. Om en motpart senare hävdar att någon annan använde kontot blir det viktigt att kunna visa autentisering, avsikt och dokumentets integritet.
En avancerad elektronisk signatur, AdES, ställer högre krav. Signaturen ska vara unikt knuten till undertecknaren, kunna identifiera personen, skapas med uppgifter som undertecknaren har kontroll över och vara kopplad till dokumentet på ett sätt som gör ändringar upptäckbara. Svensk signering med BankID är ett vanligt exempel på en avancerad signatur. Den passar därför ofta för företagsavtal, leverantörsavtal, anställningsrelaterade dokument och upphandlingar där tydlig identitet och spårbarhet är centrala.
En kvalificerad elektronisk signatur, QES, är den striktaste nivån. Den bygger på ett kvalificerat certifikat och en kvalificerad anordning eller motsvarande godkänd lösning för skapande av signaturer. QES är den enda elektroniska signaturtypen som enligt eIDAS uttryckligen har samma rättsliga verkan som en handskriven namnteckning i samtliga EU:s medlemsstater. Det betyder inte att QES alltid krävs, men den kan vara motiverad vid särskilt stora värden, gränsöverskridande avtal eller situationer där parterna vill minska diskussionen om signaturens formella status.
| Signaturnivå | Rättslig styrka och egenskaper | Typiska användningsområden |
|---|---|---|
| Enkel elektronisk signatur | Giltig och möjlig att åberopa, men identitet och dokumentintegritet kan vara svårare att bevisa | Lågriskärenden, interna godkännanden och enklare bekräftelser |
| Avancerad elektronisk signatur | Starkare identitetskoppling, kontroll över signeringsuppgifterna och tekniskt skydd mot ändringar | De flesta affärsavtal, upphandlingar och kundavtal |
| Kvalificerad elektronisk signatur | Har samma rättsliga verkan som handskriven namnteckning inom EU | Avtal med höga värden, särskilda formkrav eller gränsöverskridande behov |
Bevisbördan vid en tvist och vikten av verifieringskedjor
Vid en svensk domstol gäller fri bevisprövning. Det innebär att parterna i princip får lägga fram den bevisning som finns, medan domstolen bedömer bevisens tillförlitlighet och samlade styrka. En elektronisk signatur är därför inte automatiskt tillräcklig bara för att den uppfyller en viss teknisk standard. Domstolen kan behöva bedöma om personen hade avsikt att binda sig, om identiteten kontrollerades och om avtalsinnehållet var oförändrat efter signeringen.
Här blir revisionskedjan, eller audit trail, central. Den bör följa dokumentet från utskick till färdig signering och därefter arkivering. I händelse av tvist granskar domstolen dokumentets tekniska verifieringskedja och integritet enligt EU:s regelverk eIDAS. En genomarbetad logg bör bland annat innehålla:
- vilken person som identifierades och med vilken metod
- datum och exakt tidpunkt för varje signeringshändelse
- vilket dokument och vilken dokumentversion som signerades
- information om autentiseringssteg, exempelvis BankID eller annan e-legitimation
- IP-adress, tekniska händelser och eventuella misslyckade försök
- uppgift om att dokumentet förseglats och om någon ändring skett efter signeringen
Tekniken bör också skydda mot efterhandsmanipulering. Kryptografiska hashvärden, certifikat, tidsstämplar och ett tydligt signeringsbevis kan visa att den färdiga filen är samma fil som parterna godkände. Det är viktigt att spara både det signerade dokumentet och tillhörande bevispaket. Enbart ett mejl med texten ”avtalet är signerat” ger normalt betydligt sämre underlag än en obruten och verifierbar dokumenthistorik.
Behörighet och fullmakt bakom skärmen
Att bevisa vem som har signerat är bara ena halvan av frågan. Den andra är att visa att personen hade rätt att företräda bolaget. En korrekt identifierad ekonomichef, inköpare eller projektledare binder inte automatiskt företaget i alla situationer. Behörigheten kan följa av firmateckning, styrelsebeslut, delegationsordning, fullmakt eller ställningsfullmakt, men omfattningen måste bedömas i relation till avtalet.
Vanliga problem uppstår när styrelseprotokoll signeras av fel personer, när en fullmakt har löpt ut eller när ett upphandlingsavtal skickas till en kontaktperson som bara har rätt att lämna information. Även i bostadsrättsföreningar och andra organisationer bör beslut, attestgränser och bankbehörigheter dokumenteras innan ett avtal går till signering. Upphandlingsmyndigheten framhåller dessutom att krav på elektronisk signatur måste vara proportionerliga och framgå av upphandlingsdokumenten. Ett krav på fysisk utskrift kan i vissa situationer vara oproportionerligt när en verifierbar BankID-signatur erbjuder bättre säkerhet.
- Kontrollera aktuell firmateckning i relevanta bolagsregister.
- Matcha avtalsvärdet mot interna attest- och delegationsgränser.
- Begär och diarieför fullmakt när undertecknaren inte är firmatecknare.
- Kontrollera giltighetstid, omfattning och eventuella begränsningar i fullmakten.
- Se till att beslutet bakom avtalet finns sparat tillsammans med signeringsbeviset.
Automatiserade kontroller mot externa register kan minska manuella fel, men de ersätter inte juridisk bedömning. Registeruppgifter kan vara inaktuella, och en firmatecknare kan fortfarande vara bunden av interna begränsningar även om sådana inte syns utåt. En trygg process kombinerar därför registerkontroll med tydliga interna regler och möjlighet att stoppa signeringen när uppgifterna inte stämmer.
Långsiktig arkivering och formatkrav för framtiden
Ett utskrivet digitalt avtal är inte längre det ursprungliga elektroniska dokumentet. När en signerad PDF skrivs ut försvinner ofta den elektroniska signaturen, certifikatet, tidsstämpeln och möjligheten att kontrollera dokumentets kryptografiska integritet. Papperskopian kan fungera som läsbar referens, men den bör inte ersätta originalfilen och det tillhörande verifieringsmaterialet.
Arkiveringen behöver planeras för hela avtalets livslängd. PDF/A kan bidra till att dokument förblir läsbara över tid, medan PAdES är en standard för elektroniska signaturer i PDF-dokument. Organisationen bör även dokumentera vilken leverantör som använts, vilka certifikat som gällde vid signering och hur validering ska göras när certifikat löper ut eller tjänster förändras. Regelverk som GDPR, bokföringsregler, upphandlingskrav och sektorsspecifika bevarandekrav kan påverka både lagringstid och åtkomst.
- Spara originalfilen i signerad PDF-form, inte enbart en utskrift eller skärmbild.
- Bevara signaturbevis, revisionslogg, certifikat och tidsstämplar tillsammans.
- Använd format och valideringsmetoder som är dokumenterade och långsiktigt tillgängliga.
- Begränsa åtkomsten genom roller, loggning och principen om minsta behörighet.
- Planera för migrering, certifikatförnyelse och kontroll av arkivets läsbarhet.
Utvecklingen mot eIDAS 2.0 och europeiska digitala identitetsplånböcker gör långsiktig interoperabilitet ännu viktigare. Förordningen, som ändrades genom EU-förordning 2024/1183, lägger större vikt vid verifierade egenskaper och gränsöverskridande digital identitet. Företag som bygger processer med öppna standarder, tydliga exportmöjligheter och dokumenterad leverantörskontroll står bättre rustade när tekniska och regulatoriska krav förändras.
Checklista för en rättssäker signeringsprocess
En fungerande process ska vara enkel för användaren men strikt i bakgrunden. Följande steg kan användas som grund för en intern policy och som kontrollpunkt inför avtal med högre risk.
- Identifiera motparten. Använd en tillförlitlig e-legitimation, såsom BankID, när avtalets värde eller känslighet kräver säker personidentifiering.
- Kontrollera behörigheten. Säkerställ firmateckning, delegation och fullmakter innan avtalet skickas ut, inte först när tvisten redan har uppstått.
- Dokumentera signeringsavsikten. Visa vilket avtal som godkänns, vilka villkor som gäller och att undertecknaren uttryckligen avser att bli bunden.
- Säkerställ revisionsloggen. Kontrollera att identitet, tid, dokumentversion, autentisering och tekniska händelser registreras utan luckor.
- Arkivera originalet. Spara filen med intakt kryptografiskt sigill tillsammans med certifikat, tidsstämpel och komplett signeringsbevis.
Skapa trygga avtalsflöden som håller hela vägen
Digital signering och juridisk trygghet står inte i motsats till varandra. Tvärtom kan en väl utformad digital process ge bättre spårbarhet än traditionell papperssignering. Förutsättningen är att organisationen väljer säkerhetsnivå efter risk, kontrollerar både identitet och behörighet samt sparar bevis som går att verifiera även långt efter att avtalet undertecknats.
Börja med en riskklassning av avtalstyperna. Ange i interna riktlinjer när enkel signatur räcker, när avancerad signatur ska användas och när kvalificerad signatur bör övervägas. Kombinera detta med leverantörskontroll, utbildning mot nätfiske, begränsade administratörsbehörigheter och regelbundna tester av arkivets verifierbarhet. Då blir digital avtalshantering en långsiktig väg till lägre administration, mindre tvistrisk och bättre beredskap inför morgondagens regulatoriska krav.













