Vahva ja kevyt sähköinen allekirjoitus – mikä ero ja kumpi riittää?

Kun asiakirja pitää allekirjoittaa sähköisesti, ensimmäinen kysymys ei ole "millä palvelulla" vaan "millä vahvuudella". Väärä valinta näkyy kahdella tavalla: liian kevyt allekirjoitus voi jättää asiakirjan todistusvoiman heikoksi, ja liian raskas prosessi hidastaa turhaan asioita, joilla ei ole suurta merkitystä. Moni yrittäjä ja tilitoimiston työntekijä kohtaa tämän valinnan viikoittain, usein tietämättä että kyse on ylipäätään valinnasta.

eIDAS-asetuksen tasot lyhyesti

eIDAS-asetus (910/2014) tunnistaa useita sähköisen allekirjoituksen tasoja sen mukaan, miten vahvasti allekirjoittajan henkilöllisyys on varmistettu ja miten tiiviisti allekirjoitus on sidottu juuri kyseiseen asiakirjaan.

Kevyimmillään sähköinen allekirjoitus voi olla esimerkiksi sähköpostiin lähetetty vahvistuslinkki, jonka klikkaaminen ei todista mitään allekirjoittajan henkilöllisyydestä – kuka tahansa, jolla on pääsy kyseiseen sähköpostiin, voi tehdä sen. Kehittynyt sähköinen allekirjoitus syntyy, kun allekirjoittaja tunnistetaan vahvalla sähköisellä tunnistamisella ennen allekirjoitusta, ja allekirjoitus sidotaan kryptografisesti asiakirjaan niin, että jälkikäteiset muutokset paljastuvat. Asetuksessa on olemassa myös tätä tiukempi taso, joka edellyttää erityistä varmennetta erityisellä laitteella – tällaista varmennetta ei ole yleisesti saatavilla suomalaisissa pankkitunnisteissa tai mobiilivarmenteissa, joten sitä ei tässä käsitellä tarkemmin.

eSinetti tuottaa eIDAS-asetuksen mukaisen kehittyneen sähköisen allekirjoituksen vahvalla tunnistautumisella, sekä kevyemmän sähköpostivahvistuksen niihin tilanteisiin, joissa henkilöllisyyden todentaminen ei ole tarpeen.

Kevyt allekirjoitus: sähköpostivahvistus

Kevyt allekirjoitus tarkoittaa, että allekirjoittaja saa linkin sähköpostiinsa, avaa sen ja vahvistaa asiakirjan ilman erillistä tunnistautumista. Tämä on nopeaa ja maksaa vähemmän, mutta siihen liittyy olennainen rajoitus: se todistaa vain, että joku, jolla oli pääsy kyseiseen sähköpostiosoitteeseen, klikkasi linkkiä. Se ei todista, kuka henkilö todellisuudessa oli.

Kevyt allekirjoitus sopii tilanteisiin, joissa asiakirjalla ei ole vahvaa oikeudellista sitovuutta tai joissa vastapuoli ei erikseen vaadi henkilöllisyyden todentamista – esimerkiksi sisäisissä muistioissa, ei-sitovissa vahvistuksissa tai matalan riskin sopimuksissa, joissa osapuolet tuntevat toisensa jo ennestään. Sen suurin etu on nopeus: allekirjoittaja ei tarvitse mitään erityistä, vain pääsyn sähköpostiinsa.

Vahva allekirjoitus: pankkitunnukset tai mobiilivarmenne

Vahvassa allekirjoituksessa allekirjoittaja tunnistetaan ennen allekirjoitusta pankkitunnuksilla tai mobiilivarmenteella, Suomen luottamusverkoston (Finnish Trust Network) kautta. Tunnistustapahtuma tallennetaan rekisteröidyn tunnistuksen välityspalvelun allekirjoittamana todisteena, mikä tekee siitä vahvan näytön siitä, kuka asiakirjan allekirjoitti.

Vahva allekirjoitus tarvitaan aina, kun asiakirjalla on merkittävää oikeudellista tai taloudellista painoarvoa – esimerkiksi tilinpäätöksissä, hallituksen ja yhtiökokousten pöytäkirjoissa sekä sopimuksissa, joissa toinen osapuoli edellyttää henkilöllisyyden todentamista. Laki vahvasta sähköisestä tunnistamisesta ja sähköisestä allekirjoittamisesta (617/2009) määrittelee, mitä vahvalta sähköiseltä tunnistamiselta Suomessa edellytetään.

Mitä vahva tunnistautuminen käytännössä vaatii allekirjoittajalta

Vahvaan allekirjoitukseen allekirjoittaja tarvitsee vain omat, jo olemassa olevat pankkitunnukset tai mobiilivarmenteen – ei erillistä rekisteröitymistä, sovelluksen asentamista tai korttilukijaa. Tunnistautuminen tapahtuu samalla tavalla kuin verkkopankkiin kirjautuessa: käyttäjä valitsee oman pankkinsa tai mobiilivarmenteen, syöttää tunnuksensa ja vahvistaa puhelimella tai sovelluksella. Tämä madaltaa kynnystä merkittävästi verrattuna esimerkiksi erillisiin varmennekortteihin, joita monella ei ole käytössään.

Kevyeen allekirjoitukseen ei tarvita edes tätä – riittää, että allekirjoittajalla on pääsy siihen sähköpostiosoitteeseen, johon allekirjoituspyyntö on lähetetty. Tämä tekee kevyestä allekirjoituksesta erityisen sopivan tilanteisiin, joissa allekirjoittajalla ei välttämättä ole suomalaisia pankkitunnuksia lainkaan, esimerkiksi kun vastapuoli on ulkomainen yhteistyökumppani ja vahvalle tunnistautumiselle ei ole edes vastaavaa vaihtoehtoa saatavilla.

Esimerkki: kaksi tasoa samassa kierroksessa

Ajatellaan tilannetta, jossa yhdistys lähettää allekirjoitettavaksi sekä hallituksen kokouksen pöytäkirjan että siihen liittyvän muistion, jonka jäsenet vain kuittaavat nähdyksi. Pöytäkirjan allekirjoittavat puheenjohtaja ja sihteeri vahvalla tunnistautumisella, koska pöytäkirjalla vahvistetaan virallisia päätöksiä. Muistion kuittaavat kaikki hallituksen jäsenet kevyellä sähköpostivahvistuksella, koska kyse on pelkästä tiedoksiannosta ilman itsenäistä oikeudellista merkitystä. Molemmat tapahtuvat saman kierroksen sisällä, ja kumpikin allekirjoittajaryhmä käyttää juuri sille sopivaa tasoa.

Miten valita: kolme kysymystä

Käytännön valinta helpottuu, kun kysyy kolme asiaa: Onko tärkeää todistaa jälkikäteen, kuka asiakirjan allekirjoitti? Onko asiakirjalla taloudellista tai oikeudellista merkitystä, jos siitä syntyy erimielisyys? Edellyttääkö vastapuoli tai laki tietynlaista tunnistautumista? Jos vastaus johonkin näistä on kyllä, vahva allekirjoitus on oikea valinta. Jos kaikkiin vastaa ei, kevyt allekirjoitus riittää ja säästää sekä aikaa että rahaa.

Epävarmassa tilanteessa kannattaa valita vahvempi vaihtoehto. Vahvan allekirjoituksen lisäkustannus on yleensä pieni verrattuna siihen vaivaan, joka syntyisi, jos asiakirjan pätevyys jouduttaisiin myöhemmin kyseenalaistamaan puutteellisen tunnistautumisen vuoksi. Monessa tilitoimistossa on siksi vakiintunut käytäntö, jossa kaikki taloudelliseen raportointiin liittyvät asiakirjat allekirjoitetaan aina vahvasti, riippumatta siitä miltä yksittäinen tapaus tuntuu.

Molemmat samassa palvelussa

eSinetissä sama kierros voi sisältää sekä vahvasti että kevyesti allekirjoitettavia asiakirjoja, ja tason voi valita erikseen jokaiselle allekirjoittajalle. Tämä on hyödyllistä esimerkiksi silloin, kun sama sopimuspaketti sisältää sekä sitovan pääsopimuksen että liitteen, jonka vahvistaminen ei vaadi henkilöllisyyden todentamista. Tilitoimistoille tämä tarkoittaa, että tilinpäätökset ja pöytäkirjat allekirjoitetaan aina vahvasti, kun taas esimerkiksi sisäiset vahvistukset voidaan hoitaa kevyemmin.

Hinta riippuu tasosta

Vahva ja kevyt allekirjoitus hinnoitellaan erikseen, koska vahva tunnistautuminen maksaa palveluntarjoajalle enemmän kuin pelkkä sähköpostivahvistus. Tämä näkyy myös hinnassa allekirjoittajaa kohden – kevyt allekirjoitus on halvempi, koska siihen ei liity ulkopuolisen tunnistuksen välityspalvelun käyttöä. Tarkat hinnat molemmille tasoille löytyvät hinnoittelusivulta.

Usein kysytyt kysymykset