2026-07-05
eIDAS, SES, AES og QES forklart uten brosjyre-språk
eIDAS er EU-reglene for elektronisk identifikasjon og tillitstjenester, og de gjelder i Norge gjennom EØS. SES er den enkle signaturen: et ja. AES er avansert: sterkere koplet til personen og til dataene. QES er kvalifisert: regulert utsteder, og samme virkning som håndskrift der det kreves. De fleste vanlige kontrakter lever i SES. BankID som kvalifisert signatur lever i QES. Bland ikke inn PAdES som et fjerde nivå — det er PDF-mekanikk.
Hva eIDAS faktisk prøver å gjøre?
Hindre at noen avviser en avtale bare fordi ja-et kom digitalt. Sette et felles språk for nivåer, så 'sikker' slutter å bety alt og ingenting. Lage regler for utstedere av kvalifiserte sertifikater.
Den prøver ikke å tvinge BankID inn i hver NDA. Den prøver ikke å gjøre Adobe til en domstol. Den prøver ikke å gjøre et ads-finansiert verktøy til QES.
Når en landingsside sier 'eIDAS-compliant', spør: hvilket nivå, hvilken utsteder, hvilken evidens. Compliant uten nivå er røyk.
Oversettelsesfellen: advanced på engelsk høres ut som 'bedre SES'. AES har vilkår. Hvis du ikke kan peke på nøkkelen, har du sannsynligvis SES pluss markedsføring.
SES — det folk faktisk bruker?
Du så dokumentet, du viste intensjon: tegn, skriv, klikk. Identitet er kontekst: e-post, relasjon, kanskje en kode. Bevis er logg og fil.
SES kan binde. Den er ikke 'leketøy-juss'. Den er hverdagen. Svakheten er identitetssvindel og porøse lenker, ikke at avtaleloven hater tomler.
Et ærlig produkt kaller dette SES. Et uærlig kaller det 'banknivå' fordi det er en PDF.
Klager på at 'EU gjør det for vanskelig' gjemmer at SES er bevisst lett. Vanskeligheten sitter i QES, med vilje.
AES — ordet alle vil ha på esken?
Avansert elektronisk signatur skal være unikt knyttet til underskriveren, kunne identifisere dem, lages med data de har kontroll på, og være koplet til dokumentet slik at endring synes. Det er en høyere lista enn 'jeg tegnet i et felt'.
I praksis: sertifikater, nøkler, ofte bedrifts-PKI. Ikke et PNG.
Mange selgere sier AES om PAdES fra en plattformnøkkel. Plattformnøkkelen identifiserer plattformen mer enn Kari. Da er du nærmere 'integritet' enn AES-læreboka. Be om hvem nøkkelen tilhører.
Ikke bland eIDAS med personvernforordningen i samme setning som om det var ett stempel. Ulike forordninger. Ulike bøter. Ulike spørsmål.
QES — når loven vil ha håndskrift-ekvivalent?
Kvalifisert sertifikat, kvalifisert utsteder, ofte med eID som BankID i Norge. eIDAS gir QES samme rettsvirkning som håndskrift der håndskrift kreves. Det er det folk mener når de sier 'ordentlig elektronisk'.
Det koster. Det gnisser internasjonalt. Det er riktig når risikoen er identitet og særlov, ikke når risikoen er at noen glemte å sende NDA-en.
Et gratis vegg-produkt med ads er ikke QES. Hvis de sier det, gå.
Hvordan PAdES passer inn uten å late som nivå?
PAdES er ETSI-regler for signatur inne i PDF. Den kan bære AES- eller QES-materiale. Den kan også bære en plattformsignatur over SES-ja. Bytes er bytes.
Acrobat leser PAdES og så spør den om den stoler på CA-en. Tillit ≠ eIDAS-nivå. Gul trekant kan sitte på en teknisk fin PAdES.
Sjekk hash og utsteder. Les om det er SES eller QES i kvitteringen. To akser, ikke én farge.
En setning du kan lime inn i policyen?
'Vi bruker SES med logg og eventuelt PAdES mot vår CA til vanlige avtaler. Vi bruker QES/BankID der styret eller loven krever det. Vi kaller ikke SES for QES.'
Det er kjedelig. Kjedsomhet er hvordan du unngår å kjøpe feil sete.
Hvis du trenger mer enn SES og mindre enn QES, spesifiser identitetsmetoden (eID, sertifikat, hva) i stedet for å kjøpe bokstaven AES i en brosjyre.
Hva med eIDAS 2.0, lommebøker og 'det kommer til å endre alt'?
Regelverket beveger seg. Lommebøker og nye tillitstjenester er på vei i EU-diskusjonen. Det endrer ikke at du i dag må kalle SES for SES. Å vente på 2.0 er hvordan NDA-en blir liggende usignert til oktober.
Nasjonale eID-er (BankID, MitID, etc.) mapper ulikt til nivåene. Ikke anta at 'innlogging til bank' er QES-signatur. Det er ofte autentisering, ikke en kvalifisert signatur på akkurat denne PDF-en.
En policy som siterer artikkelnumre ingen i teamet har åpnet, er pynt. Tre setninger om nivå, utsteder og evidens slår et appendix.
Øv på å si nivået høyt før du sender. Hvis du stammer, har du ikke valgt. Stamming i et styremøte er hvordan dere ender med QES-pris på SES-jobb. Tre bokstaver, én utsteder, én setning om Acrobat. Det er hele språket dere trenger i hverdagen.
En tabell over artikler i forordningen hører hjemme hos juristen. Hos resten av teamet hører hjemme: ja, sterkere binding, kvalifisert. Oversatt: SES, AES hvis vi faktisk har nøkkel, QES med eID. Resten er røyk. Øv på å avvise ordet sikker i en setning om signatur. Erstatt det med nivå. Det alene kutter halvparten av misforståelsene mot innkjøp.
Skriv nivået i e-posten som følger lenken. Da slutter folk å oppgradere SES til QES i hodet fordi PDF-en så offisiell ut. Utseende er ikke et eIDAS-nivå. Si det kjedelig, så slipper du å si det i panikk senere.
Ofte stilte spørsmål
Er AES 'i midten' det alle burde kjøpe?
Bare hvis du trenger sterkere identitetsbinding enn e-post, men ikke QES. Mange produkter merker SES som AES i markedsføring. Be om hvordan identiteten er knyttet, ikke om bokstavene.
Gjelder eIDAS i Norge?
Ja, via EØS. Det er derfor SES ikke kan avvises bare for å være elektronisk, og derfor QES har særskilt virkning.
Er PAdES et eIDAS-nivå?
Nei. PAdES er hvordan signaturen kan ligge i en PDF. Du kan ha SES-identitet og PAdES-bytes i samme fil.
SES, AES og QES er nivåer. PAdES er en PDF-skuff. BankID bor i QES når den brukes slik. Bland dem i språket, og du har allerede tapt innkjøpsmøtet.
Hvis du bare skal ha en PDF signert uten abonnement, er det slikt STD er bygget for.