1. Innledning

Elektronisk signering har på få år gått fra å være et alternativ til å bli den klart vanligste måten å inngå avtaler og signere andre juridiske dokumenter på i eiendomsbransjen, både mellom private parter og overfor offentlige myndigheter. Løsninger som BankID, Buypass og Commfides gjør det mulig å identifisere seg elektronisk og signere oppdragsavtaler, kjøpekontrakter, skjøter, pantavtaler og offentlige dokumenter på en rask og brukervennlig måte, uten at partene noen gang møtes fysisk. Som for andre digitale tjenester må imidlertid også elektronisk signering balansere hensynet til brukervennlighet med forsvarlig sikkerhet, og dette reiser viktige spørsmål om risiko og regulatoriske krav som virksomheter må ta stilling til.

Hvor viktige disse spørsmålene er, kom tydelig frem da Nasjonal kommunikasjonsmyndighet (Nkom) i mars 2026 varslet at BankID kan miste sin godkjenning på sikkerhetsnivå "høyt". Denne hendelsen gjør det klart at valg av signeringsløsning ikke er en teknisk detalj, men en strategisk beslutning som bør forankres hos ledelsen, ettersom valg av feil løsning kan ha betydning for virksomhetens sikkerhet og drift. Denne artikkelen gir en oversikt over det rettslige rammeverket for elektronisk signering og de vurderingene virksomheter i eiendomsbransjen bør gjøre når de velger signeringsløsning.

2. Avtaleinngåelse – muntlig, skriftlig eller elektronisk signering

Hvordan en avtale inngås, er som utgangspunkt opp til partene. For dagligdagse avtaler holder det f.eks. med håndtrykk eller muntlig aksept. For avtaler av større økonomisk betydning eller viktighet er det vanlig å inngå skriftlige avtaler. I noen tilfeller krever også loven skriftlighet, som for ektepakter, testamenter, finansavtaler og enkelte eiendomsdisposisjoner. Skriftlig avtaleinngåelse kan sies å ha to hovedformål: å bevise at partene faktisk har bundet seg og hva de har bundet seg til, og å vanskeliggjøre at noen i ettertid kan bestride avtalens eksistens eller innhold.

Tradisjonelt har det imidlertid vært tungvint å inngå skriftlige avtaler. I eiendomsbransjen måtte for eksempel megler, kjøper og selger møtes fysisk for å signere kontrakter og skjøter, som deretter ble sendt per post til Kartverket for tinglysing. Signeringsprosessen alene kunne dermed forsinke både tinglysingen og utbetalingen av oppgjøret til selger vesentlig. I dag kan en selger i Bergen og en kjøper i Tromsø bekrefte sin identitet via eID-løsninger og signere kjøpekontrakten på minutter, hvoretter skjøtet sendes direkte til elektronisk tinglysing hos Kartverket. Slik har elektronisk signering gjort at man kan beholde bevisfordelen ved skriftlighet, samtidig som man oppnår den praktiske enkelheten ved digital kommunikasjon. Elektronisk signering har derfor blitt nærmest hovedregelen i næringslivet, og lovgivningen åpner for elektronisk signering av et bredt spekter av dokumenter, fra tinglysingsdokumenter og finansavtaler til dokumenter i offentlige anskaffelser.

Brukervennligheten ved elektronisk signering har likevel sine ulemper. Det kan oppstå risiko for at parten som signerer, ikke er den vedkommende utgir seg for å være, at dokumenter manipuleres i den tekniske løsningen, at det skjer tekniske feil hos leverandøren, eller at leverandøren mister sin regulatoriske godkjenning. Flere av disse risikoene kan reduseres ved å velge signeringsløsninger med høyt sikkerhetsnivå. Jo høyere sikkerhetsnivå, desto strengere krav til identitetskontroll og sikkerhetsmekanismer, og desto større notoritet har man for at signaturen faktisk stammer fra den oppgitte personen. Samtidig innebærer et høyere sikkerhetsnivå gjerne en mer omstendelig prosess for partene, og det er derfor en iboende balansegang mellom sikkerhet og brukervennlighet.

3. eIDAS, sikkerhetsnivåer og Nkoms liste

For å øke sikkerheten har lovgiver innført rettslig regulering for elektronisk identifikasjon og signering. Ett av de viktigste tiltakene handler om hvilken elektronisk identifikasjonsløsning som kan og skal benyttes. Her er EUs forordning om elektronisk identifikasjon (eIDAS-forordningen) sentral, og denne er gjennomført i norsk rett gjennom lov om elektroniske tillitstjenester. Forordningen etablerer et felles europeisk rammeverk for elektroniske identifikasjonsløsninger, med tre sikkerhetsnivåer: "lavt", "betydelig" og "høyt". Disse nivåene angir hvor stor tillit man kan ha til at brukeren faktisk er den vedkommende utgir seg for å være, basert på kvaliteten på identitetskontrollen og sikkerhetsmekanismene i den aktuelle identifikasjonsløsningen.

Forenklet kan nivåene beskrives slik: sikkerhetsnivå "lavt" gir begrenset tillit til at brukeren er den vedkommende utgir seg for å være, og innebærer typisk innlogging med brukernavn og passord uten tofaktorautentisering, og uten at identiteten nødvendigvis er verifisert ved utstedelse. Sikkerhetsnivå "betydelig" krever tofaktorautentisering og en mer robust identitetskontroll ved utstedelse, og MinID er et eksempel på en løsning på dette nivået. Sikkerhetsnivå "høyt" stiller i tillegg krav om at identiteten er verifisert mot pass eller nasjonalt ID-kort, og at utlevering av sikkerhetselementer som kodebrikker også skjer kontrollert. BankID, Buypass og Commfides har til nå vært godkjent på dette nivået. I Norge er det Nkom som vurderer norske eID-leverandører opp mot kravene, og som publiserer den offisielle listen over godkjente eID-løsninger og hvilke sikkerhetsnivåer de er godkjent på.

4. Krav til ulike sikkerhetsnivåer for avtaler og dokumenter i eiendomsbransjen

For virksomheter i eiendomsbransjen er det viktig å være klar over hvilket sikkerhetsnivå den elektroniske identifikasjonsløsningen de benytter, faktisk har. Norsk lovgivning stiller nemlig konkrete krav til sikkerhetsnivå for eID-løsninger som brukes ved ulike avtaler og dokumenter, og bruker man en løsning som ikke oppfyller sikkerhetskravene, kan konsekvensen være at en avtale eller et dokument ikke kan signeres eller sendes inn, eller at en lovpålagt plikt ikke er oppfylt.

To regelsett om eID-løsninger er særlig viktige for virksomheter i eiendomsbransjen. Det første er hvitvaskingsregelverket. Eiendomsmeglere og eiendomsmeglingsforetak er rapporteringspliktige etter hvitvaskingsloven og må gjennomføre kundetiltak overfor både kjøper og selger ved boligsalg, inkludert å bekrefte identiteten til kunden. Når dette gjøres digitalt, krever hvitvaskingsforskriften § 4-3 at kunden identifiserer seg ved hjelp av en eID-løsning som står på Nkoms publiserte liste med "høyt" sikkerhetsnivå. Benytter virksomheten en egen løsning for å innhente og bekrefte kundeopplysninger, må de derfor ha en avtale med en leverandør som bruker en eID-løsning på sikkerhetsnivå "høyt".

Videre krever tinglysingsforskriften § 3 at det benyttes en eID-løsning på sikkerhetsnivå "høyt" når dokumenter skal tinglyses elektronisk. Kravet gjelder de tilfellene hvor tinglysingsloven krever underskrift på dokumentet, og omfatter dermed de praktisk viktigste dokumentene i et boligsalg: skjøter, pantedokumenter og fullmakter til å signere for hjemmelshaver på slike dokumenter. Konsekvensen er at en eID-løsning på riktig sikkerhetsnivå ikke bare er et regulatorisk krav, men en forutsetning for å kunne gjennomføre helt sentrale operasjoner i eiendomsbransjen.

Lovverket stiller imidlertid ikke krav til sikkerhetsnivå for alle avtaler og dokumenter på området. Ved signering av en boligkjøpskontrakt står partene for eksempel som utgangspunkt fritt til å bestemme hvordan avtalen skal inngås, herunder om den skal signeres elektronisk og hvilket sikkerhetsnivå eID-løsningen i så fall skal ha. Partene må dermed selv avveie brukervennlighet mot sikkerhet når signeringsmetode velges. Det vil likevel ofte være gode grunner til å velge sikkerhetsnivå "høyt" også her, siden det gir størst notoritet rundt kontraktsinngåelsen og styrker signaturens bevisverdi ved en eventuell senere tvist om avtalens gyldighet eller innhold.

For virksomheter i eiendomsbransjen innebærer dette en avhengighet av eID-løsninger på sikkerhetsnivå "høyt" som slår ut på flere måter. Én avhengighet ligger i egne kundetiltak etter hvitvaskingsloven, der foretaket selv har valgt og avtalt løsningen. En annen ligger i transaksjonskjeden frem mot Kartverket, der signeringen skjer hos kunden, men hvor virksomheten kan bære konsekvensene dersom signeringen ikke lar seg gjennomføre. Og selv der det ikke foreligger lovkrav, som ved boligkjøpskontrakten, vil det ofte være gode grunner til å bruke samme løsning for å sikre notoritet og bevisverdi. Det er nettopp denne avhengigheten som gjør BankID-saken så praktisk relevant.

5. BankID-saken: Valg av rett elektronisk identifikasjonsløsning er viktig

I mars 2026 varslet Nkom at BankID kan miste godkjenningen på sikkerhetsnivå "høyt". Bakgrunnen er at kodebrikker i enkelte tilfeller har blitt sendt ut per post, i stedet for å leveres ut ved fysisk oppmøte med kontroll av legitimasjon, slik regelverket krever på sikkerhetsnivå "høyt". For å lukke avviket må BankID dokumentere at kodebrikker enten leveres ut ved fysisk oppmøte, eller at andre rutiner gir tilsvarende sikkerhet for at brikken havner hos rett person. Stø, som drifter dagens BankID-løsning på vegne av bankene, fikk frist til 22. april 2026 med å dokumentere at kravene er oppfylt. Saken er fortsatt til behandling hos Nkom.

Saken illustrerer en reell risiko ved valg av elektronisk identifikasjonsløsning. For virksomheter i eiendomsbransjen kan en nedgradering av sikkerhetsnivået til den eID-løsningen de benytter bety at de må bytte løsning for å kunne fortsette med kundetiltak og identitetskontroll i tråd med hvitvaskingsregelverket. Virksomheten må da finne en annen tilbyder av eID-løsning på sikkerhetsnivå "høyt", og få på plass nye avtaler og systemoppsett. For elektronisk tinglysing kan konsekvensene også bli alvorlige. Tinglysingsforskriften § 3 krever sikkerhetsnivå "høyt" ved elektronisk tinglysing av dokumenter som krever underskrift, og dersom den eID-løsningen som tilbys av tinglysingsmyndighetene eller som brukes av virksomhetene nedgraderes, må man enten bytte til en annen godkjent eID-løsning eller falle tilbake på fysisk signering og manuell tinglysing på papir frem til en godkjent løsning er på plass.

6. Hva bør ledelsen gjøre for å sikre rett signeringsløsning?

Valg av signeringsløsning er følgelig en del av virksomhetens overordnede risiko- og compliance-styring, og bør behandles deretter. Dette gjelder særlig for virksomheter i eiendomsbransjen, som er helt avhengige av å velge signeringsløsninger som oppfyller sikkerhetskravene.

Et første og helt grunnleggende steg er å skaffe seg oversikt over hvilke elektroniske identifikasjonsløsninger virksomheten benytter, både i egne kundetiltak og mot andre aktører. Videre bør foretaket kartlegge hvilke regelverk det er underlagt, og om regelverket stiller krav til en bestemt type eID-ordning eller et bestemt sikkerhetsnivå. Dette gir grunnlaget for å vurdere hvor sårbar virksomheten er for endringer i godkjenningsstatus.

På bakgrunn av denne kartleggingen bør foretaket utarbeide en beredskapsplan, og BankID-saken viser med all tydelighet hvorfor. Hva skjer dersom BankID blir nedgradert til sikkerhetsnivå "betydelig"? Hvilke avtaler og kundetiltak kan likevel gjennomføres med en eID-løsning på dette nivået, og for hvilke prosesser må virksomheten bytte til Buypass eller Commfides? Hvordan vil virksomheten håndtere manuell tinglysing i en overgangsfase? Hvor lang nedetid kan virksomheten tåle før det blir et reelt problem for kundene og inntjeningen? Dette er spørsmål som virksomheten bør ta stilling til.