什么是合格电子签名（QES）？

合格电子签名是如何产生的？

在欧盟统一电子签名规则之前，每个成员国都有自己的一套框架。这种情况随着……而改变。 欧盟第910/2014号条例 （eIDAS）于2016年7月全面生效。eIDAS法规定义了电子签名、合格电子印章、信任服务和合格信任服务提供商（QTSP）的通用术语。它还确立了合格电子印章（QES）是欧盟法规下最安全、保障最高的电子签名形式。.

此后，生态系统发生了快速变化。获得认证的远程合格签名创建设备 (QSCD) 产品数量从大约 2016年为5例，到2016年约为40例。 到 2025 年底，意大利部分公共部门服务每月处理约 5.77 亿份远程签名。.

QES还将通过欧盟数字身份钱包（EUDI钱包）框架进一步融入日常数字互动中。. 重要性2024/2979 号条例 需要钱包解决方案支持合格的电子签名并与 QSCD 接口。.

合格电子签名 (QES) 的要求

合格的 电子签名 是一种特殊的、受监管的数字签名类型，在eIDAS法规下具有最强的法律效力。“合格”一词并非营销标签。实际上，只有满足所有eIDAS要求并持有有效合格证书的签名才能使用该术语。.

合格的工程师必须：

• 与签署人唯一关联，并由签署人完全控制创建。.
• 使用 QSCD 创建，以保护签名创建数据和私钥。.
• 必须由列入国家可信名单的合格信托服务提供商签发。.

合格电子签名（QES）遵循三项原则。首先，它与手写签名具有同等的法律效力。其次，它支持不可否认性，在诉讼中可作为无可辩驳的法律证据。第三，其互操作性意味着它在欧盟范围内得到相互认可。因此，欧盟成员国必须承认合格电子签名的有效性。.

SES、AES 和 QES 的区别及法律影响

eIDAS法规将电子签名分为三个主要安全级别：简单电子签名（SES）、高级电子签名（AES）和合格电子签名（QES）。每种签名类型的应用场景很大程度上取决于企业所需的身份验证、安全性和法律确定性级别。.

简单来说，, 社会经济地位 通常表示客户有意以电子方式签署或批准某项内容。它们不需要严格的身份验证或加密保护。SES 的常见应用场景包括低风险协议、在线确认、内部审批和基本合同。.

提升一个级别的保证是 AES. 这些签名能够唯一地关联到签名者，识别签名者身份，并检测签名数据的更改。组织机构依靠自动加密签名 (AES) 来处理雇佣文件、商业协议和金融交易等需要更强身份和真实性证明的事项。.

另一方面， QES 提供最高级别的保障。它使用由具备资质的提供商颁发的合格数字证书，该证书由合格数字证书提供商 (QSCD) 创建。这些提供合格信任服务的合格交易服务提供商 (QTSP) 也受到监管机构的监督。受监管的交易或政府服务通常需要合格的电子签名，以确保更高的法律确定性。.

SES 与 QES：区别重要吗？

与合格电子签名 (QES) 相比，简单电子签名 (SES) 的技术和身份验证要求较少。需要注意的是，eIDAS 不允许仅因签名不符合 QES 的更严格要求而拒绝承认其法律效力，这意味着 SES 仍然具有法律效力。当风险较低且主要目的是记录个人意图时，SES 通常就足够了。.

然而，如果有人对签名提出异议，公司必须依赖其他佐证记录，例如直接联系客户以确定签名人及其意图。QES 通过将签名与经过验证的签名人、合格证书和受监管的信任框架关联起来，强化了这种证据。实际上，SES 适用于低风险交易，而 QES 适用于受监管的、高价值的或法律敏感的流程。.

AES 与 QES：QES 的优势是什么？

首先，AES 本身就提供了强大的安全控制。AES 必须与签名者唯一关联，使用受控的签名创建数据，且具有高度可信度。然而，QES 签名还需满足几个额外的标准。合格的电子签名必须使用来自认证提供商的合格证书，并且必须由 QSCD 生成。.

这一新增的监管层是关键区别。欧盟成员国仅认可QES与手写签名具有同等的法律效力。虽然AES可以提供强有力的身份和完整性技术证据，但QES在欧盟范围内建立了一个正式的、受监管的信任框架。.

人工智能、深度伪造技术以及QES在预防欺诈中的作用

生成式人工智能 这使得大规模伪造身份证、自拍、文件、深度伪造视频甚至语音通话变得更加容易。到2025年，使用复杂人工智能工具的诈骗分子至少窃取了…… 13亿英镑. 因此，这描绘了一幅令人担忧的景象，即视觉证据越来越容易伪造。.

个人可以在几秒钟内批量制作粘贴好的签名图片。

QES通过将签名与已验证的身份关联起来，提供更强大的签名者身份验证和文档完整性的加密证据，从而有助于降低这种风险。因此，它减少了对较弱信任信号的依赖，使账户盗用和伪造文件变得更加困难。.

例如，假设一笔交易金额高达 100 万美元。使用基本的单签名身份验证 (SES)，签名者可能会声称有人访问了他们的电子邮件帐户并批准了该协议。高级身份验证 (AES) 通过将签名与经过验证的所有者关联起来并检测篡改迹象，提供更强的身份和文档完整性证明。而使用质量身份验证 (QES)，则可以增加一层合规保障。简而言之：

SES： “你有证据证明此人有签字的意图吗？”
AES： “我们能否毫无疑问地证明是谁签的字，以及没有人篡改提交的文件？”
QES： “以上所有事项能否在欧盟监管的信任框架内完成，并提供与手写签名具有法定同等效力的认可？”

ComplyCube首席产品官Harry Varatharasan指出，个人可以在几秒钟内批量生成粘贴的签名图像。他补充道：“正因如此，QES的加密骨干对于构建关键防御层而言才不可或缺。”然而，QES签名并非阻止深度伪造或人工智能欺诈攻击的万能灵药。相反，它们的价值在于减少对越来越容易伪造的信任信号的依赖。.

什么情况下需要合格的电子签名？

并非所有协议都需要QES签名。合规团队应与法务和信息安全部门协作，明确何时适用SES、AES和QES。根据交易或关系的风险程度来匹配每个电子签名的安全级别，有助于企业构建基于风险的框架。.

设计签字流程时需要考虑的常见问题包括监管要求、形式要求和风险承受能力：

• 监管预期： 包括金融行动特别工作组（FATF）、新加坡金融管理局（MAS）和美国金融犯罪执法网络（FinCEN）在内的主要监管机构期望在金融犯罪风险较高的情况下，采取更高程度的身份保证措施。这些情况包括涉及以下方面的交易： 政治公众人物 (PEP) 或复杂的股权结构。.
• 正式要求： 某些监管机构要求使用合格电子签名 (QES) 以确保符合法律规定。例如，欧盟委员会要求以电子方式提交某些文件。 竞争程序 必须使用至少一个符合 eIDAS 标准的 QES 签名进行签名。.
• 内部风险偏好： 许多组织选择使用合格电子签名 (QES) 来满足内部风险管理和合规标准。虽然法律没有强制要求，但这些企业在涉及包含敏感信息的多个文件、高价值交易或公司行为（例如董事会决议）的情况下，会选择使用合格电子签名。.

此外，为了建立健全的治理框架，企业应将所有电子签名决策和佐证材料记录在内部档案中。这包括明确何时需要使用高级电子签名（AES）或合格电子签名（QES），以及将签名要求与组织的风险评估相匹配。 反洗钱 (AML) 制定政策，记录例外情况及其背后的理由，并保留足够的证据向监管机构或审计人员证明这些决定。.

QES 的常用文档和应用场景

此外，组织可以在特定的控制点应用合格的电子签名。 了解您的客户 (KYC) 流程而非每次互动都需进行身份验证。这使得企业能够在加强高风险或具有重要法律意义的文件的身份验证的同时，保持整个签署流程的便捷性，减少不必要的面对面核查，并降低客户的摩擦。.

可能需要 QES 签字的常见文件和场景包括：租金价值较高的租赁协议、跨境房产购买、敏感的内部文件、涉及复杂融资安排的贷款协议以及账户授权的重大变更。.

通过合格的电子签名验证加强保障

QES签名无需依赖纸质文件打印，即可加快合同执行速度。它提供法律效力、强大的身份验证、文件完整性保护，并提升运营效率。由于eIDAS法规认可QES签名，企业可以在单一信任框架内获得审批、协议和同意，而无需依赖各国繁琐的纸质流程。.

最重要的是，QES 应该作为反洗钱/了解你的客户 (AML/KYC) 控制措施的补充，而不是替代。虽然高级电子签名可以提供签名者身份的有力证据并保障文件的完整性，但它无法验证其他信息，例如资金来源、财富来源等。, 受益所有权, 或制裁状态。.

ComplyCube 提供安全可靠的端到端反洗钱平台，配备三级电子签名，完全符合欧盟 eIDAS 框架。减少客户摩擦，同时增强远程交易的信任度。. 开始 立即联系我们的一位专家。.