Revisjonen av eIDAS i 2024 skapte en ny klasse bevis: kvalifiserte elektroniske regnskapsbøker. Implementeringsreglene som ble publisert i desember 2025, beskriver hva disse systemene må gjøre (forordning 2024/1183, Implementeringsforordning 2025/2531). En registrering som er registrert i en sertifisert regnskapsbok, har nå en lovfestet presumsjon om integritet og kronologisk rekkefølge i alle 27 medlemsland.
I enhver EU-domstol, selv i en tvist mellom selskaper fra forskjellige medlemsland, flytter denne presumsjonen bevisbyrden over på den som bestrider registreringen. Så det er rimelig å spørre hvilket teknisk gjennombrudd som ga den.
Det finnes ikke et.
Rammeverket krever ikke desentralisering, feiltoleranse på tvers av uavhengige parter eller åpen verifisering. Det er helt komfortabelt med et lukket system drevet av ett enkelt selskap. Les forbi det regulatoriske vokabularet, og de nødvendige kontrollene er signaturer, hashkjeder og en beskyttet signeringsnøkkel: de samme verktøysettingeniørene har boltet seg inn i vanlige databaser i flere tiår.
EU har ikke hevet den tekniske standarden. De har stemplet den eksisterende og knyttet et juridisk privilegium til stempelet. For IP-eiere og advokatene som forsvarer dem, er det en kostbar feil å forveksle dette stempelet med sterkere bevis. Det bytter bevis som alle kan verifisere mot en etikett som bare fungerer der etiketten gjenkjennes, og bare hvis leverandøren fortsatt er der for å støtte den.
En regnskapsbok kun i navn
"Kvalifisert elektronisk regnskapsbok" høres ut som distribuert, manipulasjonssikker infrastruktur. Vedlegget til Implementeringsforordning 2025/2531 beskriver noe mye enklere:
- avanserte elektroniske signaturer eller segl basert på kvalifiserte sertifikater, for å vise hvor dataene kommer fra;
- hashlister eller hashtrær (SHA-256 eller sterkere) for å fikse rekkefølgen på poster;
- signaturbaserte integritetskontroller, slik at eventuelle senere endringer kan oppdages;
- sertifisert maskinvare (Common Criteria EAL 4 eller FIPS 140-3 nivå 3) for å oppbevare signeringsnøklene.
Ingenting på den listen trenger en blokkjede. Distribuerte ledgers er tillatt, med noen ekstra ISO-krav, men de er et alternativ, ikke en betingelse. En PostgreSQL-tabell med kun tillegg, signerte oppføringer, en Merkle-rot og en maskinvaresikkerhetsmodul (HSM, den manipulasjonssikre enheten bankene bruker for å beskytte signeringsnøklene sine) tømmer den samme funksjonslinjen.
Sertifisert «kvalifisert hovedbok»Tilsvarende system, usertifisertTeknologiDatabase + PKI + hashkjedeDatabase + PKI + hashkjede (eller sterkere)Juridisk vekt i EULovbestemt presumsjon (eIDAS Art. 45k)Må bevise sin integritet fra bunnen av
Ledgerleverandører vil protestere mot at systemene deres er distribuerte, og peker på antall noder de kjører. Men ti servere under ett selskaps kontroll er fortsatt ett selskap. Den som har rotnøklene, hostingkontraktene og administrasjonskonsollen kan gå konkurs, bli tvunget eller gjøre en feil, og alle ti nodene går ned med dem.
Resultatet er et juridisk hierarki som ignorerer ingeniørkunst. En revidert database merket «kvalifisert» får presumsjonen; et identisk eller bedre system uten merkelappen starter fra null. Loven stoler mer på leverandørens papirarbeid enn matematikken i bevisene.
En revisjon er ikke en garanti
Forsvarere peker på tilsynsregimet. Kvalifiserte tillitstjenesteleverandører revideres minst annethvert år og må ha en oppsigelsesplan som bevarer tilgangen til dokumenter dersom de legger ned (Implementeringsforordning 2025/2530, artikkel 3).
En oppsigelsesplan er en intensjon, ikke et bevis. Den fungerer bare hvis det, i det øyeblikket leverandøren kollapser, fortsatt er penger, en villig etterfølger og ansatte som følger planen. Insolvens, nødsalg og restrukturering er akkurat de øyeblikkene hvor ingenting av dette er sikkert.
En revisjonsrapport sier at en leverandør har bestått en sjekkliste på revisjonsdagen. Den kan ikke bringe tilbake et arkiv som har gått offline, eller gjenoppbygge en varetektskjede halvveis i en rettssak. Å saksøke en konkursrammet tillitsleverandør vil ikke redde et krav som har mistet beviset sitt.
Bevis må vare lenger enn leverandøren
Immateriell eiendom kan forbli verdifull, og omstridt, i flere tiår. Ta et selskap som holder en prosess hemmelig i stedet for å patentere den. Hvis en konkurrent senere patenterer den samme ideen, kan selskapet fortsette å bruke prosessen sin bare ved å bevise at den kom dit først, og det beviset må holde så lenge konkurrentens patent kan håndheves: opptil tjue år.
Programvareselskaper varer sjelden så lenge. Produkter avvikles, API-er avvikles, oppstartsbedrifter kjøpes opp eller avvikles. I mellomtiden dukker ofte tvistene som betyr noe (en tidligere leverandør som gjenbruker tegningene dine, et nytt patent som dekker en prosess du har kjørt i årevis) opp ti eller femten år etter at verket ble laget.
På det tidspunktet må du bevise at verket eksisterte, at det ikke har endret seg, og at det var ditt. En regnskapspost kan ikke gjøre det alene hvis kontrollen krever leverandørens lukkede API, en lisens for avviklet programvare eller et deponeringsarkiv ingen har åpnet på et tiår. Når leverandøren går, forsvinner bevisene med den.
Enhver IP-advokat bør derfor bruke én test:
Hvis leverandøren av regnskapsboken forsvant i morgen, kan en uavhengig ekspert eksportere råbevisene og verifisere dem i retten ved kun å bruke verktøy med åpen kildekode og offentlige standarder?
Hvis svaret er nei, eier du ikke bevisene dine. Du leier dem.
Presumsjonen stopper ved grensen
IP er internasjonalt. En oppfinnelse utviklet i München er patentert i USA, produsert i Shenzhen og lisensiert i Tokyo. Krenkere velger ikke jurisdiksjon som passer Brussel.
Presumsjonen i artikkel 45k er bindende for EU-domstoler. En amerikansk føderal dommer, et voldgiftspanel i Singapore eller Høyesterett i London skylder dem ingenting. Utenfor EU:
tillatelighet følger lokale prosedyrer og regler for ekspertbevis, slik som Daubert-utfordringer i USA, der motparten ber dommeren om å utelukke ekspertbevis hvis metode ikke kan testes uavhengig;
et EU-sertifikat erstatter ikke en teknisk redegjørelse for hvordan dokumentet ble produsert og kontrollert;
en ekspert som må innrømme at verifisering avhenger av en leverandørs ikke-offentliggjorte, lukkede kildekode, inviterer til utelukkelse, eller i beste fall en kraftig rabatt.
Sammenlign en åpen standard som RFC 3161 for tidsstempler. Formatet og verifiseringsprosedyren er offentlige, og enhver kompetent ekspert hvor som helst kan sjekke et token med gratis verktøy, uten lisens og uten utstederens hjelp. Bevis bygget på den måten reiser. Bevis som er avhengig av et EU-sertifikat for sin vekt er sterk i EU-domstoler, men overalt ellers må det bevise seg fra bunnen av.
Bruk merket, ikke bygg på det
Ingenting av dette gjør kvalifiserte regnskapsbøker ubrukelige. Innenfor EU er en lovfestet formodning en reell prosessuell fordel, så lenge registreringen forblir verifiserbar i hele aktivumets levetid og ikke avhenger av selgerens overlevelse. Utenfor EU tilfører den svært lite.
Så IP-eiere trenger ikke å velge mellom lokal anerkjennelse og global verifiserbarhet. De bør legge de to lagene sammen. Forankre bevis først i åpen, global infrastruktur som alle kan sjekke uten å be om tillatelse, for eksempel RFC 3161-tidsstempler eller Bitcoin-blokkjeden. Deretter, der det er sannsynlig at en tvist vil bli utkjempet, legg til beviset som lokale domstoler anerkjenner: en kvalifisert regnskapsbok i EU, en akkreditert tidsstemplingsmyndighet i Kina, et myndighetsakkreditert tidsstempel i Japan.
Når du bestemmer hvordan bedriften din registrerer sine kjerneaktiva:
Forankre globalt først. Bruk åpne standarder og offentlig infrastruktur som enhver ekspert, i enhver jurisdiksjon, kan verifisere med gratis verktøy.
Legg til lokal anerkjennelse der du kan føre rettstvister. Behandle nasjonalt anerkjente bevis som et lag oppå, ikke som grunnlaget.
Behold dataene og bevisene. Et bevis bekrefter bare en hash; uten den nøyaktige originalfilen beviser det ingenting. Behold de sertifiserte dataene, byte for byte, sammen med selvstendige bevispakker (rå signaturer, hasher og sertifikatkjeder), alt i din egen varetekt.
Verifiser uten leverandøren. Sørg for at ditt eget team kan sjekke historiske poster med verktøy med åpen kildekode, med leverandørens plattform slått av.
En lovfestet presumsjon kan vinne argumentet i én jurisdiksjon. Bevis for at alle kan sjekke lar deg fremføre argumentet hvor som helst.
