Der gesetzliche Rahmen für elektronische Signaturen in Indien basiert auf dem Information Technology Act von 2000, der im Jahr 2008 umfassend geändert wurde, in Verbindung mit den allgemeinen vertragsrechtlichen Grundlagen des Indian Contract Act von 1872. Die Zulässigkeit elektronischer Beweismittel wird nun durch das Gesetz „Bharatiya Sakshya Adhiniyam 2023“ geregelt, welches den alten Abschnitt 65B des Beweisgesetzes mit Wirkung zum 1. Juli 2024 durch eine strengere Zertifizierungspflicht ersetzt hat.

Das IT-Gesetz erkennt Signaturen auf zwei Ebenen an. Abschnitt 3 regelt „digitale Signaturen“: asymmetrische Kryptografie, die an ein digitales Signaturzertifikat (DSC) gebunden ist, das von einer Zertifizierungsstelle mit einer Lizenz des Controller of Certifying Authorities ausgestellt wurde. Der durch die Novelle von 2008 eingefügte Abschnitt 3A regelt „elektronische Signaturen“ im weiteren Sinne: jedes Verfahren, das der zweite Anhang als zuverlässig anerkennt (einschließlich Aadhaar-basierter eSign), sowie eine allgemeine Zuverlässigkeitsprüfung für nicht ausdrücklich aufgeführte Verfahren. Diese Prüfung fragt danach, ob die Signatur eindeutig mit dem Unterzeichner verknüpft ist, unter seiner alleinigen Kontrolle erstellt wurde und ob eine spätere Änderung der Signatur oder des unterzeichneten Dokuments erkennbar wäre – Kriterien, die sich fast identisch mit dem EU-Standard für fortgeschrittene elektronische Signaturen lesen, obwohl Indien die eIDAS-Begrifflichkeiten nie übernommen hat.

Weder ein digitales Signaturzertifikat noch Aadhaar eSign stehen einer nicht lizenzierten ausländischen Plattform zur Verfügung. Die Ausstellung eines DSC erfordert eine CCA-Lizenzierung als Zertifizierungsstelle. Die Authentifizierungs-API von Aadhaar ist auf Stellen beschränkt, die gleichzeitig nach dem Geldwäschegesetz anerkannt und bei der UIDAI als KUA oder Sub-KUA registriert sind – eine geschlossene Liste von meist regulierten Finanz- und Regierungsstellen. Für normale kommerzielle Signaturen spielt dies jedoch keine Rolle. Der allgemeine Zuverlässigkeitstest aus Abschnitt 3A, kombiniert mit der Anerkennung von Signaturen aus Abschnitt 5 und der Validierung des elektronischen Vertragsschlusses aus Abschnitt 10A, ist derselbe rechtliche Weg, auf dem DocuSign, Adobe Sign und Zoho Sign bereits in Indien arbeiten. Es ist derselbe Weg, den eine fälschungssichere Plattform mit Audit-Trail wie Firma.dev ohne jegliche inländische Lizenz erfüllt.

Die Ausschlüsse sind eng gefasst und namentlich genannt statt pauschal formuliert. Der erste Anhang verbietet die elektronische Ausstellung von begebbaren Wertpapieren (außer Schecks), Vollmachten, Treuhandurkunden und Testamenten, obwohl eine Änderung im Jahr 2022 die ersten beiden Ausschlüsse einschränkte, um Instrumente auszunehmen, an denen von der RBI, SEBI, IRDAI oder PFRDA regulierte Unternehmen beteiligt sind. Verträge über den Verkauf und die Übertragung von Immobilien verloren im selben Jahr ihren Ausschluss aus dem IT-Gesetz, obwohl das separate Registrierungsgesetz von 1908 (Registration Act 1908) in den meisten Bundesstaaten immer noch eine persönliche Registrierung für zwingend eintragungspflichtige Dokumente vorschreibt, sodass die praktische Hürde für Immobilien die rechtliche Hürde, die sie früher rechtfertigte, überdauert.

Für die meisten SaaS-Unternehmen und B2B-Plattformen, die in Indien tätig sind, deckt der allgemeine Standard für zuverlässige Signaturen Handelsverträge, Arbeitsverträge, Geheimhaltungsvereinbarungen, Softwarelizenzen und elektronische Versicherungsvorschläge zuverlässig ab. Ein digitales Signaturzertifikat oder Aadhaar eSign ist für Behördenmeldungen, spezifische regulierte KYC-Prozesse im Finanzsektor und die kleine Liste der Ausschlüsse des ersten Anhangs von Bedeutung, nicht jedoch für Standardgeschäftsdokumente.