Indonesiens Rahmenwerk für elektronische Signaturen basiert auf dem Gesetz über elektronische Informationen und Transaktionen (UU ITE, Gesetz Nr. 11 von 2008), geändert durch das Gesetz Nr. 19 von 2016 und erneut durch das Gesetz Nr. 1 von 2024, zusammen mit seiner wichtigsten Durchführungsverordnung, der Regierungsverordnung Nr. 71 von 2019 über den Betrieb elektronischer Systeme und Transaktionen.

Artikel 11 legt eine technologieneutrale Gültigkeitsprüfung fest, anstatt eine bestimmte Methode vorzuschreiben. Eine Signatur ist rechtlich gültig, wenn die Signaturerstellungsdaten nur auf den Unterzeichner bezogen sind, diese Daten zum Zeitpunkt der Unterzeichnung unter der alleinigen Kontrolle des Unterzeichners standen, jede spätere Änderung der Signatur oder des unterzeichneten Dokuments erkennbar ist, es eine spezifische Methode zur Identifizierung des Unterzeichners gibt und es eine spezifische Methode gibt, um zu zeigen, dass der Unterzeichner dem Inhalt zugestimmt hat. Jede Signaturmethode, die diese Bedingungen erfüllt, gilt als rechtlich gültige elektronische Signatur, unabhängig davon, ob sie von einem lizenzierten Anbieter stammt oder nicht.

Das indonesische Recht unterteilt elektronische Signaturen in zwei Kategorien. Eine zertifizierte elektronische Signatur wird über einen lizenzierten Penyelenggara Sertifikasi Elektronik (PSrE) ausgestellt, in der Regel unter Verwendung einer PKI-basierten Kryptografie, und genießt eine stärkere Beweiskraft, da der PSrE die Identität des Unterzeichners bereits überprüft hat. Eine nicht zertifizierte elektronische Signatur, die Standard-Click-to-Sign- und E-Mail-verifizierte Workflows wie die von Firma.dev abdeckt, ist gemäß Artikel 11 gleichermaßen gültig, aber die Partei, die sich darauf verlässt, trägt die Beweislast für die Identität des Unterzeichners und die Integrität des Dokuments, falls ein Streitfall vor Gericht landet. In der Praxis ergibt sich dieser Nachweis aus demselben Audit-Trail, Zeitstempel und den Authentifizierungsdaten, die eine konforme E-Signatur-Plattform ohnehin aufzeichnet.

Die PSrE-Lizenzierung beschränkt nur die zertifizierte Stufe, nicht das Recht, überhaupt Software für elektronische Signaturen in Indonesien anzubieten. Ein ausländischer Anbieter ohne indonesische PSrE-Lizenz kann weiterhin indonesische Unternehmen bedienen; seine Signaturen sind lediglich nicht zertifiziert. Die Ministerialverordnung Nr. 11 von 2022 verlangt, dass ein PSrE eine juristische Person mit Sitz in Indonesien sein muss, die eine erhebliche Vermögensgrenze erfüllt. Aus diesem Grund agieren die meisten ausländischen Plattformen als nicht zertifizierte Anbieter, anstatt eine lokale Zertifizierung anzustreben. Eine separate Registrierungspflicht für Betreiber elektronischer Systeme (PSE) gemäß der Ministerialverordnung Nr. 5 von 2020 gilt im weiteren Sinne für fast jeden digitalen Dienst, der indonesische Nutzer erreicht, und ist von der Frage der Signaturzertifizierung völlig unabhängig.

Das Gesetz Nr. 1 von 2024 fügte Artikel 17(2a) hinzu, der eine zertifizierte elektronische Signatur für Transaktionen vorschreibt, die das Gesetz als hochriskant eingestuft hat. Komdigi und die OJK haben seitdem bestätigt, dass dies digitale Finanztransaktionen ohne persönlichen Kontakt abdeckt, einschließlich „Jetzt kaufen, später bezahlen“-Produkte (Buy-now-pay-later). Die Ausnahme ist eng gefasst. Sie betrifft bestimmte Finanzprodukte, und ein gewöhnlicher SaaS-Vertrag, eine Vertraulichkeitsvereinbarung (NDA) oder ein Lieferantenvertrag fallen vollständig aus diesem Rahmen heraus.

Eine separate Gruppe von Transaktionen fällt gänzlich aus dem Anwendungsbereich des ITE-Gesetzes heraus, da das indonesische Recht eine notarielle Urkunde erfordert, bei der der Unterzeichner physisch anwesend sein muss: Grundstücks- und Immobilienübertragungen durch einen Notar für Landurkunden (PPAT), Gesellschaftsgründungsurkunden und besicherte Kreditinstrumente wie Hypotheken (Hak Tanggungan) und Treuhandübertragungen (Fiducia). In diesen Fällen ersetzt keine elektronische Signatur, ob zertifiziert oder nicht, das physische notarielle Verfahren.

Für die meisten SaaS-Unternehmen und ihre kommerziellen Vertragspartner bleibt damit ein breiter Spielraum: Eine geprüfte, identitätsverifizierte, nicht zertifizierte elektronische Signatur ist für die überwiegende Mehrheit der B2B-Verträge in Indonesien rechtlich ausreichend. Die Ausnahmen sind spezifisch und vorhersehbar und nicht allgemein gehalten; sie betreffen notariell beurkundete Transaktionen und einen engen Bereich regulierter Finanzprodukte.