Der Rahmen für elektronische Signaturen in Kenia basiert auf dem Kenya Information and Communications Act von 1998 (KICA), in der Fassung des Business Laws (Amendment) Act von 2020. Die Kernregel des KICA in Abschnitt 83J ist technologieneutral: Einem Vertrag darf die Gültigkeit oder Durchsetzbarkeit nicht allein deshalb verweigert werden, weil er elektronisch geschlossen oder unterzeichnet wurde. Für die weitaus meisten kommerziellen Vereinbarungen bedeutet dies, dass eine gewöhnliche elektronische Signatur, wie ein getippter Name, eine PIN, ein E-Mail-basierter Authentifizierungslink oder eine Plattform wie der SES-Workflow von Firma.dev, rechtlich ausreichend ist, ohne dass eine Zertifizierung oder staatliche Registrierung erforderlich ist.

Das KICA definiert auch eine zweite, strengere Kategorie: die „fortgeschrittene elektronische Signatur“. Wenn ein anderes kenianisches Gesetz ausdrücklich verlangt, dass ein Dokument im formellen Sinne „unterzeichnet“ wird, ist diese Anforderung gemäß Abschnitt 83P durch eine fortgeschrittene elektronische Signatur erfüllt: eine Signatur, die eindeutig mit dem Unterzeichner verknüpft ist, mit Mitteln erstellt wird, die der Unterzeichner unter seiner alleinigen Kontrolle behält, und die in der Lage ist, jede nachträgliche Änderung der unterzeichneten Daten offenzulegen. Der Haken liegt in der Art und Weise, wie diese Signatur erzeugt werden muss: Sie muss ein Zertifikat tragen, das von einem von der Communications Authority of Kenya lizenzierten Zertifizierungsdienstanbieter ausgestellt wurde. Bis zum Jahr 2024 besaßen vier Unternehmen diese Lizenz (Geda, Emudhra, TendaWorld und die ICT Authority), wobei Berichten zufolge weitere Anträge geprüft werden. Das Zertifikat eines nicht lizenzierten Anbieters ist vor Gericht nur ein Indiz, kein endgültiger Beweis. Firma.dev ist derzeit nicht in die lizenzierten CSPs Kenias integriert, so dass es diese definierte Stufe selbst nicht erfüllt.

Eine separate, jüngere Entwicklung verschärft dies für bestimmte Sektoren weiter. Eine Richtlinie der Communications Authority und des National Computer and Cybercrime Coordination Committee, die am 1. Januar 2026 in Kraft tritt, weist bestimmte Sektoren als kritische Informationsinfrastruktur (CII) aus, darunter Bank- und Spardienste, Versicherungen, Arzneimittel, Immobiliendienstleistungen sowie Systeme zur Verarbeitung von Wahldaten oder der öffentlichen Sicherheit. CII-Anbieter müssen ihre digitalen Zertifikate und E-Signatur-Dienste ausschließlich von einem CA-lizenzierten Zertifizierungsdienstanbieter beziehen. Unternehmen in diesen spezifischen Sektoren sollten einen konformen Weg separat bestätigen, bevor sie sich allein auf den Standard-SES/AES-Workflow von Firma.dev verlassen.

Drei Kategorien sind gemäß Abschnitt 83B von der Gültigkeit elektronischer Signaturen gänzlich ausgeschlossen: Testamente und Kodizille, Wertpapiere (Schecks, Wechsel und eigene Wechsel) sowie Eigentumsurkunden. Diese Ausnahmen sind eng gefasst und namentlich genannt, keine allgemeine Einschränkung für die kommerzielle Nutzung. Alltägliche Verträge, Geheimhaltungsvereinbarungen, Bestellungen und Dienstleistungsvereinbarungen außerhalb der oben genannten CII-Sektoren fallen weitgehend nicht darunter.

Immobilien sind ein zweiter Bereich, in dem zwei kenianische Gesetze neben der CII-Einstufung in unterschiedliche Richtungen weisen. Die Gesetzesänderungen von 2020 betrafen Immobilientransaktionen aus zwei Richtungen gleichzeitig: Der Land Registration Act wurde dahingehend geändert, dass elektronisch ausgefertigte Urkunden, einschließlich der vom Lands Registry in elektronischer Form aufbewahrten Eigentumsurkunden, akzeptiert werden, während der Law of Contract Act separat dahingehend geändert wurde, dass für grundstücksbezogene Verträge ausdrücklich eine fortgeschrittene elektronische Signatur erforderlich ist. Kenianische Juristen raten derzeit davon ab, sich in Grundstücksangelegenheiten auf E-Signaturen zu verlassen, bis der Konflikt durch die Gerichte oder weitere Gesetze gelöst ist.

Das kenianische Datenschutzgesetz von 2019 (Data Protection Act), das vom Office of the Data Protection Commissioner durchgesetzt wird, regelt personenbezogene Daten mit DSGVO-ähnlichen Grundsätzen der Rechtmäßigkeit und der Rechte der betroffenen Personen. Abschnitt 48 gestattet grenzüberschreitende Datenübermittlungen auf der Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie Vertragsklauseln oder der Erforderlichkeit zur Erfüllung des Vertrags. Kenia hat keinen formellen EU-Angemessenheitsbeschluss erhalten, so dass die Übermittlungen eines in der EU ansässigen Anbieters auf den Garantien oder der Erforderlichkeit beruhen. Die Durchsetzung durch das ODPC hat stark zugenommen: Die Zahl der Beschwerdeentscheidungen hat sich 2025 im Vergleich zu 2024 fast verdoppelt, und ein noch ausstehender Data Protection (Amendment) Bill von 2025 würde die Kategorien sensibler Daten erweitern und das Strafmaß erhöhen, indem die Berechnung des Bußgelds vom niedrigeren der beiden Schwellenwerte auf den höheren umgestellt wird.