Podpis elektroniczny bez mitów. Sześć nieporozumień, które warto wyjaśnić przed pierwszym podpisem

Wokół podpisu elektronicznego narosło sporo uproszczeń. Jedni uważają, że wystarczy wkleić skan odręcznego podpisu do PDF-a. Inni są przekonani, że bez czytnika kart i wizyty w punkcie obsługi niczego się nie podpisze. Tymczasem zasada jest prosta. Podpis elektroniczny ma pozwolić ustalić, kto złożył oświadczenie woli, i potwierdzić, że otrzymane dane są autentyczne. Powinien też chronić przed dostępem osób nieuprawnionych i przed kradzieżą tożsamości. Poniżej zebraliśmy najczęstsze nieporozumienia i to, co mówią o nich przepisy oraz technika.

Nieporozumienie 1: „Każdy podpis w pliku działa tak samo”

Tak nie jest. Rozporządzenie eIDAS, które obowiązuje w Unii Europejskiej od 1 lipca 2016 r., rozróżnia trzy rodzaje podpisu elektronicznego . Dzielą je poziom bezpieczeństwa, wymagania techniczne i skutki prawne.

• Zwykły podpis elektroniczny to dane w formie elektronicznej powiązane z dokumentem. Słabo potwierdza tożsamość i nie korzysta z domniemania, że odpowiada podpisowi własnoręcznemu.
• Zaawansowany podpis elektroniczny jest jednoznacznie przypisany do podpisującego i powiązany z dokumentem. Ma większą moc dowodową, choć nie zawsze dorównuje podpisowi odręcznemu.
• Kwalifikowany podpis elektroniczny wymaga certyfikatu kwalifikowanego i bezpiecznego urządzenia. Jako jedyny z mocy prawa wywołuje skutki równoważne podpisowi własnoręcznemu.

W praktyce dokument z podpisem kwalifikowanym ma taką samą moc jak papier podpisany długopisem. Dokument z podpisem zwykłym lub zaawansowanym może zostać uznany za ważny, ale jego wartość dowodowa zależy od okoliczności i od zgody stron. Przed sądem albo urzędem taki podpis może zostać zakwestionowany.

Nieporozumienie 2: „E-podpis to wygoda, a nie obowiązek”

Często rzeczywiście jest wyborem, ale nie wszędzie. W zamówieniach publicznych całe postępowanie, łącznie ze składaniem i podpisywaniem ofert, toczy się wyłącznie przy użyciu narzędzi elektronicznych . Wykonawcy muszą tworzyć dokumenty w postaci cyfrowej i w takiej formie się nimi posługiwać . Ten obszar uchodzi za w pełni scyfryzowaną część administracji . Od początku 2021 roku podpis elektroniczny jest obowiązkowy w procedurach prowadzonych na podstawie ustawy Prawo zamówień publicznych . Bez podpisu, w praktyce kwalifikowanego, firma nie złoży oferty w przetargu.

Wymogi obowiązują także w kontaktach z urzędami. Polska administracja publiczna honoruje kwalifikowany podpis elektroniczny albo profil zaufany. Gdy przepisy wymagają formy pisemnej pod rygorem nieważności, zwykły podpis elektroniczny zostanie odrzucony.

Poza tymi obszarami podpis jest po prostu przydatny: przy deklaracjach i wnioskach składanych online, przy umowach zawieranych na odległość, w wewnętrznym obiegu dokumentów oraz w sektorze finansowym i ubezpieczeniowym.

Nieporozumienie 3: „e-Doręczenia i podpis elektroniczny to jedno”

Oba rozwiązania działają w cyfrowym obiegu dokumentów, więc łatwo je pomylić. Pełnią jednak inne role. e-Doręczenia potwierdzają, że korespondencja dotarła do adresata, a podpis elektroniczny służy do złożenia oświadczenia woli. Dokładniej wyjaśnia to tekst o tym, czym e-Doręczenia różnią się od e-podpisu.

Nieporozumienie 4: „Podpisany plik można po cichu poprawić”

Zmienić go można, ale nie po cichu. Chroni przed tym kryptografia asymetryczna. Podczas podpisywania z dokumentu wylicza się skrót kryptograficzny, który zostaje zaszyfrowany kluczem prywatnym podpisującego. Odbiorca odszyfrowuje ten skrót kluczem publicznym i porównuje go ze skrótem policzonym z otrzymanego pliku. Jeśli wartości się zgadzają, podpis jest ważny, a treść pozostała nienaruszona. Jeśli się różnią, wiadomo, że coś jest nie tak. Szerzej omawia to artykuł o tym, jak wygląda zasada działania podpisu elektronicznego.

Za tym mechanizmem stoi długa historia szyfrowania. Zaczyna się od szyfru Cezara z czasów Cesarstwa Rzymskiego, w którym każdą literę zastępowano inną, przesuniętą o kilka pozycji w alfabecie . Wiele wieków później powstała Enigma, maszyna mechaniczno-elektryczna z 26-znakową klawiaturą, kilkoma rotorami (najczęściej od trzech do pięciu) o 26 stykach każdy i nieruchomym rotorem odwracającym . Szyfrowała szyfrem polialfabetycznym .

Przełom przyniósł rok 1976. Whitfield Diffie i Martin Hellman opisali wtedy dwa matematycznie powiązane klucze, publiczny i prywatny, z których jeden służy do szyfrowania, a drugi do odszyfrowywania . Wcześniej korzystano z algorytmów symetrycznych z jednym kluczem do obu operacji. Należał do nich zatwierdzony w tym samym roku przez NIST standard DES .

Nieporozumienie 5: „Blockchain wkrótce zastąpi podpis kwalifikowany”

Na razie tak się nie dzieje. Blockchain bywa opisywany jako system, którego nie da się złamać . Przechowuje dane w wielu lokalizacjach zamiast w jednym centralnym repozytorium, dzięki czemu są lepiej chronione . Zmienia sposób zawierania, rozliczania i zapisywania transakcji elektronicznych. Mniejsza liczba miejsc podatnych na włamanie zmniejsza też ryzyko ataków.

Technologia ta działa już między innymi w transakcjach na rynku energii elektrycznej, w handlu, przy kryptowalutach i w obrocie akcjami . Trwają prace nad jej użyciem w bankowości, ubezpieczeniach, administracji publicznej, w tym przy podpisie elektronicznym, oraz przy uwierzytelnianiu dokumentów . W przyszłości blockchain może więc wzmocnić kontrolę integralności dokumentów. Tam jednak, gdzie przepisy wymagają kwalifikowanego podpisu elektronicznego, dziś go nie zastępuje.

Nieporozumienie 6: „Bez czytnika kart się nie obejdzie”

Klucz do podpisu może być przechowywany na karcie, na tokenie albo w chmurze. Część dostawców oferuje model chmurowy, w którym podpis składa się z przeglądarki lub aplikacji mobilnej. Wcześniej trzeba potwierdzić tożsamość i aktywować usługę. O tym, jak przebiega weryfikacja tożsamości osoby podpisującej, można przeczytać w osobnym materiale. Dostępne metody zbiera z kolei poradnik pokazujący tworzenie podpisu elektronicznego krok po kroku.

Wygoda nie powinna jednak oznaczać beztroski. Poziom ochrony zależy od rodzaju podpisu i od sposobu przechowywania klucza prywatnego. Najwyższy zapewnia podpis kwalifikowany, oparty na certyfikacie kwalifikowanym i bezpiecznym urządzeniu. Klucza prywatnego nie wolno nikomu udostępniać.

Ściągawka przed zakupem

Jeśli podpis ma obsługiwać tylko dokumenty wewnątrz firmy, zwykle wystarczy podpis zwykły lub zaawansowany, pod warunkiem że strony akceptują taką formę. Jeśli ma trafiać do urzędów albo do zamówień publicznych, potrzebny będzie podpis kwalifikowany. Przy porównywaniu ofert sprawdź:

• w jakich systemach i na jakich platformach podpis będzie używany,
• czy dostawca oferuje certyfikat kwalifikowany,
• czy podpis będzie przechowywany na karcie, tokenie czy w chmurze,
• jak długo ważny jest certyfikat i ile kosztuje jego przedłużenie.

Cena zależy od dostawcy, rodzaju podpisu i okresu ważności certyfikatu, dlatego warto zestawić oferty kilku dostawców kwalifikowanych.

Na koniec

Większość nieporozumień wokół podpisu elektronicznego bierze się z wrzucania wszystkich jego rodzajów do jednego worka. Wystarczy rozróżnić trzy poziomy opisane w eIDAS i ustalić, w jakich procedurach podpis będzie używany, a wybór okaże się prosty.

Artykuł sponsorowany