Poziomy podpisów elektronicznych UE (eIDAS): jaka jest różnica między podpisem zwykłym, zaawansowanym a kwalifikowanym?

Rozporządzenie eIDAS UE określa trzy poziomy podpisów elektronicznych: zwykły (SES), zaawansowany (AES) i kwalifikowany (QES). W tym artykule wyjaśnimy prostym językiem, co oznacza każdy poziom, kiedy który jest wystarczający i jak mała firma może wykorzystać je w swojej codziennej działalności.

Podstawowa idea rozporządzenia eIDAS

eIDAS (electronic IDentification, Authentication and trust Services) to rozporządzenie UE, które weszło w życie w 2016 roku. Tworzy ono wspólne zasady dla identyfikacji elektronicznej i podpisów elektronicznych we wszystkich krajach UE. W praktyce eIDAS oznacza, że podpisu elektronicznego nie można odrzucić w sądzie tylko dlatego, że jest w formie elektronicznej. Dotyczy to całego obszaru UE. Rozporządzenie zostało zaktualizowane w 2024 roku (eIDAS 2.0), wprowadzając m.in. Europejski Portfel Tożsamości Cyfrowej (EUDI Wallet) oraz bardziej rygorystyczne wymagania dla usług zaufania.

SES – zwykły podpis elektroniczny

SES to najprostszy poziom podpisu. Może to być na przykład:

• Imię i nazwisko wpisane w e-mailu
• Zaznaczenie pola „Akceptuję warunki” w formularzu internetowym
• Narysowany podpis na ekranie dotykowym

SES nie wymaga osobnej weryfikacji tożsamości. Wystarcza w sytuacjach, gdy ryzyko jest niewielkie, a między stronami istnieje już stosunek zaufania. Co to oznacza w praktyce: jeśli sprzedajesz swojemu stałemu, małemu klientowi usługę za 500 euro, a on potwierdza zamówienie e-mailem, jest to podpis na poziomie SES. Jest on ważny, ale w przypadku sporu jego wartość dowodowa jest najsłabsza.

AES – zaawansowany podpis elektroniczny

AES wymaga, aby podpisujący został wiarygodnie zidentyfikowany, a podpis był z nim powiązany w taki sposób, aby nie można było go później zmienić.\n\nW praktyce AES oznacza, że podpisujący uwierzytelnia się przed podpisaniem, na przykład za pomocą danych bankowych, certyfikatu mobilnego lub podobnej metody.\n\nAES spełnia cztery wymagania:

1. Podpis jest jednoznacznie powiązany z podpisującym
2. podpisujący jest możliwy do zidentyfikowania
3. Podpisujący posiada wyłączną kontrolę nad danymi wykorzystywanymi do utworzenia podpisu
4. wszelkie zmiany w dokumencie dokonane po złożeniu podpisu są wykrywalne

Co to oznacza w praktyce: kiedy wysyłasz umowę z klientem do podpisania za pośrednictwem EpicSign, a klient uwierzytelnia się za pomocą danych bankowych, jest to podpis na poziomie AES. Jest on zazwyczaj wystarczający dla większości umów handlowych.

QES – kwalifikowany (zatwierdzony) podpis elektroniczny

QES to najsilniejszy poziom. W prawodawstwie UE jest on bezpośrednio równoważny z podpisem odręcznym. QES wymaga dwóch rzeczy:

1. Certyfikatu wydanego przez kwalifikowanego dostawcę usług zaufania (Qualified Certificate)
2. Kwalifikowanego urządzenia do tworzenia podpisu (Qualified Signature Creation Device, QSCD)

Twórcy podpisu QES znajdują się na Trusted List UE – oficjalnym rejestrze, w którym są zarejestrowani zatwierdzeni dostawcy usług zaufania. Każde państwo UE prowadzi własną listę. Co to oznacza w praktyce: QES jest potrzebny głównie wtedy, gdy prawo wyraźnie wymaga formy pisemnej (np. niektóre transakcje dotyczące nieruchomości, sprawy urzędowe) lub gdy wartość i ryzyko umowy są szczególnie wysokie.

Kiedy który poziom jest wystarczający?

Dla małej firmy wybór odpowiedniego poziomu zależy od ryzyka i wartości dokumentu:

Rejestr audytu i dowody

Każdy podpis elektroniczny pozostawia cyfrowy ślad, czyli rejestr audytu. To elektroniczny dowód na to, kto podpisał, kiedy i skąd. Dobrze zaimplementowany rejestr audytu zawiera:

• Dane identyfikacyjne podpisującego (imię, adres e-mail, metoda uwierzytelniania)
• Znacznik czasu (kiedy złożono podpis)
• Adres IP i informacje o urządzeniu
• Skrót dokumentu (hash), który dowodzi, że dokument nie został zmieniony po podpisaniu

Praktyczny przykład: firma konsultingowa i zarządzanie umowami

Trzyosobowa firma konsultingowa w Tampere zawiera miesięcznie 10–15 umów z klientami. Wcześniej umowy były drukowane, podpisywane i skanowane. Proces zajmował 30–45 minut na umowę. Przejście na podpis elektroniczny AES w EpicSign zmieniło proces:

1. Umowa jest ładowana do EpicSign (1 min)
2. Podpisujący są dodawani, a prośba o podpis jest wysyłana (1 min)
3. Klient uwierzytelnia się za pomocą identyfikatorów bankowych i podpisuje (2 min)
4. Podpisana umowa jest archiwizowana automatycznie (0 min)

Oszczędność czasu: około 2 godzin tygodniowo. Ponadto każda umowa jest identyfikowalna dzięki rejestrowi audytu.

Często zadawane pytania

Źródła

1. Rozporządzenie eIDAS (UE) nr 910/2014 – w sprawie identyfikacji elektronicznej i usług zaufania
2. Agencja ds. Usług Cyfrowych i Informacji o Ludności (DVV) – Identyfikacja elektroniczna i usługi zaufania
3. Traficom – Usługi zaufania i podpisy elektroniczne
4. EU Trusted Lists – lista zatwierdzonych dostawców usług zaufania

Ten artykuł ma charakter ogólny i nie stanowi porady prawnej.