zgodność z eIDAS

Zgodność z eIDAS dotyczy stosowania podpisów i pieczęci elektronicznych uznawanych w Unii Europejskiej.

Zgodność z eIDAS – czym jest w praktyce

Zgodność z eIDAS oznacza takie przygotowanie dokumentów, procesów i narzędzi elektronicznych, aby mogły prawidłowo funkcjonować w ramach unijnych zasad dotyczących identyfikacji elektronicznej, podpisów elektronicznych, pieczęci elektronicznych, znaczników czasu oraz usług zaufania. Nie chodzi wyłącznie o zainstalowanie programu do składania podpisu. Istotne jest całe środowisko pracy: sposób potwierdzania tożsamości, używany certyfikat, aplikacja, przeglądarka, system operacyjny, czytnik karty, token, połączenie z usługodawcą oraz późniejsza możliwość sprawdzenia autentyczności podpisanego pliku.

Rozporządzenie eIDAS tworzy wspólne ramy dla państw Unii Europejskiej. Dzięki temu dokument elektroniczny opatrzony odpowiednim podpisem lub pieczęcią może być weryfikowany także poza miejscem, w którym został wystawiony. Z punktu widzenia użytkownika ważne jest rozróżnienie pomiędzy samym obrazem podpisu a podpisem elektronicznym. Wklejone zdjęcie odręcznego podpisu nie potwierdza, kto rzeczywiście zaakceptował dokument i czy treść nie została zmieniona. Podpis elektroniczny opiera się natomiast na danych kryptograficznych oraz certyfikacie, które pozwalają przeprowadzić kontrolę integralności i pochodzenia pliku.

W środowisku domowym, biurowym i usługowym problemy z tą zgodnością często pojawiają się podczas otwierania dokumentu, składania podpisu albo sprawdzania podpisu otrzymanego od innej osoby. Czasem przyczyną jest nieaktualna aplikacja, innym razem brak odpowiedniego sterownika lub błędna konfiguracja certyfikatu. Dlatego zgodność należy rozumieć jako działanie całego procesu, a nie pojedynczą funkcję jednego programu.

Zgodność z eIDAS a rodzaje podpisu elektronicznego

W systemie eIDAS wyróżnia się kilka poziomów podpisu elektronicznego. Zwykły podpis elektroniczny obejmuje dane elektroniczne dołączone do dokumentu lub logicznie z nim powiązane. Może nim być przykładowo identyfikator osoby w systemie, potwierdzenie operacji kodem albo podpis zastosowany w aplikacji internetowej. Taka forma może mieć znaczenie dowodowe, jednak jej siła zależy od sposobu użycia, zabezpieczeń oraz okoliczności konkretnej sprawy.

Podpis elektroniczny zaawansowany musi spełniać bardziej szczegółowe wymagania. Powinien być jednoznacznie powiązany z podpisującym, umożliwiać ustalenie jego tożsamości, pozostawać pod jego wyłączną kontrolą i być połączony z dokumentem w taki sposób, aby każda późniejsza zmiana była możliwa do wykrycia. W praktyce wymaga to odpowiedniej infrastruktury kryptograficznej, bezpiecznego przechowywania klucza prywatnego oraz procedur, które ograniczają ryzyko użycia podpisu przez osobę nieuprawnioną.

Kwalifikowany podpis elektroniczny jest szczególnym rodzajem podpisu zaawansowanego. Opiera się na kwalifikowanym certyfikacie i rozwiązaniu dostarczanym przez kwalifikowanego dostawcę usług zaufania. W wielu zastosowaniach może być traktowany na równi z podpisem własnoręcznym. Nie oznacza to jednak, że każdy plik z ikoną podpisu jest automatycznie poprawny. Należy zweryfikować certyfikat, status podpisu, czas jego złożenia, integralność dokumentu oraz ewentualne informacje o unieważnieniu certyfikatu.

Zgodność z eIDAS i pieczęć elektroniczna

Podpis elektroniczny odnosi się przede wszystkim do osoby fizycznej. Pieczęć elektroniczna jest natomiast związana z osobą prawną albo inną organizacją. Jej funkcją jest potwierdzenie pochodzenia dokumentu od określonego podmiotu oraz zabezpieczenie jego treści przed niezauważoną modyfikacją. Przykładowo organizacja może stosować pieczęć przy wystawianiu dużej liczby dokumentów, potwierdzaniu automatycznie generowanych zaświadczeń lub przekazywaniu plików w systemie obsługi spraw.

Pieczęć nie zastępuje podpisu osoby, jeżeli przepisy albo procedura wymagają osobistego oświadczenia woli. Jest narzędziem służącym do potwierdzenia pochodzenia danych od organizacji. To rozróżnienie ma znaczenie podczas projektowania obiegu dokumentów. Wdrożenie samej pieczęci może być niewystarczające, gdy dokument powinien zostać zaakceptowany przez konkretną osobę uprawnioną do reprezentowania podmiotu.

Przy sprawdzaniu pieczęci warto zwrócić uwagę na nazwę podmiotu wskazaną w certyfikacie, okres jego ważności, status dostawcy oraz rodzaj zastosowanego zabezpieczenia. Należy także sprawdzić, czy plik nie został zmieniony po opatrzeniu go pieczęcią. Program weryfikujący powinien wyraźnie informować o wyniku kontroli, a nie ograniczać się do wyświetlenia graficznego symbolu pieczęci.

Zgodność z eIDAS w dokumentach PDF

Format PDF jest często wykorzystywany przy podpisywaniu umów, formularzy, protokołów i pism urzędowych. Sam fakt zapisania dokumentu jako PDF nie gwarantuje jednak poprawności podpisu. Znaczenie ma sposób osadzenia podpisu, rodzaj certyfikatu, zastosowany profil oraz to, czy po podpisaniu dokumentu nie wykonano operacji naruszających jego integralność. Plik może wyglądać prawidłowo na ekranie, a mimo to zawierać podpis, którego nie da się poprawnie zweryfikować.

Podczas otwierania podpisanego dokumentu program powinien wskazać, czy podpis jest ważny, kto go złożył, jaki certyfikat został wykorzystany oraz czy dokument został zmieniony. W niektórych przypadkach pojawia się komunikat o braku zaufania do wystawcy certyfikatu. Nie zawsze oznacza to, że dokument jest fałszywy. Może chodzić o brak aktualnego łańcucha certyfikatów, niepobrane dane statusu albo ustawienia zaufania w używanej aplikacji. Taki komunikat wymaga analizy, a nie prostego zignorowania.

Znaczenie ma także kolejność operacji. Jeżeli dokument zostanie edytowany po podpisaniu, podpis może zostać oznaczony jako nieprawidłowy albo jako obejmujący wyłącznie wcześniejszą wersję. Dodanie komentarza, zmiana formularza, usunięcie strony lub zapisanie pliku w innym programie może zmienić jego strukturę. W dokumentach wielokrotnie podpisywanych trzeba sprawdzić, czy kolejne podpisy obejmują właściwy zakres danych i czy wcześniejsze akceptacje pozostają ważne.

Zgodność z eIDAS, certyfikat i klucz prywatny

Podstawowym elementem podpisu elektronicznego jest para kluczy kryptograficznych. Klucz prywatny służy do składania podpisu i powinien pozostawać pod wyłączną kontrolą osoby lub podmiotu uprawnionego. Klucz publiczny jest udostępniany w certyfikacie i pozwala innym osobom sprawdzić podpis. Zależność pomiędzy tymi elementami sprawia, że przejęcie klucza prywatnego może prowadzić do poważnych konsekwencji. Nie należy przekazywać tokena, karty ani kodu dostępu osobom postronnym.

Certyfikat zawiera dane identyfikujące właściciela klucza, informacje o wystawcy, okres ważności i przeznaczenie. Przy ocenie podpisu istotne jest, czy certyfikat był ważny w chwili podpisywania. Certyfikat może zostać później odnowiony, zawieszony lub unieważniony, dlatego weryfikacja podpisu powinna uwzględniać dane pozwalające ustalić stan certyfikatu w odpowiednim momencie.

W praktyce użytkownik może spotkać się z certyfikatem zapisanym na karcie kryptograficznej, tokenie USB albo w bezpiecznej usłudze zdalnej. Każde rozwiązanie ma własne wymagania dotyczące logowania, sterowników i aplikacji. Utrata urządzenia, podejrzenie kodu PIN lub nietypowe zachowanie podczas podpisywania powinny skutkować szybkim kontaktem z dostawcą certyfikatu. Często można zablokować certyfikat, zanim zostanie użyty przez nieuprawnioną osobę.

Zgodność z eIDAS a komputer i system operacyjny

Poprawne składanie i weryfikowanie podpisu zależy również od kondycji komputera. Aktualizacje systemu mogą zmienić sposób obsługi certyfikatów, magazynów zaufania, bibliotek kryptograficznych albo komunikacji z tokenem. Nie oznacza to, że aktualizacje należy wyłączać. Warto natomiast po większej zmianie sprawdzić podpisywanie na kopii dokumentu i upewnić się, że używana aplikacja nadal prawidłowo rozpoznaje urządzenie.

Typowym źródłem trudności jest brak sterownika czytnika lub tokena. System może widzieć urządzenie jako podłączone, ale aplikacja podpisująca nie ma dostępu do właściwej biblioteki. Zdarza się też, że kilka wersji tego samego komponentu powoduje konflikt. Wtedy program może nie wyświetlać certyfikatu, zgłaszać błąd komunikacji albo przerywać operację po wpisaniu kodu.

Znaczenie mają również ustawienia daty i czasu. Podpis elektroniczny jest związany z momentem wykonania operacji, a rozbieżność zegara komputera może utrudniać poprawną ocenę dokumentu. Podobnie działa nieaktualny magazyn certyfikatów głównych. Aplikacja może nie rozpoznawać zaufanego wystawcy, mimo że sam certyfikat został wydany prawidłowo. Przed szerszą diagnozą należy sprawdzić połączenie urządzenia, stan systemu, aktualność aplikacji oraz komunikaty wyświetlane podczas podpisywania.

Zgodność z eIDAS a przeglądarka i aplikacje

Wiele usług podpisu działa w przeglądarce, ale sama przeglądarka nie zawsze wykonuje całą operację. Może komunikować się z lokalnym komponentem, rozszerzeniem, aplikacją pomocniczą albo usługą zdalną. Jeżeli któryś z tych elementów jest wyłączony, nieaktualny lub zablokowany przez ustawienia bezpieczeństwa, podpisanie dokumentu może nie dojść do skutku.

Warto odróżnić błąd konta użytkownika od błędu komputera. Jeśli logowanie przebiega pomyślnie, ale certyfikat nie jest widoczny, przyczyny należy szukać w urządzeniu, sterowniku lub aplikacji. Jeżeli certyfikat jest widoczny, lecz dokument otrzymuje status negatywny, problem może dotyczyć certyfikatu, formatu pliku albo sposobu obsługi podpisu. Gdy operacja kończy się dopiero po długim oczekiwaniu, przyczyną może być komunikacja z usługą statusu, zapora sieciowa albo filtr bezpieczeństwa.

Do testów najlepiej używać niewielkiego dokumentu roboczego, który nie zawiera poufnych danych. Pozwala to ustalić, czy problem występuje przy każdym pliku, czy tylko przy określonym dokumencie. Należy zapisywać dokładną treść komunikatu, moment wystąpienia błędu i nazwę aplikacji. Takie informacje znacznie ułatwiają późniejsze rozpoznanie przyczyny.

Zgodność z eIDAS a przechowywanie i weryfikacja dokumentów

Podpisany dokument należy zachować w sposób umożliwiający późniejszą weryfikację. Nie powinno się ograniczać do przechowywania wydruku, zrzutu ekranu albo samego obrazu podpisu. Ważny jest oryginalny plik wraz z informacjami, które pozwalają ustalić jego integralność, certyfikat oraz czas podpisania. Jeżeli dokument jest przekazywany pocztą elektroniczną, warto zachować wersję otrzymaną bezpośrednio od nadawcy i nie zapisywać jej ponownie w programie, który może zmienić strukturę pliku.

Weryfikacja powinna odpowiadać celowi dokumentu. Przy prostym obiegu wewnętrznym wystarczy kontrola statusu i danych podpisującego. W sprawach formalnych trzeba dodatkowo sprawdzić rodzaj podpisu, kwalifikację certyfikatu, datę złożenia, integralność każdej wersji oraz informacje o ewentualnym znaczniku czasu. Znacznik czasu może pomóc wykazać, że określone dane istniały w konkretnym momencie, ale nie zastępuje podpisu ani nie potwierdza samodzielnie treści oświadczenia.

Przy archiwizacji warto stosować uporządkowane nazwy plików, kontrolę dostępu i kopie zapasowe. Należy unikać wielokrotnego przesyłania dokumentu przez komunikatory, które mogą zmienić rozszerzenie lub skompresować zawartość. Jeżeli plik ma być przedstawiony w postępowaniu lub przekazany innej instytucji, dobrze zachować także raport z weryfikacji oraz opis użytego narzędzia.

Zgodność z eIDAS w codziennych zastosowaniach

Podpisy elektroniczne są używane przy zawieraniu umów, przekazywaniu wniosków, obsłudze spraw administracyjnych, zatwierdzaniu protokołów, składaniu deklaracji i wymianie dokumentów pomiędzy organizacjami. W każdym przypadku trzeba ustalić, jaki poziom podpisu jest wymagany. Nie każda czynność potrzebuje podpisu kwalifikowanego, ale w niektórych procedurach zwykłe potwierdzenie elektroniczne może nie wystarczyć.

Ważna jest także identyfikacja osoby podpisującej. Konto używane wspólnie przez kilka osób może utrudnić wykazanie, kto faktycznie zaakceptował dokument. Podobnie nie należy podpisywać pliku po pobraniu go z niepewnego źródła bez sprawdzenia jego treści. Podpis potwierdza dokument w określonej postaci, ale nie dowodzi, że wszystkie zawarte w nim informacje są prawdziwe albo że kontrahent jest godny zaufania.

Przy dokumentach otrzymywanych od innych podmiotów należy sprawdzić zgodność nazwy podpisującego z treścią sprawy, integralność pliku i ważność certyfikatu. Jeżeli dokument został podpisany przez organizację, trzeba zweryfikować, czy zastosowano pieczęć elektroniczną, podpis osoby uprawnionej czy oba rozwiązania. Niejasności lepiej wyjaśnić przed wykonaniem kolejnego kroku, zwłaszcza gdy dokument zawiera zobowiązania albo terminy.

Zgodność z eIDAS – typowe problemy techniczne

Jednym z częstych problemów jest niewykrywanie tokena lub karty. Przyczyną może być uszkodzony port, brak sterownika, nieprawidłowo działająca usługa systemowa albo konflikt pomiędzy kilkoma aplikacjami kryptograficznymi. Jeżeli urządzenie jest rozpoznawane tylko na jednym porcie, warto sprawdzić połączenie i stan danego gniazda. Gdy problem pojawia się na różnych komputerach, większe znaczenie może mieć samo urządzenie lub certyfikat.

Inna grupa problemów dotyczy komunikatu o nieważnym podpisie. Należy wtedy ustalić, czy dokument został zmieniony, czy certyfikat wygasł, czy nie można pobrać informacji o jego statusie oraz czy aplikacja posiada aktualne dane zaufania. Nie należy od razu ponownie podpisywać dokumentu, ponieważ kolejna wersja może utrudnić ustalenie, co wydarzyło się z pierwotnym plikiem.

Możliwe są także błędy związane z kodem PIN. Kilka nieudanych prób może zablokować urządzenie. Kodów nie należy zapisywać w widocznym miejscu ani przekazywać w wiadomości razem z tokenem. Jeśli nie ma pewności, ile prób pozostało, bezpieczniej przerwać operację i skorzystać z instrukcji dostawcy. Próby przypadkowego odblokowywania mogą spowodować utratę dostępu do certyfikatu.

Problemy mogą pojawić się po zmianie komputera, odtworzeniu systemu z kopii, instalacji nowego programu zabezpieczającego albo przejściu na inną przeglądarkę. W takiej sytuacji należy odtworzyć pełny zestaw wymaganych komponentów, a następnie wykonać test podpisu i jego weryfikacji. Sama obecność programu na liście zainstalowanych aplikacji nie potwierdza, że wszystkie moduły działają prawidłowo.

Zgodność z eIDAS – praktyczne wskazówki dla użytkownika

Przed podpisaniem dokumentu należy przeczytać jego treść w wersji końcowej i upewnić się, że zapisany plik jest tym samym dokumentem, który ma zostać przekazany. Dobrą praktyką jest zachowanie kopii niepodpisanej oraz kopii podpisanej, z wyraźnym rozróżnieniem nazw. W przypadku kilku osób podpisujących dokument trzeba ustalić kolejność i sposób przekazania pliku, aby kolejny podpis nie usunął albo nie uszkodził poprzedniego.

Warto regularnie sprawdzać aktualność aplikacji, sterowników oraz certyfikatów. Aktualizacje należy pobierać z wiarygodnych źródeł, ponieważ fałszywe programy mogą przechwytywać dane dostępowe. Nie należy instalować dodatków proponowanych przez przypadkowe strony tylko dlatego, że pojawił się problem z podpisem. Najpierw trzeba ustalić, jaki element faktycznie jest wymagany przez dostawcę usługi.

Przy pracy z dokumentami poufnymi trzeba zabezpieczyć komputer hasłem, korzystać z aktualnej ochrony systemowej i ograniczyć dostęp innych osób do urządzeń kryptograficznych. Pliki tymczasowe, pobrane kopie oraz raporty z weryfikacji powinny być przechowywane zgodnie z zasadami obowiązującymi w danej organizacji. Jeżeli dokumenty są archiwizowane przez wiele lat, należy wcześniej sprawdzić, czy przyjęty sposób zachowania podpisu pozwoli na późniejszą ocenę jego ważności.

Nie należy utożsamiać wygodnego podpisu z pełną zgodnością prawną. Proces powinien odpowiadać rodzajowi czynności, wymaganiom odbiorcy oraz zasadom przechowywania dokumentów. W razie wątpliwości dotyczących skutków prawnych konkretnego podpisu potrzebna może być konsultacja prawna, natomiast problemy z komputerem, aplikacją lub urządzeniem można rozpatrywać jako zagadnienie techniczne.

Kiedy zgłosić zgodność z eIDAS do serwisu

Do serwisu warto zgłosić się wtedy, gdy podpis elektroniczny przestał działać po aktualizacji systemu, komputer nie rozpoznaje tokena, aplikacja nie widzi certyfikatu, dokumenty otwierają się z błędami albo weryfikacja podpisu daje sprzeczne komunikaty. Pomoc może być potrzebna również po zmianie dysku, reinstalacji systemu, odtworzeniu danych lub zakupie nowego komputera. W takich sytuacjach istotne jest ustalenie, które elementy środowiska były wcześniej zainstalowane i jakie zmiany nastąpiły przed wystąpieniem problemu.

Przed przekazaniem urządzenia należy poinformować o rodzaju używanego rozwiązania, ale nie należy podawać nikomu kodu PIN ani przekazywać klucza prywatnego bez wyraźnej potrzeby i odpowiednich zabezpieczeń. Do analizy wystarczy często opis błędu, nazwa programu, wersja systemu oraz test na dokumencie pozbawionym danych poufnych. Jeżeli konieczna jest praca z certyfikatem, powinna odbywać się w sposób ograniczający dostęp do danych uwierzytelniających.

Warszawskie Pogotowie Komputerowe 24/7 może być rozważane przy problemach ze środowiskiem komputera używanym do obsługi podpisów, zwłaszcza gdy potrzebne jest sprawdzenie konfiguracji systemu, sterowników, aplikacji i połączenia z urządzeniem kryptograficznym. Przed rozpoczęciem prac należy określić, czy chodzi o usterkę techniczną, konfigurację programu, problem z dokumentem czy kwestię dotyczącą samego certyfikatu. Taki podział ułatwia skierowanie sprawy do właściwego dostawcy, gdy przyczyna leży poza komputerem.

Najważniejsze jest zachowanie ostrożności przy dokumentach podpisanych i przy urządzeniach przechowujących dane uwierzytelniające. Zgodność z eIDAS zależy od wielu elementów działających razem: poprawnego certyfikatu, bezpiecznego klucza, właściwej aplikacji, sprawnego systemu oraz prawidłowego obiegu plików. Gdy którykolwiek z tych elementów budzi wątpliwości, wcześniejsze rozpoznanie problemu pomaga ograniczyć ryzyko utraty dostępu, nieprawidłowego podpisania dokumentu albo późniejszych trudności z jego weryfikacją.