Co to jest podpis elektroniczny?

Podpis elektroniczny to dane w postaci elektronicznej, dołączone lub logicznie powiązane z innymi danymi elektronicznymi, które służą do identyfikacji osoby składającej podpis. Pojęcie to pojawiło się w polskim prawie już w ustawie z 18 września 2001 r. o podpisie elektronicznym (uchylonej w 2016 r.). Obecnie obowiązującym aktem jest ustawa z 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej, a na poziomie unijnym – Rozporządzenie eIDAS (nr 910/2014).

W codziennej praktyce podpis elektroniczny działa jak cyfrowy odpowiednik podpisu odręcznego. Różni się jednak od niego tym, że po złożeniu podpisu każda zmiana w treści dokumentu jest automatycznie wykrywana (integralność), a podpisujący nie może wyprzeć się autorstwa (niezaprzeczalność).

Podstawowe informacje o podpisie zaufanym

Podpis zaufany to forma zaawansowanego podpisu elektronicznego z certyfikatem niekwalifikowanym, udostępniana w ramach usług zaufania polskiej administracji publicznej. Opiera się na profilu zaufanym – bezpłatnym narzędziu identyfikacji, z którego może korzystać każdy posiadacz numeru PESEL. Profil jest ważny przez 3 lata i można go bezpłatnie przedłużyć na kolejny okres.

Profil zaufany można założyć przez bankowość elektroniczną lub platformę ePUAP. Podpis zaufany jest równoważny pod względem prawnym z podpisem własnoręcznym, ale wyłącznie w kontaktach z administracją publiczną. Umożliwia potwierdzanie tożsamości w systemach e-administracji oraz zdalne załatwianie spraw urzędowych przez całą dobę. Jest akceptowany przez wszystkie instytucje publiczne w Polsce.

Podpis zaufany a podpis kwalifikowany

Choć oba służą do potwierdzania tożsamości w świecie cyfrowym, różnią się zasadniczo pod względem zastosowania, bezpieczeństwa i mocy prawnej.

Podpis kwalifikowany spełnia najwyższe wymogi określone w Rozporządzeniu eIDAS. Opiera się na certyfikacie kwalifikowanym wydawanym przez akredytowanych dostawców usług zaufania i ma moc prawną równoważną podpisowi odręcznemu we wszystkich krajach UE. Można go stosować zarówno w kontaktach z urzędami, jak i w obrocie gospodarczym – do podpisywania umów, faktur czy ofert przetargowych.

Podpis zaufany jest z kolei rozwiązaniem krajowym, bezpłatnym, ale ograniczonym do relacji z polską administracją publiczną. Nie wymaga zakupu certyfikatu ani dodatkowego sprzętu, natomiast nie zastąpi podpisu kwalifikowanego tam, gdzie przepisy wymagają formy pisemnej pod rygorem nieważności.

Jak działa podpis elektroniczny?

Podpis elektroniczny opiera się na kryptografii asymetrycznej. System wykorzystuje parę kluczy – prywatny (znany wyłącznie podpisującemu) i publiczny (służący do weryfikacji). Podczas podpisywania oprogramowanie generuje cyfrowy skrót (hash) dokumentu, szyfruje go kluczem prywatnym, a następnie automatycznie oznacza moment złożenia podpisu znacznikiem czasu. Tożsamość podpisującego potwierdza certyfikat powiązany z kluczem.

Usługi zaufania gwarantują przy tym dwie cechy, na które warto zwrócić uwagę. Integralność – każda zmiana w dokumencie po podpisaniu jest natychmiast wykrywalna. Niezaprzeczalność – podpisujący nie może wyprzeć się autorstwa ani twierdzić, że nie znał treści dokumentu.

Proces podpisywania dokumentów

Podpisywanie dokumentów elektronicznych odbywa się za pomocą dedykowanego oprogramowania, które generuje unikalny skrót dokumentu, a następnie szyfruje go przy użyciu klucza prywatnego. W przypadku podpisu kwalifikowanego składanego kartą kryptograficzną proces wymaga podłączenia czytnika kart do komputera i wprowadzenia kodu PIN uwierzytelniającego podpisującego. Przy wariancie mobilnym wystarczy smartfon z odpowiednią aplikacją i dwuskładnikowe uwierzytelnienie. System automatycznie weryfikuje integralność dokumentu i tożsamość podpisującego.

Sprawdzanie podpisów elektronicznych

Weryfikacja podpisu odbywa się za pomocą walidatorów podpisu elektronicznego – np. walidatora dostępnego na stronie gov.pl, narzędzi oferowanych przez dostawców certyfikatów lub programu Adobe Acrobat Reader. Walidator sprawdza autentyczność podpisu, integralność dokumentu i status certyfikatu (czy nie wygasł lub nie został unieważniony). Jeśli ktoś zmodyfikował dokument po podpisaniu, walidator natychmiast to wykryje.

Rodzaje dokumentów do podpisu

Podpisem elektronicznym można sygnować dokumenty w formatach PDF, XML, DOCX, a także w standardach podpisu XAdES i PAdES. Podpis zaufany umożliwia podpisywanie dokumentów w systemach administracji publicznej – wniosków o wydanie dowodu osobistego, zgłoszeń działalności gospodarczej w CEIDG, deklaracji podatkowych, dokumentów do ZUS czy sprawozdań finansowych.

Ograniczenia formatu i rozmiaru dokumentów

Platformy podpisu elektronicznego nakładają ograniczenia techniczne. Maksymalny rozmiar pliku to najczęściej 25 MB, choć konkretna wartość zależy od używanej platformy i dostawcy. Obsługiwane formaty obejmują przede wszystkim PDF, XML, DOCX, XAdES oraz PAdES. Ograniczenia te wynikają z potrzeby zachowania stabilności procesu kryptograficznego.

Gdzie można korzystać z podpisu zaufanego?

Podpis zaufany jest akceptowany na wszystkich platformach administracji publicznej, w tym na portalu gov.pl, w systemie ePUAP, na platformach ZUS, w systemach skarbowych oraz w serwisach poszczególnych ministerstw. W miarę postępującej cyfryzacji administracji tych platform będzie przybywać.

Najczęściej zadawane pytania o podpis elektroniczny

Jakie są podstawy prawne regulujące podpis elektroniczny w UE i Polsce?

Podstawowym aktem prawnym na poziomie UE jest Rozporządzenie eIDAS (nr 910/2014), które od 1 lipca 2016 r. ustanawia jednolite ramy prawne dla podpisów elektronicznych i usług zaufania w całej Unii Europejskiej. W Polsce kwestie te reguluje ustawa z 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej. Nadzór nad dostawcami usług zaufania sprawuje Ministerstwo Cyfryzacji, a rejestr kwalifikowanych dostawców prowadzi Narodowe Centrum Certyfikacji (NCCert) działające w strukturach Narodowego Banku Polskiego.

Jakie typy podpisów elektronicznych wyróżniamy i czym się różnią?

Rozporządzenie eIDAS wyróżnia trzy poziomy podpisu elektronicznego. Zwykły podpis elektroniczny to najprostsza forma – mogą to być nawet dane dołączone do wiadomości e-mail (imię i nazwisko). Zaawansowany podpis elektroniczny musi być unikalnie przyporządkowany podpisującemu, umożliwiać ustalenie jego tożsamości i być powiązany z danymi w sposób wykrywający każdą późniejszą zmianę. Kwalifikowany podpis elektroniczny to zaawansowany podpis złożony przy użyciu kwalifikowanego urządzenia, oparty na certyfikacie kwalifikowanym – tylko on ma moc prawną równoważną podpisowi własnoręcznemu w rozumieniu prawa cywilnego.

Jak działa kwalifikowany podpis z certyfikatem i kartą kryptograficzną?

Certyfikat kwalifikowany to elektroniczne poświadczenie wydawane przez akredytowanego dostawcę usług zaufania, które potwierdza tożsamość podpisującego. Aby korzystać z podpisu kartowego, potrzebna jest karta kryptograficzna (w formacie standardowym lub mini-SIM) oraz czytnik kart podłączany do komputera przez USB. Przed rozpoczęciem korzystania należy zawrzeć umowę subskrypcyjną z dostawcą certyfikatu i przejść weryfikację tożsamości.

Jak składać podpis kwalifikowany przez e-dowód i aplikację mobilną?

E-dowód osobisty posiada warstwę elektroniczną z bezstykowym chipem, na którym można zapisać certyfikat kwalifikowany. Do składania podpisu wystarczy smartfon z modułem NFC i bezpłatna aplikacja eDO App (stworzona przez PWPW). Po przyłożeniu e-dowodu do telefonu i wprowadzeniu kodu PIN podpis zostaje złożony bez potrzeby posiadania fizycznego czytnika kart. Alternatywą jest e-podpis mobilny (np. SimplySign), który działa w całości w chmurze i nie wymaga ani karty, ani czytnika.

Jakie usługi zaufania wspierają bezpieczeństwo podpisu elektronicznego?

Usługi zaufania to szeroka kategoria, do której oprócz podpisu elektronicznego zalicza się pieczęć elektroniczną (odpowiednik pieczątki firmowej, stosowany przez osoby prawne), kwalifikowany znacznik czasu, walidację podpisów oraz usługi rejestrowanego doręczenia elektronicznego. Wszystkie te elementy współdziałają, zapewniając autentyczność, integralność i niezaprzeczalność transakcji elektronicznych.

Jak podpis elektroniczny automatyzuje procesy i redukuje koszty?

Usługa podpisu elektronicznego eliminuje drukowanie, ręczne podpisywanie i skanowanie dokumentów. Platformy e-podpisu pozwalają tworzyć szablony, wysyłać automatyczne powiadomienia o konieczności podpisania i śledzić status obiegu dokumentów. W praktyce oznacza to mniej czasu na formalności (dokumenty można podpisać z dowolnego miejsca i o dowolnej porze) i niższe koszty operacyjne (brak wydatków na papier, toner, przesyłki).

W czym różni się podpis graficzny i podpis osobisty od kwalifikowanego?

Podpis graficzny to wizualna reprezentacja podpisu (np. zeskanowany odręczny podpis wklejony do dokumentu) – nie daje żadnych gwarancji kryptograficznych. Podpis osobisty to podpis składany przy użyciu e-dowodu. Wobec podmiotów publicznych jest on równoważny z podpisem własnoręcznym, a w relacjach z innymi podmiotami – pod warunkiem zgody obu stron (art. 12d ustawy o dowodach osobistych). Ani podpis graficzny, ani osobisty nie dają takiego poziomu zabezpieczeń i tak szerokiego uznania prawnego jak podpis kwalifikowany oparty na certyfikacie kwalifikowanym.

Jak podpis elektroniczny odnosi się do transakcji elektronicznych i JPK?

Podpis elektroniczny jest niezbędny przy uwierzytelnianiu transakcji elektronicznych w obrocie gospodarczym. Jedno z najczęstszych zastosowań to podpisywanie i wysyłanie Jednolitego Pliku Kontrolnego (JPK) do urzędów skarbowych. Pliki JPK muszą być opatrzone podpisem kwalifikowanym, podpisem zaufanym lub podpisem osobistym. To samo dotyczy e-deklaracji ZUS, sprawozdań finansowych składanych do KRS oraz dokumentów w elektronicznych zamówieniach publicznych.

Podpis elektroniczny to dziś codzienność prowadzenia firmy i kontaktów z urzędami. Jeśli rozważasz wdrożenie podpisu kwalifikowanego lub potrzebujesz pomocy w doborze odpowiedniego zestawu (certyfikat, karta kryptograficzna, czytnik), skontaktuj się z nami – doradzimy rozwiązanie dopasowane do Twojej organizacji.