Źródło zdjęć: własne
W obrocie cyfrowym podpis elektroniczny spełnia rolę zbliżoną do tej, jaką na papierze pełni podpis odręczny. Jego zadaniem jest umożliwienie sprawdzenia, kto złożył oświadczenie woli, oraz potwierdzenie, że otrzymane dane są autentyczne. Podpis elektroniczny ma również chronić przed niepowołanym dostępem osób trzecich i kradzieżą tożsamości [1]. Efekt jest taki, że podpisany plik można przypisać określonej osobie, a każda późniejsza modyfikacja treści zostaje ujawniona.
Podstawę prawną na obszarze Unii Europejskiej stanowi rozporządzenie eIDAS, które obowiązuje od 1 lipca 2016 r. [2]. Wyodrębnia ono trzy kategorie: zwykły podpis elektroniczny, zaawansowany podpis elektroniczny oraz kwalifikowany podpis elektroniczny. Kategorie te dzieli poziom bezpieczeństwa, zakres skutków prawnych i zestaw wymogów technicznych.
Podział ma wymiar czysto praktyczny, ponieważ do wielu dokumentów najwyższy stopień zabezpieczeń nie jest potrzebny. Część procedur dopuszcza wyłącznie kwalifikowany podpis elektroniczny jako odpowiednik podpisu własnoręcznego, w innych sprawdzi się rozwiązanie prostsze.
| Rodzaj podpisu | Poziom weryfikacji tożsamości | Skutek prawny |
| Zwykły podpis elektroniczny | Niski - dane w formie elektronicznej powiązane z dokumentem | Brak domniemania równoważności z podpisem własnoręcznym |
| Zaawansowany podpis elektroniczny | Średni - jednoznacznie przypisany podpisującemu i powiązany z dokumentem | Mocniejszy dowodowo, choć nie zawsze równoważny podpisowi własnoręcznemu |
| Kwalifikowany podpis elektroniczny | Wysoki - oparty na certyfikacie kwalifikowanym i bezpiecznym urządzeniu | Równoważny podpisowi własnoręcznemu |
Tylko kwalifikowany podpis elektroniczny z mocy prawa wywołuje skutki równoważne podpisowi odręcznemu. Dokument opatrzony takim podpisem ma zatem moc identyczną jak wersja papierowa podpisana ręcznie. Pozostałe warianty bywają uznawane za ważne, ale ich siła dowodowa zależy od kontekstu i ewentualnej zgody stron.
U podstaw mechanizmu leży kryptografia, której korzenie sięgają czasów Cesarstwa Rzymskiego, kiedy stosowano szyfr cezara - prosty algorytm podstawieniowy, w którym każda litera była zastępowana inną, odległą o kilka pozycji w alfabecie [3].
Kolejne konstrukcje były znacznie bardziej skomplikowane. Maszyna szyfrująca Enigma miała budowę mechaniczno-elektryczną, zawierała 26-znakową klawiaturę oraz zespół kilku (najczęściej 3-5) rotorów i jednego nieruchomego rotoru odwracającego, a każdy rotor posiadał 26 styków [3]. Enigma szyfrowała tzw. szyfrem polialfabetycznym [3].
Punktem zwrotnym okazał się rok 1976. Martin Hellman i Whitfield Diffie opublikowali wtedy pomysł zastosowania dwóch powiązanych matematycznie kluczy: publicznego i prywatnego, z których jeden służy do szyfrowania, a drugi do deszyfrowania wiadomości [3]. Wcześniejsze algorytmy, w tym zatwierdzony przez NIST w tym samym roku standard DES, należały do grupy algorytmów symetrycznych, w których do szyfrowania i deszyfrowania używa się tego samego klucza [3]. Model asymetryczny odwrócił tę logikę: klucz prywatny nie opuszcza podpisującego, a klucz publiczny służy odbiorcy do weryfikacji.
Dzisiejszy schemat wygląda następująco. Z dokumentu wyliczany jest skrót kryptograficzny, który zostaje zaszyfrowany kluczem prywatnym osoby podpisującej. Odbiorca odszyfrowuje ten skrót kluczem publicznym i zestawia go ze skrótem policzonym z otrzymanego pliku. Zgodność obu wartości oznacza, że podpis jest ważny, a treść po podpisaniu pozostała nienaruszona.
Najbardziej rygorystyczne wymagania obowiązują w zamówieniach publicznych. Prowadzenie postępowania, składanie i podpisywanie ofert, dokonywanie czynności w ramach prowadzonego postępowania odbywa się w pełni poprzez korzystanie z narzędzi elektronicznych [1]. Wykonawcy są zobowiązani do cyfrowego przygotowywania i używania sporządzonych dokumentów [1].
Zamówienia publiczne to sfera funkcjonowania administracji publicznej, w której można mówić o pełnej cyfryzacji [1]. Od początku 2021 roku korzystanie z podpisu elektronicznego stało się obligatoryjne w zakresie stosowania procedur opartych na ustawie Prawo zamówień publicznych [1]. Bez podpisu elektronicznego - w praktyce kwalifikowanego - przedsiębiorca nie złoży więc oferty w przetargu publicznym.
Poza tym obszarem podpis wykorzystywany jest w relacjach z administracją (e-Doręczenia, deklaracje, wnioski), przy umowach biznesowych zawieranych zdalnie, w wewnętrznym obiegu dokumentów oraz w sektorze finansowym i ubezpieczeniowym.
Nie należy przy tym utożsamiać podpisu elektronicznego z e-Doręczeniami. Oba narzędzia działają w środowisku cyfrowym, lecz odpowiadają za co innego - zagadnienie czym się różnią e-Doręczenia od podpisu elektronicznego omawia różnicę między potwierdzeniem doręczenia a złożeniem oświadczenia woli.
Technologia blockchain jest często określana jako system, którego nie można złamać [4]. Jej właściwość polega na przechowywaniu danych w wielu lokalizacjach zamiast w jednym centralnym repozytorium, dzięki czemu są one bezpieczniejsze [4]. Blockchain zmienia sposób zawierania, rozliczania i zapisywania transakcji elektronicznych oraz obniża ryzyko ataków przez zmniejszenie liczby potencjalnych miejsc włamań [4].
Obecnie łańcuch bloków może być wykorzystywany w transakcjach cyfrowych dotyczących m. in. rynku energii elektrycznej, handlu, kryptowalut oraz sprzedaży i kupna akcji [4].
Trwają prace nad szerszym wykorzystaniem technologii blockchain w bankowości, ubezpieczeniach, administracji publicznej (podpis elektroniczny) i przy uwierzytelnianiu dokumentów [4]. W odniesieniu do podpisu blockchain może z czasem wzmocnić kontrolę integralności dokumentów, jednak dziś nie zastępuje kwalifikowanego podpisu elektronicznego tam, gdzie przepisy go wymagają.
Decyzja powinna wynikać z listy czynności, do których narzędzie ma służyć. Przy samym obiegu dokumentów wewnątrz firmy wystarczy zwykły lub zaawansowany podpis elektroniczny, o ile strony zgadzają się na taką formę. Gdy podpis trafia do administracji publicznej albo do postępowania o zamówienie publiczne, potrzebny jest kwalifikowany podpis elektroniczny.
Zanim padnie decyzja zakupowa, sprawdza się zwykle cztery rzeczy: docelowe systemy i platformy, dostępność certyfikatu kwalifikowanego w ofercie dostawcy, nośnik przechowywania podpisu (karta, token, chmura) oraz okres ważności certyfikatu wraz z kosztem jego przedłużenia.
Sama procedura uzyskania podpisu bywa różna u poszczególnych dostawców i zależy od rodzaju podpisu. Osobom konfigurującym takie narzędzie po raz pierwszy przyda się poradnik pokazujący, w jaki sposób założyć podpis elektroniczny dostępnymi metodami. Kwestię potwierdzania tożsamości w momencie podpisywania wyjaśnia natomiast materiał o tym, jak przebiega sprawdzenie tożsamości podpisującego.
Zwykły podpis elektroniczny bywa uznawany za ważny, lecz nie działa tu automatyczne domniemanie równoważności z podpisem własnoręcznym. O jego wartości dowodowej decydują okoliczności oraz zgoda stron. Przed sądem albo urzędem może zostać zakwestionowany.
Poziom ochrony wynika z rodzaju podpisu i ze sposobu przechowywania klucza prywatnego. Najwyższy zapewnia kwalifikowany podpis elektroniczny, oparty na certyfikacie kwalifikowanym i bezpiecznym urządzeniu. Klucza prywatnego nie wolno udostępniać osobom trzecim.
Kontakty z administracją publiczną w Polsce wymagają kwalifikowanego podpisu elektronicznego albo profilu zaufanego. Tam, gdzie przepisy przewidują formę pisemną pod rygorem nieważności, zwykły podpis elektroniczny nie zostanie zaakceptowany.
Cena wynika z oferty dostawcy, rodzaju podpisu oraz długości okresu ważności certyfikatu. Brak danych w źródłach na temat aktualnych cen - przed zakupem należy porównać oferty dostawców kwalifikowanych.
Tak. Część dostawców udostępnia podpis w modelu chmurowym, obsługiwany z przeglądarki lub aplikacji mobilnej. Warunkiem jest wcześniejsza weryfikacja tożsamości i aktywacja usługi.
Następny krok: ustal, w jakich systemach i procedurach będziesz podpisu używać, a dopiero potem zestaw oferty dostawców kwalifikowanych pod kątem zgodności z tymi wymaganiami.
Wójtowicz-Dawid A. (2025) Podpis elektroniczny - wybrane zagadnienia. https://doi.org/10.12775/pbps.2024.021
Klimas D. (2018) Skan linii papilarnych jako podpis elektroniczny. https://doi.org/10.19195/1733-5779.26.5
Wojciech Nowakowski, R. Poznański (2010) Podpis elektroniczny - zasady działania. https://openalex.org/W1486821046
Artur Rot, Ryszard Zygała (2018) Technologia blockchain jako rewolucja w transakcjach cyfrowych. Aspekty technologiczne i potencjalne zastosowania. https://doi.org/10.15611/ie.2018.4.09
