QES, AES и SES: Разбиране на трите нива на подпис eIDAS през 2026 г.

Регламентът eIDAS (№ 910/2014) представлява основата на европейското право на електронния подпис. От влизането си в сила той структурира три нива на подпис — SES, AES и QES — чиито технически изисквания и доказателствена стойност се различават радикално. През 2026 г., с постепенното влизане в сила на регламента eIDAS 2.0 (Регламент на ЕС 2024/1183), тези разлики набират на важност за всяка организация, която желае да дематериализира своите правни актове в пълно съответствие. Тази статия разяснява фундаменталните разлики между тези три нива, задълженията, които те носят, и критериите, които трябва да се имат предвид, за да се избере правилният формат според характера на вашите документи.

SES: простият електронен подпис, гъвкав но ограничен

Определение и технически характеристики

Простият електронен подпис (SES, или Simple Electronic Signature) е дефиниран в член 3(10) на регламента eIDAS като „данни в електронна форма, присъединени или логично свързани с други данни в електронна форма, които подписващата страна използва за подписване". Това определение е намерено широко: просто кликване на „Приемам", подпис нарисуван с пръст на таблет, или отметната кутия в онлайн формуляр попадат в тази категория.

SES не изисква предварителна проверка на самоличността на подписващата страна, нито какъвто и да е криптографски сертификат. Нейната надеждност зависи единствено от договорния контекст и периферни доказателства (IP адрес, времево клеймо на сървъра, потвърдителен имейл). Речникът на електронния подпис съдържа набора на всички технически термини, свързани с тези механизми.

Правна стойност и случаи на приемане

SES се възползва от принципа на недискриминация, установен в член 25(1) eIDAS: той не може да бъде отхвърлен като доказателство само на основание, че е електронен. Тем не по-малко той не носи никаква презумпция за надеждност. При спор, цялото бреме на доказателството пада на страната, която го е представила. Правната стойност на електронния подпис зависи следователно в голяма степен от избраното ниво.

SES е подходящ за актите с нисък риск: приемане на ОУ, вътрешни формуляри, онлайн поръчки с малка стойност, или още анкети за удовлетвореност. Той е неподходящ за всеки документ, който може да бъде оспорен в съд.

AES: напредналият подпис, баланса между безопасност и практичност

Четирите кумулативни критерия на член 26 eIDAS

Напредналият електронен подпис (AES, Advanced Electronic Signature) е дефиниран в член 3(11) eIDAS и трябва да отговаря на четири условия, изброени в член 26:

1. Да бъде свързан с подписващата страна по еденствен начин: единствен идентификатор свързва подписа с определено физическо лице.
2. Да позволява идентификацията на подписващата страна: проверка на самоличността се извършва (имейл, телефонен номер, документ за самоличност според доставчика).
3. Да е създден на основата на данни, които подписващата страна може да използва с високо ниво на доверие под своя изключителен контрол: типично код OTP, изпращен на неговия телефон, или логически сертификат.
4. Да бъде свързан с подписаните данни така, че всяка последваща промяна да е откривна: подписа се базира на криптографски хеш на документа.

Използвани технологии и нива на осигуряване

На практика AES се прилага чрез цифрови сертификати на вещественото ниво (в смисъла на регламента eIDAS), механизми на многофакторна аутентификация, или решения на документална самоличност (сканиране на документ за самоличност, биометрично сравнение). Квалифицирани доставчици на услуги на доверие като Certyneo предлагат пътища за подпис AES, което включва проверка на самоличност от разстояние, в съответствие с референциалите ANSSI и норми ETSI EN 319 401.

AES предоставя отличен компромис между безопасност и гладкост на потребителския преживяване. Той се препоръчва за обичайни търговски договори, актове в HR областта, конвенции за партньорство или договори за prestationни услуги. Консултирайте нашето пълно ръководство за електронния подпис в предприятието, за да задълбочите употребата в професионален контекст.

Ограничения на AES спрямо определени актове

AES остава недостатъчен за автентични актове или тези, за които законът изрично изисква подпис квалифициран. Във Франция член 1367 на Гражданския кодекс запазва максималната презумпция на надеждност само за подписите, квалифицирани в смисъла eIDAS. AES може да бъде отхвърлена от съдия, ако противната страна докаже недостатъчност в процеса на проверка на самоличността.

QES: квалифицираният подпис, законов еквивалент на ръкописа

Нормативното определение и технически изисквания

Квалифицираният електронен подпис (QES, Qualified Electronic Signature) е дефиниран в член 3(12) eIDAS като напреднал подпис, създден чрез квалифицирано устройство за създаване на подпис (QSCD) и базиран на квалифициран сертификат за електронен подпис. Тези два компонента са неразделни.

Квалифицираният сертификат е издаден от квалифициран доставчик на услуги на доверие (QTSP), вписан в списъка на доверие (Trusted List), публикуван от всяко държава-членка. Във Франция този списък се администрира от ANSSI. QTSP трябва да бъде проверен и акредитиран според изискванията на Приложение I на регламента eIDAS и норми ETSI EN 319 411-2.

QSCD (квалифицирано устройство за създаване на подпис) е защитена апаратна или програмна платформа — типично смарт карта, криптографски USB токен или отдалечен HSM (Hardware Security Module) — гарантираща, че частния ключ на подписващата страна не може да бъде извлечен или копиран. Изискванията на QSCD са уточнени в Приложение II на регламента eIDAS.

Безусловната правна презумпция на член 25(2)

Член 25(2) на регламента eIDAS придава на QES правен ефект, еквивалентен на ръкописния подпис във всички държави-членки на Европейския съюз. Тази презумпция е автоматична: за разлика от AES, страната, която представя QES, не трябва да доказва надеждността на процеса. На противника пада бремето да обърне тази презумпция, което е на практика много трудно веднага щом QTSP и QSCD са надлежно квалифицирани.

Във Франция член 1367 параграф 2 на Гражданския кодекс транспонира това изискване във вътрешното право: надеждността на процеса на електронен подпис се презумира доказателствена норма, когато се използва квалифициран електронен подпис eIDAS. Тази презумпция обхваща също така интегритета на подписания документ.

Процес на получаване на квалифициран сертификат

Получаването на квалифициран сертификат изисква проверка на самоличност лице в лице или еквивалент от разстояние със същото ниво на осигуряване (например видео-идентификация в съответствие с норма EN ISO/IEC 18013 или спецификации на Регламент за изпълнение 2015/1502). Процесът включва:

• Събирането на официални документи за самоличност
• Проверка на тяхната автентичност (засичане на фалшификация)
• Биометрична регистрация на подписващата страна
• Издаване на сертификата от QTSP след валидиране

Това ниво на изискване обяснява, че QES е запазен за актите с висок риск: актове под частна рака с висок финансов риск, електронни нотариални документи, държавни поръчки, чувствителни медицински актове, или още в области, където секторното регулиране го налага изрично. За сравнение на налични решения на пазара, нашето сравнение на решения за електронен подпис ще ви ръководи в вашия избор.

Сравнителна таблица и критерии за избор през 2026 г.

Резюме на структурните разлики

Три оси позволяват да се разграничат бързо трите нива:

Проверка на самоличност: нулева за SES, документална или OTP за AES, лице в лице или еквивалент за QES. Криптографска подкрепа: несъществуваща за SES, логически сертификат за AES, сертифициран QSCD за QES. Правна презумпция: отсъстваща за SES, частична за AES, пълна и автоматична за QES.

От гледна точка на фрикцията на потребителя, уравнението е обратно: SES е почти прозрачна, AES изисква няколко минути проверка, QES предполага предварително регистрационно действие, което може да отнеме от няколко минути (видео-идентификация) до няколко дни.

Въздействие на eIDAS 2.0 върху тези разлики през 2026 г.

Регламентът eIDAS 2.0 (ЕС 2024/1183), чиито акти за изпълнение се публикуват постепенно от 2024 г., укрепва няколко ключни точки. Той представя Европейския портфейл за цифрова самоличност (EUDI Wallet), който ще позволи с времето на европейските граждани да съхраняват своя квалифициран сертификат директно в своя смартфон, намалявайки значително фрикцията, свързана с QES. Той също така уточнява изискванията, приложими към QTSP, и укрепва управлението на националните списъци на доверие.

Освен това eIDAS 2.0 разширява обхвата на взаимното признаване на квалифицирани подписи между държави-членки, което е особено структурно за предприятията, работещи в няколко страни на Съюза. Пълното ръководство на регламента eIDAS 2.0 детайлизира всички тези нормативни еволюции. Накрая, въпросът за квалифицираното електронно времево клеймо — допълнително към QES за запазване на доказателствена стойност на документите във времето — заслужава също така внимание при проектирането на вашата документална архитектура.

Приложимо законодателство за подписите SES, AES и QES

Йерархията на електронните подписи се опира на плътен нормативен корпус, артикулиращ европейското право и французкото вътрешно право.

Регламент eIDAS № 910/2014: този основообразуващ текст определя в членове 3(10), 3(11) и 3(12) трите нива на подпис. Член 25 полага принципа на недискриминация (§1) и презумпция на еквивалентност на ръкописа за QES (§2). Член 26 изброява четирите кумулативни условия на напредналия подпис. Приложенията I и II уточняват съответно изискванията, приложими към квалифицирани сертификати и квалифицирани устройства за създаване на подпис (QSCD).

Регламент eIDAS 2.0 — ЕС 2024/1183: влязъл в сила на 20 май 2024 г., той съществено изменя регламента от 2014 г., особено с введението на Европейския портфейл за цифрова самоличност (EUDI Wallet), разширението на квалифицирани услуги на доверие и укрепването на управлението на QTSP. Актите за изпълнение продължават да бъдат публикувани през 2026 г.

Гражданския кодекс на Франция, членове 1366 и 1367: член 1366 признава електронния документ като доказателство в същата степен като писмено доказателство, при условие че може да се идентифицира надлежно лицето, чийто произход е, и че е установен и съхранен при условия, способни да гарантират неговата интегритета. Член 1367 параграф 2 полага презумпция на надеждност за квалифицирания подпис eIDAS, в преки преходи на член 25(2) на регламента.

Декрет № 2017-1416 от 28 септември 2017: уточнява във французкото право условията, позволяващи да се възползва от презумпция на надеждност, явно препращайки към изискванията на регламента eIDAS за квалифицирани подписи.

Норми ETSI: норми ETSI EN 319 102-1 (процедури на създаване и валидиране на подпис), ETSI EN 319 132 (формат XAdES), ETSI EN 319 122 (формат CAdES) и ETSI EN 319 142 (формат PAdES) регулират технически създаването на електронни подписи в съответствие. Квалифицирани доставчици трябва да имплементират тези формати, за да гарантират европейската интероперативност.

GDPR — Регламент ЕС 2016/679: събирането на биометрични данни при проверка на самоличност за издаване на квалифицирани сертификати представлява обработка на чувствителни данни в смисъла на член 9. QTSP трябва да разполага с явна правна база, да информира лиците и да прилага подходящи технически гаранции. Анализ на въздействието (AIPD) е обикновено необходим.

Директива NIS2 — ЕС 2022/2555: приложима към операторите на съществени услуги и доставчици на цифрови услуги, тя налага укрепени кибербезопасни изисквания, които се прилагат косвено на QTSP, работещи инфраструктури на критична подпис електронен услуга.

Организациите, които развертават решения за електронен подпис без уважение на ниво, изисквано от природата на правния акт, се изложат на нищожност или неприложимост на подписаните документи, както и на рискове от спор, които могат да доведат до значителни финансови щети.

Сценарии на употреба: избор на правилното ниво според контекста

Случай 1 — МСП в промишленост управляваща стотици фирмени поръчки

МСП в промишленост, преработваща приблизително 400 нарядни на командване и договори с фирми на година, е развернала подпис AES за целия си портфейл от обичайни търговски документи. Пътят на подпис се опира на проверка чрез защитена връзка имейл и код OTP SMS, с генериране на орган на одит, хронометриран за всеки акт. Средният период на подпис се е намалил от 4,5 дни (препоръчана поща) на по-малко от 3 часа. Процент на оспорване на договор е останал нулев за 18 месеца експлоатация, пътята на одит предоставяйки достатъчно доказателство в случай на търговски разминаване. Намаление на разходите за печат, всичко отплащане и управление на документи достига приблизително 60% според вътрешните оценки, някак съвместими с вилиците публикувани от европейски секторни изследвания (Billentis Report, 2025).

Случай 2 — Адвокатско дружество специализирано в право на бизнеса

Адвокатско дружество по бизнес право от петнадесет сътрудници е установило двустепенна инфраструктура: подпис AES за вътрешна кореспонденция, мандати за представяне и конвенции на хонорар; подпис QES за актите под частна ръка с висок риск (отчуждение на части на социален капитал, протоколи на съглаше, финансови гаранции). Получаването на квалифицирани сертификати за сътрудниците е реализирано чрез сесия на видео-идентификация в съответствие eIDAS, без физическо преместване, за по-малко от 20 минути на лице. Правната презумпция, прилагана към QES, позволява на дружеството да представи своите актове пред всяка европейска юрисдикция без да трябва да докаже надеждност на процеса, намалявайки процесния риск по значителен начин.

Случай 3 — Болничен комплекс дематериализиращ своите актове на HR и медицински

Болничен комплекс от приблизително 1 200 легла е избрал диференциран подход според природата на документите. Договорите за работа, изменения и листове за длъжност се подписват в AES, позволяващ на 800 засегнатите агенти да подпишат от своя смартфон без тежка инфраструктура. За специфични медицински конвенции и документи, изискващи силна аутентификация, налагана от санитарното регулиране (HDS), QES е развернала за обозначени подписващи лекари. Този хибридния модел намаля с 75% периода на съставляване на HR досиета при набирането, печалба особено критична в период на напрежение върху медицинските ресурси. Той също така гарантира съответствие с задълженията на CNIL относно обработките на данни за здравето.

Често задавани въпроси

Каква е главната разлика между QES и AES в eIDAS?

Фундаменталната разлика се отнася до два елемента: сертификата и устройството на подпис. QES се опира задължително на квалифициран сертификат, издаден от акредитиран доставчик (QTSP), и на квалифицирано устройство за създаване на подпис (QSCD), материално защитено. AES може да използва логически сертификат и проверка на самоличност по-малко строга. Преки последица: QES се възползва от правна презумпция на еквивалентност на ръкописния подпис във целия Европейски съюз, което AES не гарантира автоматично.

В какви случаи е задължително да се използва подпис QES?

Няма европейски текст, налагащ QES в общ план, но няколко сектор-специфични или национални нормативи я налагат имплицитно или експлицитно. Това е в случаят на определени автентични електронни актове, специфични държавни поръчки, електронни нотариални актове, или още в регулирани сектори като банка (DSP2, укрепено KYC) или здравеопазване. Главното правило е следното: колкото по-висок е правния или финансов риск на акта, толкова повече прибягането към QES е препоръчително за премахване на всеки риск от оспорване.

Има ли подписа SES правна стойност във Франция през 2026 г.?

Да, подписа SES е правно допустим във Франция по силата на принципа на недискриминация, установен в член 25(1) на регламента eIDAS и в член 1366 на Гражданския кодекс. Той не може да бъде отхвърлен като доказателство само на основание, че е електронен. Тем не по-малко той не се възползва от никаква презумпция на надеждност: при спор, страната, която го представя, трябва да докаже неговата стабилност чрез други средства (дневници, IP адрес, пътека на одит). Неговата употреба трябва следователно да бъде запазена за актите с нисък риск.

Квалифициран сертификат, получен във Франция, признат ли е във целия Европейски съюз?

Да. Член 25(2) на регламента eIDAS и механизмът на взаимното признаване на националните списъци на доверие (Trusted Lists) гарантират, че квалифициран сертификат, издаден от QTSP, акредитиран във Франция, е признат във всички държави-членки на Европейския съюз със същия правен ефект. eIDAS 2.0 (ЕС 2024/1183) укрепва още това принцип чрез разширение на признанието на новите квалифицирани услуги на доверие, въведени от преразгледаното разпореждане.

Как да проверя, че доставчик на подпис наистина е квалифициран eIDAS?

Всяка държава-членка публикува и поддържа официален списък на доверие (Trusted List), изреждащ всички квалифицирани доставчици на услуги на доверие (QTSP), акредитирани на нейна територия. Във Франция този списък е публикуван и се актуализира от ANSSI на своя официална сайт. Европейската комисия агрегира всички национални списъци на портала EU Trusted List Browser (tlbrowser.tsl.europa.eu). Проверете, че доставчик там фигурира преди да го повярвате с издаване на квалифицирани сертификати или създаване на подписи QES.

Заключение

Трите нива на електронен подпис, дефинирани от регламента eIDAS — SES, AES и QES — отговарят на фундаментално различни правни и оперативни нужди. SES е подходящ за актове с нисък риск, AES обхваща мнозинството на обичайни професионални договори с отличен баланс между безопасност и гладкост, докато QES е необходимо за актове с висока правна стойност благодарение на своята правна презумпция на еквивалентност на ръкописа във целия Европейски съюз. През 2026 г., с постепенното влизане в сила на eIDAS 2.0, владеенето на тези разлики е повече от някога стратегическо за всяка организация, дематериализираща своите документални процеси.

Certyneo ви позволява да развернете трите нива на подпис според вашите реални нужди, с унифициран интерфейс в съответствие с изискванията eIDAS и ANSSI. Откройте нашите предложения или преценете вашите печалби веднага благодарение на нашия калкулатор ROI за електронен подпис, или свържете се с нашия екип за персонализиран одит на вашите документални потоци.