QES, AES a SES: pochopení tří úrovní elektronického podpisu eIDAS v roce 2026

Nařízení eIDAS (č. 910/2014) představuje základní pilíř evropského práva na elektronický podpis. Od jeho vstoupení v platnost upravuje tři úrovně podpisu — SES, AES a QES — jejichž technické požadavky a důkazní hodnota se radikálně liší. V roce 2026, s postupným vstoupením v platnost nařízení eIDAS 2.0 (nařízení EU 2024/1183), nabývají tyto rozdíly na důležitosti pro každou organizaci, která chce dematerializovat své právní akty v plné souladu s předpisy. Tento článek vysvětluje základní rozdíly mezi těmito třemi úrovněmi, povinnosti, které s sebou nesou, a kritéria, která je třeba vzít v úvahu při výběru správného formátu podle povahy vašich dokumentů.

SES: jednoduchý elektronický podpis, flexibilní ale omezený

Definice a technické vlastnosti

Jednoduchý elektronický podpis (SES, či Simple Electronic Signature) je definován v článku 3(10) nařízení eIDAS jako „údaje v elektronické podobě připojené nebo logicky sdružené s jinými údaji v elektronické podobě, které podepisující osoba používá k podepisování". Tato definice je záměrně obsáhlá: prostý klik na tlačítko „Souhlasím", podpis nakreslený prstem na tabletu nebo zatržení zaškrtávacího políčka v online formuláři spadají do této kategorie.

SES nevyžaduje žádné předchozí ověření identity podepisujícího ani žádný kryptografický certifikát. Jeho robustnost spočívá pouze v smluvním kontextu a v okolních důkazech (IP adresa, časové razítko serveru, potvrzovací email). Glosář elektronického podpisu obsahuje soupis všech technických termínů spojených s těmito mechanismy.

Právní hodnota a případy přijetí

SES těží z principu nediskriminace stanoveného v článku 25(1) eIDAS: nemůže být odmítnut jako důkaz pouze z toho důvodu, že je elektronický. Neposkytuje však žádné presumpcí spolehlivosti. V případě sporu nese břemeno důkazu v plné míře strana, která jej předkládá. Právní hodnota elektronického podpisu tedy silně závisí na zvolené úrovni.

SES je vhodný pro akty s nízkým rizikem: přijetí obchodních podmínek, interní formuláře, nákupy v internetě nízké hodnoty nebo průzkumy spokojenosti. Není vhodný pro žádný dokument, který by mohl být zpochybněn soudem.

AES: pokročilý podpis, rovnováha mezi bezpečností a praktičností

Čtyři kumulativní kritéria článku 26 eIDAS

Pokročilý elektronický podpis (AES, Advanced Electronic Signature) je definován v článku 3(11) eIDAS a musí splňovat čtyři podmínky uvedené v článku 26:

1. Být jednoznačně spojen s podepisujícím: jedinečný identifikátor spojuje podpis se konkrétní fyzickou osobou.
2. Umožňovat identifikaci podepisujícího: provádí se ověření identity (email, telefonní číslo, osobní dokument podle poskytovatele).
3. Být vytvořen z údajů, které podepisující může používat s vysokou úrovní důvěry pod svou výhradní kontrolou: typicky jednorázový kód OTP zaslaný na jeho telefon nebo softwarový certifikát.
4. Být spojen s podepisovanými údaji tak, aby byla jakákoli následná změna zjistitelná: podpis je založen na kryptografické hešovací funkci dokumentu.

Používané technologie a úrovně zajištění

V praxi je AES implementován prostřednictvím číselných certifikátů o vysoké úrovni zabezpečení (dle nařízení eIDAS), mechanismů vícefaktorového ověřování nebo řešení digitální identity dokumentů (skenování dokladu, biometrické porovnání). Kvalifikovaní poskytovatelé služeb důvěry, jako je Certyneo, nabízejí procesy podepisování AES integrující dálkové ověřování identity v souladu se standardy ANSSI a normami ETSI EN 319 401.

AES nabízí vynikající kompromis mezi bezpečností a plynulostí uživatelského zážitku. Je doporučen pro běžné obchodní smlouvy, HR akty, smlouvy o partnerství nebo smlouvy o poskytování služeb. Více informací naleznete v našem kompletním průvodci elektronickým podpisem v podniku pro prohloubení využití v profesionálním kontextu.

Omezení AES vůči určitým aktům

AES zůstává nedostatečný pro autentické akty nebo ty, u kterých zákon výslovně vyžaduje kvalifikovaný podpis. Ve Francii článek 1367 občanského zákoníku vyhrazuje maximální presumpcí spolehlivosti pouze kvalifikovaným podpisům dle eIDAS. AES může být soudem vyřazena, pokud protistrana prokáže nedostatečnost v procesu ověření identity.

QES: kvalifikovaný podpis, právní ekvivalent podpisu ručního

Regulační definice a technické požadavky

Kvalifikovaný elektronický podpis (QES, Qualified Electronic Signature) je definován v článku 3(12) eIDAS jako pokročilý podpis vytvořený zařízením pro vytváření kvalifikovaného podpisu (QSCD) a založený na kvalifikovaném certifikátu pro elektronický podpis. Tyto dvě složky jsou neodlučitelné.

Kvalifikovaný certifikát je vydáván kvalifikovaným poskytovatelem služeb důvěry (QTSP) zapsaným v seznamu důvěry státu (Trusted List) zveřejňovaném každým členským státem. Ve Francii je tento seznam spravován ANSSI. QTSP musí být auditován a akreditován podle požadavků přílohy I nařízení eIDAS a norem ETSI EN 319 411-2.

QSCD (zařízení pro vytváření kvalifikovaného podpisu) je bezpečné hardwarové nebo softwarové zařízení — typicky čipová karta, kryptografický token USB nebo vzdálený HSM (Hardware Security Module) — zaručující, že soukromý klíč podepisujícího nemůže být extrahován nebo kopírován. Požadavky na QSCD jsou upřesněny v příloze II nařízení eIDAS.

Nezvratná právní presumpce článku 25(2)

Článek 25(2) nařízení eIDAS dává QES právní účinek rovnocenný ručnímu podpisu ve všech členských státech Evropské unie. Tato presumpce je automatická: na rozdíl od AES nemusí strana, která QES předkládá, prokazovat spolehlivost procedury. Břemeno důkazu nese osoba, která ji zpochybňuje, což je v praxi velmi obtížné, jakmile jsou QTSP a QSCD řádně kvalifikovány.

Ve Francii článek 1367 odstavec 2 občanského zákoníka transponuje tento požadavek do vnitrostátního práva: spolehlivost procedury elektronického podpisu je presumována až do důkazu opaku, pokud je použit kvalifikovaný elektronický podpis eIDAS. Tato presumpce zahrnuje také integritu podepsaného dokumentu.

Proces získání kvalifikovaného certifikátu

Získání kvalifikovaného certifikátu vyžaduje ověření identity osobně nebo na dálku s rovnocennou úrovní zajištění (například videoverifikace v souladu s normou EN ISO/IEC 18013 nebo specifikacemi prováděcího nařízení 2015/1502). Proces zahrnuje:

• Sběr oficiálních dokladů totožnosti
• Ověření jejich autentičnosti (zjišťování padělků)
• Biometrické registraci podepisujícího
• Vydání certifikátu QTSP po validaci

Tato úroveň požadavků vysvětluje, proč je QES vyhrazen aktům s vysokým rizikem: soukromé akty s vysokými finančními Stakes, elektronické notářské dokumenty, veřejné zakázky, citlivé zdravotnické akty, nebo tam, kde to sektorové předpisy výslovně vyžadují. Pro porovnání dostupných řešení na trhu vám náš porovnávač řešení elektronického podpisu pomůže s výběrem.

Srovnávací tabulka a kritéria výběru v roce 2026

Shrnutí rozdílů mezi úrovněmi

Tři osy umožňují rychle rozlišit tři úrovně:

Ověření identity: žádné pro SES, dokumentární nebo OTP pro AES, osobně nebo ekvivalentně pro QES. Kryptografická podpora: neexistující pro SES, softwarový certifikát pro AES, certifikovaný QSCD pro QES. Právní presumpce: žádná pro SES, částečná pro AES, úplná a automatická pro QES.

Z hlediska tření uživatele je rovnice opačná: SES je téměř transparentní, AES vyžaduje několik minut ověření, QES předpokládá předběžné registrační kroky, které mohou trvat od několika minut (videoverifikace) do několika dní.

Dopad eIDAS 2.0 na tyto rozdíly v roce 2026

Nařízení eIDAS 2.0 (EU 2024/1183), jehož prováděcí akty jsou postupně zveřejňovány od roku 2024, posiluje několik klíčových bodů. Zavádí Evropskou peněženku digitální identity (EUDI Wallet), která umožní evropským občanům ukládat svůj kvalifikovaný certifikát přímo do svého chytrého telefonu, čímž významně sníží tření spojené s QES. Také objasňuje požadavky na QTSP a posiluje správu seznamů důvěry členských států.

Navíc eIDAS 2.0 rozšiřuje rozsah vzájemného uznávání kvalifikovaných podpisů mezi členskými státy, což je zvlášť důležité pro podniky působící v několika zemích Unie. Kompletní průvodce nařízením eIDAS 2.0 podrobně popisuje všechny tyto regulační změny. Konečně, otázka kvalifikovaného elektronického časového razítka — doplňkového k QES pro zachování důkazní hodnoty dokumentů v čase — si také zaslouží pozornost při návrhu vaší dokumentární architektury.

Právní rámec vztahující se na podpisy SES, AES a QES

Hierarchie elektronických podpisů spočívá na hustém regulačním korpusu, který kombinuje evropské právo a francouzské vnitrostátní právo.

Nařízení eIDAS č. 910/2014: tento zakládající text definuje v článcích 3(10), 3(11) a 3(12) tři úrovně podpisu. Článek 25 stanoví princip nediskriminace (§1) a presumpcí ekvivalence ručnímu podpisu pro QES (§2). Článek 26 vyjmenovává čtyři kumulativní podmínky pokročilého podpisu. Přílohy I a II upřesňují požadavky na kvalifikované certifikáty a zařízení pro vytváření kvalifikovaného podpisu (QSCD).

Nařízení eIDAS 2.0 — EU 2024/1183: vstoupilo v platnost 20. května 2024 a podstatně mění nařízení z roku 2014, zejména zavedením Evropské peněženky digitální identity (EUDI Wallet), rozšířením kvalifikovaných služeb důvěry a posílením správy QTSP. Prováděcí akty se nadále zveřejňují v roce 2026.

Francouzský občanský zákoník, články 1366 a 1367: článek 1366 uznává elektronický spis jako důkaz stejně jako papírový spis, s podmínkou, že lze řádně identifikovat osobu, od níž pochází, a že byl vytvořen a uchováván za podmínek zaručujících jeho integritu. Článek 1367 odstavec 2 stanovuje presumpcí spolehlivosti pro kvalifikovaný podpis eIDAS, v přímé transpozici článku 25(2) nařízení.

Dekret č. 2017-1416 ze 28. září 2017: upřesňuje ve francouzském právu podmínky, které umožňují těžit z presumpce spolehlivosti, explicitně odkazując na požadavky nařízení eIDAS pro kvalifikované podpisy.

Normy ETSI: normy ETSI EN 319 102-1 (procedury pro vytváření a ověřování podpisů), ETSI EN 319 132 (formát XAdES), ETSI EN 319 122 (formát CAdES) a ETSI EN 319 142 (formát PAdES) technicky upravují vytváření elektronických podpisů v souladu. Kvalifikovaní poskytovatelé musí implementovat tyto formáty, aby zajistili evropskou interoperabilitu.

GDPR — Nařízení EU 2016/679: sběr biometrických údajů v rámci ověření totožnosti pro vydání kvalifikovaných certifikátů představuje zpracování citlivých údajů podle článku 9. QTSP musí mít explicitní právní základ, informovat osoby a zavést příslušné technické záruky. Analýza dopadů (DPIA) je obecně požadována.

Směrnice NIS2 — EU 2022/2555: vztahuje se na operátory základních služeb a poskytovatele digitálních služeb a ukládá posílené požadavky na kybernetickou bezpečnost, které se nepřímo vztahují na QTSP provozující kritické infrastruktury elektronického podpisu.

Organizace, které zavádějí řešení elektronického podpisu bez respektování úrovně požadované povahou právního aktu, si vystavují riziko neplatnosti nebo neoprávnosti podepsaných dokumentů, stejně jako riziko soudních sporů, které mohou vést k významným finančním škodám.

Scénáře použití: výběr správné úrovně podle kontextu

Případ 1 — průmyslový malý a střední podnik spravující stovky objednávek od dodavatelů

Průmyslový malý a střední podnik zpracovávající přibližně 400 objednávek a smluv od dodavatelů ročně zavedl podpis AES pro všechny své běžné obchodní dokumenty. Proces podepisování se opírá o ověření prostřednictvím zabezpečeného email odkazu a SMS kódu OTP s generováním auditního hlášení s časovým razítkem pro každý akt. Průměrná doba podepisování se zkrátila ze 4,5 dne (doporučená zásilka) na méně než 3 hodiny. Míra smluvních sporů zůstala nulová po dobu 18 měsíců provozu, přičemž auditní stopa poskytuje dostatečný důkaz v případě obchodního sporu. Snížení nákladů na tisk, poštovné a správu dokumentů dosahuje přibližně 60 % podle interních odhadů, což je v souladu s rozsahy publikovanými v evropských sektorových studiích (Billentis Report, 2025).

Případ 2 — advokátní kancelář se zaměřením na obchodní právo

Advokátní kancelář zaměřená na obchodní práva s přibližně patnácti spolupracovníky zavedla dvoustupňovou infrastrukturu: podpis AES pro interní korespondenci, zmocnění k právní reprezentaci a dohody o honorářích; podpis QES pro soukromé akty s vysokým Stakes (převody podílů na společnostech, dohody o principu, finanční záruky). Získání kvalifikovaných certifikátů pro partnery bylo realizováno prostřednictvím relace videoverifikace v souladu s eIDAS bez fyzického přesunu za méně než 20 minut na osobu. Právní presumpce související s QES umožňuje kanceláři prezentovat své akty před jakýmkoli evropským soudem bez nutnosti prokazovat spolehlivost procedury, čímž se procesní riziko významně snižuje.

Případ 3 — nemocniční skupiny demateriálizující své HR a zdravotnické akty

Nemocniční skupiny s přibližně 1 200 lůžky si zvolila diferencovaný přístup podle povahy dokumentů. Pracovní smlouvy, dodatky a fiše pozic jsou podpisovány v AES, což umožňuje přibližně 800 zaměstnaným agentům podepisovat ze svého chytrého telefonu bez těžké infrastruktury. Pro specifické zdravotnické dohody a dokumenty vyžadující posílené ověření stanovené zdravotnickou regulací (HDS), je QES nasazen pro určené podepsané lékaře. Tento hybridní model snižuje dobu vytváření HR spisu při náboru o 75 %, což je zisk obzvláště kritický v období napětí na lékařské zdroje. Také zajišťuje soulad s povinnostmi CNIL týkajícími se zpracování zdravotnických údajů.

Často kladené otázky

Jaký je hlavní rozdíl mezi QES a AES v eIDAS?

Základní rozdíl spočívá ve dvou prvcích: certifikátu a zařízení pro podepisování. QES se povinně opírá o kvalifikovaný certifikát vydaný akreditovaným poskytovatelem (QTSP) a o zařízení pro vytváření kvalifikovaného podpisu (QSCD) materiálně zabezpečené. AES může používat softwarový certifikát a méně přísné ověření identity. Přímým důsledkem je, že QES těží z právní presumpce ekvivalence ručnímu podpisu v celé Evropské unii, což AES automaticky nezaručuje.

V jakých případech je povinné používat kvalifikovaný podpis QES?

Žádný evropský text neukládá QES obecně, ale několik sektorových nebo národních regulací ji implicitně nebo explicitně vyžaduje. To se týká některých elektronických autentických aktů, konkrétních veřejných zakázek, elektronických notářských aktů nebo sektorů regulovaných jako bankovnictví (DSP2, posílené KYC) nebo zdravotnictví. Obecné pravidlo zní: čím vyšší je právní nebo finanční Stakes aktu, tím více se doporučuje uchýlit se k QES, aby se vyloučilo jakékoliv riziko sporu.

Má jednoduchý podpis SES právní hodnotu ve Francii v roce 2026?

Ano, jednoduchý podpis SES je právně přijatelný ve Francii na základě principu nediskriminace stanoveného v článku 25(1) nařízení eIDAS a v článku 1366 francouzského občanského zákoníka. Nemůže být vyřazen jako důkaz pouze proto, že je elektronický. Na druhou stranu neposkytuje žádnou presumpcí spolehlivosti: v případě sporu musí strana, která jej předkládá, prokázat jeho robustnost jinými prostředky (protokoly, IP adresa, auditní stopa). Jeho použití by mělo být vyhrazeno aktům s nízkým rizikem.

Je kvalifikovaný certifikát získaný ve Francii uznáván v celé Evropské unii?

Ano. Článek 25(2) nařízení eIDAS a mechanismus vzájemného uznávání seznamů důvěry členských států (Trusted Lists) zaručují, že kvalifikovaný certifikát vydaný kvalifikovaným poskytovatelem akreditovaným ve Francii je uznáván ve všech členských státech Evropské unie se stejným právním účinkem. eIDAS 2.0 (EU 2024/1183) tento princip ještě posiluje rozšířením uznávání na nové kvalifikované služby důvěry zavedené revidovaným nařízením.

Jak ověřit, že poskytovatel podpisu je skutečně kvalifikován podle eIDAS?

Každý členský stát zveřejňuje a udržuje oficiální seznam důvěry (Trusted List), který obsahuje všechny kvalifikované poskytovatele služeb důvěry (QTSP) akreditované na svém území. Ve Francii je tento seznam zveřejňován a aktualizován ANSSI na jejích oficiálních webových stránkách. Evropská komise agreguje všechny národní seznamy na portálu EU Trusted List Browser (tlbrowser.tsl.europa.eu). Před svěřením poskytovateli vydání kvalifikovaných certifikátů nebo vytváření podpisů QES ověřte, že je na něm uveden.

Závěr

Tři úrovně elektronického podpisu definované nařízením eIDAS — SES, AES a QES — odpovídají fundamentálně různým právním a provozním potřebám. SES je vhodný pro akty s nízkým Stakes, AES pokrývá většinu běžných profesionálních smluv s vynikajícím kompromisem mezi bezpečností a plynulostí, zatímco QES se v důsledku své právní presumpce ekvivalence ručnímu podpisu v celé Evropské unii ukazuje jako nezbytný pro akty s vysokou právní hodnotou. V roce 2026, s postupným vstoupením v platnost eIDAS 2.0, je zvládnutí těchto rozdílů více než kdy jindy strategické pro každou organizaci demateriálizující své dokumentární procesy.

Certyneo vám umožňuje nasadit všechny tři úrovně podpisu podle vašich skutečných potřeb s jednotným rozhraním v souladu s požadavky eIDAS a ANSSI. Objevte naše nabídky nebo odhadněte své zisky hned pomocí našeho kalkulátoru ROI elektronického podpisu, nebo kontaktujte náš tým pro personalizovaný audit vašich dokumentárních toků.