QES, AES και SES: κατανόηση των τριών επιπέδων ηλεκτρονικής υπογραφής eIDAS το 2026

Ο κανονισμός eIDAS (αριθ. 910/2014) αποτελεί τη θεμελιώδη βάση του ευρωπαϊκού δικαίου της ηλεκτρονικής υπογραφής. Από την έναρξη ισχύος του, δομεί τρία επίπεδα υπογραφής — SES, AES και QES — των οποίων οι τεχνικές απαιτήσεις και η αποδεικτική αξία διαφέρουν ριζικά. Το 2026, με την προοδευτική έναρξη ισχύος του κανονισμού eIDAS 2.0 (κανονισμός ΕΕ 2024/1183), αυτές οι διακρίσεις αποκτούν μεγαλύτερη σημασία για κάθε οργανισμό που επιθυμεί να αποσύρει τα νομικά έγγραφά του σε συμμόρφωση. Αυτό το άρθρο αποκωδικοποιεί τις θεμελιώδεις διαφορές μεταξύ αυτών των τριών επιπέδων, τις υποχρεώσεις που συνεπάγονται και τα κριτήρια που πρέπει να λάβετε υπόψη για να επιλέξετε τη σωστή μορφή σύμφωνα με τη φύση των εγγράφων σας.

SES: η απλή ηλεκτρονική υπογραφή, ευέλικτη αλλά περιορισμένη

Ορισμός και τεχνικά χαρακτηριστικά

Η απλή ηλεκτρονική υπογραφή (SES, ή Simple Electronic Signature) ορίζεται στο άρθρο 3(10) του κανονισμού eIDAS ως «δεδομένα σε ηλεκτρονική μορφή που συνδέονται ή συσχετίζονται λογικά με άλλα δεδομένα σε ηλεκτρονική μορφή και που χρησιμοποιούνται από τον υπογράφοντα για να υπογράψει». Αυτός ο ορισμός είναι σκόπιμα ευρύς: ένα απλό κλικ στο «Αποδέχομαι», μια υπογραφή σχεδιασμένη με το δάχτυλο σε ταμπλέτα ή ακόμη και ένα πεδίο επιλογής σε μια διαδικτυακή φόρμα εμπίπτουν σε αυτή την κατηγορία.

Η SES δεν απαιτεί προηγούμενη επαλήθευση της ταυτότητας του υπογράφοντος, ούτε κανένα κρυπτογραφικό πιστοποιητικό. Η ισχύς της βασίζεται αποκλειστικά στο συμφραζόμενο του συμβολαίου και τις περιφερειακές αποδείξεις (διεύθυνση IP, σφραγίδα ώρας διακομιστή, email επιβεβαίωσης). Το λεξικό ηλεκτρονικής υπογραφής καταγράφει το σύνολο των τεχνικών όρων που σχετίζονται με αυτούς τους μηχανισμούς.

Νομική αξία και περιπτώσεις αποδοχής

Η SES ωφελείται από την αρχή της μη διακρίσεως που τίθεται στο άρθρο 25(1) eIDAS: δεν μπορεί να απορριφθεί ως απόδειξη μόνο και μόνο επειδή είναι ηλεκτρονική. Ωστόσο, δεν φέρει καμία τεκμηρίωση της αξιοπιστίας. Σε περίπτωση διαφοράς, το βάρος της απόδειξης βαρύνει εξ ολοκλήρου την πλευρά που την επικαλείται. Η νομική αξία ηλεκτρονικής υπογραφής εξαρτάται επομένως σε μεγάλο βαθμό από το επίπεδο που επιλέγεται.

Η SES είναι κατάλληλη για έγγραφα χαμηλού κινδύνου: αποδοχή όρων χρήσης, εσωτερικές φόρμες, παραγγελίες διαδικτύου χαμηλής αξίας ή ακόμη και έρευνες ικανοποίησης. Είναι ακατάλληλη για οποιοδήποτε έγγραφο που ενδέχεται να αμφισβητηθεί ενώπιον του δικαστηρίου.

AES: η προηγμένη υπογραφή, η ισορροπία μεταξύ ασφάλειας και πρακτικότητας

Τα τέσσερα σωρευτικά κριτήρια του άρθρου 26 eIDAS

Η προηγμένη ηλεκτρονική υπογραφή (AES, Advanced Electronic Signature) ορίζεται στο άρθρο 3(11) eIDAS και πρέπει να ικανοποιεί τέσσερις προϋποθέσεις που απαριθμούνται στο άρθρο 26:

1. Να είναι συνδεδεμένη με τον υπογράφοντα με μοναδικό τρόπο: ένας μοναδικός αναγνωριστικός κωδικός συνδέει την υπογραφή με ένα συγκεκριμένο φυσικό πρόσωπο.
2. Να επιτρέπει τον προσδιορισμό του υπογράφοντος: πραγματοποιείται επαλήθευση της ταυτότητας (email, αριθμός τηλεφώνου, ταυτότητα ανάλογα με τον πάροχο).
3. Να έχει δημιουργηθεί από δεδομένα που ο υπογράφων μπορεί να χρησιμοποιήσει με υψηλό επίπεδο εμπιστοσύνης υπό την αποκλειστική του έλεγχο: τυπικά ένα κωδικό OTP αποστελλόμενο στο τηλέφωνό του ή ένα πιστοποιητικό λογισμικού.
4. Να είναι συνδεδεμένη με τα υπογεγραμμένα δεδομένα κατά τέτοιον τρόπο ώστε κάθε μεταγενέστερη τροποποίηση να είναι ανιχνεύσιμη: η υπογραφή βασίζεται σε ένα κρυπτογραφικό hash του εγγράφου.

Τεχνολογίες που χρησιμοποιούνται και επίπεδα διασφάλισης

Στην πράξη, η AES εφαρμόζεται μέσω ψηφιακών πιστοποιητικών ουσιώδους επιπέδου (κατά την έννοια του κανονισμού eIDAS), μηχανισμών πολυπαραγοντικής αυθεντικοποίησης ή διαλυμάτων ταυτότητας κατά έγγραφο (σάρωση ταυτότητας, βιομετρική σύγκριση). Οι πάροχοι υπηρεσιών εμπιστοσύνης που έχουν ληφθεί πιστοποιητικά όπως η Certyneo προσφέρουν διαδρομές υπογραφής AES που ενσωματώνουν την επαλήθευση της ταυτότητας εξ αποστάσεως, σύμφωνα με τα πλαίσια αναφοράς ANSSI και τα πρότυπα ETSI EN 319 401.

Η AES προσφέρει εξαιρετικό συμβιβασμό μεταξύ ασφάλειας και ρευστότητας της εμπειρίας χρήστη. Συνιστάται για τυπικές εμπορικές συμβάσεις, πράξεις ανθρώπινων πόρων, συμφωνίες συνεργασίας ή συμβάσεις παροχής υπηρεσιών. Ανατρέξτε στον ολοκληρωμένο οδηγό ηλεκτρονικής υπογραφής στην επιχείρηση για να εμβαθύνετε τις χρήσεις σε επαγγελματικό πλαίσιο.

Περιορισμοί της AES απέναντι σε ορισμένες πράξεις

Η AES παραμένει ανεπαρκής για αυθεντικές πράξεις ή εκείνες για τις οποίες ο νόμος ρητά απαιτεί την υπογραφή που έχει ληφθεί πιστοποιητικό. Στη Γαλλία, το άρθρο 1367 του Αστικού Κώδικα επιφυλάσσει τη μέγιστη τεκμηρίωση αξιοπιστίας αποκλειστικά για τις υπογραφές που έχουν ληφθεί πιστοποιητικό κατά την έννοια του eIDAS. Η AES μπορεί να απορριφθεί από έναν δικαστή εάν η αντίπαλη πλευρά αποδείξει μια ανεπάρκεια στη διαδικασία επαλήθευσης της ταυτότητας.

QES: η υπογραφή που έχει ληφθεί πιστοποιητικό, νομική ισοδυναμία χειρόγραφης υπογραφής

Κανονιστικός ορισμός και τεχνικές απαιτήσεις

Η υπογραφή ηλεκτρονική που έχει ληφθεί πιστοποιητικό (QES, Qualified Electronic Signature) ορίζεται στο άρθρο 3(12) eIDAS ως προηγμένη υπογραφή που δημιουργείται από έναν προσδιορισμένο τύπο συσκευής δημιουργίας υπογραφής που έχει ληφθεί πιστοποιητικό (QSCD) και βασίζεται σε ένα πιστοποιητικό που έχει ληφθεί πιστοποιητικό ηλεκτρονικής υπογραφής. Αυτά τα δύο συστατικά είναι αχώριστα.

Το πιστοποιητικό που έχει ληφθεί πιστοποιητικό εκδίδεται από έναν πάροχο υπηρεσιών εμπιστοσύνης που έχει ληφθεί πιστοποιητικό (QTSP) που είναι εγγεγραμμένος στη σχετική εθνική κατάσταση εμπιστοσύνης (Trusted List) που δημοσιεύεται από κάθε κράτος μέλος. Στη Γαλλία, αυτή η κατάσταση διαχειρίζεται από το ANSSI. Το QTSP πρέπει να έχει υποστεί έλεγχο και να έχει ακrediziert σύμφωνα με τις απαιτήσεις της Παραρτήματος I του κανονισμού eIDAS και τα πρότυπα ETSI EN 319 411-2.

Το QSCD (προσδιορισμένος τύπος συσκευής δημιουργίας υπογραφής) είναι ένα ασφαλές υλικό ή λογισμικό — τυπικά μια κάρτα με ολοκληρωμένο κύκλωμα, ένα κρυπτογραφικό USB token ή ένα απομακρυσμένο HSM (Hardware Security Module) — που εγγυάται ότι το ιδιωτικό κλειδί του υπογράφοντος δεν μπορεί να εξαχθεί ή να αντιγραφεί. Οι απαιτήσεις των QSCD προσδιορίζονται στο Παράρτημα II του κανονισμού eIDAS.

Η αναφαίρετη νομική τεκμηρίωση του άρθρου 25(2)

Το άρθρο 25(2) του κανονισμού eIDAS δίνει στην QES νομικό αποτέλεσμα ισοδύναμο με τη χειρόγραφη υπογραφή σε όλα τα κράτη μέλη της Ευρωπαϊκής Ένωσης. Αυτή η τεκμηρίωση είναι αυτόματη: σε αντίθεση με την AES, η πλευρά που παράγει μια QES δεν χρειάζεται να αποδείξει την αξιοπιστία της διαδικασίας. Είναι υπευθυνότητα του αντιδίκου να αναιρέσει αυτή την τεκμηρίωση, κάτι που είναι στην πράξη πολύ δύσκολο εφόσον το QTSP και το QSCD είναι ως κανόνας προσδιορισμένοι.

Στη Γαλλία, το άρθρο 1367 παράγραφος 2 του Αστικού Κώδικα μεταφέρει αυτήν την απαίτηση στο εσωτερικό δίκαιο: η αξιοπιστία της διαδικασίας ηλεκτρονικής υπογραφής τεκμαίρεται μέχρι αποδείξεως του αντιθέτου όταν χρησιμοποιείται η υπογραφή ηλεκτρονική που έχει ληφθεί πιστοποιητικό eIDAS. Αυτή η τεκμηρίωση καλύπτει επίσης την ακεραιότητα του υπογραφέντος εγγράφου.

Διαδικασία απόκτησης πιστοποιητικού που έχει ληφθεί πιστοποιητικό

Η απόκτηση ενός πιστοποιητικού που έχει ληφθεί πιστοποιητικό απαιτεί επαλήθευση της ταυτότητας πρόσωπο με πρόσωπο ή ισοδύναμη απομακρυσμένη με το ίδιο επίπεδο διασφάλισης (για παράδειγμα, βίντεο-ταυτοποίηση σύμφωνη με το πρότυπο EN ISO/IEC 18013 ή τις προδιαγραφές του κανονισμού εκτέλεσης 2015/1502). Η διαδικασία συνεπάγεται:

• Τη συλλογή επίσημων εγγράφων ταυτότητας
• Την επαλήθευση της αυθεντικότητάς τους (ανίχνευση πλαστογραφίας)
• Την καταγραφή βιομετρικών δεδομένων του υπογράφοντος
• Την έκδοση του πιστοποιητικού από το QTSP μετά την επικύρωση

Αυτό το επίπεδο απαίτησης εξηγεί ότι η QES είναι δεσμευμένη σε πράξεις υψηλού κινδύνου: πράξεις ιδιωτικού δικαίου με υψηλή χρηματοοικονομική αξία, ηλεκτρονικά έγγραφα συμβολαιογραφείας, δημόσια συμβάσεις, ευαίσθητες ιατρικές πράξεις ή σε τομείς όπου η κανονιστική δήλωση του κλάδου την επιβάλλει ρητά. Για να συγκρίνετε τις διαθέσιμες λύσεις στην αγορά, ο σύγκριση λύσεων ηλεκτρονικής υπογραφής θα σας οδηγήσει στην επιλογή σας.

Πίνακας σύγκρισης και κριτήρια επιλογής το 2026

Περίληψη των δομικών διαφορών

Τρεις άξονες επιτρέπουν τη γρήγορη διάκριση των τριών επιπέδων:

Επαλήθευση ταυτότητας: καμία για τη SES, έγγραφη ή OTP για την AES, πρόσωπο με πρόσωπο ή ισοδύναμη για την QES. Κρυπτογραφικό υπόβαθρο: ανύπαρκτο για τη SES, πιστοποιητικό λογισμικού για την AES, πιστοποιημένο QSCD για την QES. Νομική τεκμηρίωση: απούσα για τη SES, μερική για την AES, ολική και αυτόματη για την QES.

Σε όρους τριβής χρήστη, η εξίσωση είναι αντίστροφη: η SES είναι σχεδόν διαφανής, η AES απαιτεί μερικά λεπτά επαλήθευσης, η QES υποθέτει μια προηγούμενη διαδικασία εγγραφής που ενδέχεται να διαρκέσει από μερικά λεπτά (βίντεο-ταυτοποίηση) έως μερικές ημέρες.

Επίδραση eIDAS 2.0 σε αυτές τις διακρίσεις το 2026

Ο κανονισμός eIDAS 2.0 (ΕΕ 2024/1183), του οποίου τα κείμενα εκτέλεσης δημοσιεύονται σταδιακά από το 2024, ενισχύει πολλά βασικά σημεία. Εισάγει το Ευρωπαϊκό Πορτοφόλι Ψηφιακής Ταυτότητας (EUDI Wallet), το οποίο θα επιτρέψει τελικά στους ευρωπαίους πολίτες να αποθηκεύσουν το πιστοποιητικό που έχει ληφθεί πιστοποιητικό τους απευθείας στο smartphone τους, μειώνοντας σημαντικά την τριβή που σχετίζεται με την QES. Αποσαφηνίζει επίσης τις απαιτήσεις που ισχύουν για τα QTSP και ενισχύει τη διακυβέρνηση των σχετικών κατάστάσεων εμπιστοσύνης.

Επιπλέον, το eIDAS 2.0 επεκτείνει το πεδίο της αμοιβαίας αναγνώρισης υπογραφών που έχουν ληφθεί πιστοποιητικό μεταξύ κρατών μελών, κάτι που είναι ιδιαίτερα δομητικό για τις επιχειρήσεις που λειτουργούν σε πολλές χώρες της Ένωσης. Το ολοκληρωμένο σημείωμα του κανονισμού eIDAS 2.0 αναλυτικά όλες αυτές τις κανονιστικές εξελίξεις. Τέλος, το θέμα της προσδιορισμένης ηλεκτρονικής χρονοσφραγίδας — συμπληρωματικής της QES για τη διατήρηση της αποδεικτικής αξίας των εγγράφων με την πάροδο του χρόνου — αξίζει επίσης προσοχής κατά το σχεδιασμό της αρχιτεκτονικής του εγγράφου σας.

Νομικό πλαίσιο που ισχύει στις υπογραφές SES, AES και QES

Η ιεραρχία των ηλεκτρονικών υπογραφών βασίζεται σε ένα πυκνό κανονιστικό σώμα που συνδυάζει ευρωπαϊκό δίκαιο και γαλλικό εσωτερικό δίκαιο.

Κανονισμός eIDAS αριθ. 910/2014: αυτό το θεμελιώδες κείμενο ορίζει στα άρθρα 3(10), 3(11) και 3(12) τα τρία επίπεδα υπογραφής. Το άρθρο 25 θέτει την αρχή της μη διακρίσεως (§1) και την τεκμηρίωση ισοδυναμίας χειρόγραφης υπογραφής για την QES (§2). Το άρθρο 26 απαριθμεί τις τέσσερις σωρευτικές προϋποθέσεις της προηγμένης υπογραφής. Τα Παραρτήματα I και II προσδιορίζουν αντίστοιχα τις απαιτήσεις που ισχύουν για τα πιστοποιητικά που έχουν ληφθεί πιστοποιητικό και τα προσδιορισμένα είδη συσκευών δημιουργίας υπογραφής (QSCD).

Κανονισμός eIDAS 2.0 — ΕΕ 2024/1183: στη συνέχεια της ισχύος του στις 20 Μαΐου 2024, τροποποιεί ουσιαστικά τον κανονισμό του 2014, ιδίως με την εισαγωγή του Ευρωπαϊκού Πορτοφολιού Ψηφιακής Ταυτότητας (EUDI Wallet), την επέκταση των προσδιορισμένων υπηρεσιών εμπιστοσύνης και την ενίσχυση της διακυβέρνησης των QTSP. Τα κείμενα εκτέλεσης συνεχίζουν να δημοσιεύονται το 2026.

Γαλλικός Αστικός Κώδικας, άρθρα 1366 και 1367: το άρθρο 1366 αναγνωρίζει το ηλεκτρονικό έγγραφο ως απόδειξη με τον ίδιο τρόπο που ένα έγγραφο σε χαρτί, υπό την προϋπόθεση ότι μπορεί να ταυτοποιηθεί σωστά το πρόσωπο που το προέρχεται και ότι δημιουργήθηκε και διατηρήθηκε με τέτοιες συνθήκες που εγγυώνται την ακεραιότητά του. Το άρθρο 1367 παράγραφος 2 θέτει την τεκμηρίωση αξιοπιστίας για την υπογραφή ηλεκτρονική που έχει ληφθεί πιστοποιητικό eIDAS, σε άμεση μεταφορά του άρθρου 25(2) του κανονισμού.

Διάταγμα αριθ. 2017-1416 της 28ης Σεπτεμβρίου 2017: προσδιορίζει στο γαλλικό δίκαιο τις προϋποθέσεις που επιτρέπουν να επωφεληθεί κανείς από την τεκμηρίωση αξιοπιστίας, παραπέμποντας ρητά στις απαιτήσεις του κανονισμού eIDAS για τις υπογραφές που έχουν ληφθεί πιστοποιητικό.

Πρότυπα ETSI: τα πρότυπα ETSI EN 319 102-1 (διαδικασίες δημιουργίας και επαλήθευσης υπογραφής), ETSI EN 319 132 (μορφή XAdES), ETSI EN 319 122 (μορφή CAdES) και ETSI EN 319 142