Horodatage qualifié eIDAS : la preuve de date certaine

Elektrooniline ajaaja registreerimine on sageli tajutud tehislikuks ligipääsematuks detailiks. Tegelikkuses kujutab see ühte elektrooniliselt allkirjastatud dokumendi tõendamisväärtuse tugisammast. Ilma selleta ei avalda digitaalallkiri midagi aja kohta, millal see kinnitati — puudus, mis võib osutuda hävitavaks kohtuvaidluse korral. Määrus eIDAS nr 910/2014 võttis täpselt kasutusele horodatage kvalifitseeritud mõiste, kõrgeim kuupäeva sertifitseerimise tase, mida tunnustatakse kõigis Euroopa Liidu liikmesriikides. See artikkel lahti harutab seda mehhanismi, selle tehnilisi nõudeid, tema õiguslikku ulatust ja konkreetseid olukordi, milles see on alustavalt vajalik.

Mis on horodatage kvalifitseeritud eIDASi mõistes?

Määratlus ja ajaaja tasemed

Määrus eIDAS eristab kahte elektronilise ajaja kategooriat:

• Lihtne elektrooniline ajaaja: mis tahes andmed elektroonilisel kujul, mis seovad kuupäeva ja kellaaega muude andmetega. Sellel on aegumatu usaldusväärsuse eeldus (art. 41 eIDAS).
• Horodatage kvalifitseeritud: kõrgem tase, mille väljastab Kvalifitseeritud usaldusteenuse pakkuja (KUTP), kes on kantud rahvuslikule usaldusloendile. Sellel on kuupäeva ja kellaaja täpsuse õigusliku eelduse ja ajatemplite andmete tervikluse eeldus (art. 42 eIDAS).

See vahe on põhimõtteliselt oluline: kvalifitseeritud ajaaja eeldatakse olevat täpne, kuni tõendatud muidu, mis muudab tõendamise koormuse kohtuasjas vastupidiseks. Et rohkem teada saada selle teksti erinevate usalduse tasemete kohta, konsulteerige meie eIDAS 2.0 määruse täieliku juhendi järgi.

Kvalifitseeritud ajaja tehnilised nõuded

Et kvalifitseerida eIDASi mõistes, peab ajaaja vastama artiklis 42 määratletud rangete kriteeriumidele:

1. Sidumine kuupäev ja kellaaeg andmetega nii, et põhjendatult välistatakse igasugune võimalus märkamatule muutmisele.
2. Tuginemine täpsele ajaallikale, mis on seotud Koordineeritud Universaalsega (UTC), jälgitav ja vastavuses ETSI EN 319 421 ja EN 319 422 standarditega.
3. Allkirjastamine kvalifitseeritud KUTP-d elektroonilise allkirja abil või elektroonilise pitseriga, või samaväärsete meetodite kaudu.

Praktikas saab teenusepakkuja dokumenti krüptograafiaga arvestatava sõrmejälje (hash), kinnitab sellele märgitud ajalehe allkirja ja tagastab ajaja tokeni (timestamp token, TST), mis vastab RFC 3161 protokollile. See protsess ei kanda kunagi dokumendi sisu teenusepakkujale — ainult tema sõrmejälge —, mis tagab andmete konfidentsiaalsuse.

Usalduse loendid ja rahvuslik järelevalve

Prantsusmaal on ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) järelevalveasutus, kes hoiab kvalifitseeritud teenusepakkujate loetelu. See loend avaldatakse allkirjastatud XML-vormingus ja integreeritakse Euroopa usaldusloendisse (EU Trusted List), mis on kättesaadav Euroopa Komisjoni eIDAS portaalis. Iga siin loetletud teenusepakkuja on läbinud range vastavusaudit ETSI EN 319 401 (üldised nõuded) ja ETSI EN 319 421 (TSA kvalifitseeritud poliitika profiili) standardite järgi.

Kui hindate elektroonilise allkirja lahendust oma ettevõttele, kontrollige, et teenusepakkuja integreerib kvalifitseeritud ajaja — mitte lihtsalt sisest ajaja — on otsustavaks valiku kriteeriumiks.

Miks on horodatage kvalifitseeritud kuupäeva tõendi jaoks kriitiline?

Kuupäev digitaalses tõendite ahelas

Kvalifitseeritud elektrooniline allkiri tõendab, kes allkirjastas ja et dokument ei ole muudetud. Kuid see ei tõenda, millal allkiri tehti, v.a juhul, kui sellele on lisatud kvalifitseeritud ajaaja. See erinevus on eriti oluline mitmes stsenaariumis:

• Leiutise prioriteet: et tõendada, et patent või ärisaladus oli olemas enne konkreetset kuupäeva.
• Lepingulise tähtaja järgimine: et näidata, et leping allkirjastati pakkumise tähtaja enne.
• Pikaajaline arhiivimine tõendamise otstarbeks: digitaalallkirja krüptograafiline kehtivus võib aeguda algoritmide vananemine (allkirja vananemine). Kvalifitseeritud ajaaja võimaldaks dokumenti "uuesti ajatemplida" ja pikendada tema tõendamisväärtust.

Allkirjatevanemise ja uuesti ajatemplite

Krüptograafilised algoritmid arenevad. Allkirjasertifikaat, mis on 2015. aastal RSA-2048 alusel turvaliku peetud, võib 2030. aastaks selle arvutialgoritmide arenguga pidada ebapiisavaks. Arhiivimine tõendamisväärtusega seisneb uuesti ajatemplite praktikates: enne arvestuse turvalisuse aegumise eeldatavat lõppu kohaldatakse uue kvalifitseeritud ajaaja ühendile (dokument + allkiri + eelmine ajaaja), luues sellega pideva usaldusahela.

See lähenemisviis on normaliseeritud ETSI EN 319 102-2-s (täiustatud ja kvalifitseeritud allkirjade verifikatsiooniprotseduurid) ja soovitatav igale dokumendile, mis tuleb säilitada üle 10 aasta — notariaalsed aktid, pikaajaliselt kauplemisleping, arstlikud kartoteegid või reguleeritud dokumendid.

Euroopa kooperatsioon ja vastastikune tunnustus

Horodatage kvalifitseeritud eIDASi suurimaid eeliseid on tema automaatne tunnustus kõigis 27 liikmeisriigis (art. 41.3 eIDAS). Kvalifitseeritud ajaaja, mille väljastas prantsuse KUTP, omab Saksamaal, Hispaanias või Poolas sama õiguslikku toimet. See õiguslik kaasintegreermine on eriti väärtuslik ettevõtetele, kes tegutsevad mitmel Euroopa turul ja allkirjastavad lepinguid mitme riigi partneritega. Erinevate turul olevate lahenduste võrdlemiseks pakub meie elektroonilise allkirja lahenduste võrdlev analüüs üksikasjalikku analüüsi.

Horodatage kvalifitseeritud integreerimine elektroonilise allkirja voogu

Nõuetekohasel voolul tehniline arhitektuur

Kvalifitseeritud elektroonilise allkirja (QES) protsessis integreeritakse ajaaja dokumendi mitmel tasandil, vastavalt ETSI poolt määratletud pikaajaiste allkirjade vormingutele:

• XAdES-LTA vorming (XML Advanced Electronic Signatures – Long-Term Archive): XML-dokumentidele.
• PAdES-LTA vorming (PDF Advanced Electronic Signatures – Long-Term Archive): PDF-failidele, kõige tavalisem ettevõtte vormingus.
• CAdES-LTA vorming (CMS Advanced Electronic Signatures – Long-Term Archive): üldistele binaarfailidele.

Eesliide LTA (Long-Term Archive) tähistab täpselt taset, mis sisaldab kvalifitseeritud ajaja ja tulevaseks verifitseerimiseks vajalikud tühistamise andmeid, isegi pärast sertifikaatide aegumist.

SaaS allkirja platvormi roll

SaaS lahenduses nagu Certyneo on kvalifitseeritud ajaja integreerimine lõppkasutajale läbipaistev. Platvorm:

1. Genereerib lõpliku dokumendi krüptograafilist sõrmejälge.
2. Saadab selle sõrmejälje TSA (Time Stamping Authority) kvalifitseeritud partnerile turvalise ühenduse kaudu.
3. Vastu võtab allkirjastatud ajaja tokeni (TST).
4. Sisaldab TST-i PDF/A faili vastavalt PAdES-LTA vormingule.
5. Salvestab kogu turvalisesse arhiivi keskkonda, mis ise on auditeeritav.

Kasutajal on seega dokument, mille allkirja valmistamise kuupäev on sertifitseeritud ja kontrollitav mis tahes kolmanda osapoolega, sõltumata platvormi infrastruktuurist, kes allkirja tegi. See verifikatsiooni autonoomia on sageli alamhinnatud kriteerium pakkumise kutsete ajal. Kui kaalute teenusepakkuja vahetamist, pakub meie migratsioonijuhend DocuSignist või YouSignist Certyneole üksikasjalikke hoiatusi tehniliste punktide eeldatamiseks.

Verifikatsiooni ja auditeeritavus

Igal dokumendil, mis sisaldab kvalifitseeritud ajaja PAdES-LTA-d, võib tasuta kontrollida avatud lähtekoodiga tööriistade (DSS Library Euroopa Komisjonist) või eIDASi vastavate veebvaliderite kaudu. Verifikatsioon kinnitab:

• Allkirjastaja isikut (kvalifitseeritud sertifikaat).
• Dokumendi terviklust (pärast allkirja pole muudetud).
• Sertifitseeritud kuupäeva ja kellaaega (kehtiv TST token, TSA usaldusloendil).
• Sertifikaadi mittetühistamist allkirja hetkel.

See täielik jälgitavus kujutab otsustava eelise juriidiliste meeskondade jaoks, kes peavad regulaarselt dokumentaarseid tõendeid esitama kohtuasjade või reguleeritud auditite osana.

Horodatage kvalifitseeritud kohaldatav õiguslik raamistik

Määrus eIDAS nr 910/2014

Euroopa Parlamendi ja Nõukogu määrus (EL) nr 910/2014, 23. juulist 2014, nimega eIDAS määrus, kujutab Euroopa horodatage kvalifitseeritud õiguslikke aluseid. Selle peamised sätted on:

• Artikkel 3(34): määratleb elektronilise ajaja kui "elektroonilisel kujul olevaid andmeid, mis seostavad muud elektroonilisel kujul olevaid andmeid teatud hetke ja tõendavad, et need andmed olid selle hetke olemas".
• Artikkel 41: annab lihtsatele elektroonilistele ajaajad aegumatu täpsuse eelduse.
• Artikkel 42: määrab tingimused ajaja kvalifitseerimseks (UTC jälgitav allikas, kvalifitseeritud KUTP-d allkiri, krüptograafiline seos andmetega).
• Artikkel 42(2): annab kvalifitseeritud ajaajale kuupäeva ja kellaaja täpsuse õigusliku eelduse ja seotud andmete tervikluse. See eeldus kehtib mis tahes EL-i kohtu ees ilma täiendava tõendita.

eIDAS 2.0 määrus (Määrus EL 2024/1183, kehtima hakkas järkjärgult alates 2024. aastast) tugevdab neid sätteid, laiendades raamistikku Euroopa digitaalse identiteedi rahakottidele (EUDIW), ilma et see oleks kahtluse alla seatud horodatage kvalifitseeritud alused.

Prantsuse tsiviilkoodeks — artiklid 1366 ja 1367

Prantsusmaal määrab tsiviilkoodeksi artikkel 1366, et "elektrooniline kirjutis omab sama tõendamisjõudu kui paberile kirjutatud, kuni selleni, et saab olla asjakohaselt kindlaks tehtud isik, kellelt see tuleb, ja et see on koostatud ja säilitatud tingimustel, mis võivad garanteerida tema terviklust". Artikkel 1367 täpsustab usaldusväärse elektroonilise allkirja tingimusi. Horodatage kvalifitseeritud osaleb otseselt nende tekstide poolt nõutavate tervikluse ja kindla kuupäeva tingimuste täitmisele.

Lisaks määrus nr 2017-1416 28. septembrist 2017 elektroonilisest allkirjast viitab otseselt eIDAS määrusele, et määrata õiguskaitsekeeles aktsepteeritud allkirja tasemed.

Säilitamiskohustused ja GDPR

Määrus (EL) 2016/679 (GDPR), mida kohaldatakse igale isikuandmete töötlemisele, nõuab asjakohaseid tehnilisi turvameetmeid (art. 32). Horodatage kvalifitseeritud, garanteerides andmete tervikluse ja kuupäevastamist, kaasa aitab GDPR vastavusele dokumentaalse voogudes, mis hõlmavad isikuandmeid.

Mõned sektorid määravad konkreetseid õiguslikke säilitamiste tähtaegu: 5 aastat kaubanduslepingutele (äriseadustiku art. L.110-4), 10 aastat teatavate tsiviilseisundi aktide jaoks, 20 aastat teatavates meditsiinilistes dokumentides. Nende pikaajaliste arhiivide jaoks on horodatage kvalifitseeritud puudumine ja perioodiline uuesti ajajatestimine suur õiguslik risk: dokument võib kaotada oma tõendamisväärtuse enne säilitamise õigusliku tähtaja lõppu.

ETSI viitemeetmed

• ETSI EN 319 421: poliitika ja turvalisuse nõuded TSA-dele (Time Stamping Authorities) kvalifitseeritud.
• ETSI EN 319 422: ajaaja tokeni profiil.
• ETSI EN 319 102-1/2: täiustatud ja kvalifitseeritud allkirjade loomise ja verifikatsiooni protseduurid, arvestades ajajat.
• ETSI EN 319 132 (XAdES) ja EN 319 122 (CAdES): pikaajaliste allkirjade vormingud.

Kasutusjuhud: millal on horodatage kvalifitseeritud otsustav?

Stsenaarium 1 — Ärikohtu advokaadibüroo, käsitleb kohtuliku asju

Ärikohtu advokaadibüroo umbes viieteist koostöötajat, spetsialiseerunud B2B-kohtuasjade, kasutab kvalifitseeritud elektroonilise allkirja oma protseduuri aktide, honoraarikonventsioonide ja tundlike kirjavahetuste jaoks. Kohtuasjas, mis käsitleb pakkumise aktsepteerimise kuupäeva, vaidlustas vastane, et tema kliendi allkiri on pakkumise tähtaja aegumise enne.

Tänu dokumendi PAdES-LTA-sse integreeritud kvalifitseeritud ajaajale esitab büroo ajaaja tokeni, mille väljastas prantsuse usaldusloendile kantud KUTP. Sertifitseeritud kuupäev — sekundini täpsusega — on kontrolltava selliselt kohtunik ja juriidiline ekspert. eIDAS artikli 42 õigusliku eelduse kohaldamine: tõendamise koorem vastupidises nüüd lasub vastasele. Asi lahendatakse eksperthinnanguta, säästes ligikaudu 15-25 päeva suurusjärgu järgi nende tüüpi protseduurides.

Stsenaarium 2 — VKE töötlusettevõte käsitleb tarnijate lepingute portfelli

VKE töötlusettevõte, käsitleb umbes 300 tarnija lepingut aastas — NDA, üldtingimused ostule, hinnamäärused parandamisel — soovib turvata oma dokumendiarhiivi ERP ümberkorraldustes. Ettevõte soovib konserveerida oma lepingute tõendamisväärtuse vähemalt 10 aasta jooksul, vastavalt tema õiguslikele kohustustele ja tema kindlustusfirma nõuetele.

Juurutades elektroonilise allkirja lahenduse, mis sisaldab kvalifitseeritud ajaja ja PAdES-LTA vormingut, loob VKE automaatselt pikaajalise tõendamisväärtusega arhiive. Juurutamise 18 kuud hiljem tehtud sisearchiveerimine paljastab, et 40% ajasäst dokumentide otsimisel ja taastamisel auditi ajal tarnijate vastu ja praktiliselt täielik litiigide kõrvaldamine, mis on seotud ajastus, kuigi avantsid hinnamääradel tulevad jõudu. Ressursihaldusteadused ressursihaldusteadused kasutavad sama kasu töölepingutes ja avenantidele, koos tugevdatud vastavusega tööosakonna inspektsioonidele.

Stsenaarium 3 — Tervishoiuasutus ja patsiendi nõusolekute arhiivimine

Keskmise suurusega haiglate klasterdus (umbes 600 voodit) digitaliseerib oma informeeritud nõusoleku vorme kirurgilistele protseduuridele ja kliinilistele uuringutele. Kehtiiv juhtimine (tervishoiuseadustiku artikkel L.1111-4, määrus (EL) 536/2014 kliiniliste uuringute kohta) nõuab mitte ainult nõusoleku jälgitavust vaid ka tema kuupäeva kindlust enne meditsiilist toimingut.

Nõusoleku allkirja voogu qualifitseeritud ajaja integreeritakse garanteeritakse, et nõusoleku kuupäev on sertifitseeritud ja vastuväitamatu, isegi õiguskaitse ametlikes kontrollides (HAS, ANSM) või meditsiinilistes kohtuvaidlustes. Selle sektori jaoks tervishoiu elektrooniline allkirja lahendused peavad imperatiivina sisaldama seda kvalifitseeritud ajaja, et täita konkreetseid reguleerimise nõudeid. Lahenduse juurutanud asutused näevad tavaliselt 60-70% ajasäästu nõusolekute haldamises võrreldes paberprotsessiga, vastavalt tervishoiuasutuste direktorite ühingute poolt avaldatud võrdlusandmetele.

Kokkuvõte

Horodatage kvalifitseeritud eIDAS pole lihtsalt numbriline pitser: see on tugev õiguslik eeldus, mida tunnustatakse kogu Euroopa Liidus, mis muudab elektrooniliselt allkirjastatud dokumendi kuupäeva vastuväitamatu tõendiks mis tahes kohus. Tuginedes juhitud KUTP-dele, rangete ETSI normidele ja pikaajaliste arhiivimise vormingutele (PAdES-LTA), pakub see õiguslikku turvalisust, mida ei saa sisemise serveri ajaja ega lihtsastajaandmete täitmeks teha.

Ettevõtetele, kes allkirjastavad lepinguid, käsitlevad tundlikke faile või peavad konserveerima dokumendialseid tõendeid mitmeaastaste jooksul, integreerida horodatage kvalifitseeritud nende allkirja voogu pole enam valikut — see on õiguslike heade tavade nõue.

Certyneo integreerib kohalikult kvalifitseeritud ajaja igasse tema platvormi väljastatud kvalifitseeritud elektroonilise allkirja. Avastage, kuidas turvata oma dokumendialseid tõendeid alates tasuta katsetamise juurutamisest või konsulteerides meie läbipaistvate hindadega.