כיצד פועלת החתימה האלקטרונית בשנת 2026

מבוא

החתימה האלקטרונית נמצאת כיום בלב התמורה הדיגיטלית של ארגונים: בשנת 2025, יותר מ-70% מהארגונים הגדולים באירופה שילבו אותה בלפחות תהליך חוזיוני אחד (מקור: Gartner, Digital Process Automation Survey 2025). עם זאת, מעטים הם מקבלי ההחלטות המבינים במדויק את המנגנונים ההופכים אותה לתקפה משפטית ובטוחה מבחינה טכנית. הבנת כיצד פועלת החתימה האלקטרונית מבחינה טכנית — קריפטוגרפיה, PKI, תעודות — מאפשרת בחירת הפתרון המתאים, הפחתת סיכונים משפטיים והאצת יישום פנימי. מאמר זה מוביל אתכם, שלב אחר שלב, דרך הארכיטקטורה הטכנית והתקנים השולטים בחתימה האלקטרונית בשנת 2026.

---

היסודות הקריפטוגרפיים של החתימה האלקטרונית

החתימה האלקטרונית מבוססת על פרימיטיביים קריפטוגרפיים מוכחים. הבנת המנגנונים שלהם משמעותה הבנה למה היא אמינה יותר מחתימה ידונית מסורקת.

הצפנה אסימטרית: מפתח ציבורי ומפתח פרטי

העיקרון הבסיסי הוא קריפטוגרפיה אסימטרית, שהומצאה בשנות ה-1970 וסטנדרטית על ידי אלגוריתמים כמו RSA (Rivest–Shamir–Adleman) או עקומות אליפטיות (ECDSA). לכל חותם יש שני מפתחות הקשורים מתמטית:

• המפתח הפרטי: שמור בסוד על ידי החותם, על התקן מאובטח (כרטיס חכם, טוקן HSM, או מודול תוכנה מוגן). הוא משמש ליצירת החתימה.
• המפתח הציבורי: מופץ בחופשיות, כלול בתעודה דיגיטלית. הוא משמש לאימות החתימה.

עיקרון הביטחון מבוסס על אסימטריה חישובית: זה פשוט מבחינה מתמטית לאמת חתימה עם המפתח הציבורי, אך כמעט בלתי אפשרי מבחינה חישובית לשחזר את המפתח הפרטי מהמפתח הציבורי (בעיה של לוגריתם בדיד או פירוק של מספרים גדולים לגורמים).

פונקציות השחזור: טביעת הרגל הדיגיטלית של המסמך

לפני חתימה, המערכת מחשבת טביעת רגל קריפטוגרפית של המסמך באמצעות פונקציית השחזור (SHA-256 או SHA-3 בשנת 2026). טביעת הרגל זו, הנקראת hash או condensat, היא מחרוזת של תווים בגודל קבוע (256 ביט ל-SHA-256) המייצגת בצורה ייחודית את תוכן המסמך.

תכונה חיוני: שינוי אפילו תו אחד במסמך מייצר hash שונה לחלוטין. זה מה שמבטיח את הגintegrity של המסמך החתום: כל שינוי לאחר החתימה מתגלה מיד.

החתימה האלקטרונית עצמה היא לכן הצפנה של hash זה עם המפתח הפרטי של החותם. בעת האימות, הנמען:

1. מפענח את החתימה עם המפתח הציבורי כדי להחזיר את ה-hash המקורי;
2. מחשב שוב את ה-hash של המסמך המתקבל;
3. משווה את השניים: אם זהים, החתימה תקפה.

---

התשתית לניהול מפתחות ציבוריים (PKI): שרשרת הסמך

קריפטוגרפיה בלבד לא מספיקה: יש צורך גם להוכיח שהמפתח הציבורי שייך לאדם המטען להשתמש בו. זה תפקידה של ה-PKI (Public Key Infrastructure) — או תשתית לניהול מפתחות ציבוריים.

רשויות הסימוכין (CA)

רשות סימוכין (AC או CA) היא צד שלישי מהימן מורשה אשר מוציא תעודות דיגיטליות. תעודה דיגיטלית היא קובץ סטנדרטי (פורמט X.509) המכיל:

• זהות בעל התעודה (שם, ארגון, דוא"ל);
• המפתח הציבורי שלו;
• תקופת התוקף;
• החתימה הדיגיטלית של ה-AC עצמה.

באירופה, רשויות ה-AC המוסמכות רשומות ברשימות Trusted Lists המפורסמות על ידי כל מדינת חברה באיחוד האירופי בהתאם לתקנון eIDAS. בצרפת, ANSSI מפרסמת וגם שומרת על הרשימה זו. ספקי שירותי סמך מוסמכים (QTSP) — כמו CertSign, Certigna, או Universign — כפופים לביקורות תקופתיות בהתאם לתקן ETSI EN 319 401.

שרשרת התעודות והשלילה

ה-PKI פועלת על מודל היררכי:

• AC שורש (Root CA) חתום לעצמו, שמור במצב לא מחובר בתנאי אבטחה פיזיים מרביים;
• AC ביניים המוציאות תעודות למשתמשים סופיים.

השלילה של תעודות היא מנגנון קריטי: אם מפתח פרטי סוכן בסכנה, ה-AC מפרסמת את ביטולו דרך CRL (Certificate Revocation List) או דרך הפרוטוקול OCSP (Online Certificate Status Protocol), המאפשרות אימות בזמן אמת.

לחתימה אלקטרונית מוסמכת במובן eIDAS, המפתח הפרטי חייב להיווצר ולהישמר ב-QSCD (Qualified Signature Creation Device) — חומרה מוסמכת ב-CC EAL4+ ומעלה, כגון כרטיס חכם או HSM (Hardware Security Module).

---

שלוש רמות של חתימה לפי eIDAS

התקנון האירופי eIDAS מספר 910/2014 (ותפתחתו eIDAS 2.0 בתהליך פריסה) מגדיר שלוש רמות חתימה, כל אחת מתבססת על ערבויות טכניות הולכות וגדלות. כדי להעמיק את הסגרת הנהלית זו, עיין בעמוד המדריך המלא על תקנון eIDAS.

חתימה אלקטרונית פשוטה (SES)

החתימה הפשוטה היא הצורה המחייבת ביותר מבחינה טכנית. היא יכולה להיות משהו כל כך בסיסי כמו תיבת סימון, קוד OTP (One-Time Password) שנשלח בSMS, או תמונה של חתימה ידונית. היא אינה חייבת בהכרח לכלול תעודה מוסמכת.

שימוש אופייני: אימות הצעות, הסכמות שיווק, חוזים בסיכון נמוך.

סיכון: ערך הוכחתי מוגבל במקרה של מחלוקת בבית דין. הנטל בהוכחה חל על מי שמשתמש בחתימה.

חתימה אלקטרונית מתקדמת (AdES)

החתימה המתקדמת מענה לארבע דרישות טכניות ברורות (סעיף 26 eIDAS):

1. היא קשורה לחותם בצורה חד-ערכית;
2. היא מאפשרת זיהוי החותם;
3. היא נוצרת מנתונים תחת השליטה הבלעדית של החותם;
4. היא מאפשרת גילוי כל שינוי לאחר יוצר של המסמך.

בפועל, זה כרוך בשימוש בתעודה דיגיטלית אישית וברות אימות חזקה. הפורמטים הסטנדרטיים מוגדרים על ידי ETSI: PAdES (ל-PDF), XAdES (XML), CAdES (נתונים בינאריים) ו-JAdES (JSON), כולם סטנדרטיים בסדרה ETSI EN 319 100.

חתימה אלקטרונית מוסמכת (QES)

החתימה המוסמכת היא הרמה הגבוהה ביותר. היא דורשת:

• תעודה מוסמכת שהוציאה QTSP מוסמך eIDAS;
• QSCD ליצירת החתימה.

היא נהנית מ-הנחת חוק של אמינות ותקילות משפטית לחתימה ידונית בכל הברית האירופית (סעיף 25 eIDAS). זו הרמה הנדרשת לאקטים אותנטיים אלקטרוניים, חלק מאקטים נוטריונים, או מכרזים ציבוריים רגישים.

ה-השוואה שלנו של פתרונות חתימה אלקטרונית מנתחת את ההבדלים המעשיים בין רמות אלו כדי לעזור לכם לבחור.

---

התהליך המלא של חתימה אלקטרונית שלב אחר שלב

כך מתרחש בפועל עסקת חתימה אלקטרונית על פלטפורמה SaaS כמו Certyneo:

שלב 1: הכנה ושדור של המסמך

המתחיל של החתימה מעלה את המסמך (חוזה, תוספת, צו רכישה) לפלטפורמה. המערכת מייד יוצרת hash SHA-256 של הקובץ המקורי, עם חותם זמן ושמור בצורה בלתי ניתנת לשינוי. טביעת רגל זו תשמש כנקודת התייחסות לאימות עתידי.

שלב 2: אימות החותם

בהתאם לרמת החתימה שנבחרה, האימות משתנה:

• SES: דוא"ל + קישור חתימה;
• AdES: אימות חזק (OTP SMS, יישום נייד FIDO2);
• QES: אימות זהות קודם לכן (פנים אל פנים או דרך וידיאו IDV), הנפקת תעודה מוסמכת לשימוש חד-פעמי או קבוע.

שלב 3: יצירת החתימה הקריפטוגרפית

החותם מפעיל את פעולת החתימה. הפלטפורמה (או ה-QSCD):

1. מחשבת את hash המסמך;
2. מצפינה hash זה עם המפתח הפרטי של החותם;
3. משלבת את החתימה והתעודה בתוך המסמך (PDF חתום בפורמט PAdES-LTV לשימור ארוך טווח).

שלב 4: חותם זמן מוסמך

שירות חותם זמן מוסמך (TSA) הממלא תנאים על פי RFC 3161 מוסיף timestamp קריפטוגרפי, המוכיח שהחתימה הייתה קיימת בנקודת זמן ספציפית. זה מגן כנגד זיוף תאריך וומבטיח ערך הוכחתי לאורך הזמן — אפילו אם התעודה של החותם פוקעת בהמשך.

שלב 5: אחסון הוכחתי

המסמך החתום מאוחסן עם שביל ביקורת מלא שלו: זהות החותם, כתובת IP, חותם זמן, hash המסמך, תעודות בשימוש. תיקייה זו של ראיות (audit trail) חיונית במקרה של מחלוקת משפטית. פתרונות הממלאים תנאים eIDAS שומרים על ראיות אלו בפורמט PAdES-LTV (Long-Term Validation) המשלב נתוני אימות כדי לאפשר אימות שנים לאחר החתימה.

כדי להבין כיצד לשלב את התהליך הזה בזרימות HR שלך, גלה את פתרון החתימה האלקטרונית שלנו ל-HR ו-התבניות החוזים שלנו להורדה.

מסגרת חוקית החלה על החתימה האלקטרונית

החתימה האלקטרונית נכנסת למסגרת רגולציה רב-שכבתית, המשלבת דין אזרחי לאומי ודין אירופי מתואם.

קוד אזרחי צרפתי

סעיף 1366 של קוד אזרחי קובע את העיקרון היסודי: "מסמך אלקטרוני בעל כוח הוכחתי זהה למסמך על נייר, בתנאי שניתן לזהות את האדם ממי הוא מגיע ושהוא נוצר ושמור בתנאים המבטיחים את שלמותו." סעיף 1367 מבהיר כי חתימה אלקטרונית "כוללת שימוש בתהליך אמין של זיהוי המבטיח את הקשר שלה לעבודה אליה היא מחוברת".

התקנון מספר 2017-1416 משנת 28 בספטמבר 2017 מגדיר את הנחת החוק של אמינות לחתימות מוסמכות ומתקדמות הממלאות תנאים eIDAS.

תקנון eIDAS מספר 910/2014

אבן הפינה של דין אירופי על סמך דיגיטלי, התקנון eIDAS (electronic IDentification, Authentication and trust Services) מחזיק במסגרת משפטית מאוחדת לחתימות אלקטרוניות, חותמות אלקטרוניות, חותם זמן מוסמך, שירותים מומלצים וערוזי אימות לאתרי אינטרנט. סעיף 25, פסקה 2 שלו, מעניק לחתימה מוסמכת הנחת חוק של שקילות לחתימה ידונית בכל האיחוד.

התקנון eIDAS 2.0 (בהליך טרנספוזיציה בטריმסטר הראשון של 2026) מחזק הוראות אלו עם ארנק הזהות הדיגיטלי האירופי (EUDIW) ומרחיב את ההתחייבויות לשווקים של שירותים פיננסיים ובריאות.

תקנים ETSI

פורמטי החתימה סטנדרטיים על ידי ETSI:

• ETSI EN 319 132 (XAdES), EN 319 122 (CAdES), EN 319 102 (PAdES) מגדירים את הפרופילים הטכניים של חתימות מתקדמות ומוסמכות;
• ETSI EN 319 421 מסדיר את מדיניות שירותי חותם הזמן המוסמכים.

GDPR והגנת נתונים

עיבוד נתוני זהות בהקשר חתימה אלקטרונית (שם, דוא"ל, ביומטריה לאימות זהות) כפוף ל-GDPR מספר 2016/679. אחראים לעיבוד חייבים: להיות בעלי בסיס משפטי (אינטרס לגיטימי או ביצוע חוזה), להחיל עיקרון מזעור נתונים, וגם להבטיח ביטחון באמצעות אמצעים טכניים מתאימים (הצפנה, pseudonymization).

NIS2 Directive

ה-NIS2 Directive (2022/2555/UE), שתורגמה לדין צרפתי מאוקטובר 2024, מטילה על מפעילי שירותים חיוניים וספקי שירותים דיגיטליים (כולל ספקי חתימה אלקטרונית) התחייבויות משופרות לגבי הגנה סייבר, ניהול סיכונים ודווח על תקלות תוך 24 שעות. אי-עמידה חשופה לקנסות שעשויים להגיע ל-10 מיליון יורו או 2% מהמחזור הגלובלי.

תרחישי שימוש בחתימה אלקטרונית

תרחיש 1: משרד עורכי דין מנהל בין לאומי מאטום את חתימת ההסמכויות

משרד עורכי דין בן-בין לאומי עם כ-12 עובדים טיפל בממוצע ב-120 הסמכויות ייצוג בחודש. ההליך בנייר כלל הדפסה, שליחה בדואר או מסירה בעד-יד, ואז סריקה של מסמכים שהוחזרו — שגרם לעיכוב ממוצע של 4.5 ימי עבודה לכל קובץ ותעריף אובדן מסמכים המוערך ב-8%.

על ידי פריסת חתימה אלקטרונית מתקדמת (AdES) עם אימות OTP, משרדו של עורך דין הוריד את עיכוב החתימה לפחות מ-4 שעות בממוצע, הוריד את שיעור החריגות של המסמך לפחות מ-1%, וחסך בעל חוקי בכ-2,200 € בשנה בעלויות דואר והדפסה. שביל הביקורת שנוצר באופן אוטומטי פישט גם שתי הליכים של ערעור הסמכות, בהנחת ראיות בעלות חותם זמן בלתי מערערת. גלה את פתרון משרדי הדין שלנו.

תרחיש 2: עסק קטן ובינוני בתעשייה ממחזר את חוזיו של הספקים

עסק קטן ובינוני בתעשייה ניהל בערך 200 חוזים של ספקים בשנה (תנאים כלליים של רכישה, תוספות תעריף, NDA) סבל מעיכובים בחתימה שיכלו לחרוג משלוש שבועות לחוזים חוצי גבולות עם שותפים גרמנים וספרדים. הבדלים במערכות משפטיות והעדר הכרה הדדית הואטו משא ומתן.

על ידי אימוץ חתימה מוסמכת (QES) שהוציאה QTSP בעל הסמכה eIDAS, שמוכר בכל האיחוד, העסק נהנה מהכרה משפטית אוטומטית בשלוש המדינות ללא כל חוקיות נוסף. עיכוב חתימה חוצה גבולות ממוצע רדד מ-18 ימים ל-2.5 ימים. ה-חתימה אלקטרונית בעסק פירוט היתרונות אלו לצוותי רכישות.

תרחיש 3: קבוצת בתי חולים מאבטחת הסכמה מדעת של חולים

קבוצת בתי חולים בנויה סביב 800 מיטות יכלה להשיג הסכמה מדעת של חולים לפרוטוקולים של מחקר קליני. ניהול נייר יצר סיכונים של ציות GDPR (מסמכים אחסונים בצורה גרועה, תאריכים בלתי מתחקים) וגיס עובדי בריאות לבעיות ניהול.

על ידי שילוב חתימה אלקטרונית פשוטה עם זיהוי באמצעות קוד SMS — מספיק לעבודות לא כפופות לדרישה מוסמכת — קבוצה זו אוטומטית האספה, אחסון וגם ניתוח מעקב אחרי הסכמות. הזמן של ניהול לכל חולה רדד מ-12 דקות לפחות מ-2 דקות, משחרר סביב 800 שעות ממניות בשנה. כל המסמכים מאוחסנים עם חותם זמן מוסמך, עמידה מלא בדרישות CNIL. גלה את פתרון החתימה שלנו בבריאות.

סיכום

הבנת כיצד פועלת החתימה האלקטרונית מבחינה טכנית — מקריפטוגרפיה אסימטרית ל-PKI, מתעודות מוסמכות להודעת זמן הוכחתית — חיונית כדי לקבל החלטות מודעות בעניינים של ציות ותפקוד יעיל. שלוש רמות eIDAS (פשוטה, מתקדמת, מוסמכת) מענה לצרכים שונים, והבחירה תמיד צריכה להתנהל על ידי ניתוח סיכון משפטי וגם ערך הוכחתי צפוי.

Certyneo מלוות אתכם בתמורה זו בעזרת פלטפורמה SaaS הממלאת תנאים eIDAS, QTSP בעל הסמכה וגם אינטגרציה פשוטה בתהליכים קיימים שלכם. הערכת את גיין הפוטנציאלי לארגון שלך תוך שימוש ב-מחשבון ROI שלנו לחתימה אלקטרונית, או התחל בישירות בעמוד ההצעות והתמחור שלנו. הציות וביצועים אינם עוד פשרויות.