Hogyan működik az elektronikus aláírás 2026-ban

Bevezetés

Az elektronikus aláírás ma a vállalatok digitális átalakításának középpontjában áll: 2025-ben az európai nagyvállalatok több mint 70%-a már integrálta legalább egy szerződéses folyamatba (forrás: Gartner, Digital Process Automation Survey 2025). Ugyanakkor kevés döntéshozó érti pontosan azokat a mechanizmusokat, amelyek jogi érvényességét és technikai hamisíthatatlansságát garantálják. Az elektronikus aláírás technikai működésének megértése — kriptográfia, PKI, tanúsítványok — lehetővé teszi a megfelelő megoldás kiválasztását, a jogi kockázatok csökkentését és a szervezeti bevezetés felgyorsítását. Ez a cikk lépésről lépésre végigvezeti Önt az elektronikus aláírást irányító technikai architektúrán és standardokon keresztül 2026-ban.

---

Az elektronikus aláírás kriptográfiai alapjai

Az elektronikus aláírás bevált kriptográfiai primitíveken alapul. Ezek mechanizmusainak megértése azt jelenti, hogy megértjük, miért megbízhatóbb egy digitalizált kézírásos aláírásnál.

Aszimmetrikus titkosítás: nyilvános és privát kulcs

Az alapelv az aszimmetrikus kriptográfia, amely az 1970-es években találták fel és az RSA (Rivest–Shamir–Adleman) vagy az elliptikus görbék (ECDSA) algoritmusai standardizálták. Minden aláíró két matematikailag kapcsolódó kulccsal rendelkezik:

• Privát kulcs: az aláíró által titokban őrzött, biztonságos eszközön (intelligens kártya, HSM token vagy védett szoftver modul). Az aláírás létrehozására szolgál.
• Nyilvános kulcs: szabadon terjesztett, digitális tanúsítványban foglalt. Az aláírás ellenőrzésére szolgál.

A biztonsági elv egy számítási aszimmetriára alapul: matematikai szempontból triviális az aláírás ellenőrzése a nyilvános kulccsal, de gyakorlatilag lehetetlen a privát kulcs rekonstruálása a nyilvános kulcsból (diszkrét logaritmus vagy nagy egészek faktorizálásának problémája).

Hasítási függvények: a dokumentum digitális ujjlenyomata

Az aláírás előtt a rendszer a kriptográfiai ujjlenyomatot számítja a dokumentumnak egy hasítási függvény segítségével (SHA-256 vagy SHA-3 2026-ban). Ez az ujjlenyomat, amelyet hash-nek vagy kondenzátumnak neveznek, rögzített méretű karakterlánc (256 bit a SHA-256 esetében), amely egyedi módon képviseli a dokumentum tartalmát.

Lényeges tulajdonság: a dokumentum egyetlen karakterének módosítása teljesen eltérő hash-t eredményez. Ez garantálja az aláírt dokumentum integritását: bármilyen későbbi módosítás azonnal észlelhető.

Az elektronikus aláírás tehát az aláíró privát kulcsával történő hash-titkosítás. Az ellenőrzéskor a címzett:

1. Dekódolja az aláírást a nyilvános kulccsal az eredeti hash-t visszanyeréshez;
2. Újra kiszámítja a kapott dokumentum hash-ét;
3. Összehasonlítja a kettőt: ha azonosak, az aláírás érvényes.

---

A Nyilvános Kulcs Infrastruktúra (PKI): a bizalmi lánc

A kriptográfia önmagában nem elegendő: bizonyítani kell, hogy a nyilvános kulcs valóban annak az embernek a tulajdona, aki azt állítja. Ez a PKI (Nyilvános Kulcs Infrastruktúra) feladata.

Tanúsítványhatóságok (CA)

A Tanúsítványhatóság (CA) egy akkreditált harmadik fél, amely digitális tanúsítványokat bocsát ki. A digitális tanúsítvány egy szabványosított fájl (X.509 formátum), amely tartalmazza:

• A jogosult identitását (név, szervezet, e-mail);
• Nyilvános kulcsát;
• Az érvényességi időszakot;
• A CA saját digitális aláírását.

Európában az akkreditált CA-k az Megbízható Listákben vannak feltüntetve, amelyeket az EU egyes tagállamai az eIDAS rendelet szerint közzétesznek. Franciaországban az ANSSI közzéteszi és fenntartja ezt a listát. Az akkreditált bizalmi szolgáltatások szolgáltatói (QTSP) — mint a CertSign, Certigna vagy Universign — az ETSI EN 319 401 standard szerint szabályos auditálásnak vannak alávetve.

A tanúsítási lánc és a visszavonás

A PKI egy hierarchikus modellen működik:

• Egy gyökér CA (Root CA), amely önmagára aláírt, maximális fizikai biztonsági feltételek között szállít;
• Közbenső CA-k, amelyek a végfelhasználók tanúsítványait bocsátják ki.

A tanúsítványok visszavonása kritikus mechanizmus: ha egy privát kulcs kompromittálódott, a CA közzéteszi annak semmisségét egy CRL (Certificate Revocation List) vagy az OCSP (Online Certificate Status Protocol) protokollon keresztül, lehetővé téve a valós idejű ellenőrzést.

Az eIDAS szerinti minősített elektronikus aláíráshoz a privát kulcsot egy QSCD-ben (Qualified Signature Creation Device) — CC EAL4+ vagy magasabb szintűen tanúsított eszközben, például intelligens kártyában vagy HSM-ben (Hardware Security Module) kell előállítani és tárolni.

---

Az aláírás három szintje az eIDAS szerint

Az eIDAS n° 910/2014 európai rendelet (és annak fejlődő eIDAS 2.0 változata, amely 2026-ban kerül bevezetésre) az aláírás három szintjét határozza meg, mindegyik növekvő technikai garanciákat nyújt. A szabályozási keretrendszer mélyebb megértéséhez lásd az eIDAS rendeletről szóló teljes útmutatót.

Egyszerű elektronikus aláírás (SES)

Az egyszerű aláírás a technikai szempontból legkevésbé szigorú forma. Olyan egyszerű lehet, mint egy jelölőnégyzet, egy SMS-ben küldött OTP-kód (One-Time Password) vagy egy kézírásos aláírás képe. Nem feltétlenül igényel minősített tanúsítványt.

Tipikus alkalmazás: árajánlatok jóváhagyása, marketingbeleegyezések, alacsony értékű szerződések.

Kockázat: korlátozott bizonyító erő bírósági vitatás esetén. A bizonyítás terhe annak van, aki az aláírást hivatkozza.

Fejlett elektronikus aláírás (AdES)

A fejlett aláírás négy pontos technikai követelménynek felel meg (eIDAS 26. cikk):

1. Az aláíróhoz egyedileg kapcsolódik;
2. Lehetővé teszi az aláíró azonosítását;
3. Az aláíró kizárólagos ellenőrzése alatt álló adatok alapján jön létre;
4. Lehetővé teszi a dokumentum későbbi módosításainak észlelését.

Gyakorlatilag ez egy személyes digitális tanúsítvány és egy robusztus hitelesítési mechanizmus használatát jelenti. A szabványos formátumok az ETSI által vannak meghatározva: PAdES (PDF-hez), XAdES (XML-hez), CAdES (bináris adatok) és JAdES (JSON), mindegyik az ETSI EN 319 100-as sorozatban szabványosított.

Minősített elektronikus aláírás (QES)

A minősített aláírás a legmagasabb szint. Megköveteli:

• Egy akkreditált QTSP által kibocsátott minősített tanúsítványt;
• Egy QSCD-t az aláírás létrehozásához.

Törvényi megbízhatóságú feltételezésből és az EU-szerte jogi egyenértékűségből részesül a kézírásos aláírással (eIDAS 25. cikk). Ez az a szint, amely elektronikus közjegyzi okiratokhoz, bizonyos közjegyzi aktusokhoz vagy érzékeny közbeszerzésekhez szükséges.

Az elektronikus aláírási megoldások összehasonlítása elemzi ezen szintek közötti gyakorlati különbségeket, hogy segítsen Önnek a választásban.

---

A teljes elektronikus aláírási folyamat lépésről lépésre

Így zajlik egy elektronikus aláírási tranzakció a Certyneo-hoz hasonló SaaS-platformon:

1. lépés: dokumentum előkészítése és küldése

Az aláírás kezdeményezője feltölti a dokumentumot (szerződés, módosítás, beszerzési rendelés) a platformra. A rendszer azonnal létrehozza az eredeti fájl SHA-256 hash-ét, időbélyeggel és módosíthatatlansággal tárolva. Ez az ujjlenyomat a jövőbeli ellenőrzések referenciapontjául fog szolgálni.

2. lépés: az aláíró hitelesítése

A kiválasztott aláírás szintjétől függően a hitelesítés eltérő:

• SES: e-mail + aláírási link;
• AdES: erős hitelesítés (OTP SMS, FIDO2 mobilalkalmazás);
• QES: előzetes személyazonosság-ellenőrzés (személyesen vagy video IDV-vel), minősített tanúsítvány kibocsátása egyszeri vagy tartós használatra.

3. lépés: kriptográfiai aláírás létrehozása

Az aláíró elindítja az aláírási aktust. A platform (vagy a QSCD):

1. Kiszámítja a dokumentum hash-ét;
2. Titkosítja ezt a hash-t az aláíró privát kulcsával;
3. Integrál az aláírást és a tanúsítványt a dokumentumba (PAdES-LTV formátumú aláírt PDF hosszú idejű megőrzéshez).

4. lépés: minősített időbélyegzés

Egy minősített időbélyegzési szolgáltatás (TSA) az RFC 3161 normának megfelelően kriptográfiai timestamp-et helyez el, bizonyítva, hogy az aláírás egy adott pillanatban létezett. Ez védelmet nyújt a dátum hamisítása ellen és garantálja az értékeket az idő múlásával — még akkor is, ha az aláíró tanúsítványa később lejár.

5. lépés: bizonyító archívum

Az aláírt dokumentum a teljes naplózási nyomvonallal archiválódik: az aláíró identitása, IP-cím, időbélyegzés, dokumentum hash, használt tanúsítványok. Ez a bizonyítási mappá (audit trail) elengedhetetlen a bírósági vitatás esetén. Az eIDAS-nak megfelelő megoldások ezeket a bizonyítékokat PAdES-LTV (Long-Term Validation) formátumban tartják, amely az ellenőrzési adatokat integrálja, lehetővé téve az aláírás ellenőrzését az aláírást követő évek után.

Ha megérteni szeretné, hogyan integrálható ez a folyamat az emberi erőforrások munkafolyamataiba, fedezze fel az HR-hez szóló elektronikus aláírás megoldást és a letölthető szerződéssablonokat.

Az elektronikus aláírásra vonatkozó jogi keret

Az elektronikus aláírás egy többrétegű szabályozási keret része, amely összeköti az nemzeti polgári jogot és az összehangolt európai jogot.

Francia Polgári Törvénykönyv

Az 1366. cikk az alapelvet rögzíti: „Az elektronikus írás bizonyító erővel rendelkezik, amely megegyezik a papír alapú írásnak, feltéve, hogy az abból származó személy megfelelően azonosítható legyen, és az olyan feltételek között keletkezzen és megőrizzen, amelyek garantálják annak integritását." Az 1367. cikk pontosítja, hogy az elektronikus aláírás „egy megbízható azonosítási eljárás alkalmazásából áll, amely garantálja a kötődését ahhoz az aktushoz, amelyhez csatolódik".

A 2017. szeptember 28-i 2017-1416 számú rendelet meghatározza a megbízhatóság feltételezését az eIDAS-nak megfelelő minősített és fejlett aláírások tekintetében.

eIDAS n° 910/2014 rendelet

Az európai digitális bizalmi jog sarokkövének tekintendő eIDAS (electronic IDentification, Authentication and trust Services) rendelet egységes jogi keretet létesít az elektronikus aláírások, elektronikus pecsétekhez, minősített időbélyegzéshez, ajánlott elektronikus küldési szolgáltatásokhoz és webhelyek hitelesítési tanúsítványaihoz. Az 25. cikk, 2. bekezdése a minősített aláírásnak törvényi egyenértékűség-feltételezést ad a kézírásos aláírással az egész EU-ban.

Az eIDAS 2.0 rendelet (2026. első negyedévében transzponálás alatt) erősíti ezeket a rendelkezéseket az európai digitális identitási tárcával (EUDIW) és kiterjeszti a kötelezettségeket a pénzügyi szolgáltatások és egészségügyi piacokra.

ETSI normák

Az aláírási formátumok az ETSI által szabványosítottak:

• Az ETSI EN 319 132 (XAdES), EN 319 122 (CAdES), EN 319 102 (PAdES) meghatározzák a fejlett és minősített aláírások technikai profiljait;
• Az ETSI EN 319 421 a minősített időbélyegzési szolgáltatások politikáit szabályozza.

GDPR és adatvédelem

Az elektronikus aláírás kontextusában az identitásadatok feldolgozása (név, e-mail, biometria az azonosság ellenőrzéséhez) a GDPR n° 2016/679 hatálya alá esik. Az adatkezelésnek: jogi alapja legyen (jogos érdek vagy szerződés teljesítése), alkalmazza az adatminimalizálás elvét, és biztonsági intézkedésekkel garantálja a biztonságot (titkosítás, pszeudónimizálás).

NIS2 Direktíva

Az NIS2 direktíva (2022/2555/UE), amelyet Franciaországban 2024 októberében ültettek át, az alapvető szolgáltatások üzemeltetőire és digitális szolgáltatások szolgáltatóira (beleértve az elektronikus aláírás szolgáltatóit) erősített kötelezettségeket rónak a kiberbiztonság, a kockázatkezelés és az incidensek 24 órán belüli bejelentésének terén. A be nem tartása 10 millió euró vagy az éves nettó világpiaci forgalom 2%-a maximális büntetésekhez vezethet.

Az elektronikus aláírás konkrét használati esetei

1. eset: egy cég megbízási szerződéseit automatizálja az elektronikus aláírással

Egy üzleti ügyvédi iroda körülbelül 12 munkatárssal havonta átlagosan 120 képviseleti megbízási szerződést kezelt. A papír alapú eljárás nyomtatást, postai küldést vagy személyes átadást jelentett, majd a visszaküldött dokumentumok beolvasása — ezzel átlagosan 4,5 munkanapos késedelem és az értékesítéshez becsült 8%-os dokumentumvesztéshez vezetett.

Az előzetes (AdES) elektronikus aláírás bevezetésével OTP hitelesítéssel az iroda az aláírási késedelmet 4 óra alá csökkentette átlagosan, a dokumentumkimaradás mértékét 1% alá redukálta, és körülbelül 2200 €-t takarított meg éves postai és nyomtatási költségekből. Az automatikusan generált naplózási nyom emellett leegyszerűsített két megbízásvita eljárást, egy megkérdőjelezhetetlen időbélyegzett bizonyítékot nyújtva. Fedezze fel az ügyvédi irodák számára szóló megoldásunkat.

2. eset: egy KKV automatizálja beszerzési szerződéseit

Egy KKV körülbelül 200 szállítói szerződést kezelt évente (általános vételi feltételek, áralapú módosítások, NDA-k), amely több mint három hetes aláírási késedelmek alá esett a német és spanyol partnerekkel való határon átnyúló szerződések tekintetében. A különböző jogrend és a kölcsönös elismerés hiánya lassította az alkufolyamatot.

Egy akkreditált QTSP-vel kibocsátott minősített aláírás (QES) bevezetésével, amely az egész EU-ban elismert, a KKV automatikus jogi elismerésből részesült a három országban további legalizálás nélkül. Az átlagos határon átnyúló aláírási késedelem 18 napról 2,5 napra csökkent. Az elektronikus aláírás a vállalkozásban meghatározza ezeket az előnyöket a beszerzési csapatok számára.

3. eset: egy kórházcsoport biztosítja a páciensek hozzájárulásának kezelését

Egy körülbelül 800 ágyas kórházcsoport a páciensek hozzájárulását kellett összegyűjtenie a klinikai kutatási protokollokhoz. A papíralapú kezelés GDPR-megfelelőségi kockázatokat teremtett (rosszul megőrzött dokumentumok, nyomvonal nélküli dátumok) és az egészségügyi személyzetet adminisztratív feladatokra terheltem.

Egy egyszerű elektronikus aláírás integrálásával, amely SMS-kódon keresztüli azonosítást használ — amely elegendő az emelkedett szintűen nem szükséges aktusokhoz — a kórházcsoport automatizálta az összegyűjtést, archívumozást és a hozzájárulások nyomon követését. A beteg egyes adminisztratív ideje 12 percről 2 perc alá csökkent, körülbelül 800 egészségügyi munkaóra felszabadulásával évente. Az összes dokumentum minősített időbélyegzéssel kerül archiválódik, teljes mértékben kielégítve a CNIL követelményeit. Fedezze fel az egészségügyi aláírási megoldásunkat.

Összegzés

Az elektronikus aláírás technikai működésének megértése — az aszimmetrikus kriptográfiától a PKI-n át a minősített tanúsítványoktól az időbélyegzett bizonyítékokig — elengedhetetlen a megfelelőség és az operatív hatékonyság tárgyában hozott informed döntésekhez. Az három szintű eIDAS (egyszerű, fejlett, minősített) különböző szükségleteknek felel meg, és a választást mindig a jogi kockázat elemzése és a várt bizonyító erő alapján kell végezni.

A Certyneo egy eIDAS-nak megfelelő SaaS-platformmal, akkreditált QTSP-kkel és az meglévő munkafolyamatokba való egyszerűsített integrációval támogatja ezt az átmenetet. Becsülje meg szervezetének potenciális nyereségeit az elektronikus aláírás ROI-kalkulátorunkkal, vagy kezdje közvetlenül az ajánlatunk és árképzésünk megtekintésével. A megfelelőség és a teljesítmény már nem kompromisszumok.