QES, AES és SES: az eIDAS három aláírási szintjének megértése 2026-ban

Az eIDAS rendelet (910/2014. szám) az európai elektronikus aláírási jog alapköve. Hatálybalépése óta három aláírási szintet – SES, AES és QES – alakít ki, amelyek technikai követelményei és bizonyítási értéke radikálisan eltérő. 2026-ban, az eIDAS 2.0 rendelet (EU 2024/1183) fokozatos hatálybalépésével e megkülönböztetések fontossága növekszik minden olyan szervezet számára, amely jogi aktusait teljes megfelelőséggel kívánja dematerializálni. Ez a cikk feltárja e három szint közötti alapvető különbségeket, az általuk előírt kötelezettségeket és azon kritériumokat, amelyeket figyelembe kell venni a megfelelő formátum kiválasztásakor az Ön dokumentumainak jellege szerint.

SES: az egyszerű elektronikus aláírás, rugalmas, de korlátozott

Meghatározás és technikai jellemzők

Az egyszerű elektronikus aláírás (SES, Simple Electronic Signature) az eIDAS rendelet 3(10). cikkében úgy van definiálva, mint „olyan adatok elektronikus formában, amelyek más, elektronikus formában levő adatokhoz csatolva vagy logikailag hozzárendelve vannak, és amelyeket az aláíró aláíráshoz használ". Ez a meghatározás szándékosan széles: egy egyszerű kattintás az „Elfogadom"-ra, egy táblaszámítógépen az ujjal rajzolt aláírás, vagy egy online formularban bejelölt négyzet is ebbe a kategóriába tartozik.

Az SES nem igényli az aláíró előzetes személyazonosságának ellenőrzését, sem semmilyen kriptográfiai tanúsítványt. Megbízhatósága kizárólag a szerződéses kontextusra és a kerületi bizonyítékokra (IP-cím, szerver időbélyegzése, megerősítő e-mail) támaszkodik. Az elektronikus aláírás szójegyzéke a mechanizmusokhoz kapcsolódó technikai kifejezések teljes körét tartalmazza.

Jogi értéke és elfogadási esetek

Az SES az eIDAS 25(1). cikkében rögzített megkülönböztetésmentesség elvéből merít: nem utasítható el bizonyítékként csupán azért, mert elektronikus. Mindazonáltal nem visel magában semmilyen megbízhatósági vélelmet. Vita esetén a bizonyítás terhe teljes egészében arra a félre hárul, amely azt felhasználja. Az elektronikus aláírás jogi értéke ezért erősen függ a megválasztott szinttől.

Az SES megfelelő az alacsony kockázatú aktusokhoz: általános szerződési feltételek elfogadása, belső űrlapok, alacsony értékű online megrendelések vagy elégedettség-felmérések. Alkalmatlan minden olyan dokumentumra, amelyet bíróságon vitathatnak.

AES: a speciális elektronikus aláírás, biztonság és gyakorlatiasság között

Az eIDAS 26. cikkének négy kumulatív kritériuma

A speciális elektronikus aláírás (AES, Advanced Electronic Signature) az eIDAS 3(11). cikkében van definiálva, és az alábbiak szerint meghatározott négy feltételnek kell megfelelnie az eIDAS 26. cikke alapján:

1. Az aláíróhoz egyedileg kötött legyen: egy egyedi azonosító az aláírást egy meghatározott fizikai személyhez köti.
2. Az aláíró azonosítására alkalmas legyen: személyazonosság-ellenőrzés történik (e-mail, telefonszám, személyazonosság igazolványa a szolgáltató függvényében).
3. Az aláíró által kizárólagos kontrollja alatt használható adatokból hozták létre, magas bizalmi szinttel: tipikusan egy OTP-kód, amelyet telefonra küldnek, vagy egy szoftvercertifikát.
4. Az aláírt adatokhoz oly módon kötött legyen, hogy minden későbbi módosítás felismerhető legyen: az aláírás a dokumentum kriptográfiai hasijára alapul.

Alkalmazott technológiák és biztosítsági szintek

A gyakorlatban az AES olyan digitális tanúsítványokon keresztül valósul meg, amelyek lényeges szintűek (az eIDAS rendelet értelmében), többtényezős hitelesítési mechanizmusokon vagy dokumentum-identitás megoldásokon (személyazonossági igazolvány beolvasása, biometrikus összehasonlítás). Az olyan minősített bizalmi szolgáltatások nyújtói, mint a Certyneo, az AES aláírási útvonalakat kínálnak, amelyek távolról történő személyazonosság-ellenőrzést tartalmaznak, az ANSSI referenciakeretei és az ETSI EN 319 401 normák szerint megfelelőek.

Az AES kiváló kompromisszumot kínál biztonság és felhasználói élmény folyékonysága között. Ajánlott a szokásos kereskedelmi szerződésekhez, HR aktusokhoz, partnerségi megállapodásokhoz vagy szolgáltatási szerződésekhez. További információkért tanulmányozza a teljes útmutatót az elektronikus aláírásról a vállalatatnál, amely mélyebb betekintést nyújt a szakmai kontextusban történő felhasználásra.

Az AES korlátai egyes aktusokkal szemben

Az AES elégtelennek bizonyul az autentikus aktusokkal vagy azokkal szemben, amelyeknél a jogszabály kifejezetten a speciális aláírást követeli meg. Franciaországban a Polgári Törvénykönyv 1367. cikke a maximális megbízhatósági vélelmét kizárólag az eIDAS szerinti speciális aláírásokra korlátozza. Az AES elutasítható egy bíróság által, ha az ellenfél fel tudja mutatni az elégtelenséget a személyazonosság-ellenőrzési eljárásban.

QES: a speciális elektronikus aláírás, a kézírásos aláírás jogi egyenértékese

Szabályozási meghatározás és technikai követelmények

A speciális elektronikus aláírás (QES, Qualified Electronic Signature) az eIDAS 3(12). cikkében úgy van definiálva, mint egy speciális aláírás, amelyet egy minősített aláírás-létrehozó eszköz (QSCD) hozott létre, és egy elektronikus aláírási minősített tanúsítványra alapul. E két összetevő elválaszthatatlan.

A minősített tanúsítvány egy minősített bizalmi szolgáltatások nyújtója (QTSP) által kerül kibocsátásra, aki a nemzeti bizalmi lista (Trusted List) nyilvántartásában szereplő, az egyes tagállamok által közzétett listában szerepel. Franciaországban ezt a listát az ANSSI kezeli. A QTSP-nek az eIDAS rendelet I. melléklete szerint és az ETSI EN 319 411-2 normák szerint szerzett auditra és akkreditációra van szüksége.

A QSCD (minősített aláírás-létrehozó eszköz) egy biztonságos hardver- vagy szoftveres támogatás – tipikusan egy intelligenskártya, egy kriptográfiai USB-token vagy egy távoli HSM (Hardware Security Module) – amely garantálja, hogy az aláíró titkos kulcsa nem hozható ki vagy másolható. A QSCD-k követelményeit az eIDAS rendelet II. melléklete részletezi.

Az eIDAS 25(2). cikkének visszavonhatatlan jogi véleme

Az eIDAS 25(2). cikke a QES-nek olyan jogi hatást ad, amely egyenértékű a kézírásos aláírással az Európai Unió összes tagállamában. Ez a vélelem automatikus: az AES-sel ellentétben, amely a QES-t előterjesztő félnek nem kell az eljárás megbízhatóságát bizonyítania. Az ellenfélre hárul az annak megfordítása, ami azonban gyakorlatilag szinte lehetetlen, ha a QTSP és a QSCD megfelelően minősített.

Franciaországban a Polgári Törvénykönyv 1367. cikkének 2. bekezdése ezt a követelményt rögzíti az ezekül jogban: az elektronikus aláírási eljárás megbízhatóságáról vélelmet lehet fenntartani, amíg az ellenkező bizonyítás nem történik, amennyiben az eIDAS minősített elektronikus aláírást alkalmazzák. Ez a vélelem magában foglalja az aláírt dokumentum integritását is.

Minősített tanúsítvány szerzésének eljárása

A minősített tanúsítvány szerzéséhez személyesen vagy azzal egyenértékű távolsági módszerrel végzett személyazonosság-ellenőrzésre van szükség, amely ugyanolyan biztonságot nyújt (például az ISO/IEC 18013 normának megfelelő videó-azonosítás vagy az 2015/1502 végrehajtási rendelet előírásai). Az eljárás magában foglalja:

• Hivatalos személyazonosság-igazolványok gyűjtését
• Ezek hitelességének ellenőrzését (hamisítás-felismerés)
• Az aláíró biometrikus regisztrálását
• A tanúsítvány kibocsátása a QTSP által az ellenőrzés után

Ez az összetett követelmény magyarázza, hogy miért vannak a QES-t nagy kockázatú aktusokra korlátozva: nagy pénzügyi tét alatt álló magánjogú aktusok, elektronikus közjegyzői dokumentumok, közbeszerzések, érzékeny orvosi aktusok, vagy még olyan szakterületek, ahol a szektorszintű szabályozás kifejezetten előírja. A piacon elérhető megoldások összehasonlítása érdekében javasoljuk a elektronikus aláírási megoldások összehasonlítóját, amely útmutatást nyújt a választásban.

Összehasonlító táblázat és választási kritériumok 2026-ban

A strukturáló különbségek összefoglalása

Három tengely segít a gyors megkülönböztetésben:

Személyazonosság-ellenőrzés: semmi az SES-hez, dokumentáris vagy OTP az AES-hez, személyes vagy azzal egyenértékű a QES-hez. Kriptográfiai támogatás: nem létezik az SES-hez, szoftvercertifikát az AES-hez, minősített QSCD a QES-hez. Jogi vélelem: nincs az SES-hez, részleges az AES-hez, teljes és automatikus a QES-hez.

A felhasználói súrlódás szempontjából az egyenlet fordított: az SES gyakorlatilag átlátható, az AES néhány perc ellenőrzést igényel, a QES egy előzetes regisztrációs eljárást feltételez, amely percektől (videó-azonosítás) több napig is eltarthat.

Az eIDAS 2.0 hatása e megkülönböztetésekre 2026-ban

Az eIDAS 2.0 rendelet (EU 2024/1183), amelynek végrehajtási aktusait fokozatosan 2024 óta közzéteszik, több kulcspontot erősít meg. Bemutatja az Európai Digitális Identitási Tárcát (EUDI Wallet), amely végül lehetővé teszi az európai polgárok számára, hogy minősített tanúsítványukat közvetlenül okostelefon-tárcájukban tárolják, jelentősen csökkentve a QES-hez kapcsolódó súrlódást. Tisztázza továbbá a QTSP-kre alkalmazandó követelményeket, és erősíti a nemzeti bizalmi listák irányítását.

Ezenkívül az eIDAS 2.0 kiterjeszti az Unió tagállamai közötti speciális aláírások kölcsönös elismerésének körét, amely az Unió több országában tevékenykedő vállalkozások számára különösen fontos. A teljes útmutató az eIDAS 2.0 rendelethez részletezi e szabályozási fejleményeket. Végül az minősített elektronikus időbélyegzés kérdése – amely a QES kiegészítése a dokumentumok bizonyítási értékének hosszú távú megőrzéséhez – szintén figyelmet érdemel dokumentációs architektúrájának megtervezésénél.

Az SES, AES és QES aláírásokra alkalmazandó jogi keret

Az elektronikus aláírások hierarchiája egy sűrű szabályozási korpuszon alapul, amely az európai és a francia belső jogot összehangolja.

eIDAS 910/2014 rendelet: ez az alapító szöveg az aláírások három szintjét a 3(10)., 3(11). és 3(12). cikkekben határozza meg. A 25. cikk a megkülönböztetésmentesség elvét (§1) és a QES kézírásos aláíráshoz való egyenértékűségének vélelmét (§2) rögzíti. A 26. cikk a speciális aláírás négy kumulatív feltételét felsorolja. A mellékletek rendre a minősített tanúsítványokra (I. melléklet) és a minősített aláírás-létrehozó eszközökre (QSCD, II. melléklet) alkalmazandó követelményeket pontosítják.

eIDAS 2.0 rendelet – EU 2024/1183: 2024. május 20-án hatályba lépett, lényegesen módosítja a 2014. évi rendeletet, különösen az Európai Digitális Identitási Tárca (EUDI Wallet) bevezetésével, a minősített bizalmi szolgáltatások kiterjesztésével és a QTSP-irányítás megerősítésével. A végrehajtási aktusokat 2026-ban továbbra is közzéteszik.

Francia Polgári Törvénykönyv, 1366. és 1367. cikkek: az 1366. cikk az elektronikus írott szöveget ugyanolyan bizonyítékként ismeri el, mint a papír alapú írást, feltéve, hogy megfelelően azonosítható az a személy, akitől ered, és hogy olyan körülmények között állítottak össze és őriztek meg, amelyek alkalmasak annak integritásának garantálására. Az 1367. cikk 2. bekezdése a minősített eIDAS aláírás megbízhatóságáról szól, az eIDAS rendelet 25(2). cikkének közvetlen átültetéseként.

2017. szeptember 28-i 2017-1416 rendelet: részletezi a francia jogban azon feltételeket, amelyek lehetővé teszik a megbízhatósági vélelem előnyeit, kifejezetten az eIDAS rendelet követelményeire hivatkozva a minősített aláírásokhoz.

ETSI normák: az ETSI EN 319 102-1 (aláírás-létrehozás és -érvényesítés eljárások), ETSI EN 319 132 (XAdES formátum), ETSI EN 319 122 (CAdES formátum) és ETSI EN 319 142 (PAdES formátum) normák technikai mérleget nyújtanak az eIDAS-val konzisztens elektronikus aláírások létrehozásához. A minősített szolgáltatók e formátumok megvalósítására kötelezek az európai interoperabilitás garantálásához.

GDPR – EU 2016/679 rendelet: a biometrikus adatok gyűjtése a minősített tanúsítványok kibocsátásához történő személyazonosság-ellenőrzés keretében az érzékeny adatok feldolgozásaként minősül az 9. cikk értelmében. A QTSP-nek kifejezett jogi alapjára, az általa kezelt személyek tájékoztatására és a megfelelő technikai garanciák megvalósítására van szüksége. Egy hatásvizsgálat (AIPD) általában szükséges.

NIS2 direktíva – EU 2022/2555: az alapvető szolgáltatások operátoraira és digitális szolgáltatások nyújtóira alkalmazandó, megerősített kiberbiztonsági követelményeket ír elő, amelyek közvetetten a kritikus elektronikus aláírási infrastruktúrát üzemeltető QTSP-kre is vonatkoznak.

Azok a szervezetek, amelyek elektronikus aláírási megoldásokat telepítenek anélkül, hogy az aktus jogi jellege által előírt szintet figyelembe vennék, a dokumentumok érvénytelensége vagy hatálytalansága, valamint olyan jogviták kockázatának vannak kitéve, amelyek jelentős pénzügyi kárt okozhatnak.

Felhasználási forgatókönyvek: a megfelelő szint kiválasztása a kontextus alapján

1. eset – Ipari KKV számos beszerzői megrendelést kezelő

Egy ipari KKV, amely évente körülbelül 400 beszerzési rendelést és beszerzői szerződést kezel, telepített AES aláírást az összes szokásos kereskedelmi dokumentumára. Az aláírási folyamat egy biztonságos e-mail linkhez és OTP SMS-hez történő ellenőrzésen alapul, horodatázott auditnaplózással minden aktusra. Az aláírás átlagos ideje 4,5 nap (ajánlott levél) helyett kevesebb, mint 3 óra lett. A szerződéses viták száma 18 hónapos üzemeltetés alatt nulla maradt, az auditnaplózás elegendő bizonyítékot nyújtott kereskedelmi vita esetén. Az nyomtatási, postázási és dokumentumkezelési költségek csökkentése körülbelül 60% volt az intézkedési becslések szerint, amely konzisztens az európai szektorszintű tanulmányok által közzétett tartományokkal (Billentis Report, 2025).

2. eset – Üzleti jogi szakterületre szakosodott ügyvédi iroda

Egy nagyjából 15 közreműködővel rendelkező üzleti jogi ügyvédi iroda kétszintű infrastruktúrát valósított meg: AES aláírás belső levelezéshez, képviseleti megbízásokhoz és honoráriumok megállapodásaihoz; QES aláírás nagy tét alatt álló magánjogú aktusokhoz (szociális hányadok értékesítése, megállapodási jegyzőkönyvek, pénzügyi garanciák). A minősített tanúsítványok szerzése a társulások vezetői számára videó-azonosításon keresztül valósult meg az eIDAS-nak megfelelően, személyes megjelenés nélkül, kevesebb, mint 20 perc alatt személyenként. A QES-hez kapcsolódó jogi vélelem lehetővé teszi az irodának, hogy aktusait bármely európai bíróság előtt bemutatsa anélkül, hogy az eljárás megbízhatóságát bizonyítania kellene, ami jelentősen csökkenti az eljárásjogi kockázatot.

3. eset – Kórházcsoportok dematerializálják HR és orvosi aktusait

Egy körülbelül 1200 ágyas kórházcsoportok a dokumentumok jellege szerinti differenciált megközelítést választottak. A munkavállalási szerződések, módosítások és munkaköri leírások AES-ben aláírásra kerülnek, lehetővé téve az érintett 800 alkalmazott számára, hogy okostelefonról aláírjon nehéz infrastruktúra nélkül. A speciális orvosi megállapodásokhoz és azokhoz a dokumentumokhoz, amelyekhez a szanitátási szabályozás által előírt erős hitelesítés szükséges (HDS), a QES-t telepítik a kijelölt orvos-aláírók számára. Ez a hibrid modell 75%-kal csökkenti a HR-dossziék összeállítási idejét a toborzások során, amely különösen kritikus erőforrás az orvosi erőforrások feszültsége alatt. Biztosítja továbbá az CNIL követelményei szerinti megfelelőséget az egészségügyi adatok feldolgozásai tekintetében.

Gyakran ismételt kérdések

Mi a fő különbség a QES és az AES között az eIDAS-ban?

Az alapvető különbség két elemből adódik: a tanúsítvány és az aláírási eszköz. A QES kötelezően egy akkreditált szolgáltató (QTSP) által kibocsátott minősített tanúsítványon és egy anyagilag biztonságos minősített aláírás-létrehozó eszközön (QSCD) alapul. Az AES egy szoftvercertifikátot és kevésbé szigorú személyazonosság-ellenőrzést használhat. Közvetlen következmény: a QES automatikus jogi vélelmét élvezi az egész Európai Unióban a kézírásos aláíráshoz való egyenértékűségről, amit az AES nem garantál automatikusan.

Mely esetekben kötelezõ a QES aláírás használata?

Az európai jog általában nem ír elő kötelezően QES-t, azonban több szektorszintű vagy nemzeti szabályozás implicit vagy kifejezetten előírja. Ez az autentikus elektronikus aktusok, bizonyos közbeszerzések, dematerializált közjegyzői aktusok, vagy olyan szabályozott szakterületek, mint a banki szektor (DSP2, megerősített KYC) vagy az orvoslás, vonatkozik. Az általános szabály a következő: minél magasabb az aktus jogi vagy pénzügyi tétje, annál ajánlottabb a QES-hez való fordulás minden vitatási kockázat kiküszöbölésére.

Van-e jogi értéke az SES aláírásnak Franciaországban 2026-ban?

Igen, az SES aláírás jogi szempontból elfogadható Franciaországban az eIDAS rendelet 25(1). cikkében rögzített megkülönböztetésmentesség elve és a Polgári Törvénykönyv 1366. cikke alapján. Nem utasítható el bizonyítékként csupán azért, mert elektronikus. Másrészt semmilyen megbízhatósági vélelmét nem élvezi: vita esetén az azt felhasználó félnek más eszközökkel kell igazolnia a robusztusságát (naplók, IP-cím, auditnaplózás). Ezért használata alacsony kockázatú aktusokra korlátozódjon.

Egy Franciaországban beszerzett minősített tanúsítvány az egész Európai Unióban elismert?

Igen. Az eIDAS rendelet 25(2). cikke és a nemzeti bizalmi listák (Trusted Lists) kölcsönös elismerésének mechanizmusa garantálják, hogy egy minősített tanúsítvány, amelyet egy Franciaországban akkreditált QTSP bocsátott ki, az Európai Unió összes tagállamában azonos jogi hatással ismert el. Az eIDAS 2.0 (EU 2024/1183) még tovább erősíti ezt az elvet azzal, hogy kiterjeszti az elismerést a rendelet által bevezetett új minősített bizalmi szolgáltatásokra.

Hogyan ellenőrizhetem, hogy egy aláírási szolgáltató valóban minősített eIDAS-e?

Minden tagállam megközzétesz és karbantart egy hivatalos bizalmi listát (Trusted List), amely az összes akkreditált minősített bizalmi szolgáltatások nyújtóját (QTSP) felsorolja a területén. Franciaországban ezt a listát az ANSSI teszi közzé és frissíti hivatalos webhelyén. Az Európai Bizottság az összes nemzeti lista összegyűjtésének az EU Trusted List Browser portálon (tlbrowser.tsl.europa.eu). Az aláírási tanúsítványok kibocsátása előtt ellenőrizze, hogy egy szolgáltató ott szerepel-e.

Összefoglalás

Az eIDAS rendelet által meghatározott három elektronikus aláírási szint – SES, AES és QES – alapvetően eltérő jogi és operatív szükségletekre válaszol. Az SES alkalmas alacsony tétű aktusokra, az AES a legtöbb szokásos szakmai szerződést lefedi, kiváló egyensúlyt nyújtva biztonság és folyékonyság között, míg a QES erős jogi értékű aktusokra vonatkozik, mivel az egész Európai Unióban biztosít jogi vélelmét a kézíráshoz való egyenértékűségről. 2026-ban az eIDAS 2.0 fokozatos hatálybalépésével e megkülönböztetések elsajátítása stratégiai jelentőségűvé válik minden olyan szervezet számára, amely dokumentumkezelési folyamatait dematerializálja.

A Certyneo segítségével üzembe helyezheti a három aláírási szintet az Ön valós szükségletei szerint, egy egyesített interfészen keresztül, amely az eIDAS és az ANSSI követelményeinek megfelel. Fedezze fel ajánlatainkat, vagy becsülje meg nyereségeit azonnal a elektronikus aláírási ROI-kalkulátorunk segítségével, vagy vegye fel a kapcsolatot csapatunkkal a dokumentumfolyamatok személyre szabott auditjéhez.