Elektronikus aláírás felhőben vagy on-premise-ben: milyen választás 2026-ban?

Bevezetés

Az elektronikus aláírás felhőalapú és on-premise tárolása közötti választás 2026-ban az egyik legfontosabb stratégiai döntés a DSI vagy a jogi igazgatás számára. Bár a SaaS széles körben megnyerte a KKV-kat egyszerű telepítése miatt, a nagyobb vállalatok és az ágazati szabályozási korlátok alatt álló szervezetek továbbra is kérdezik a belső tárolás relevanciáját. Ez az alapos összehasonlítás a két modellt öt kulcsszerű tengely mentén elemzi: adatszuverenitás, technikai biztonság, eIDAS-megfelelőség, teljes tulajdonlási költség és üzleti mozgékonyság. A cikk végén gyakorlati döntési kerettel fog rendelkezni az Ön kontextusához megfelelő architektúra kiválasztásához.

A két tárolási modell megértése

Elektronikus aláírás felhőben (SaaS)

A felhőalapú modellben a szoftver kiadó kezeli az összes infrastruktúrát: szerverek, frissítések, elérhetőség, adatmentés és adatbiztonság. Az ügyfél vállalat az API-n vagy webes felületen keresztül éri el a megoldást, anélkül, hogy helyi telepítésre lenne szükség. Az európai piacok szereplői — köztük a Certyneo — általában ISO 27001 tanúsítvánnyal rendelkező adatközpontokat használnak az Európai Unióban (Franciaország, Németország, Hollandia), biztosítva a GDPR-megfelelőséget az ügyfél további erőfeszítése nélkül.

Az előnyök jól ismertek: néhány óra alatt megvalósítható bevezetés, azonnali skálázhatóság, automatikus frissítések, amelyek beépítik a szabályozási változásokat (eIDAS 2.0, DSP3, NIS2), valamint használat alapú gazdasági modell (OPEX). Ez a rugalmasság magyarázza, hogy számos vállalat, különösen a kisebbek, ma már a SaaS megoldást részesítik előnyben a dematerializációs eszközeik terén.

On-premise telepítés

Az on-premise abból áll, hogy az elektronikus aláírási platformot közvetlenül a vállalat szervereire vagy egy olyan magán-adatközpontra telepítik, amelyet a vállalat irányít. Ez a modell teljes kontrollt biztosít az adatok, folyamatok és biztonsági irányelvek felett. Történelmileg a bankok, biztosítók, kórházak vagy érzékeny adatokkal foglalkozó közigazgatási intézmények fogadják el, amelyek specifikus referenciakerre vonatkoznak (HDS, SecNumCloud, PGSSI-S).

Az ár jelentős operatív terhelés: az IT-csapatnak kezelnie kell a frissítéseket, a minősített aláírási tanúsítványokat, a HSM-eket (Hardware Security Modules), a magas rendelkezésre állást és a szabályozási figyelmet. A kezdeti költség (CAPEX) magas, a licencek akár 80 000 €-t is meghaladhatnak vállalati telepítésnél, plusz az éves infrastruktúra költségei.

Adatszuverenitás és szabályozási megfelelőség

A GDPR és az adattárolás helye

Az eIDAS-szabályozás és annak hatásai a minősített aláírásokra előírják, hogy a bizalmi szolgáltatás szolgáltatóit (PSCo) auditálni kell és fel kell sorolni a nemzeti megbízható listákon. Akár felhőt, akár on-premise-t választ, megoldásának mindenképpen minősített PSCo-ra kell támaszkodnia. Az igazi GDPR-kérdés az EU-n kívüli adatátvitelekről szól: az amerikai hiperscalerek-nél (AWS, Azure, GCP) üzemeltetett felhő érvényes szerződéses szabványos záradék (SCC) nélkül akár a világszintű forgalom 4%-áig terjedő büntetéseket kockáztat.

A Certyneo-hoz hasonló európai felhőmegoldások ezt az igényt természetesen teljesítik, kizárólag Franciaország-ban található szerverek és az GDPR 28. cikkéhez megfelelő DPA (Adatfeldolgozási Megállapodás) előfizetéskor.

SecNumCloud és szabályozott ágazatok

Az életvitálisan fontos operátorok (OIV) és a DINUM Cloud központú doktrína alá tartozó szervezetek számára a szükséges SecNumCloud minősítés fokozatosan kötelezővé válik. 2026-ban csak néhány francia felhőszolgáltató szerezte meg ezt a minősítést (OVHcloud, Outscale). Az érintett szervezeteknek vagy minősített SecNumCloud felhőt kell választaniuk, vagy az ANSSI RGS v2 referenciakerre megfelelő on-premise-t kell fenntartaniuk.

Megjegyzendő, hogy a NIS2, amelyet a 2025. január 26-i törvény transzponált a francia jogba, kiterjeszti a kiberbiztonsági kötelezettségeket több mint 15 000 lényeges és fontos entitásra, új szabályozási nyomást hozva az architektúra választására.

Teljes tulajdonlási költség: összehasonlító elemzés

Az 5 éves TCO (Total Cost of Ownership) elemzés szisztematikusan felhővel előnyös a 50 000 aláírás/év alatti volumen esetén. Ennél nagyobb volumen felett az on-premise versenyképessé válhat, ha az infrastruktúra már létezik. A Certyneo ROI kalkulátora lehetővé teszi ennek az átcsapási küszöbnek a pontos becsléséhez az Ön volumenálása és szektora alapján.

A tipikus on-premise telepítés 1000 alkalmazottal rendelkező vállalat esetén:

• Kezdeti licenc: 60 000 és 120 000 € közötti
• HSM és dedikált szerverek infrastruktúrája: 30 000 és 50 000 € közötti
• Éves karbantartás (licenc 20%-a): 12 000 és 24 000 €/év
• Belső IT-erőforrások: 0,5 és 1 dedikált FTE

Ehhez képest egy ugyanolyan kapacitású felhőalapú SaaS általában 18 000 és 40 000 €/év között van, nulla CAPEX-szel.

Technikai biztonság: az egyes modellek előnyei és korlátai

Biztonság felhőalapú környezetben

Ellentétben egy kitartó előítélettel, a szakosodott szerkesztő felhője gyakran magasabb biztonsági szintet kínál, mint egy tipikus on-premise vállalati infrastruktúra. Az okok szerkezetiek: a szerkesztők jelentősen befektetnek dedikált csapatokba (24/7 SOC, negyedéves penetrációs tesztek, ISO 27001 és SOC 2 Type II tanúsítványok), amely a legtöbb belső DSI-hez nem érhető el.

A legjobb gyakorlatok közé tartozik az AES-256 titkosítás nyugalomban és a TLS 1.3 tranzitban, az alapértelmezett többfaktoros hitelesítés, az aláírási események felhasználhatatlan naplózása és a geo-redundáns biztonsági másolatok. Az elektronikus aláírás jogi értéke pontosan ezen az eltávolíthatatlan nyomon követhetőségen alapul.

Az on-premise-re jellemző kockázatok

Az on-premise specifikus, gyakran alulbecsült kockázatokat teremt:

• Verziódrift: dedikált csapat nélkül a kriptográfiai frissítések (tanúsítványok visszavonása, SHA-3-ra váltás) késlekednek, kitéve a vállalatot a technikailag érvénytelen aláírásoknak.
• HSM kezelés: egy helytelenül konfigurált vagy frissítetlen firmware-rel rendelkező Hardware Security Module megsemmisíti a nem-tagadási garanciákat.
• Üzletmenet-helyreállítási terv: egy belső on-premise rendelkezésre állása (SLA) ritkán haladja meg a 99,5%-ot, szemben a strukturált felhőalapú SaaS 99,95%-ával.

Az olyan szervezetek, amelyek szuverenitást és operatív delegálást szeretnének kombinálni, a privát felhő modell (dedikált Private Cloud tanúsított adatközpontban HDS vagy SecNumCloud) releváns középutat képez.

Integráció, mozgékonyság és fejleszthetőség

API és interoperabilitás

Mindkét modell mostanra dokumentált REST API-kat biztosít. Mindazonáltal a frissítés sebessége szerkezetileg eltérő: egy felhőszerkesztő új funkciókat (biometrikus aláírás, AI dokumentumcsalás-észlelés, eIDAS 2.0 Wallet támogatás) néhány héten belül telepít, míg az on-premise egy belső minősítési ciklust igényel verzió-frissítésenként 3-6 hónapos.

Az elektronikus aláírás ERP-be (SAP, Oracle), HRIS-be vagy DMS-be (OpenText, Alfresco) való integrálásához a felhő előre összeállított, a szerkesztő által karbantartott összekötőket kínál. Az elektronikus aláírási megoldások teljes összehasonlítása részletezi a fő piaci szereplők integrációs képességeit.

Méretezhetőség és volumen

Felhőben a méretezhetőség csaknem azonnali: egy 10 000 egyidejű aláírást felvevő kampány (részvénytársulásmenet, tömeges HR-telepítés) előzetes konfigurálás nélkül felszívódik. On-premise-ben az infrastruktúra túlméretezésének meg kell előzni a csúcsokat, termékinmobilizációs költségeket generálva.

A gyorsan növekvő vagy szezonális ciklusokat gyakorló szervezetek (ingatlan, biztosítás) különösen az elastikus felhőből profitálnak. Az elektronikus aláírás az ingatlanpiacban, például piaci ciklusokhoz kötött volumen-csúcsokkal találkozik, amely egy permanensen túlméretezett on-premise-t tenné tarthatatlanná.

Döntési kritériumok: melyik modell melyik profilhoz?

Vállalatok és KKV-k specifikus ágazati korlátok nélkül

Egy 10-500 alkalmazottal rendelkező KKV számára specifikus ágazati szabályozási kötelezettség nélkül a felhőalapú SaaS végérvényes: gyors telepítés, kontrollált költség, eIDAS és GDPR megfelelőség a szerkesztő által garantálva. Az integráció a meglévő HR-eszközökbe könnyen történik a natív összekötőkből — amint az a elektronikus aláírás az HR-csapatoknál mutatja, amely fizetési csekk, szerződések és megállapodásos felmondások nélkül dedikált infrastruktúra.

Nagy vállalatok és szabályozott ágazatok

Az egészségügyi adatokat kezelő vállalatok (HDS kötelező), kritikus pénzügyi adatokat vagy osztályozott információkat az on-premise vagy minősített privát felhőt komolyan mérlegelniük kell. A kérdés nem technikai, hanem szabályozási: az alkalmazandó referencia lehetővé teszi-e vagy sem a nyilvános felhőt?

A hibrid architektúra — felhő a szokásos aláírásokhoz, on-premise a legérzékenyebb minősített aktusokhoz — több nagy francia csoport által 2024 óta alkalmazott. Ez a modell szigorú szervezést és szilárd API-átjárókat igényel.

Közigazgatási szervezetek és adminisztrációk

A DINUM 2023-1 körkörözés óta az állami közigazgatások arra ösztönözik, hogy a SecNumCloud-minősítés felhőjeit részesítsék előnyben. Az on-premise továbbra is megengedett az érzékeny információs rendszereknél (SIS), de a RGS v2-nek és az egészségügyi adatokhoz a PGSSI-S-nek kell megfelelnie. Az elektronikus aláírás az ügyvédi irodákban mutatja, hogy a nyomon követhetőség iránti erős igénnyel rendelkező szervezetek hogyan találják meg az egyensúlyt e két modell között.

Az elektronikus aláírási megoldás tárolásához alkalmazandó jogi keret

A felhő és az on-premise közötti választás a jogi szempontból nem semleges. Számos normatív corpus közvetlenül szabályozza az aláírási megoldások technikai architektúráját.

Polgári törvénykönyv, 1366. és 1367. cikkek: Ezek a rendelkezések az elektronikus aláírást a megbízható eljárásként definiálják, amely garantálja a közvetlen azonosítást. Az eljárás megbízhatósága addig vélelmezhető, amíg az ellenkezője bizonyított nem lesz, amikor minősített elektronikus aláírást használnak. Ez a vélelem az aláírási modellmódtól függetlenül érvényes, feltéve, hogy a bizalmi szolgáltatás szolgáltató (PSCo) minősített.

Az eIDAS n° 910/2014 rendelet és az eIDAS 2.0 (UE rendelet 2024/1183): Az eIDAS rendelet három aláírási szintet különböztet meg (egyszerű, fejlett, minősített). A minősített aláírás szükségszerűen a nemzeti megbízható lista (az ANSSI francia lista) által felsorolt PSCo közreműködését igényli. Függetlenül attól, hogy megoldása felhőben vagy on-premise-ben van, a minősített aláírásokat kibocsátó PSCo-val kell csatolódnia. Az eIDAS 2.0, amely 2024 május óta alkalmazható, bemutatja az európai digitális identitási pénztárcát (EUDIW) és szigorítja a tanúsítványa-kezelés követelményeit.

Az GDPR n° 2016/679 rendelet: A 28. cikk előírja a felhőszolgáltatóval az adatfeldolgozási szerződés (DPA) megkötését, ha az Ön nevében személyes adatokat kezel. A 44. cikk tiltja az EU-n kívüli adatátviteleket megfelelő garanciák nélkül (szerződéses szabványos záradékok vagy kötelező vállalati szabályok). A belső on-premise-ben ez a kötelezettség eltűnik, de a vállalat a szervezet felelőssé válik, és dokumentálnia kell az 32. cikk szerinti technikai és szervezeti intézkedéseket (MTO).

A NIS2 irányelv (UE irányelv 2022/2555), amelyet az 2025. január 26-i törvénnyel transzponáltak Franciaországban: Az alapvető és fontos entitások (energia, egészségügy, pénzügyek, víz, digitális, szállítás, közigazgatás szektora) megfelelő kiberbiztonsági intézkedéseket kell, hogy végezzenek, beleértve a digitális ellátási lánc kockázatkezelését. Az elektronikus aláírás felhőszolgáltatója kritikus harmadik féllel szembesül a NIS2 értelmében: kötelező vizsgálat, specifikus szerződéses záradékok és auditálási jogok.

Az ETSI EN 319 132 és ETSI EN 319 122 szabványok: Ezek a szabványok az európai nyilvános pályázatokban elfogadott fejlett elektronikus aláírás formátumokat (XAdES, PAdES, CAdES) és a B2B-cserét definiálják. Ennek a formátumoknak a megfelelőségét meg kell vizsgálni az alkalmazott architektúrától függetlenül.

Általános biztonsági referencia (RGS v2) és HDS: Az adminisztrációk és az egészségügyi adatok tárolóinak az ANSSI RGS v2-jét és az egészségügyi adatok tárolójának tanúsítványát (HDS, 2018. június 11-i rendelet) kell alkalmazniuk. A nem HDS tanúsított felhő jogilag diszkvalifikálódik az egészségügyi személyes adatok tárolásához, még átmenetileg betegségi engedély aláírása közben sem.

Jogi kockázatok előrelátása: A nem-megfelelő rendszerből kibocsátott aláírás vitatható lehet a bíróságon, különösen ha a dokumentum integritása vagy az aláíró azonossága nem bizonyítható vitathatatlanul. A bizonyítás terhe azon múlik, aki az aláírást hivatkozza. Az üzembe helyezés előtti megfelelőségi audit, felhőban vagy on-premise-ben, erősen ajánlott.

Illusztratív felhasználási forgatókönyvek: felhő vagy on-premise, az üzleti kontextustól függően

Forgatókönyv 1 — Közepes ipari csoport 15 000 éves szerződéssel

Ezek a forgatókönyvek illusztratívak: tipikus helyzeteket mutatnak be, és nem valós ügyféli eredményekről számolnak be. Egy ipari középvállalat (kb. 1200 munkavállaló, 3 franciaországi gyártóhely) a teljes beszállítói, ügyféli és alvállalkozói szerződésállományát szeretné digitalizálni. Átlagosan évi 15 000 aláírást kezel, januári (keretszerződések megújítása) és szeptemberi (beszerzési kampányok) csúcsidőszakokkal. Ipari adatai érzékenyek, de nem minősítettek.

Az ötéves TCO-elemzés után a pénzügyi vezetés arra a következtetésre jut, hogy egy ISO 27001 tanúsítvánnyal rendelkező európai SaaS felhőmegoldás olcsóbb, mint egy azzal egyenértékű on-premise telepítés (a költségek megosztása a szolgáltatónál, szemben a belső dedikált informatikai erőforrásokkal). Az informatikai igazgatóság Franciaországban üzemeltetett felhőmegoldást választ, dokumentált REST API-val, közvetlenül integrálva az ERP-rendszerébe. A szezonális csúcsokat többletköltség nélkül kezeli a rendszer. A beszállítói szerződések aláírási átfutási idejének, valamint a papíralapú kezelési és emlékeztetési költségeknek csökkenniük kell. A nyereség mértékét a tényleges működési területen, egy pilot előtt és után kell mérni.

Forgatókönyv 2 — 1200 ágyas kórházi csoport, amely a HDS tanúsítványra vonatkozik

Egy közfinanszírozott kórházi csoport szeretné dematerializálni betegi beleegyezéseit, szabad orvos szerződéseit és nyilvános pályázatait. Az kezelt adatok egészségügyi személyes információkat tartalmaznak, amely az HDS (Egészségügyi Adatok Tárolója) tanúsítványt és a PGSSI-S-t követeli meg.

A tiszta on-premise megoldást elvetik a HSM-ek karbantartásának bonyolultsága és a belső kriptográfiai kompetenciák hiánya miatt. A csoport egy HDS-tanúsítvánnyal és SecNumCloud minősítéssel rendelkező szolgáltatónál üzemeltetett privát felhőt választ. Az aláírási megoldást ebben a dedikált felhőben telepítik, szigorú hálózati elkülönítéssel és a belső SIEM-be exportált auditnaplókkal. A költség magasabb, mint egy standard megosztott felhőé, de alacsonyabb, mint egy teljes on-premise megoldásé. Üzemeltetési előny: a havi hozzájárulásokat gyorsabban dolgozzák fel, mint papír formátumban, a HAS követelményeinek megfelelő teljes nyomon követhetőséggel. A nyereség mértékét a tényleges volumenen, egy pilot előtt és után kell mérni.

Forgatókönyv 3 — 25 fős ügyvédi iroda, amely az aláírást a napi munkafolyamatba integrál

Egy párizsi ügyvédi iroda naponta kezeli az átadásokat, egyezség jegyzőkönyveit és megbízásokat, amely minősített elektronikus aláírást igényel. Az ügyfél-adatok bizalmassága prioritás, de az irodának nincs saját IT-infrastruktúrája.

Az on-premise megoldást erőforrásproblémák miatt eleve kizárják. Az iroda egy európai felhő alapú SaaS-t választ, end-to-end titkosítással, az ügyfél által kezelt titkosítási kulcsokkal (BYOK – Bring Your Own Key), és szerződéses garanciával arra, hogy a szolgáltató nem fér hozzá az adatokhoz. Ez az úgynevezett zero knowledge architektúra egyszerre felel meg az Ügyvédi Kamara etikai követelményeinek és a GDPR kötelezettségeinek. Az ügykezelő szoftverrel (API-n keresztül) történő integráció csökkenti az aláírásra kész irat előkészítési idejét. A nyereség mértékét a tényleges működési területen, egy pilot előtt és után kell mérni.

Összefoglalás

Felhő vagy on-premise: nincs univerzális válasz, de strukturált döntési keret létezik. A legtöbb francia vállalat — KKV, ETI kritikus sektorszintű korlátozás nélkül — az eIDAS és GDPR-val kompatibilis európai felhőalapú SaaS-t találja a legjobb aránynak a biztonság, megfelelőség és teljes tulajdonlási költség között. Az on-premise vagy minősített privát felhő továbbra is releváns az olyan szabályozott szektornál (egészségügyi, védelmi, OIV), ahol a megkötő referenciakerre (HDS, SecNumCloud, RGS v2) az infrastruktúra teljes kontrolját előírja.

2026-ban az igazi kérdés nem a „felhő vagy on-premise", hanem a „milyen szuverenitási szint mely adatokhoz, mely minősített PSCo-val?" Certyneo ezeket az igényeket teljesíti kizárólag Franciaországban üzemeltetett felhőalapú architektúrával, ISO 27001 tanúsítvánnyal, eIDAS 2.0 és GDPR-megfelelőséggel. Fedezze fel ajánlatainkat és áraikat a Certyneo-nál vagy lépjen kapcsolatba csapatunkkal az elektronikus aláírási igényének ingyenes vizsgálatához.