Elektronikus aláírás: nyomon követhetőség és belső audit 2026-ban

A demateriális dokumentumáramlások szaporodása a vállalatokat gyakran alulbecsült kockázatnak teszi ki: az aláírással kapcsolatos események teljes láncolatának visszaállíthatatlansága vita vagy ellenőrzés esetén. Pedig az elektronikus aláírás teljes nyomon követhetősége nem csupán egy technikai kényelem – ez egy jogi követelmény, a belső audit eszköze és egy döntő érv a polgári és kereskedelmi bíróságok előtt. Ez a cikk az eIDAS keretrendszer által előirányzott nyomon követési mechanizmusokat, azok felhasználását egy robusztus belső auditrendszerben, az eseménynaplók tárolásának bevált gyakorlatát és egy megfelelő megoldás kiválasztási kritériumait tárgyalja.

Mit jelent a nyomon követhetőség az elektronikus aláírásban?

A teljes auditnyom összetevői

Az elektronikus aláírással rendelkező dokumentumhoz tartozó auditnyom (vagy audit trail) sokkal több, mint egy egyszerű időbélyeg. Ez az eseményi dokumentáció teljes halmazát foglalja magában a dokumentum kibocsátásától az aláírás archiválásáig, az egyes lekérdezések, visszautasítások, delegálások vagy közbenső jóváhagyások között. Gyakorlatilag egy megbízható eseménynaplóban rögzítésre kerül:

• Az aláíró igazolt személyazonossága: az alkalmazott hitelesítési módszer (OTP SMS, minősített tanúsítvány, eIDAS digitális identitás), IP-cím, eszközújjlenyomat (device fingerprint).

• Minősített időbélyeg: egy akkreditált Bizalmas Szolgáltatások Szolgáltatója (BSzSz) által biztosított, amely az ETSI EN 319 421 szabvány szerint vitathatatlanul rögzíti az időt minden egyes műveletnél.

• A dokumentum integritása: kriptográfiai kivonat (SHA-256 vagy SHA-3), amelyet minden egyes interakcióelőtt és után számítanak, lehetővé téve az eltérések felderítését.

• Kontextus metaadatok: böngésző, nyelv, képernyőfelbontás, opcionális geolokalizáció RGPD-s hozzájárulással, időzóna.

Ez a granularitás elengedhetetlen ahhoz, hogy a napló a francia és európai bíróságok előtt elfogadható bizonyítékot képezzen. Ha mélyebben szeretne megismerkedni ezeknek a mechanizmusoknak a jogi alapjaival, tekintse meg elektronikus aláírásról szóló teljes útmutatónkat.

Az aláírási szintek és a hozzájuk tartozó nyomon követési szint

Az eIDAS rendelet három aláírási szintet különböztet meg – egyszerű (SES), fejlett (AdES) és minősített (QES) – és mindegyik eltérő nyomon követési fokú:

| Szint | Szükséges minimális nyomon követhetőség | Bizonyítóerő | |---|---|---| | Egyszerű (SES) | Időbélyeg, IP, e-mail | Egyszerű vélelmezhető | | Fejlett (AdES) | Erős hitelesítés, tanúsítvány, teljes auditnyom | Erős (a bizonyítási teher megfordítása nehéz) | | Minősített (QES) | Minősített tanúsítvány QSCD + minősített TSA | Egyenértékű a kézírott aláírással |

A szint kiválasztása az egyes dokumentumáramlásokra végzett kockázatelemzés alapján történjen. Az elektronikus aláírási megoldások összehasonlítása segít azonosítani a szituációhoz legmegfelelőbb megoldást.

A nyomon követhetőség integrálása a belső auditrendszerbe

A kritikus dokumentumáramlások feltérképezése

Az aláírási megoldás telepítése előtt a belső audit csapatának fel kell térképeznie az összes érzékeny dokumentumáramlást: kereskedelmi szerződések, HR módosítások, igazgatósági jegyzőkönyvek, átutalási parancsok, titoktartási megállapodások (NDA). Az egyes áramlásokhoz meg kell határozni:

• A szükséges aláírási szint a jogi értékesség és a társított pénzügyi kockázat alapján.

• Az érintett szereplők és azok szerepei (kezdeményező, ellenőrző, aláíró, archiváló).

• A naplók tárolási időtartama, a vonatkozó elévülési határidőkkel összhangban (5 év kereskedelmi ügyek esetén, 10 év az autentikus okiratokért).

• A naplók hozzáférési feltételei, az úgynevezett funkciók szétválasztásának biztosítása mellett.

Ez a térképezés az elektronikus aláíráshoz kapcsolódó belső ellenőrzési referencia alapját képezi. Természetesen beletartozik egy elektronikus aláírás-kezelés egy vállalatban szélesebb körű megközelítésébe.

Az eseménynaplók kihasználása a belső audit során

A belső auditot végző missziók során az elektronikus aláírási platform által generált eseménynaplók lehetővé teszik:

• A delegáció ellenőrzésének teljesülésének ellenőrzését: ki írta alá mit, milyen szintű felhatalmazással, mikor?

• Az időbeli anomáliák felismerését: egy szerződés munkaidőn kívül, szokatlantól eltérő helyről vagy anomálisan rövid időtartamon belül aláírt dokumentuma csalást jelezheti.

• Az aláíró nyilatkozatainak megerősítését: olyan esetben, ha az aláíró tagadja, hogy aláírta az aláírást, az auditnapló technikai ellenbizonyítékot nyújt.

• A megfelelőségi jelentések táplálása: RGPD (feldolgozási nyilvántartás), ISO 27001 (hozzáférési nyomon követhetőség), szektorszintű irányelvek (DSP2, biztosítási szektor, egészségügyi).

Figyelemre méltó pont: az eseménynaplók maguk is sérthetetlenek és megváltoztathatatlanak kell legyenek. A bevált gyakorlat az, hogy ezeket rendszeresen időbélyeggel látják el és egy termelési rendszertől elkülönített digitális széfben tárolják, ideális esetben egy minősített elektronikus archívum (AEVP) segítségével, amely megfelel az NF Z 42-013 szabványnak.

Az audit jelentésének automatizálása API-kkal

A modern elektronikus aláírási platformok REST API-kat mutatnak be, amelyek lehetővé teszik a nyomon követési adatok automatikus kinyerését és azok a vállalat GRC eszközeibe (Governance, Risk & Compliance) való injektálását (ServiceNow, SAP GRC, IBM OpenPages stb.). Ez az automatizálás jelentősen csökkenti a belső revizorok terhelését és kiküszöböli az emberi hiba lehetőségét a bizonyítások kézi konszolidálása során. A Certyneo elektronikus aláírás ROI-kalkulátora bemutatja ezzel az integrációval kapcsolatos mérhető termelékenységi nyereségeket.

Az aláírási bizonyítékok tárolása és archiválása

A tárolás jogi időtartamai és elévülés

Az aláírási bizonyítékok tárolása több, egymásra épülő jogi rendszerre hagyatkozik:

• Kereskedelmi jog (C. com. L. 123-22. art.): a számviteli dokumentumokat és a bizonylatok 10 évig meg kell őrizni az év lezárásától számítva.

• Közös elévülés (polgári jog 2224. cikk): 5 év a személyes vagy mozgatható eszközök igényeinek meghosszabbítása esetén, az időpontban kezdve, amikor a jogosult tudott vagy tudnia kellett volna az esetekről.

• Munkaügyi jog: a fizetési cédulák 50 évig vagy az alkalmazott 75 éves koráig meg kell őrizni.

• Egészségügyi adatok: 20 év az utolsó látogatástól számítva (CSP R. 1112-7. art.).

Ezek az időtartamok szükségessé teszik, hogy az archiválási megoldás garantálja a formátumok olvashatóságát hosszú időtartamon (PDF/A-3, XAdES-LTA XML-aláírásokhoz) és a dekódolókulcsok hozzáférhetőségét.

Hosszú élettartamú aláírási formátumok

Az XAdES-LT és XAdES-LTA (Long Term Archival) profilok, amelyeket az ETSI EN 319 132 szabvány határoz meg, beágyazzák az aláírt fájlba az eltérő érvényesítéshez szükséges összes információt: teljes hitelesítési lánc, OCSP vagy CRL válaszok, archívum időbélyeg. Ez az önellátó dokumentáció kritikus, mivel a hitelesítésszolgáltatók tanúsítványainak korlátozott élettartama van (1-3 év) és a PKI infrastruktúrák fejlődnek. E mechanizmus nélkül egy ma érvényes aláírás öt év múlva technikai szempontból ellenőrizhetetlen lehetne, végérvényesen veszélyeztetve bizonyítási értékét.

A nyomon követhetőség érettségi mutatói: a saját helyzet értékelése

Az ötszintű érettségi modell

A belső audit és megfelelőségi igazgatók szervezetüknek a helyzetét meghatározó eszközéül az érettség fokozatosan mérhető modellje szolgálhat:

• 1. szint — Nem létezik: e-mailben aláírt aláírások formális auditnyom nélkül.

• 2. szint — Elemi: alapvető időbélyeg, tanúsítvány nélkül, strukturálatlan naplók.

• 3. szint — Meghatározott: eIDAS-nak megfelelő SaaS megoldás, exportálható naplók, 5 év tárolás.

• 4. szint — Irányított: GRC-integrációs riasztások automatikus anomáliadetektálásra, NF Z 42-013 szabványnak megfelelő AEVP.

• 5. szint — Optimalizált: valós idejű auditnyom, mesterséges intelligencia alapú anomáliadetektálás, automatikus RGPD-jelentés, éves referencia-felülvizsgálat.

Az Adobe „State of Digital Trust" (2025) jelentése szerint a francia kisvállalkozások többsége a 2-3. szint közé esik. A CAC 40 nagyvállalatok általában a 4. szint felé irányulnak, amelyeket az auditorok és a szektorszintű szabályozók követelményei vezetnek.

Egy nyomon követhető és auditálható megoldás kiválasztási kritériumai

Az aláírási platform kiválasztásakor vagy áttelepítésekor a nyomon követési kritériumok legalább olyan súlyt kell kapjanak, mint az ergonómia vagy az ár. A szolgáltatónak feltett kulcskérdések:

• Az auditnapló megváltoztatható-e (az szerkesztő saját alterálása elleni védelem)?

• Az időbélyeg-ek egy minősített TSA által vannak-e biztosítva, amely az eIDAS Bizalomlistáján (Trust List) szerepel?

• A nyomon követési adatok Európában vannak-e tárolva (szuverenitás, RGPD)?

• A naplók nyílt formátumokba exportálhatók-e (JSON, XML, CSV) szellemi tulajdon függőség nélkül?

• Van-e audit API, amely lehetővé teszi az integrációt a meglévő GRC eszközökkel?

• A szolgáltató maga SOC 2 Type II auditálási vagy ISO 27001 tanúsítási viszonyok alatt áll-e?

Ha fontolgatja a megoldás megváltoztatását, az DocuSign vagy YouSign migrációs útmutató Certyneoba bemutatja az aláírások meglévő auditnyomainak megőrzésének lépéseit dokumentumfelé eltérés nélkül.

Az elektronikus aláírások nyomon követhetőségére alkalmazandó jogi keret

Polgári jog és bizonyítóerő

A polgári jog 1366. cikke alapvetően kimondja: „Az elektronikus írás ugyanolyan bizonyítási erővel rendelkezik, mint az írásos írás papír alapon, feltéve, hogy az abból eredő személy megfelelő módon azonosítható és az integrációját garantáló körülmények között kerül sor az írásra és a tárolásra." Az 1367. cikk egyértelműsíti, hogy az elektronikus aláírás „a személyazonosság megbízható eljárása alkalmazásából áll, amely garantálja a kapcsolatot azzal az aktussal, amelyhez csatolódik". Ez a két cikk a nyomon követhetőséget és az integritást az elektronikus bizonyítékok elfogadhatóságának jogilag sine qua non feltételévé teszi.

Az eIDAS 910/2014 rendelet és az eIDAS 2.0

Az eIDAS 910/2014 európai rendelet az elektronikus aláírások jogi keretét állítja fel az Európai Unióban. A 25. cikke előírja, hogy a minősített elektronikus aláírás (QES) minden tagállamban jogi hatásban egyenértékű a kézírott aláírással. A 26. cikk (fejlett aláírás) és a 27. cikk (határon átnyúló elismerés) a hitelesítésre és az integritásra vonatkozó pontos technikai követelményeket írnak elő, amelyek közvetlenül a nyomon követési kötelezettségekre fordítódnak le. Az eIDAS 2.0 rendelet (2024/1183 EU rendelet, 2024. május 20-án hatályba lépett) azáltal erősíti meg ezeket a követelményeket, hogy beépíti az európai digitális identitástárca (EUDIW) és kiterjeszti a kötelezettségeket a Minősített Bizalmas Szolgáltatások Szolgáltatóira.

Az RGPD 2016/679 rendelet és a nyomon követési adatok

Az auditnapló személyes adatokat tartalmaz (IP-címek, aláírók identitása, viselkedési metaadatok). Ez tehát egy személyes adatfeldolgozás, amely az RGPD alá tartozik. A fő kötelezettségek:

• Jogi alapok: jogos érdek (1. cikk 6.1.f pont) vagy jogi kötelezettség (1. cikk 6.1.c pont), amelyeket a feldolgozási nyilvántartásban kell dokumentálni.

• Minimalizálás: csak a bizonyító célhoz szükséges adatokat gyűjteni.

• Tárolási időtartam: az alkalmazandó elévülési határidőkre korlátozva, az elévülési határidő lejártakor automatikus törlés.

• Biztonság: naplók titkosítása a pihenő és az átvitel közben, szigorú hozzáférés-ellenőrzés (32. cikk).

• Az Unió külső terültére történő átvitel: az megfelelő garanciák nélkül (standard szerződési záradékok, megfelelőségről szóló határozat) tilos.

ETSI szabványok és hosszú élettartamú archívum

Az ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) és ETSI EN 319 102 (aláírás-generálási és -érvényesítési eljárások) szabványok a hosszú élettartamú aláírási formátumok technikai követelményeit határozzák meg. A francia NF Z 42-013 szabvány a minősített elektronikus archiválási rendszereket (SAEVP) szabályozza. Az a szervezet, amely azt szeretné, hogy a naplói hosszú tavon vitatható bizonyítékot képezzenek, garantálnia kell, hogy a szolgáltatója vagy a belső SAE megfelel ezeknek a referenciáknak.

NIS 2 és a bizalmi infrastruktúra rezilienciája

A NIS 2 irányelv (amely a 2024. július 9-i 2024-659. számú törvénnyel került át a francia jogba) az alapvető szolgáltatások üzemeltetőire és a jelentős entitásokra kockázatkezelési és incidensvezérlési kötelezettségeket ró, amelyek kifejezetten az elektronikus aláíráshoz használt bizalmi infrastruktúrákat is magukban foglalják. A BSzSz nyomon követési rendszerének meghibásodása 24 órán belül be kell jelenteni az ANSSI-nek.

Alkalmazási forgatókönyvek: a nyomon követhetőség gyakorlatban

Forgatókönyv 1 — Egy közepesméretű ipari csoport és 1200 éves szállítói szerződése

Egy körülbelül 3500 alkalmazottal rendelkező és hat franciaországi és két közép-európai helyre elosztott ipari csoport évente több mint 1200 szállítói szerződést kezel (keretszemélyzeti megállapodások, bizalmasság-szerződések, árdöntés módosítások). Az aláírási elektronikus megoldás integrált auditnyom nélküli bevezetése előtt a beszerzési osztály az aláírt szerződéseket egy megosztott hálózati könyvtárban tárolta verziózás vagy eseménynaplók nélkül. Egy intézményi részvényes által megrendelt külső auditáláskor az auditor nem tudta visszaállítani az vizsgált szerződések 23%-ának érvényesítési előzményeit: lehetetlen volt bizonyítani, hogy az aláíró az aláírás időpontjában a szükséges felhatalmazással rendelkezik-e.

A fejlett aláírási platform (AdES) sérthetlen auditnyomokkal, minősített TSA által horodatolt időbélyegekkel és minősített megoldással történő telepítés után a csoport minden szerződéshez tartalmaz egy letölthető PDF auditnyom-jelentést. A következő auditáláskor (18 hónappal később) az érvényesítési láncok helyreállításának aránya 100%-ra emelkedett, az audit csapat dokumentumproof-gyűjtésére fordított idő pedig 65%-kal csökkent.

Forgatókönyv 2 — Egy 40 tanácsadóból álló tanácsadó cég, amely az RGPD-követelményeknek van kitéve

Egy tanácsadó cég, amely nagy vállalatok pénzügyi irányításait támogatja, rendszeresen auditálásra kerül ügyfeleinek jogi igazgatóságai által, amelyeknek szükségük van a bizonyítékra, hogy a mandátumlevél és bizalmasság-megállapodások az erre felhatalmazott személyek által az szerződési határidőkben lettek aláírva. A cég korábban egyszerű e-mailes aláírást használt (képernyőkép + PDF), szilárd bizonyítóerő nélkül.

A dokumentumok legérzékenyebbeihez való átterjedés után a minősített (QES) és operatív kötelezettségek (AdES) fejlett elektronikus aláírási megoldás felé, a cég standardizált bizonyítékcsomag biztosítására használható az ügyfeleknek: aláírási tanúsítvány, auditnyom-jelentés, minősített időbélyeg és hitelesítési metaadatok. Ez a csomag nyert meg két ajánlatkérésben, amelyek közül a dokumentum nyomon követése egy kifejezett szűrési kritérium volt, amely az első évet 180 000 €-os becsült többletbevételre képez le.

Forgatókönyv 3 — Egy körülbelül 1100 ágyas kórházi csoport a számvevőszékkel szemben

Egy több intézményt irányító közegészségügyi kórházcsoport rendszeres ellenőrzéseknek van kitéve a regionális számvevőszékek által a közszerzésekről és a közös szerződésekről. Az elektronikusan aláírt szerződési dokumentumokat teljes auditnyomukkal együtt nagyon rövid időben (48-72 óra megidézéskor) be kell tudni nyújtani.

Az intézmény egy minősített archívum (AEVP) architektúra implementálása követően, amely az NF Z 42-013 szabványnak megfelel, az aláírási platformjához API-kkal csatlakoztatva. Minden aláírt dokumentum automatikus versenyez az SAE-ben hozzá tartozó eseménynaplóval. Egy 340 közszerzésre terjedő ellenőrzéskor, amelyet három év alatt aláírtak, az összes támogató dokumentáció kevesebb, mint 4 óra alatt biztosítható volt, az előző ellenőrzéskor szükséges két hét helyett. A kijelölt bíró kifejezetten megjegyezte a nyomon követési rendszer minőségét összefoglaló jelentésében.

Konklúzió

Az elektronikus aláírás teljes nyomon követhetősége már nem csupán a nagyobb szervezeteknek fenntartott lehetőség: ez egy jogi imperatívusz, egy teljes értékű belső audit eszköz és egy differenciáló tényező az ajánlatkérésekben és a due diligence eljárásokban. Az ETSI szabványoknak megfelelő aláírási formátumok, minősített időbélyegek, minősített archívum és API integráció kombinálásával a GRC eszközöknek minden aláírást vita nélküli bizonyítékká alakíthat, amely azonnal felhasználható bármely vizsgálat vagy per során.

A Certyneo-t alapvetően ezeknek a követelményeknek a teljesítésére tervezték: sérthetlen auditnyomok, minősített európai TSA, szuverenitás tárolása és dokumentált API integráció. Függetlenül attól, hogy elkezdi demateriálási törekvéseit vagy a meglévő rendszer érettségét szeretné erősíteni, csapatunk készen áll hogy segítse. Kérjen személyre szabott bemutatót a certyneo.com/contact helyen és fedezze fel, hogyan strukturálhatja a dokumentum nyomon követhetőségét még ma.