Rozporządzenie eIDAS: wszystko zrozumieć o podpisie elektronicznym w Europie
Zaktualizowano
Rozporządzenie eIDAS jest założycielskim tekstem podpisu elektronicznego w Europie. Definiuje trzy poziomy podpisu (zwykły, zaawansowany, kwalifikowany), ustanawia wartość prawną aktów elektronicznych i reguluje dostawców usług zaufania. Ten przewodnik wyjaśnia wszystko, co powinni Państwo wiedzieć, aby być zgodnym w 2026 r.
Czym jest eIDAS i dlaczego został stworzony?
Przed eIDAS każde państwo członkowskie Unii Europejskiej miało własną regulację dotyczącą podpisów elektronicznych, tworząc fragmentację prawną, która hamowała wymiany transgraniczne. Podpis elektroniczny ważny we Francji niekoniecznie był uznawany w Niemczech czy Hiszpanii.
Rozporządzenie (UE) nr 910/2014, zwane eIDAS (Electronic IDentification, Authentication and trust Services), zostało przyjęte 23 lipca 2014 r. i weszło w życie 1 lipca 2016 r. Jako rozporządzenie (a nie dyrektywa) stosuje się bezpośrednio i jednolicie w 27 państwach członkowskich, bez potrzeby transpozycji krajowej.
eIDAS realizuje trzy główne cele: utworzenie jednolitego rynku cyfrowego w Europie dzięki wzajemnemu uznawaniu tożsamości elektronicznych, zagwarantowanie bezpieczeństwa prawnego transgranicznych transakcji elektronicznych i ustanowienie ram zaufania dla usług cyfrowych przez kwalifikowanych dostawców usług zaufania (QTSP — Qualified Trust Service Provider).
Jakie są 3 poziomy podpisu zdefiniowane przez eIDAS?
eIDAS ustanawia piramidę trzech poziomów podpisu elektronicznego, każdy z własnymi wymaganiami technicznymi i wartością dowodową.
Zwykły Podpis Elektroniczny
Wymagania eIDAS
- Dane w formie elektronicznej powiązane z innymi danymi
- Używane do podpisu (brak szczególnych wymagań technicznych)
- Może to być zwykłe kliknięcie, zaznaczone pole lub wpisane imię
Przykłady zastosowań
- Akceptacja regulaminu
- Formularz online
- E-mail potwierdzający
Wartość prawna
Podstawowa wartość umowna, brak domniemania prawnego
Zaawansowany Podpis Elektroniczny
Wymagania eIDAS
- Powiązany w unikalny sposób z sygnatariuszem
- Pozwala zidentyfikować sygnatariusza
- Tworzony za pomocą danych pod wyłączną kontrolą sygnatariusza
- Każda późniejsza modyfikacja dokumentu jest wykrywalna
Przykłady zastosowań
- Umowy o pracę
- NDA
- Umowy handlowe
- Pełnomocnictwa
Wartość prawna
Silna wartość dowodowa — zalecana dla ważnych umów
Kwalifikowany Podpis Elektroniczny
Wymagania eIDAS
- Spełnia wszystkie wymagania AES
- Tworzony przez kwalifikowane urządzenie do składania podpisu (QSCD)
- Oparty na kwalifikowanym certyfikacie wydanym przez QTSP (europejska lista zaufania)
Przykłady zastosowań
- Cyfrowe akty autentyczne
- Wymagające zamówienia publiczne
- Akty regulowane
Wartość prawna
Domniemanie prawne równoważne podpisowi odręcznemu (art. 25 eIDAS)
Jakie są nowości eIDAS 2.0 w 2024?
Rozporządzenie eIDAS zostało zmienione przez rozporządzenie (UE) 2024/1183, opublikowane w Dzienniku Urzędowym UE 30 kwietnia 2024 r. i wchodzące w życie 20 maja 2024 r. Ta rewizja modernizuje pierwotne ramy, aby odpowiedzieć na wyzwania współczesnej cyfrowej rzeczywistości: tożsamość cyfrowa obywateli, suwerenna chmura, odporność dostawców zaufania.
Kluczowym środkiem eIDAS 2.0 jest Europejski Portfel Tożsamości Cyfrowej (EUDIW). Do końca 2026 r. każde państwo członkowskie musi zaoferować swoim obywatelom i mieszkańcom aplikację pozwalającą przechowywać i przedstawiać certyfikowane zaświadczenia tożsamości — cyfrowy odpowiednik dowodu osobistego, prawa jazdy, dyplomów. Ta ewolucja będzie miała bezpośredni wpływ na procesy podpisu kwalifikowanego.
Portfel tożsamości cyfrowej (EUDIW)
eIDAS 2.0 wprowadza European Digital Identity Wallet: każdy obywatel europejski będzie mógł przechowywać certyfikowane zaświadczenia tożsamości (dowód osobisty, prawo jazdy, dyplomy) w aplikacji mobilnej interoperacyjnej w całej UE.
Wzmocnienie QTSP
Wymagania mające zastosowanie do kwalifikowanych dostawców usług zaufania (QTSP) są wzmocnione, szczególnie w zakresie cyberbezpieczeństwa, audytów i ciągłości usługi.
Nowe usługi zaufania
eIDAS 2.0 dodaje nowe kwalifikowane usługi: kwalifikowana archiwizacja elektroniczna, kwalifikowane zarządzanie danymi atrybutowymi, kwalifikowany rejestr elektroniczny (certyfikowany blockchain).
Wzmocniona interoperacyjność
Lepsze wzajemne uznawanie tożsamości cyfrowych między państwami członkowskimi. Podpisy kwalifikowane wydane w dowolnym kraju UE są uznawane wszędzie.
Jak być zgodnym z eIDAS w praktyce?
Zgodność z eIDAS nie sprowadza się do wyboru poziomu podpisu. Implikuje refleksję nad całym procesem: identyfikacja ryzyk, wybór narzędzi, przechowywanie dowodów i zarządzanie dokumentami.
Oto praktyczna lista kontrolna dla firm, które chcą zabezpieczyć swoje procesy podpisu elektronicznego zgodnie z eIDAS:
Jak Certyneo gwarantuje zgodność z eIDAS?
Certyneo implementuje natywnie trzy poziomy rozporządzenia eIDAS : SES (Podpis Elektroniczny Zwykły), AES (Podpis Elektroniczny Zaawansowany) i QES (Podpis Elektroniczny Kwalifikowany). Podpis zaawansowany opiera się na uwierzytelnianiu dwuskładnikowym : linku jednorazowego wysłanym e-mailem i kodzie OTP wysłanym SMS-em przez naszego dostawcę OTP SMS, zgodnie z czterema kryteriami artykułu 26 eIDAS. Podpis kwalifikowany (QES) jest dostarczany za czynność w cenie 14,90 €/podpis bez abonamentu, 9,90 € z abonamentem, na wszystkich planach, w tym Darmowy, przez kwalifikowanego dostawcę (QTSP) figurującego na europejskiej liście zaufania — prawny odpowiednik podpisu odręcznego w całej UE zgodnie z artykułem 25(2) eIDAS.
Każda koperta generuje kompletną ścieżkę audytu: znacznik czasu każdej czynności (wysyłka, otwarcie linku, walidacja OTP, złożenie podpisu, ewentualna odmowa), adres IP sygnatariusza, user-agent przeglądarki. Ta ścieżka audytu jest zintegrowana u dołu każdej strony ostatecznego PDF (stopka audytu) i przechowywana przez 10 lat.
Dane są hostowane (infrastruktura IONOS), w Unii Europejskiej, zgodnie z wymaganiami suwerenności cyfrowej i RODO. Zapoznajcie się Państwo z naszą stroną bezpieczeństwa i zgodności, aby poznać wszystkie szczegóły techniczne.
Najczęstsze pytania o eIDAS
Czym jest rozporządzenie eIDAS?
eIDAS (Electronic Identification, Authentication and Trust Services) to europejskie rozporządzenie (UE) nr 910/2014, które ustanawia wspólne ramy prawne dla podpisów elektronicznych, pieczęci elektronicznych, znaczników czasu, usług rejestrowanego doręczenia elektronicznego i usług uwierzytelniania strony internetowej w Unii Europejskiej. Weszło w życie 1 lipca 2016 r. i stosuje się bezpośrednio w 27 państwach członkowskich.
Jaka jest różnica między eIDAS a eIDAS 2.0?
eIDAS 2.0 (rozporządzenie (UE) 2024/1183, które weszło w życie 20 maja 2024) modernizuje eIDAS 1.0, wprowadzając m.in. Europejski Portfel Tożsamości Cyfrowej (EUDIW — European Digital Identity Wallet), który umożliwi obywatelom europejskim przechowywanie certyfikowanych cyfrowych zaświadczeń tożsamości. Dla przedsiębiorstw eIDAS 2.0 wzmacnia wymogi dla kwalifikowanych dostawców usług zaufania (QTSP) i ulepsza interoperacyjność transgraniczną.
Czy zwykły podpis elektroniczny ma wartość prawną według eIDAS?
Tak. Artykuł 25 eIDAS jawnie zakazuje odmawiania skutków prawnych podpisowi elektronicznemu tylko dlatego, że ma formę elektroniczną. Podpis zwykły (SES) ma więc wartość prawną, ale nie korzysta z domniemania prawnego zarezerwowanego dla podpisów kwalifikowanych (QES). W razie sporu to ten, kto powołuje się na podpis, musi udowodnić jego autentyczność.
Jak wybrać odpowiedni poziom eIDAS dla moich umów?
Ogólna zasada to kalibrowanie poziomu do ryzyka prawnego i handlowego dokumentu. Dla typowych dokumentów o niskiej stawce (kosztorysy, wewnętrzne zamówienia) wystarcza podpis zwykły. Dla ważnych umów handlowych, umów o pracę, NDA lub pełnomocnictw zalecany jest podpis zaawansowany (AES). Podpis kwalifikowany (QES) jest zarezerwowany dla sytuacji, w których prawo go jawnie wymaga (niektóre akty administracyjne, duże zamówienia publiczne) lub gdy ryzyko kwestionowania jest maksymalne.
Jak Certyneo jest zgodne z eIDAS?
Certyneo natywnie implementuje trzy poziomy eIDAS: podpis prosty (SES), podpis zaawansowany (AES) z SMS OTP i podpis kwalifikowany (QES) za czynność w cenie 14,90 €/podpis bez abonamentu i 9,90 € z abonamentem, na wszystkich planach, w tym Darmowy, za pośrednictwem kwalifikowanego QTSP z listy zaufanych UE. Każda koperta generuje ścieżkę audytu z datą i godziną zintegrowaną z ostatecznym PDF. Dane są hostowane w Unii Europejskiej, zgodnie z wymogami suwerenności cyfrowej.
Czy eIDAS stosuje się do firm spoza Unii Europejskiej?
eIDAS stosuje się do usług zaufania świadczonych w UE. Przedsiębiorstwo mające siedzibę poza UE, które chce, aby jego podpisy były rozpoznawane w UE, musi korzystać z rozwiązania zgodnego z eIDAS lub z kwalifikowanego dostawcy usług zaufania (QTSP) uznanego na liście zaufania państwa członkowskiego. W przypadku międzynarodowych transakcji B2B istnieją umowy o wzajemnym uznawaniu z niektórymi państwami trzecimi.
Wytyczne i rozwiązania
Przeglądaj nasze zasoby związane z podpisem elektronicznym.