Cum funcționează semnătura electronică în 2026

Introducere

Semnătura electronică se află astăzi în centrul transformării digitale a întreprinderilor: în 2025, peste 70% din marile organizații europene au integrat-o în cel puțin un proces contractual (sursă: Gartner, Digital Process Automation Survey 2025). Cu toate acestea, puțini sunt decidenții care înțeleg precis mecanismele care o fac valabilă din punct de vedere juridic și imposibil de falsificat din punct de vedere tehnic. Înțelegerea cum funcționează din punct de vedere tehnic semnătura electronică — criptografie, PKI, certificate — permite alegerea soluției potrivite, reducerea riscurilor juridice și accelerarea adopției interne. Acest articol vă ghidează, pas cu pas, prin arhitectura tehnică și standardele care reglementează semnătura electronică în 2026.

---

Fundamentele criptografice ale semnăturii electronice

Semnătura electronică se bazează pe primitive criptografice dovedite. A înțelege mecanismele sale înseamnă a înțelege de ce este mai fiabilă decât o semnătură manuscrisă digitalizată.

Criptografia asimetrică: cheie publică și cheie privată

Principiul fundamental este criptografia asimetrică, inventată în anii 1970 și standardizată prin algoritmi precum RSA (Rivest–Shamir–Adleman) sau curbele eliptice (ECDSA). Fiecare semnatari dispune de două chei matematice legate:

• Cheia privată: păstrată secret de semnatari, pe un dispozitiv securizat (card inteligent, token HSM, sau modul software protejat). Este folosită pentru crearea semnăturii.
• Cheia publică: distribuită liber, inclusă în certificat digital. Este folosită pentru verificarea semnăturii.

Principiul securității se bazează pe o asimetrie computațională: este matematic trivial de a verifica o semnătură cu cheia publică, dar practic imposibil de a reconstitui cheia privată din cheia publică (problema logaritmului discret sau factorizarea numerelor mari).

Funcțiile de hashing: amprenta digitală a documentului

Înainte de a semna, sistemul calculează o amprentă criptografică a documentului prin utilizarea unei funcții de hashing (SHA-256 sau SHA-3 în 2026). Această amprentă, numită hash sau condensat, este un șir de caractere de lungime fixă (256 biți pentru SHA-256) care reprezintă în mod unic conținutul documentului.

Proprietate esențială: modificarea unui singur caracter din document produce un hash radical diferit. Aceasta garantează integritatea documentului semnat: orice alterare ulterioară semnării este imediat detectabilă.

Semnătura electronică propriu-zisă este prin urmare criptarea acestui hash cu cheia privată a semnatarului. La verificare, destinatarul:

1. Decriptează semnătura cu cheia publică pentru a găsi hash-ul original;
2. Recalculează el însuși hash-ul documentului primit;
3. Compară cele două: dacă sunt identice, semnătura este valabilă.

---

Infrastructura de Chei Publice (PKI): lanțul de încredere

Doar criptografia nu este suficientă: trebuie de asemenea dovedită proprietatea cheii publice persoanei care o pretinde. Aceasta este rolul PKI (Public Key Infrastructure) — sau Infrastructura de Chei Publice.

Autoritățile de certificare (CA)

O Autoritate de Certificare (AC sau CA) este un terț de încredere acreditat care emite certificate digitale. Un certificat digital este un fișier standardizat (format X.509) care conține:

• Identitatea titularului (nume, organizație, e-mail);
• Cheia sa publică;
• Perioada de valabilitate;
• Semnătura digitală a AC-ului însuși.

În Europa, AC-urile calificate sunt listate în Trusted Lists publicate de fiecare stat membru al UE conform regulamentului eIDAS. În Franța, ANSSI publică și întreține această listă. Furnizorii de servicii de încredere calificați (QTSP) — cum ar fi CertSign, Certigna, sau Universign — sunt supuși auditurilor regulate conform standardului ETSI EN 319 401.

Lanțul de certificare și revocarea

PKI funcționează pe un model ierarhic:

• O AC rădăcină (Root CA) auto-semnată, păstrată offline în condiții de securitate fizică maximă;
• AC-uri intermediare care emit certificate pentru utilizatorii finali.

Revocarea certificatelor este un mecanism critic: dacă o cheie privată este compromise, AC-ul publică invalidarea sa prin intermediul unei CRL (Certificate Revocation List) sau prin protocolul OCSP (Online Certificate Status Protocol), permițând o verificare în timp real.

Pentru semnătura electronică calificată în sensul eIDAS, cheia privată trebuie generată și păstrată într-un QSCD (Qualified Signature Creation Device) — hardware certificat CC EAL4+ sau superior, cum ar fi un card inteligent sau un HSM (Hardware Security Module).

---

Cele trei niveluri de semnătură conform eIDAS

Regulamentul european eIDAS nr. 910/2014 (și evoluția sa eIDAS 2.0 în curs de implementare) definește trei niveluri de semnătură, fiecare bazat pe garanții tehnice crescânde. Pentru a aprofunda acest cadru reglementar, consultați ghidul nostru complet asupra regulamentului eIDAS.

Semnătură electronică simplă (SES)

Semnătura simplă este forma cel mai puțin constrânsă din punct de vedere tehnic. Poate fi ceva la fel de banal ca o casetă de selectare, un cod OTP (One-Time Password) trimis prin SMS, sau o imagine a unei semnături manuscrise. Nu implică neapărat un certificat calificat.

Utilizare tipică: validarea ofertelor, consimțământe marketing, contracte cu enjeu redus.

Risc: valoare probantă limitată în caz de contestație judiciară. Sarcina dovezii revine celui care invocă semnătura.

Semnătură electronică avansată (AdES)

Semnătura avansată răspunde la patru cerințe tehnice precise (articolul 26 eIDAS):

1. Este legată de semnatari într-un mod unic;
2. Permite identificarea semnatarului;
3. Este creată din date sub controlul exclusiv al semnatarului;
4. Permite detectarea oricărei modificări ulterioare a documentului.

În practică, aceasta implică utilizarea unui certificat digital personal și a unui mecanism de autentificare robust. Formatele standard sunt definite de ETSI: PAdES (pentru PDF), XAdES (XML), CAdES (date binare) și JAdES (JSON), toate normalizate în seria ETSI EN 319 100.

Semnătură electronică calificată (QES)

Semnătura calificată este cel mai înalt nivel. Necesită:

• Un certificat calificat emis de un QTSP acreditat eIDAS;
• Un QSCD pentru crearea semnăturii.

Beneficiază de o presupunere legală de fiabilitate și de o echivalență juridică cu semnătura manuscrisă în întreaga Uniune Europeană (articolul 25 eIDAS). Acesta este nivelul necesar pentru actele autentice electronice, unele acte notariale, sau achiziții publice sensibile.

Comparația soluțiilor de semnătură electronică analizează diferențele practice între aceste niveluri pentru a vă ajuta să alegeți.

---

Procesul complet al unei semnături electronice pas cu pas

Iată cum se desfășoară concret o tranzacție de semnătură electronică pe o platformă SaaS cum ar fi Certyneo:

Etapa 1: pregătirea și trimiterea documentului

Inițiatorul semnăturii încarcă documentul (contract, act adițional, bon de comandă) pe platformă. Sistemul generează imediat un hash SHA-256 al fișierului original, cu marcă de timp și păstrat în mod imuabil. Această amprentă va fi utilizată ca referință pentru orice verificare viitoare.

Etapa 2: autentificarea semnatarului

În funcție de nivelul de semnătură ales, autentificarea variază:

• SES: e-mail + link de semnătură;
• AdES: autentificare puternică (OTP SMS, aplicație mobilă FIDO2);
• QES: verificare de identitate prealabilă (față în față sau prin video IDV), emiterea certificatului calificat de uz unic sau persistent.

Etapa 3: crearea semnăturii criptografice

Semnatarul declanșează actul de semnătură. Platforma (sau QSCD):

1. Calculează hash-ul documentului;
2. Criptează acest hash cu cheia privată a semnatarului;
3. Integrează semnătura și certificatul în document (PDF semnat în format PAdES-LTV pentru conservare pe termen lung).

Etapa 4: marcă de timp calificată

Un serviciu de marcare a timpului calificat (TSA) conform standardului RFC 3161 aplică un timestamp criptografic, dovedind că semnătura exista la un moment precise. Aceasta protejează împotriva falsificării datei și garantează valoarea probantă în timp — chiar dacă certificatul semnatarului expiră ulterior.

Etapa 5: arhivare probantă

Documentul semnat este arhivat cu pista de audit completă: identitate semnatari, adresă IP, marcă de timp, hash document, certificate utilizate. Acest dosar de dovadă (audit trail) este esențial în caz de contestație judiciară. Soluțiile conforme eIDAS mențin aceste dovezi în format PAdES-LTV (Long-Term Validation) care integrează date de validare pentru a permite verificarea ani după semnare.

Pentru a înțelege cum să integrezi acest proces în fluxurile tale HR, descoperă soluția noastră de semnătură electronică pentru HR și modelele noastre de contracte de descărcat.

Cadru legal aplicabil semnăturii electronice

Semnătura electronică se încadrează într-un cadru normativ multistratificat, articulând dreptul civil național și dreptul european armonizat.

Codul civil francez

Articolul 1366 din Codul civil enunță principiul fundamental: „Scrierea electronică are aceeași forță probantă ca scrierea pe suport hârtie, cu condiția ca persoana de la care provine să poată fi dovedit identificată și că este stabilită și conservată în condiții de natură să garanteze integritatea sa." Articolul 1367 precizează că semnătura electronică „constă în utilizarea unui proces fiabil de identificare garantând legătura sa cu actul la care se atașează".

Decretul nr. 2017-1416 din 28 septembrie 2017 definește presupunerea de fiabilitate pentru semnăturile calificată și avansate conforme cu eIDAS.

Regulamentul eIDAS nr. 910/2014

Piatră unghiulară a dreptului european al încrederii digitale, regulamentul eIDAS (electronic IDentification, Authentication and trust Services) stabilește un cadru juridic unificat pentru semnături electronice, ștampile electronice, marcarea timpului calificat, servicii de trimitere recomandată și certificate de autentificare a site-urilor web. Articolul 25, alineatul 2, conferă semnăturii calificată o presupunere legală de echivalență cu semnătura manuscrisă în întreaga UE.

Regulamentul eIDAS 2.0 (în curs de transpunere în trimestrul 1 2026) consolidează aceste dispoziții cu portofoliul de identitate digitală europeană (EUDIW) și extinde obligațiile pe piețele serviciilor financiare și sănătății.

Standarde ETSI

Formatele de semnătură sunt standardizate de ETSI:

• ETSI EN 319 132 (XAdES), EN 319 122 (CAdES), EN 319 102 (PAdES) definesc profilurile tehnice ale semnăturilor avansate și calificate;
• ETSI EN 319 421 încadrează politicile serviciilor de marcare a timpului calificat.

RGPD și protecția datelor

Prelucrarea datelor de identitate în contextul semnăturii electronice (nume, e-mail, biometrie pentru verificarea identității) se supune RGPD nr. 2016/679. Responsabilii de prelucrare trebuie: să dispună de o bază legală (interes legitim sau executarea unui contract), să aplice principiul minimizării datelor, și să garanteze securitatea prin măsuri tehnice adecvate (criptare, pseudonimizare).

Directiva NIS2

Directiva NIS2 (2022/2555/UE), transpusă în dreptul francez din octombrie 2024, impune operatorilor de servicii esențiale și furnizorilor de servicii digitale (inclusiv furnizorilor de semnătură electronică) obligații consolidate în materie de securitate cibernetică, gestionare a riscurilor și notificare a incidentelor în 24 de ore. Nerespectarea expune la sancțiuni care pot atinge 10 milioane euro sau 2% din cifra de afaceri mondială.

Scenarii concrete de utilizare a semnăturii electronice

Scenariu 1: un cabinet de avocați de afaceri automatizează semnarea mandatelor

Un cabinet de avocați de afaceri cu aproximativ o duzină de colaboratori prelucra în medie 120 mandate de reprezentare pe lună. Procedura pe hârtie implica imprimare, trimitere poștală sau predare în mână, apoi scanare a documentelor returnate — generând o întârziere medie de 4,5 zile lucrătoare per dosare și o rată de pierdere a documentelor estimată la 8%.

Prin implementarea unei semnături electronice avansate (AdES) cu autentificare OTP, cabinetul a redus întârzierea de semnare la mai puțin de 4 ore în medie, a redus rata anomaliilor documentare la mai puțin de 1%, și a economisit aproximativ 2.200 € anual în taxe postale și de imprimare. Pista de audit generată automat a simplificat de asemenea două proceduri de contestare a mandatului, oferind o dovadă horodatată incontestabilă. Descoperiți soluția noastră dedicată cabinetelor juridice.

Scenariu 2: o PME industrială digitalizează contractele sale cu furnizorii

O PME industrială gestionând aproximativ 200 contracte cu furnizorii pe an (condiții generale de cumpărare, acte adiționale tarifare, NDA) suferea de întârzieri de semnare care puteau depăși trei săptămâni pentru contractele transfrontaliere cu parteneri germani și spanioli. Diferențele sistemelor juridice și absența recunoașterii mutuale încetineau negocierile.

Prin adoptarea unei semnături calificate (QES) emise de un QTSP acreditat eIDAS, recunoscut în toată UE, PME a beneficiat de recunoaștere juridică automată în cele trei țări fără nici o legalizare suplimentară. Întârzierea medie de semnare transfrontalieră a trecut de la 18 zile la 2,5 zile. Semnătura electronică în întreprindere detaliază aceste beneficii pentru echipele de achiziții.

Scenariu 3: un grup spitalicesc securizează consimțământul informat al pacienților

Un grup spitalicesc cu aproximativ 800 paturi trebuia să colecteze consimțământul informat al pacienților pentru protocoale de cercetare clinică. Gestionarea pe hârtie creea riscuri de conformitate RGPD (documente rău arhivate, date netrasabile) și mobiliza personal medical pentru sarcini administrative.

Prin integrarea unei semnături electronice simple cu identificare prin cod SMS — suficientă pentru acte nesubmise cerințelor calificate — grupul spitalicesc a automatizat colectarea, arhivarea și trasabilitatea consimțământurilor. Timpul administrativ per pacient a trecut de la 12 minute la mai puțin de 2 minute, eliberând aproximativ 800 ore medicale pe an. Toate documentele sunt arhivate cu marcă de timp calificată, satisfăcând pe deplin cerințele CNIL. Explorează soluția noastră de semnătură pentru sănătate.

Concluzie

Înțelegerea cum funcționează din punct de vedere tehnic semnătura electronică — de la criptografia asimetrică la PKI, de la certificate calificate la marcarea timpului probant — este indispensabilă pentru a face alegeri informate în materie de conformitate și eficiență operațională. Cele trei niveluri eIDAS (simplă, avansată, calificată) răspund unor nevoi diferite, și alegerea trebuie întotdeauna ghidată de analiza riscului juridic și valoarea probantă așteptată.

Certyneo te însoțește în această tranziție cu o platformă SaaS conformă eIDAS, QTSP acreditați și integrare simplificată în procesele tale existente. Estimează câștigurile potențiale pentru organizația ta prin calculatorul ROI semnătură electronică, sau început direct consultând ofertele și prețurile noastre. Conformitatea și performanța nu mai sunt compromisuri.