Kvalifikovaný elektronický certifikát pre podniky: sprievodca 2026

Prečo sa kvalifikovaný elektronický certifikát stal nevyhnutný pre podniky

V čase, keď sa dematerializácia zmluvných procesov zrýchľuje vo všetkých sektoroch, otázka kvalifikovaného elektronického certifikátu sa ukazuje ako strategická výzva pre právne oddelenia, riaditeľov IT a vedenia. Podľa výročnej správy ANSSI z roku 2024 viac ako 78 % francúzskych malých a stredných podnikov, ktoré prijali kvalifikovaný elektronický podpis, znížilo lehoty na uzavretie zmlúv o viac ako 60 %. Mnohí však stále zamieňajú jednoduchý, pokročilý a kvalifikovaný podpis – čo rizikuje vystaveniu ich právnych aktov spochybňovaniu. Tento článok vás krok za krokom poprevádza tým, aby ste pochopili, čo je kvalifikovaný elektronický certifikát, ako ho získať v súlade s rámcom RGS a eIDAS, a ako ho efektívne nasadiť vo vašej organizácii.

Čo je kvalifikovaný elektronický certifikát?

Elektronický certifikát je digitálny súbor vydaný Certifikačným úradom (AC), ktorý spája totožnosť fyzickej alebo právnickej osoby s verejným kryptografickým kľúčom. Predstavuje kľúčovú súčasť, ktorá umožňuje tretej strane overiť autentičnosť a integritu digitálneho podpisu.

Označenie «kvalifikovaný» sa vzťahuje na presnú definíciu pochádzajúcu z európskeho nariadenia eIDAS (č. 910/2014, článok 28): certifikát musí byť vydaný kvalifikovaným poskytovateľom služieb dôvery (PSCQ), zapísaným na zozname dôvery každého štátu (vo Francúzsku publikovaný ANSSI). Musí ďalej dodržiavať technické požiadavky normy ETSI EN 319 411-2, ktorá upravuje politiky a postupy certifikácie.

V praxi kvalifikovaný certifikát zaručuje:

• Overenú identitu podpísaného (overenie dokumentov tvárou v tvár alebo podobným schváleným spôsobom);
• Integritu podpísaného dokumentu (akákoľvek následná úprava je zistiteľná);
• Nepoprenie (podpisovateľ nemôže popierať, že podpísal).

Rozdiel medzi jednoduchým, pokročilým a kvalifikovaným podpisom

Nariadenie eIDAS rozlišuje tri úrovne elektronického podpisu, každá spojená s úrovňou certifikátu:

| Úroveň | Požadovaný certifikát | Dôkazná hodnota | Typické použitie | |---|---|---|---| | Jednoduchý | Nie je požadovaný | Nízka | Bežné objednávky | | Pokročilý | Pokročilý certifikát (PSCQ) | Stredná | Obchodné zmluvy B2B | | Kvalifikovaný | Kvalifikovaný certifikát (kvalifikovaný PSCQ) | Maximálna, ekvivalent ručného podpisu | Notárske akty, verejné zákázky, citlivé HR |

Pre kvalifikovaný podpis – jediný, ktorý má prospech zo zákonnej domnienky rovnocennosti s ručným podpisom (čl. 1367 Občianskeho kódexu) – je kvalifikovaný certifikát bezpodmienečne potrebný. Viac informácií o rozdieloch úrovní nájdete v našom kompletnom sprievodcovi elektronickým podpisom.

---

Rámec RGS: špecifiká francúzske, ktoré musíte poznať

Vo Francúzsku Všeobecný bezpečnostný referenčný rámec (RGS), ustanovený dekrétom č. 2010-112 a pravidelne aktualizovaný ANSSI, definuje bezpečnostné požiadavky uplatniteľné na informačné systémy verejnej správy. Pre podniky, ktoré uzatvára zmluvy s verejnými entitami (verejné zákázky, telerealizácia), je dodržiavanie RGS často zmluvnou alebo právnou povinnosťou.

Úrovne RGS uplatniteľné na certifikáty

RGS definuje tri hviezdy kvalifikácie pre certifikáty:

• RGS* (jedna hviezda): základná úroveň, vhodná pre bežné použitie nízkej citlivosti;
• RGS (dve hviezdy)**: medziľahlá úroveň, požadovaná pre väčšinu správnych telerealizácií;
• RGS (tri hviezdy)*: vysoká úroveň pre akty s vysokým právnym alebo finančným podielom.

Pre dematerializované verejné zákázky prostredníctvom profilu kupujúceho nariadenie č. 2016-360 (články 39 a 40) vo všeobecnosti ukladá podpis minimálnej úrovne RGS, čo znamená ekvivalentný kvalifikovaný certifikát.

Vzťah medzi RGS a eIDAS

Od aplikácie nariadenia eIDAS koexistujú oba referenčné rámce. Certifikát kvalifikovaný podľa eIDAS sa považuje za spĺňajúci požiadavky RGS** vo väčšine prípadov. ANSSI zverejnila tabuľky zhody, ktoré umožňujú zabezpečiť kompatibilitu. Preto sa pre podniky pracujúce súčasne s súkromnými a verejnými partnermi odporúča uprednostniť kvalifikovaný certifikát eIDAS vydaný PSCQ zapísaným na francúzskom zozname dôvery – čo naraz pokrýva oba referenčné rámce.

Ak chcete pozrieť viac podrobností o európskom nariadení, náš sprievodca eIDAS 2.0 podrobne opisuje hlavné zmeny a ich vplyv na francúzske podniky.

---

Ako získať kvalifikovaný elektronický certifikát: postupný proces

Získanie kvalifikovaného elektronického certifikátu nie je banálnym procesov: zahŕňa dôkladné overenie totožnosti žiadateľa a v prípade právnickej osoby jeho zákonného zastúpenia. Tu sú hlavné kroky.

Krok 1: Identifikovať správneho poskytovateľa služieb dôvery

Vo Francúzsku sú PSCQ oprávnené vydávať kvalifikované certifikáty uvedené na Trust Service Status List (TSL) publikovanej ANSSI (dostupnej na portáli esignature.gouv.fr). Medzi účastníkov na tomto zozname patria najmä AC ako CertEurope, Certinomis (dcéra Pošty), Keynectis alebo aj európski poskytovatelia uznávaní podľa princípu vzájomného uznávania eIDAS.

Kritériá výberu na preskúmanie:

• Skutočná prítomnosť na francúzskom TSL a/alebo európskom;
• Formát ponúkaného certifikátu (softvér, na chytrej karte, HSM cloud);
• Kompatibilita s vašou existujúcou IT infraštruktúrou;
• Cenovanie a doba platnosti (zvyčajne 1 až 3 roky);
• Úroveň podpory a lehota registrácie.

Krok 2: Príprava registračného spisu

Pre podnik vyžaduje žiadosť o kvalifikovaný certifikát predloženie dokumentov, ktoré potvrdzujú jednak identitu prenoscu (fyzickej osoby) a jeho schopnosť reprezentovať právnickú osobu. Zvyčajne požadované dokumenty sú:

• Oficiálny doklad totožnosti prenoscu (pas, občiansky preukaz);
• Výňatok z obchodného registra starší ako 3 mesiace (alebo ekvivalent pre združenia, verejné subjekty);
• Poverenie ak nosič nie je zákonným zástupcom podľa stanov;
• Špecifikačný registračný formulár daného PSCQ.

Overenie totožnosti musí byť vykonané tvárou v tvár pred registračným operátorom (OE) poverením PSCQ alebo schváleným procesom diaľkového overenia (videozáznam v súlade s normou ETSI TS 119 461).

Krok 3: Poskytnutie a aktivácia certifikátu

V závislosti od zvoleného formátu sa certifikát poskytuje:

• Na zariadení na vytváranie kvalifikovaného podpisu (QSCD): kryptografický kľúč USB alebo chytrá karta certifikovaná Common Criteria EAL 4+;
• Prostredníctvom diaľkovej kvalifikovanej podpisovej služby (Remote Qualified Electronic Signature – RQES) spravovanej PSCQ, kde je privátny kľúč hostovaný v certifikovanom HSM (Hardware Security Module) podľa normy ETSI EN 419 241.

Nasadenie služby RQES je v súčasnosti najviac prijímaným riešením v podnikoch, pretože sa vyhýba fyzickej správe kryptografických nosičov a zároveň si zachováva kvalifikovanú zhodu. Porovnajte riešenia elektronického podpisu a identifikujte model, ktorý najlepšie vyhovuje vašej situácii.

Krok 4: Integrácia do vašich obchodných procesov

Po získaní certifikátu jeho integrácia do dokumentárnych tokov spoločnosti zvyčajne prechádza platformou SaaS na elektronický podpis. Tá musí byť nevyhnutne kompatibilná so štandardmi ETSI (XAdES, PAdES, CAdES) na zabezpečenie interoperability a trvanlivosti digitálnych dôkazov. Náš špecializovaný článok elektronický podpis v podnike vám pomôže štruktúrovať toto nasadenie.

---

Náklady, platnosť a obnova: čo musia podniky vopred zohľadniť

Cenové rozpätia v roku 2026

Tarify kvalifikovaných certifikátov sa výrazne líšia v závislosti od formátu a poskytovateľa:

• Certifikát na fyzickom nosiči (USB kľúč/karta): medzi 80 € a 250 € bez DPH za prenoscu a rok;
• Kvalifikovaný cloudový certifikát (RQES): medzi 40 € a 150 € bez DPH za prenoscu a rok podľa objemov;
• Podnikové balíky: významné zľavy sa vzťahujú od 10 nosičov, ktoré môžu dosiahnuť 30 až 40 % jednotkového tarifu.

Tieto náklady je potrebné dať do perspektívy s úsporami: zrušenie tlačí, poštovného, lehôt spracovávania poštou a sporov týkajúcich sa spochybňovaných podpisov.

Doba platnosti a obnova

Platnosť kvalifikovaného certifikátu je zvyčajne stanovená na 1, 2 alebo 3 roky v závislosti od zvolenej ponuky. Po expirácii zostanú predtým podpísané dokumenty platné (za predpokladu, že ich integritu udržiava kvalifikovaná služba časovej pečiatky), ale nové akty nemožno podpísať vypršaným certifikátom. Preto je nevyhnutné zaviesť proces monitorovania a prípravy obnovy – ideálne 60 dni pred expirácií.

Zrušenie a správa incidentov

V prípade ohrozenia privátneho kľúča (strata, krádež nosiča, podozrenie na zverejnenie) musí byť certifikát okamžite zrušený u PSCQ. Ten zverejní zrušenie v zozname zrušených certifikátov (CRL) alebo prostredníctvom protokolu OCSP, čím je zrušená platnosť akéhokoľvek podpisu s týmto certifikátom. Interná bezpečnostná politika musí preto predpokladať vyhradený kontaktný bod a dobu výstrahy kratšiu ako 24 hodín.

---

Osvedčené postupy na úspešné nasadenie v podnike

Správa a interné úlohy

Úspešné nasadenie je založené na jasnej správe. Odporúča sa určiť:

• Manažér PKI (infraštruktúra verejného kľúča) na strane IT, zodpovedný za vzťah s PSCQ a sledovanie obnovy;
• Právneho poradcu, ktorý overuje prípady použitia vyžadujúce kvalifikovaný podpis (vs. pokročilý);
• Delegovaných správcov po jednotlivých oddeleniach na operatívnu správu nosičov.

Školenie a riadenie zmeny

Prijatie kvalifikovaného certifikátu nestačí: pracovníci musia pochopiť, ako používať svoj certifikát, kedy ho aktivovať a ako reagovať v prípade incidentu. Krátky plán školenia (1 až 2 hodiny) a dokumentovaný postupy výrazne znižujú chyby v používaní a tiketov podpory.

Audit a trasovateľnosť

Na splnenie povinností dôkazov si ponechajte časovaný audit záznam každého uskutočneného podpisu: identitu podpísaného, otlačok dokumentu, čas/dátum certifikovaný, identifikátor certifikátu. Tieto údaje tvoria základ reťazca dôkazov v prípade sporu. Norma ETSI EN 319 132 (XAdES) poskytuje formáty podpisov, ktoré tieto informácie natívne obsahujú.

Právny rámec platný pre kvalifikované elektronické certifikáty

Občiansky kódex a dôkazná hodnota

V francúzskom práve článok 1366 Občianskeho kódexu stanovuje princíp rovnocennosti medzi elektronickým a papierovým dokumentom za predpokladu, že «identita osoby, z ktorej pochádza, je riadne zabezpečená a je vypracovaný a uchovávený za podmienok, ktoré zaručujú jeho integritu». Článok 1367 odsek 2 upresňuje, že kvalifikovaný elektronický podpis má prospech z domnienky spoľahlivosti: je na strane, ktorá spochybňuje podpis, aby opakovne preukázala jeho neplatnosť, čím sa obracia záťaž dôkazu v prospech podpísajúceho.

Nariadenie eIDAS č. 910/2014

Európske nariadenie eIDAS (č. 910/2014), priamo uplatniteľné vo všetkých členských štátoch od 1. júla 2016, predstavuje nadnárodný základ. Jeho článok 25(2) stanovuje, že «kvalifikovaný elektronický podpis má právny účinok ekvivalentný ručnému podpisu». Články 28 a 29 definujú požiadavky uplatniteľné na kvalifikované certifikáty a zariadenia na vytváranie kvalifikovaného podpisu (QSCD). Príloha I uvádza povinné údaje kvalifikovaného certifikátu (OID politiky, identita PSCQ, verejný kľúč, dátumy platnosti atď.).

Zmeny eIDAS 2.0

Nariadenie eIDAS 2.0 (nariadenie EÚ 2024/1183, ktoré nadobúda platnosť 20. mája 2024) zavádza európsku peňaženku digitálnej identity (EUDIW) a posilňuje požiadavky prístupnosti k kvalifikovaným službám dôvery. Podniky budú musieť vopred zohľadniť integráciu týchto nových mechanizmov identifikácie pred rokom 2026-2027.

Uplatniteľné normy ETSI

• ETSI EN 319 411-2: politika a postupy pre PSCQ vydávajúce kvalifikované certifikáty;
• ETSI EN 319 132 (XAdES) a ETSI EN 319 122 (CAdES), ETSI EN 319 162 (PAdES): formáty pokročileho a kvalifikovaného elektronického podpisu;
• ETSI EN 419 241: požiadavky na servery podpisov (RQES).

GDPR a ochrana osobných údajov

Spracovanie osobných údajov v rámci registrácie (overenie totožnosti, zbierka dokumentov) podlieha GDPR č. 2016/679. PSCQ a podniková klienta sú spoločnými zodpovednými alebo v zmluvnom vzťahu zodpovedný/subdodávateľ podľa konfigurácie. DPA (Dohoda o spracovaní údajov) v súlade s článkom 28 GDPR musí byť podpísaná. Registračné údaje musia byť ponechané po dobu života certifikátu plus lehota prescripcie (5 rokov v zmluvných záležitostiach).

Smernica NIS2 a bezpečnosť infraštruktúr

Smernica NIS2 (2022/2555/ES), transponovaná do francúzskeho práva zákonom č. 2024-449, ukladá základným a dôležitým subjektom zavádzať opatrenia na riadenie rizík vrátane bezpečnosti digitálnych dodávateľských reťazcov. Využitie kvalifikovaného PSCQ zapísaného na národnom TSL predstavuje uznaný osvedčený postup na čiastočné splnenie týchto požiadaviek.

Scenáre použitia: kvalifikovaný certifikát v praxi

Scenár 1: Právnická kancelária spravujúca akty s vysokou dôkaznou hodnotou

Kancelária právnikov zaoberajúcich sa obchodnými záležitosťami s dvadsiatimi aspoň asociátmi a spolupracovníkmi musí pravidelne podpisovať akty o prevode podielov, protokoly o transakcií a mandáty ad litem. Doteraz vyžadoval každý akt tlač, ručný podpis, sken a poštovú doručovateľnosť – čiže primerný čas 4 až 7 pracovných dní na jeden cyklus podpisu. Po nasadení kvalifikovaných certifikátov cloud (RQES) pre každého asociáta sa táto lehota skrátila na menej ako 4 hodiny pre akty nevyžadujúce notársku intervenciú. Kancelária odhaduje zníženie 65 % času potrebného na administratívu súvisiacu so správou dokumentov a nezaznamenala žiadne spochybňovanie podpisu za prvých 18 mesiacov používania. Riešenia elektronického podpisu pre právnické kancelárie ponúkané spoločnosťou Certyneo sa natívne integrujú do tohto typu pracovného postupu.

Scenár 2: Malý a stredný podnik uzatvára zmluvy s verejnými zákázkami

Malý a stredný podnik v metalurgickom sektore so približne 120 zamestnancami pravidelne podáva ponuky na dematerializované verejné zákázky na profiloch kupujúcich. Je povinný elektronicky podpísať svoje ponuky a záväzné akty certifikátom minimálnej úrovne RGS**. Po získaní dvoch kvalifikovaných certifikátov (pre generálneho riaditeľa a oprávneného obchodného riaditeľa) by mohla SME podať svoje ponuky v požadovaných termínoch bez cestovných ani poštovného. V priebehu jedného roku to predstavuje približne 35 súborov verejných zákáziek, čo znamená odhadovanú úsporu približne 15 pracovných dní za rok na samotnú správu dokumentov. Zhoda eIDAS certifikátu tiež zabezpečuje uznanie jej podpisov zákázkami v Nemecku a Belgicku, čím rozširuje jej obchodné pole pôsobnosti. Použite náš kalkulačku ROI na odhadnutie potenciálnych ziskov vo vašej vlastnej situácii.

Scenár 3: Zdravotnícka skupina zabezpečuje citlivé HR akty a dodávateľské zmluvy

Zdravotnícka skupina približne 1 200 lôžok, skupujúca niekoľko zdravotníckych zariadení, čelí ročnému objemu približne 3 000 pracovných zmlúv, dodatkov a záväzkov dodávateľov. Oddelenie ľudských zdrojov a oddelenie nákupov spoločne nasadili riešenie kvalifikovaného podpisu s certifikátmi vydanými oprávneným riaditeľom. Paralelne sú dokumenty, ktoré majú byť podpísané agentami, spracované cez pracovný postup pokročilého podpisu, pričom kvalifikovaný podpis sa rezervuje na akty riadenia s vysokou právnou hodnotou. Výsledok: priemerná lehota na finalizáciu pracovnej zmluvy sa skrátila z 12 dní na 2,5 dňa a percento neúplných súborov (chýbajúci podpis, nesprávna podpísaná verzia) sa znížilo o 78 %. Riešenia elektronického podpisu v zdravotníctve spoločnosti Certyneo integrujú špecifiká regulácie zdravotníckeho sektora.

Záver

Získanie kvalifikovaného elektronického certifikátu je dnes nevyhnutný krok pre každý podnik, ktorý chce právne zabezpečiť svoje digitálne akty, spĺniť požiadavky verejných zákáziek a začleniť sa do regulačného rámca eIDAS. Ďaleko od toho aby to bola prekážka, ide o páku konkurenčnej výhody: skrátené lehoty na podpisovanie, neprospešný reťazec dôkazov a celoeurópskeho uznania v celej Európskej únii.

Kľúčové kroky, ktoré si treba pamätať: vybrať PSCQ zapísaný na zozname dôvery ANSSI, pripraviť dôsledný registračný spis, uprednostniť cloudový formát (RQES) na uľahčenie nasadenia a integrovať certifikát do platformy v súlade s normami ETSI.

Spoločnosť Certyneo vás sprevádza na každom kroku: od výberu správnej úrovne podpisu až po integráciu do vašich obchodných procesov. Požiadajte bezplatnú ukážku a zistite, ako nasadiť kvalifikovaný podpis za menej ako 48 hodín vo vašej organizácii.