Elektronický podpis cloud alebo on-premise: akú voľbu zvoliť v roku 2026?

Úvod

Rozhodovanie sa medzi elektronickým podpisom v cloude a lokálnym nasadením je jedným z najdôležitejších strategických rozhodnutí pre IT riaditeľstvo alebo právne oddelenie v roku 2026. Hoci SaaS veľmi prilákal malé a stredné podniky svojou jednoduchosťou nasadenia, veľké podniky a organizácie podriadené sektorovým regulačným obmedzeniam sa stále pýtajú na relevantnosť internalizovanej infraštruktúry. Tento podrobný porovnávací materiál analyzuje obidva modely podľa piatich kľúčových osí: suverenita údajov, technická bezpečnosť, zhoda s normou eIDAS, celkové náklady na vlastníctvo a podnikateľská agilita. Na konci tohto článku budete mať praktický rozhodovací rámec na výber architektúry vhodnej pre váš kontext.

Pochopenie dvoch modelov infraštruktúry

Elektronický podpis v cloude (SaaS)

V modeli cloud operuje vydavateľ celú infraštruktúru: servery, aktualizácie, dostupnosť, zálohovanie a bezpečnosť údajov. Podnik ako zákazník pristupuje k riešeniu cez API alebo webové rozhranie bez akejkoľvek lokálnej inštalácie. Hráči na európskom trhu — vrátane spoločnosti Certyneo — zvyčajne používajú datacentrá certifikované podľa ISO 27001 lokalizované v Európskej únii (Francúzsko, Nemecko, Holandsko), čo zaručuje zhodu s GDPR bez dodatočného úsilia na strane zákazníka.

Výhody sú dobre známe: nasadenie v priebehu niekoľkých hodín, okamžitá škálovateľnosť, automatické aktualizácie začleňujúce regulačné zmeny (eIDAS 2.0, DSP3, NIS2), a ekonomický model na báze použitia (OPEX). Podľa správy Markess by Exaegis z roku 2025 sa 78 % francúzskych podnikov s menej ako 500 zamestnancami teraz uprednostňuje SaaS na svoje nástroje dematerializácie.

Lokálne nasadenie (on-premise)

On-premise pozostáva z inštalácie platformy elektronického podpisu priamo na serveroch podniku alebo v privátnom datacentre, ktoré spravuje. Tento model ponúka úplnú kontrolu nad údajmi, tokmi a bezpečnostnými politikami. Historicky je prijímaný bankami, poisťovňami, nemocnicami alebo verejnou správou spracúvajúcou citlivé údaje podliehajúce špecifickým referenčným rámcom (HDS, SecNumCloud, PGSSI-S).

Náprotivkom je významná prevádzkovo-technická záťaž: IT tím musí spravovať aktualizácie, kvalifikované certifikáty podpisu, HSM (hardvérové bezpečnostné moduly), vysokú dostupnosť a regulačný monitoring. Počiatočné náklady (CAPEX) sú vysoké, so licenciami prekračujúcimi 80 000 € na podnikovú inštaláciu, ku ktorým sa pridávajú ročné náklady na infraštruktúru.

Suverenita údajov a regulačná zhoda

GDPR a lokalizácia údajov

Nariadenie eIDAS a jeho implikácie pre vaše kvalifikované podpisy vyžadujú, aby poskytovatelia dôvernostných služieb (PSCo) boli auditovaní a uvedení v zoznamoch dôvernosti jednotlivých krajín. Či sa rozhodnete pre cloud alebo on-premise, vaše riešenie musí byť nevyhnutne postavené na kvalifikovanom PSCo. Skutočná otázka GDPR sa týka prenosov mimo EÚ: cloud umiestnený u amerického hyperscalera (AWS, Azure, GCP) bez platných zmlúv o štandardných zmluvných klauzulách (SCC) vystavuje podnik riziku pokút dosahujúcich až 4 % celosvetového obratu.

Riešenia v cloude umiestnené v Európe, ako je Certyneo, spĺňajú túto požiadavku natívne, so servermi umiestnené výlučne vo Francúzsku a so Zmluvou o spracúvaní údajov (DPA) spĺňajúcou článok 28 GDPR poskytnutou pri podpise.

SecNumCloud a regulované sektory

Pre operátorov kritickej dôležitosti (OIV) a subjekty podliehajúce Cloud v centre DINUM sa kvalifikácia SecNumCloud od ANSSI postupne stáva povinnou. V roku 2026 je táto kvalifikácia získaná iba niekoľkými francúzskymi subjektami cloudu (OVHcloud, Outscale). Dotknuté organizácie musia buď zvoliť cloud kvalifikovaný SecNumCloud, alebo udržiavať on-premise v súlade s referenčným rámcom ANSSI RGS v2.

Je dôležité poznamenať, že NIS2, transponovaná do francúzskej legislatívy zákona z 26. januára 2025, rozširuje povinnosti kybernetickej bezpečnosti na viac ako 15 000 podstatných a dôležitých subjektov, čo vytvárajúca novú regulačnú energiu pre voľbu architektúry.

Celkové náklady na vlastníctvo: porovnávacia analýza

Analýza TCO (Total Cost of Ownership) za 5 rokov trvale ukazuje výhodu cloudu pre objem pod 50 000 podpisov ročne. Keď je objem vyšší, on-premise môže byť konkurencieschopný, ak infraštruktúra už existuje. Kalkulačka ROI od spoločnosti Certyneo vám umožňuje presne odhadnúť tento bod zlomu podľa vášho objemu a sektora.

Typické nasadenie on-premise pre podnik s 1 000 zamestnancami predstavuje:

• Počiatočná licencia: 60 000 až 120 000 €
• Infraštruktúra HSM a dedikované servery: 30 000 až 50 000 €
• Ročná údržba (20 % licencie): 12 000 až 24 000 €/rok
• Interné IT zdroje: 0,5 až 1 ETP dedikovaný

Oproti tomu cloud SaaS s rovnakou kapacitou zvyčajne stojí 18 000 až 40 000 €/rok vrátane všetkého, bez akýchkoľvek CAPEX nákladov.

Technická bezpečnosť: výhody a limity každého modelu

Bezpečnosť v prostredí cloudu

Oproti pretrvávacej predsudke ponúka cloud špecializovaného vydavateľa často vyšší stupeň bezpečnosti ako štandardná on-premise infraštruktúra klasického podniku. Dôvody sú štrukturálne: vydavatelia masívne investujú do špecializovaných tímov (24/7 SOC, štvrťročné penetračné testy, certifikácie ISO 27001 a SOC 2 Type II), čo je mimo dosahu väčšiny interných IT oddelení.

Osvedčené postupy zahŕňajú šifrovanie AES-256 v kľude a TLS 1.3 pri prenose, povinné viacfaktorové overovanie, nezmeniť zdokumentovanie udalostí podpisu a geograficky redundantné zálohy. Právna hodnota elektronického podpisu je presne postavená na tejto nezvratnej sledovateľnosti.

Riziká špecifické pre on-premise

On-premise generuje špecifické riziká často podceňované:

• Dryft verzií: bez dedikovaného tímu sa kryptografické aktualizácie (revokácia certifikátov, prechod na SHA-3) oneskorujú, vystavujúc podnik podpisom technicky neplatným.
• Správa HSM: hardware bezpečnostný modul zle nakonfigurovaný alebo ktorého firmware nie je aktualizovaný ruší záruky nezápretia.
• Plán obnovy podnikania: dostupnosť (SLA) on-premise interného zvyčajne neprekročí 99,5 %, oproti 99,95 % pre štruktúrovaný cloud SaaS.

Pre organizácie, ktoré chcú spájať suverenitu s delegovaným riadením, je model privátny cloud (dedikovaný Private Cloud v certifikovanom datacentre tretej strany s HDS alebo SecNumCloud) relevantnou medziľahlou cestou.

Integrácia, agilita a škálovateľnosť

API a interoperabilita

Obidva modely teraz vystavujú zdokumentované REST API. Napriek tomu je rýchlosť aktualizácie štrukturálne rozdielna: vydavateľ cloudu nasadzuje nové funkcie (biometrický podpis, AI detekcia podvodného dokumentu, podpora eIDAS 2.0 Wallet) v priebehu niekoľkých týždňov, zatiaľ čo on-premise znamená interný cyklus kvalifikácie 3 až 6 mesiacov na hlavnú verziu.

Na integráciu elektronického podpisu do ERP (SAP, Oracle), HRIS alebo DMS (OpenText, Alfresco) cloud ponúka vopred vytvárané konektor spravované vydavateľom. Komplexné porovnanie riešení elektronického podpisu podrobne popisuje možnosti integrácie hlavných hráčov na trhu.

Škálovateľnosť a objem

V cloude je škálovateľnosť takmer okamžitá: kampaň s 10 000 súbežnými podpismi (zhromaždenie akcionárov, hromadné nasadenie HR) je absorbovaná bez predchádzajúcej konfigurácie. V on-premise musí naddimenziovaná infraštruktúra predpokladať špičky, generujúc náklady na imobilizáciu.

Organizácie s rýchlym rastom alebo praktizujúce sezónne cykly (nehnuteľnosti, poistenie) majú osobitnú výhodu z elasticity cloudu. Elektronický podpis v oblasti nehnuteľností, napríklad, zažívajú špičky objemu súvisiace s cyklami trhu, ktoré by urobili permanentne naddimenziovaný on-premise.

Kritériá rozhodnovania: ktorý model pre ktorý profil?

Podniky a malé a stredné podniky bez špecifických sektorových oneskorení

Pre malý alebo stredný podnik s 10 až 500 zamestnancami bez špecifickej regulačnej povinnosti sa cloud SaaS bez váhania ukladá: rýchle nasadenie, kontrolované náklady, zhoda s eIDAS a GDPR garantovaná vydavateľom. Integrácia do existujúcich HR nástrojov sa uľahčuje natívnymi konektormi — ako ilustruje použitie elektronického podpisu pre HR tímy pokrývajúc výplatné pásky, zmluvy a zrušenia bez dedikovanej infraštruktúry.

Veľké podniky a regulované sektory

Podniky spracúvajúce údaje o zdraví (HDS povinný), kritické finančné údaje alebo klasifikované informácie musia vážne posúdiť on-premise alebo kvalifikovaný privátny cloud. Otázka nie je technická, ale regulačná: umožňuje referenčný rámec alebo nie priestor na verejný cloud?

Hybridná architektúra — cloud pre bežné podpisy, on-premise pre najcitlivejšie kvalifikované akty — je prijímaná niekoľkými veľkými francúzskymi skupinami od roku 2024. Tento model vyžaduje starostlivú orchestráciu a spoľahlivé API brány.

Verejné subjekty a administratívy

Od cirkuláru DINUM 2023-1 sú státne administratívy povzbudzované uprednostňovať ponuky cloudu kvalifikované SecNumCloud. On-premise zostáva povolený pre citlivé informačné systémy (SIS), ale musí spĺňať RGS v2 a PGSSI-S pre údaje o zdraví. Elektronický podpis pre právnické kancelárie ilustruje, ako subjekty s vysokými požiadavkami na sledovateľnosť nájdu svoju rovnováhu medzi týmito dvoma modelmi.

Právny rámec vzťahujúci sa na infraštruktúru vášej riešenia elektronického podpisu

Voľba medzi cloudom a on-premise nie je právne neutrálna. Niekoľko právnych korpusov priamo upravuje technickú architektúru vašich riešení elektronického podpisu.

Občiansky zákonník, články 1366 a 1367: Tieto ustanovenia definujú elektronický podpis ako spoľahlivý postup identifikácie zaručujúci jeho prepojenie s aktom, ku ktorému je pripojený. Spoľahlivosť postupu sa predpokladá kým sa nepreukáže opak, ak je použitý kvalifikovaný elektronický podpis. Táto domnienka platí nezávisle od režimu infraštruktúry, za predpokladu, že poskytovateľ dôvernostných služieb (PSCo) je kvalifikovaný.

Nariadenie eIDAS č. 910/2014 a eIDAS 2.0 (nariadenie EÚ 2024/1183): Nariadenie eIDAS rozlišuje tri úrovne podpisu (jednoduchý, pokročilý, kvalifikovaný). Kvalifikovaný podpis vyžaduje nevyhnutne zásah PSCo registrovaného na národnom zozname dôvernosti (zoznam dôvernosti ANSSI pre Francúzsko). Či je vaše riešenie cloud alebo on-premise, musí sa integrálne nazývať s kvalifikovaným PSCo, aby sa vydali kvalifikované podpisy. eIDAS 2.0, platný od mája 2024, zavádza európsku peňaženku digitálnej identity (EUDIW) a sprísnuje požiadavky na správu kvalifikovaných certifikátov.

Nariadenie GDPR č. 2016/679: Článok 28 ukladá uzavretie DPA (zmluvy o spracúvaní údajov) s akýmkoľvek poskytovaťom cloudu spracúvajúcim osobné údaje vo vašom mene. Článok 44 zakazuje prenosy údajov mimo EÚ bez vhodných záruk (štandardné zmluvné klauzuly alebo záväzné firemné pravidlá). V internom on-premise zmizne táto povinnosť, ale podnik sa stáva spracovateľom údajov a musí dokumentovať svoje technické a organizačné opatrenia (MTO) v súlade s článkom 32.

Smernica NIS2 (smernica EÚ 2022/2555), transponovaná do francúzskej legislatívy zákona z 26. januára 2025: Podstatné a dôležité subjekty (sektory energia, zdravotníctvo, financie, voda, digitalizácia, doprava, administratíva) musia implementovať proporcionálne opatrenia kybernetickej bezpečnosti, vrátane riadenia rizík súvisiacich s dodávateľským reťazcom numerických systémov. Poskytovateľ cloudu elektronického podpisu predstavuje kritického dodávateľa tretej strany podľa NIS2: povinná skúmanie vykonanosti, špecifické zmluvné doložky a právo na audit.

Normy ETSI EN 319 132 a ETSI EN 319 122: Tieto normy definujú formáty pokročilého elektronického podpisu (XAdES, PAdES, CAdES) akceptované na európskych verejných trhoch a v obchode B2B. Zhoda s týmito formátmi musí byť overená nezávisle od zvolenej architektúry.

Všeobecný bezpečnostný rámec (RGS v2) a HDS: Pre administratívy a poskytovaťov údajov o zdraví je RGS v2 ANSSI a certifikácia HDS (Poskytovateľ údajov o zdraví, nariadenie z 11. júna 2018) príslušne povinné. Cloud bez certifikácie HDS je právne diskvalifikovaný na hostovanie údajov o zdraví osobného charakteru, dokonca aj dočasne počas podpisovania súhlasu pacienta.

Právne riziká, ktoré je potrebné predvídať: Podpis vydaný zo systému nespĺňajúceho požiadavky môže byť v právnom spore spochybnený, zvlášť ak sa nepodarí nezvratne preukázať integritu dokumentu alebo totožnosť podpisujúceho. Ťarcí záťaž leží na tom, kto sa podpisuje. Audit zhody pred nasadením, cloud alebo on-premise, je silne odporúčaný.

Scenáre použitia: cloud alebo on-premise podľa obchodného kontextu

Scenár 1 — Priemyselná skupina strednej veľkosti spravujúca 15 000 zmlúv ročne

Priemyselný ETI (približne 1 200 zamestnancov, 3 výrobné miesta vo Francúzsku) musí dematerializovať všetky svoje zmluvy s dodávateľmi, zákazníkmi a subdodávateľmi. V priemere spracúva 15 000 podpisov ročne, so špičkami v januári (obnovenie rámcových zmlúv) a v septembri (nákupné kampane). Jeho priemyselné údaje sú citlivé, ale nie sú klasifikované.

Po analýze TCO za 5 rokov finančný riaditeľ dospel k záveru, že európsky cloud SaaS certifikovaný podľa ISO 27001 je o 40 % lacnejší ako ekvivalentné lokálne nasadenie (úspora škály vydavateľa vs. 0,7 ETP IT interných). IT riaditeľstvo si vybral riešenie cloudu hostované vo Francúzsku s SLA 99,95 % a zdokumentovanou REST API, integrované priamo do svojho ERP. Sezónne špičky sú absorbované bez dodatkových nákladov. Výsledok zistený po 12 mesiacoch: skrátenie o 65 % priemerného času podpisovania zmlúv s dodávateľmi (z 8,3 dní na 2,9 dní), a odhadnutá ročná úspora 120 000 € na náklady spracovania papiera a sledovania.

Scenár 2 — Nemocničný zväz s 1 200 lôžkami podriadený certifikácii HDS

Verejný nemocničný zväz chce dematerializovať súhlasy pacientov, zmluvy s praktizujúcimi všeobecnými lekármi a verejné zákazky. Spracovávané údaje zahŕňajú osobné zdravotné informácie podliehajúce certifikácii HDS (Poskytovateľ údajov o zdraví) a PGSSI-S.

Čistý on-premise je vyňatý kvôli zložitosti údržby HSM a absencie kryptografických kompetencií interne. Zväz si vybral privátny cloud umiestnený u poskytovatele certifikovaného na HDS a kvalifikovaného na SecNumCloud. Riešenie podpisu je nasadené v tomto dedikovanom cloude so striktným sieťovým izolovaním a protokolmi auditu exportovanými do interného SIEM. Náklady sú o 25 % vyššie ako štandardný zdieľaný cloud, ale o 35 % nižšie ako úplný on-premise. Prevádzkový prínos: 800 mesačných súhlasov je spracovaných za menej ako 24 hodín oproti 5 dňom v papierovej forme s úplnou sledovateľnosťou v súlade s požiadavkami HAS.

Scenár 3 — Právnická kancelária s 25 spolupracovníkmi integrujúca podpis do svojho každodenného toku práce

Parížska právnická kancelária zaoberajúca sa právnymi záležitosťami denne spracúva zmluvy o predaji, dohody o urovnaní a zmocnenia vyžadujúce pokročilý alebo kvalifikovaný elektronický podpis. Dôvernosť údajov klientov je prioritou, ale kancelária nemá žiadnu vlastnú IT infraštruktúru.

On-premise je z počiatku vylúčený kvôli chýbajúcim zdrojom. Kancelária si vybral cloud SaaS umiestnený v Európe so šifrovaním end-to-end, šifrovacími kľúčmi kontrolovanými klientom (BYOK — Bring Your Own Key), a zmluvnou zárukou nepristúpenia k údajom vydavateľom. Táto architektúra nazývaná „zero knowledge" spĺňa tak deontologické požiadavky Advokátskej komory ako aj povinnosti GDPR. Integrácia so softvérom na správu prípadov (cez API) skráca čas prípravy podpisovateľného aktu z 45 minút na 8 minút v priemere, čo predstavuje nárast produktivity 82 % na tejto úlohe.

Záver

Cloud alebo on-premise: neexistuje všeobecná odpoveď, ale štruktúrovaný rámec rozhodovania. Pre drvivú väčšinu francúzskych podnikov — malé a stredné podniky, ETI bez kritických sektorových oneskorení — európsky cloud SaaS v zhode s eIDAS a GDPR ponúka najlepší pomer medzi bezpečnosťou, zhodu a celkovými nákladmi na vlastníctvo. On-premise alebo kvalifikovaný privátny cloud zostáva relevantný pre regulované sektory (zdravotníctvo, obrana, OIV), kde záväzné referenčné rámce (HDS, SecNumCloud, RGS v2) ukladajú celkovú kontrolu nad infraštruktúrou.

V roku 2026 skutočná otázka nie je „cloud alebo on-premise", ale „aké úrovne suverenity pre ktoré údaje, s ktorým kvalifikovaným PSCo?". Certyneo odpovedá týmto požiadavkám architektúrou cloudu umiestnené výlučne vo Francúzsku, certifikovanou podľa ISO 27001, v zhode s eIDAS 2.0 a GDPR. Objavte naše ponuky a ceny na Certyneo alebo kontaktujte náš tím na bezplatný audit vášho potreby elektronického podpisu.