Elektronický podpis cloud alebo on-premise: akú voľbu zvoliť v roku 2026?

Úvod

Rozhodovanie sa medzi elektronickým podpisom v cloude a lokálnym nasadením je jedným z najdôležitejších strategických rozhodnutí pre IT riaditeľstvo alebo právne oddelenie v roku 2026. Hoci SaaS veľmi prilákal malé a stredné podniky svojou jednoduchosťou nasadenia, veľké podniky a organizácie podriadené sektorovým regulačným obmedzeniam sa stále pýtajú na relevantnosť internalizovanej infraštruktúry. Tento podrobný porovnávací materiál analyzuje obidva modely podľa piatich kľúčových osí: suverenita údajov, technická bezpečnosť, zhoda s normou eIDAS, celkové náklady na vlastníctvo a podnikateľská agilita. Na konci tohto článku budete mať praktický rozhodovací rámec na výber architektúry vhodnej pre váš kontext.

Pochopenie dvoch modelov infraštruktúry

Elektronický podpis v cloude (SaaS)

V modeli cloud operuje vydavateľ celú infraštruktúru: servery, aktualizácie, dostupnosť, zálohovanie a bezpečnosť údajov. Podnik ako zákazník pristupuje k riešeniu cez API alebo webové rozhranie bez akejkoľvek lokálnej inštalácie. Hráči na európskom trhu — vrátane spoločnosti Certyneo — zvyčajne používajú datacentrá certifikované podľa ISO 27001 lokalizované v Európskej únii (Francúzsko, Nemecko, Holandsko), čo zaručuje zhodu s GDPR bez dodatočného úsilia na strane zákazníka.

Výhody sú dobre známe: nasadenie v priebehu niekoľkých hodín, okamžitá škálovateľnosť, automatické aktualizácie zohľadňujúce legislatívne zmeny (eIDAS 2.0, DSP3, NIS2) a platba za používanie (OPEX). Táto flexibilita vysvetľuje, prečo mnohé spoločnosti, najmä tie menšie, dnes uprednostňujú SaaS pre svoje nástroje na digitalizáciu.

Lokálne nasadenie (on-premise)

On-premise pozostáva z inštalácie platformy elektronického podpisu priamo na serveroch podniku alebo v privátnom datacentre, ktoré spravuje. Tento model ponúka úplnú kontrolu nad údajmi, tokmi a bezpečnostnými politikami. Historicky je prijímaný bankami, poisťovňami, nemocnicami alebo verejnou správou spracúvajúcou citlivé údaje podliehajúce špecifickým referenčným rámcom (HDS, SecNumCloud, PGSSI-S).

Náprotivkom je významná prevádzkovo-technická záťaž: IT tím musí spravovať aktualizácie, kvalifikované certifikáty podpisu, HSM (hardvérové bezpečnostné moduly), vysokú dostupnosť a regulačný monitoring. Počiatočné náklady (CAPEX) sú vysoké, so licenciami prekračujúcimi 80 000 € na podnikovú inštaláciu, ku ktorým sa pridávajú ročné náklady na infraštruktúru.

Suverenita údajov a regulačná zhoda

GDPR a lokalizácia údajov

Nariadenie eIDAS a jeho implikácie pre vaše kvalifikované podpisy vyžadujú, aby poskytovatelia dôvernostných služieb (PSCo) boli auditovaní a uvedení v zoznamoch dôvernosti jednotlivých krajín. Či sa rozhodnete pre cloud alebo on-premise, vaše riešenie musí byť nevyhnutne postavené na kvalifikovanom PSCo. Skutočná otázka GDPR sa týka prenosov mimo EÚ: cloud umiestnený u amerického hyperscalera (AWS, Azure, GCP) bez platných zmlúv o štandardných zmluvných klauzulách (SCC) vystavuje podnik riziku pokút dosahujúcich až 4 % celosvetového obratu.

Riešenia v cloude umiestnené v Európe, ako je Certyneo, spĺňajú túto požiadavku natívne, so servermi umiestnené výlučne vo Francúzsku a so Zmluvou o spracúvaní údajov (DPA) spĺňajúcou článok 28 GDPR poskytnutou pri podpise.

SecNumCloud a regulované sektory

Pre operátorov kritickej dôležitosti (OIV) a subjekty podliehajúce Cloud v centre DINUM sa kvalifikácia SecNumCloud od ANSSI postupne stáva povinnou. V roku 2026 je táto kvalifikácia získaná iba niekoľkými francúzskymi subjektami cloudu (OVHcloud, Outscale). Dotknuté organizácie musia buď zvoliť cloud kvalifikovaný SecNumCloud, alebo udržiavať on-premise v súlade s referenčným rámcom ANSSI RGS v2.

Je dôležité poznamenať, že NIS2, transponovaná do francúzskej legislatívy zákona z 26. januára 2025, rozširuje povinnosti kybernetickej bezpečnosti na viac ako 15 000 podstatných a dôležitých subjektov, čo vytvárajúca novú regulačnú energiu pre voľbu architektúry.

Celkové náklady na vlastníctvo: porovnávacia analýza

Analýza TCO (Total Cost of Ownership) za 5 rokov trvale ukazuje výhodu cloudu pre objem pod 50 000 podpisov ročne. Keď je objem vyšší, on-premise môže byť konkurencieschopný, ak infraštruktúra už existuje. Kalkulačka ROI od spoločnosti Certyneo vám umožňuje presne odhadnúť tento bod zlomu podľa vášho objemu a sektora.

Typické nasadenie on-premise pre podnik s 1 000 zamestnancami predstavuje:

• Počiatočná licencia: 60 000 až 120 000 €
• Infraštruktúra HSM a dedikované servery: 30 000 až 50 000 €
• Ročná údržba (20 % licencie): 12 000 až 24 000 €/rok
• Interné IT zdroje: 0,5 až 1 ETP dedikovaný

Oproti tomu cloud SaaS s rovnakou kapacitou zvyčajne stojí 18 000 až 40 000 €/rok vrátane všetkého, bez akýchkoľvek CAPEX nákladov.

Technická bezpečnosť: výhody a limity každého modelu

Bezpečnosť v prostredí cloudu

Oproti pretrvávacej predsudke ponúka cloud špecializovaného vydavateľa často vyšší stupeň bezpečnosti ako štandardná on-premise infraštruktúra klasického podniku. Dôvody sú štrukturálne: vydavatelia masívne investujú do špecializovaných tímov (24/7 SOC, štvrťročné penetračné testy, certifikácie ISO 27001 a SOC 2 Type II), čo je mimo dosahu väčšiny interných IT oddelení.

Osvedčené postupy zahŕňajú šifrovanie AES-256 v kľude a TLS 1.3 pri prenose, povinné viacfaktorové overovanie, nezmeniť zdokumentovanie udalostí podpisu a geograficky redundantné zálohy. Právna hodnota elektronického podpisu je presne postavená na tejto nezvratnej sledovateľnosti.

Riziká špecifické pre on-premise

On-premise generuje špecifické riziká často podceňované:

• Dryft verzií: bez dedikovaného tímu sa kryptografické aktualizácie (revokácia certifikátov, prechod na SHA-3) oneskorujú, vystavujúc podnik podpisom technicky neplatným.
• Správa HSM: hardware bezpečnostný modul zle nakonfigurovaný alebo ktorého firmware nie je aktualizovaný ruší záruky nezápretia.
• Plán obnovy podnikania: dostupnosť (SLA) on-premise interného zvyčajne neprekročí 99,5 %, oproti 99,95 % pre štruktúrovaný cloud SaaS.

Pre organizácie, ktoré chcú spájať suverenitu s delegovaným riadením, je model privátny cloud (dedikovaný Private Cloud v certifikovanom datacentre tretej strany s HDS alebo SecNumCloud) relevantnou medziľahlou cestou.

Integrácia, agilita a škálovateľnosť

API a interoperabilita

Obidva modely teraz vystavujú zdokumentované REST API. Napriek tomu je rýchlosť aktualizácie štrukturálne rozdielna: vydavateľ cloudu nasadzuje nové funkcie (biometrický podpis, AI detekcia podvodného dokumentu, podpora eIDAS 2.0 Wallet) v priebehu niekoľkých týždňov, zatiaľ čo on-premise znamená interný cyklus kvalifikácie 3 až 6 mesiacov na hlavnú verziu.

Na integráciu elektronického podpisu do ERP (SAP, Oracle), HRIS alebo DMS (OpenText, Alfresco) cloud ponúka vopred vytvárané konektor spravované vydavateľom. Komplexné porovnanie riešení elektronického podpisu podrobne popisuje možnosti integrácie hlavných hráčov na trhu.

Škálovateľnosť a objem

V cloude je škálovateľnosť takmer okamžitá: kampaň s 10 000 súbežnými podpismi (zhromaždenie akcionárov, hromadné nasadenie HR) je absorbovaná bez predchádzajúcej konfigurácie. V on-premise musí naddimenziovaná infraštruktúra predpokladať špičky, generujúc náklady na imobilizáciu.

Organizácie s rýchlym rastom alebo praktizujúce sezónne cykly (nehnuteľnosti, poistenie) majú osobitnú výhodu z elasticity cloudu. Elektronický podpis v oblasti nehnuteľností, napríklad, zažívajú špičky objemu súvisiace s cyklami trhu, ktoré by urobili permanentne naddimenziovaný on-premise.

Kritériá rozhodnovania: ktorý model pre ktorý profil?

Podniky a malé a stredné podniky bez špecifických sektorových oneskorení

Pre malý alebo stredný podnik s 10 až 500 zamestnancami bez špecifickej regulačnej povinnosti sa cloud SaaS bez váhania ukladá: rýchle nasadenie, kontrolované náklady, zhoda s eIDAS a GDPR garantovaná vydavateľom. Integrácia do existujúcich HR nástrojov sa uľahčuje natívnymi konektormi — ako ilustruje použitie elektronického podpisu pre HR tímy pokrývajúc výplatné pásky, zmluvy a zrušenia bez dedikovanej infraštruktúry.

Veľké podniky a regulované sektory

Podniky spracúvajúce údaje o zdraví (HDS povinný), kritické finančné údaje alebo klasifikované informácie musia vážne posúdiť on-premise alebo kvalifikovaný privátny cloud. Otázka nie je technická, ale regulačná: umožňuje referenčný rámec alebo nie priestor na verejný cloud?

Hybridná architektúra — cloud pre bežné podpisy, on-premise pre najcitlivejšie kvalifikované akty — je prijímaná niekoľkými veľkými francúzskymi skupinami od roku 2024. Tento model vyžaduje starostlivú orchestráciu a spoľahlivé API brány.

Verejné subjekty a administratívy

Od cirkuláru DINUM 2023-1 sú státne administratívy povzbudzované uprednostňovať ponuky cloudu kvalifikované SecNumCloud. On-premise zostáva povolený pre citlivé informačné systémy (SIS), ale musí spĺňať RGS v2 a PGSSI-S pre údaje o zdraví. Elektronický podpis pre právnické kancelárie ilustruje, ako subjekty s vysokými požiadavkami na sledovateľnosť nájdu svoju rovnováhu medzi týmito dvoma modelmi.

Právny rámec vzťahujúci sa na infraštruktúru vášej riešenia elektronického podpisu

Voľba medzi cloudom a on-premise nie je právne neutrálna. Niekoľko právnych korpusov priamo upravuje technickú architektúru vašich riešení elektronického podpisu.

Občiansky zákonník, články 1366 a 1367: Tieto ustanovenia definujú elektronický podpis ako spoľahlivý postup identifikácie zaručujúci jeho prepojenie s aktom, ku ktorému je pripojený. Spoľahlivosť postupu sa predpokladá kým sa nepreukáže opak, ak je použitý kvalifikovaný elektronický podpis. Táto domnienka platí nezávisle od režimu infraštruktúry, za predpokladu, že poskytovateľ dôvernostných služieb (PSCo) je kvalifikovaný.

Nariadenie eIDAS č. 910/2014 a eIDAS 2.0 (nariadenie EÚ 2024/1183): Nariadenie eIDAS rozlišuje tri úrovne podpisu (jednoduchý, pokročilý, kvalifikovaný). Kvalifikovaný podpis vyžaduje nevyhnutne zásah PSCo registrovaného na národnom zozname dôvernosti (zoznam dôvernosti ANSSI pre Francúzsko). Či je vaše riešenie cloud alebo on-premise, musí sa integrálne nazývať s kvalifikovaným PSCo, aby sa vydali kvalifikované podpisy. eIDAS 2.0, platný od mája 2024, zavádza európsku peňaženku digitálnej identity (EUDIW) a sprísnuje požiadavky na správu kvalifikovaných certifikátov.

Nariadenie GDPR č. 2016/679: Článok 28 ukladá uzavretie DPA (zmluvy o spracúvaní údajov) s akýmkoľvek poskytovaťom cloudu spracúvajúcim osobné údaje vo vašom mene. Článok 44 zakazuje prenosy údajov mimo EÚ bez vhodných záruk (štandardné zmluvné klauzuly alebo záväzné firemné pravidlá). V internom on-premise zmizne táto povinnosť, ale podnik sa stáva spracovateľom údajov a musí dokumentovať svoje technické a organizačné opatrenia (MTO) v súlade s článkom 32.

Smernica NIS2 (smernica EÚ 2022/2555), transponovaná do francúzskej legislatívy zákona z 26. januára 2025: Podstatné a dôležité subjekty (sektory energia, zdravotníctvo, financie, voda, digitalizácia, doprava, administratíva) musia implementovať proporcionálne opatrenia kybernetickej bezpečnosti, vrátane riadenia rizík súvisiacich s dodávateľským reťazcom numerických systémov. Poskytovateľ cloudu elektronického podpisu predstavuje kritického dodávateľa tretej strany podľa NIS2: povinná skúmanie vykonanosti, špecifické zmluvné doložky a právo na audit.

Normy ETSI EN 319 132 a ETSI EN 319 122: Tieto normy definujú formáty pokročilého elektronického podpisu (XAdES, PAdES, CAdES) akceptované na európskych verejných trhoch a v obchode B2B. Zhoda s týmito formátmi musí byť overená nezávisle od zvolenej architektúry.

Všeobecný bezpečnostný rámec (RGS v2) a HDS: Pre administratívy a poskytovaťov údajov o zdraví je RGS v2 ANSSI a certifikácia HDS (Poskytovateľ údajov o zdraví, nariadenie z 11. júna 2018) príslušne povinné. Cloud bez certifikácie HDS je právne diskvalifikovaný na hostovanie údajov o zdraví osobného charakteru, dokonca aj dočasne počas podpisovania súhlasu pacienta.

Právne riziká, ktoré je potrebné predvídať: Podpis vydaný zo systému nespĺňajúceho požiadavky môže byť v právnom spore spochybnený, zvlášť ak sa nepodarí nezvratne preukázať integritu dokumentu alebo totožnosť podpisujúceho. Ťarcí záťaž leží na tom, kto sa podpisuje. Audit zhody pred nasadením, cloud alebo on-premise, je silne odporúčaný.

Ilustratívne scenáre použitia: cloud alebo on-premise podľa kontextu činnosti

Scenár 1 — Priemyselná skupina strednej veľkosti spravujúca 15 000 zmlúv ročne

Tieto scenáre sú ilustratívne: opisujú typové situácie a neuvádzajú žiadny zmeraný výsledok u konkrétneho klienta. Priemyselný podnik strednej veľkosti (približne 1 200 zamestnancov, 3 výrobné prevádzky vo Francúzsku) potrebuje digitalizovať všetky zmluvy s dodávateľmi, zákazníkmi a subdodávateľmi. Spracúva v priemere 15 000 podpisov ročne, so špičkami v januári (obnova rámcových zmlúv) a v septembri (nákupné kampane). Jeho priemyselné údaje sú citlivé, no neklasifikované.

Po analýze TCO na obdobie 5 rokov finančné oddelenie usúdilo, že cloudové SaaS riešenie európskeho poskytovateľa certifikované podľa ISO 27001 vychádza lacnejšie ako ekvivalentné on-premise nasadenie (zdieľanie nákladov u dodávateľa oproti interným vyhradeným IT zdrojom). IT oddelenie sa rozhodlo pre cloudové riešenie hostované vo Francúzsku s dokumentovaným REST API, priamo integrované do jeho ERP systému. Sezónne špičky sú zvládnuté bez dodatočných nákladov. Lehota podpisovania dodávateľských zmlúv a náklady na papierové spracovanie a upomienky by sa mali znížiť. Rozsah prínosu je potrebné merať na reálnom rozsahu, pred a po pilotnom nasadení.

Scenár 2 — Nemocničný zväz s 1 200 lôžkami podriadený certifikácii HDS

Verejný nemocničný zväz chce dematerializovať súhlasy pacientov, zmluvy s praktizujúcimi všeobecnými lekármi a verejné zákazky. Spracovávané údaje zahŕňajú osobné zdravotné informácie podliehajúce certifikácii HDS (Poskytovateľ údajov o zdraví) a PGSSI-S.

Čisté on-premise riešenie bolo zavrhnuté kvôli zložitosti údržby HSM zariadení a chýbajúcim interným kryptografickým odborným znalostiam. Zoskupenie sa rozhodlo pre súkromný cloud hostovaný u poskytovateľa s certifikáciou HDS a kvalifikáciou SecNumCloud. Riešenie na podpisovanie je nasadené v tomto vyhradenom cloude, s prísnou sieťovou segmentáciou a auditnými záznamami exportovanými do interného SIEM systému. Náklady sú vyššie než pri štandardnom zdieľanom cloude, no nižšie než pri úplnom on-premise riešení. Prevádzkový prínos: mesačné súhlasy sú spracúvané rýchlejšie než v papierovej forme, s úplnou sledovateľnosťou v súlade s požiadavkami HAS. Rozsah prínosu je potrebné merať na reálnom objeme, pred a po pilotnom nasadení.

Scenár 3 — Právnická kancelária s 25 spolupracovníkmi integrujúca podpis do svojho každodenného toku práce

Parížska právnická kancelária zaoberajúca sa právnymi záležitosťami denne spracúva zmluvy o predaji, dohody o urovnaní a zmocnenia vyžadujúce pokročilý alebo kvalifikovaný elektronický podpis. Dôvernosť údajov klientov je prioritou, ale kancelária nemá žiadnu vlastnú IT infraštruktúru.

On-premise riešenie bolo od začiatku vylúčené z dôvodu nedostatku zdrojov. Kancelária si vybrala európske cloudové SaaS riešenie s end-to-end šifrovaním, šifrovacími kľúčmi spravovanými klientom (BYOK — Bring Your Own Key) a zmluvnou zárukou, že dodávateľ nemá prístup k údajom. Táto tzv. zero knowledge architektúra spĺňa zároveň deontologické požiadavky advokátskej komory aj povinnosti vyplývajúce z GDPR. Integrácia so softvérom na správu spisov (cez API) skracuje čas potrebný na prípravu podpísateľného dokumentu. Rozsah prínosu je potrebné merať na reálnom rozsahu, pred a po pilotnom nasadení.

Záver

Cloud alebo on-premise: neexistuje všeobecná odpoveď, ale štruktúrovaný rámec rozhodovania. Pre drvivú väčšinu francúzskych podnikov — malé a stredné podniky, ETI bez kritických sektorových oneskorení — európsky cloud SaaS v zhode s eIDAS a GDPR ponúka najlepší pomer medzi bezpečnosťou, zhodu a celkovými nákladmi na vlastníctvo. On-premise alebo kvalifikovaný privátny cloud zostáva relevantný pre regulované sektory (zdravotníctvo, obrana, OIV), kde záväzné referenčné rámce (HDS, SecNumCloud, RGS v2) ukladajú celkovú kontrolu nad infraštruktúrou.

V roku 2026 skutočná otázka nie je „cloud alebo on-premise", ale „aké úrovne suverenity pre ktoré údaje, s ktorým kvalifikovaným PSCo?". Certyneo odpovedá týmto požiadavkám architektúrou cloudu umiestnené výlučne vo Francúzsku, certifikovanou podľa ISO 27001, v zhode s eIDAS 2.0 a GDPR. Objavte naše ponuky a ceny na Certyneo alebo kontaktujte náš tím na bezplatný audit vášho potreby elektronického podpisu.