SERIÁL: ELEKTRONICKÉ PODEPISOVÁNÍ V PRAXI

Autor textu: Michal Hanzal | Datum publikace: 26. 8. 2021 | Autor grafiky: vectorjuice – www.freepik.com

Certifikáty pro elektronické podpisy (a nejenom ty) vystavují tzv. certifikační autority. Pojem je to dvojaký, protože označuje jak software, který technicky „vyrobí“ to, čemu říkáme certifikát, ale také organizaci vydávající různé typy certifikátů za úplatu. Softwarem se v tomto článku zabývat nebudeme, naopak svou pozornost obrátíme vůči zmíněným organizacím. A navíc ještě vůči těm, které se označují jako kvalifikované certifikační autority.

Ono totiž to slůvko „kvalifikovaný“ má zásadní význam, protože pouze prostřednictvím kvalifikovaných certifikátů, vydaných oněmi kvalifikovanými autoritami, lze vytvářet tzv. uznávané elektronické podpisy (viz §6 Zákona 297/2016 Sb., o službách vytvářejících důvěru). Termínem „uznávaný elektronický podpis“ se v uvedeném zákoně rozumí „…zaručený elektronický podpis založený na kvalifikovaném certifikátu pro elektronický podpis nebo kvalifikovaný elektronický podpis.“

V Česku fungují čtyři kvalifikované certifikační autority, vydávající kvalifikované podpisové certifikáty. Jsou jimi První certifikační autorita, Česká pošta prostřednictvím své certifikační autority PostSignum, eIdentity a Správa základních registrů prostřednictvím své certifikační autority Národní certifikační autorita. Poslední ze jmenovaných je ovšem určena výhradně pro vybrané subjekty veřejné správy (bezpečností složky, zpravodajské služby a vybrané útvary resortu Ministerstva vnitra). Ostatní jsou veřejné a každý, kdo má zájem, si od nich může kvalifikovaný podpisový certifikát koupit.

Ve světě elektronického podepisování se certifikát používá ke dvěma zásadním věcem: 1) k jisté formě spojení identity podepisujícího s jeho elektronickým podpisem, 2) k ověření validity vytvořeného elektronického podpisu. Ovšem pozor, elektronický podpis o identitě podepisujícího člověka říká úplné minimum, nejčastěji pouze jeho jméno a příjmení. Prokázání totožnosti (dnes nejčastěji prezenčně prostřednictvím fyzických osobních dokladů) probíhá právě na straně certifikační autority, která musí ověřit, zejména při vydávání kvalifikovaných certifikátů, že daná osoba je ta, za kterou se vydává. Ale toto se do samotného certifikátu nezapisuje.

A co je obsahem certifikátu? Mnoho různých informací jako je například detailnější identifikace vlastníka, název vydavatele certifikátu a jeho elektronický podpis, dále platnost certifikátu a samozřejmě veřejný klíč.  Detailně jsme o tomto tématu psali v samostatném článku.

V závislosti na tom, která certifikační autorita podpisový certifikát vydala, se rozlišuje úroveň (kvalita) elektronického podpisu. A zase pozor, tím „která certifikační autorita“ je myšleno, zda je kvalifikovaná, či nikoliv. Pokud ano, je pak už úplně jedno, jestli to byla jedna z českých, nebo některá z ostatních v EU. V Česku pak rozlišujeme tři úrovně elektronických podpisů.

První, nejvyšší, nejkvalitnější z nich se jmenují „kvalifikované elektronické podpisy“. To jsou takové, které splňují dvě podmínky. Byly vytvořeny prostřednictvím kvalifikovaných certifikátů, vydaných např. jednou z výše uvedených certifikačních autorit (nebo kteroukoli jinou kvalifikovanou certifikační autoritou z EU). A byly vytvořeny pomocí tzv. kvalifikovaných prostředků pro vytváření elektronických podpisů, což jsou v praxi nejčastěji čipové karty nebo tokeny. Kvalifikované podpisy mají povinnost používat orgány státní správy, takže pokud někdy dostanete oficiální úřední písemnost v elektronické podobě, měla by být podepsaná právě kvalifikovaným elektronickým podpisem daného úředníka.

Druhou, specificky českou, úrovní jsou „uznávané elektronické podpisy založené na kvalifikovaném certifikátu“. Název je to krkolomný, proto se často označují zkráceně jako „uznávané elektronické podpisy“. S kvalifikovaným podpisem mají společné to, že k jejich vytvoření je stále potřeba kvalifikovaného certifikátu pro elektronický podpis. Ale už není potřeba onoho kvalifikovaného prostředku. To znamená, že se obejdete bez té čipové kartičky / tokenu. Uznávaný elektronický podpis je potřeba, pokud naopak vy chcete dokument poslat elektronickou formou státní správě. Úřady mají zákonnou povinnost dokument s tímto typem podpisu akceptovat. Samozřejmě za obsahovou správnost dokumentu už podpis nezodpovídá.

Třetí úrovní jsou tzv. „zaručené elektronické podpisy“. Ty už pro své vytvoření nepotřebují kvalifikovaný certifikát. Úplně stačí jakýkoli certifikát pro elektronické podepisování, který vystaví například váš zaměstnavatel. Neplatí pro ně tedy tak přísná pravidla, jako když si pořídíte kvalifikovaný certifikát. Nikdo po vás např. nebude chtít prokázání totožnosti. Zaručené elektronické podpisy je možné používat všude jinde než při elektronické komunikaci se státní správou. Například tedy v interních firemních procesech, v obchodních procesech mezi komerčními společnostmi apod.