Kvalificirani elektronički potpis u Hrvatskoj više nije tehnologija ograničena na mali broj korisnika, ali njegovo prihvaćanje u svakodnevnom poslovanju još uvijek znatno zaostaje za mogućnostima koje pruža. Certilia trenutačno ima više od 355.000 građana s aktivnih više od 533.000 certifikata, dok je elektroničku osobnu iskaznicu s certifikatima aktiviralo više od 345.000 građana. Mobilnu aplikaciju Certilia koristi oko 401.000 građana, a dnevni broj korištenja kreće se između 120.000 i 150.000. Kroz Certilia Doc te AKD-ove i aplikacije trećih strana koje koriste Certilia integracijsko rješenje mjesečno se potpiše oko 4,5 milijuna dokumenata, uz više od 800.000 prijava.
Istodobno, tehnološko i regulatorno sazrijevanje sustava nije uklonilo jednu od najvećih praktičnih prepreka – dio banaka, telekoma, javnih tijela i drugih institucija i dalje odbija dokumente potpisane kvalificiranim elektroničkim potpisom. AKD upozorava da problem nije u pravnoj valjanosti potpisa, nego prije svega u nedostatku odgovarajućih sustava za pohranu digitalnih dokumenata, nejasnim internim procedurama i nedovoljnoj pripremljenosti organizacija za potpuno elektroničko poslovanje. Prema eIDAS Uredbi kvalificirani elektronički potpis ima jednak pravni učinak kao vlastoručni potpis, ali dokument svoju punu elektroničku dokaznu vrijednost zadržava upravo u digitalnom obliku.
Certilia pritom omogućuje da jedna osoba unutar istog korisničkog računa koristi osobne i poslovne certifikate te prije svakog potpisivanja odabere u kojem svojstvu nastupa. Korisnik može biti povezan s više tvrtki, obrta, OPG-ova, udruga ili drugih organizacija, a za svaki od tih subjekata može imati zaseban poslovni certifikat.
O tome koliko je kvalificirani elektronički potpis danas stvarno prihvaćen u Hrvatskoj, zašto još postoji otpor prema digitalno potpisanim dokumentima, kako se provjerava vjerodostojnost potpisa te na koji se način štite privatni ključevi i podaci korisnika govori Leo Lokas, direktor sektora razvoja poslovanja iz AKD-a, koji za ICTbusiness Media i ICTbusiness.info objašnjava gdje se hrvatsko tržište danas nalazi i što još treba promijeniti kako bi elektroničko potpisivanje postalo uobičajen dio poslovanja građana, tvrtki i javnih institucija.
Koliko se danas Certilia kvalificirani elektronički potpis koristi u Hrvatskoj i gdje AKD vidi najveće prepreke njegovu širem prihvaćanju? Koliko aktivnih korisnika odnosno kvalificiranih potpisnih certifikata Certilia trenutačno ima, odvojeno za građane i poslovne korisnike?
Trenutno je nešto više od 355 000 građana koji imaju aktivnih preko 533 000 Certilia certifikata, te nešto više od 345 000 građana koji imaju aktiviranu elektroničku osobnu iskaznicu sa certifikatima. Certilia mobilnu aplikaciju koristi 401 000 građana, a zanimljivo je istaknuti kako se broj dnevnih korištenja mobilne aplikacije kreće između 120 000 i 150 000.
Ovakvi podaci nam govore kako su korisnici prepoznali Certiliu kao uslugu koja im je korisna u svakodnevnom životu i poslovanju. Posebno nas raduju vrlo visoke ocjene građana za Certilia – trenutno 4.7 od 5 u Google Play Store i 4.1 od 5 u iOS App Store.
Imate li podatke koliko se kvalificiranih potpisa putem Certilie prosječno izrađuje mjesečno ili godišnje?
Prosječno kroz Certilia Doc (https://doc.certilia.com) i sve druge aplikacije bilo AKD-ove ili trećih strana koje koriste Certilia integracijsko rješenje za digitalno potpisivanje se potpiše oko 4,5 milijuna dokumenata mjesečno, te se sa Certilijom napravi preko 800 000 prijava mjesečno.
Susrećete li se sa slučajevima u kojima banke, javna tijela ili druge institucije ne prihvaćaju Certilia QES iako je riječ o kvalificiranom elektroničkom potpisu?
Da, s takvim se situacijama u praksi i dalje susrećemo. Naši korisnici povremeno nam se obraćaju s upitima i zahtjevima za pomoć nakon što dokument potpisan kvalificiranim elektroničkim potpisom, koji elektroničkim putem dostave ne bude prihvaćen na očekivani način.
Iako članak 25. eIDAS Uredbe kvalificiranom elektroničkom potpisu (https://eur-lex.europa.eu/legal-content/HR/TXT/HTML/?uri=CELEX:02014R0910-20241018) priznaje jednak pravni učinak kao vlastoručnom potpisu, naš je dojam da u praksi još uvijek postoji prostor za dodatno unaprjeđenje procesa i šire prihvaćanje elektronički potpisanih dokumenata. Razlozi mogu biti različiti dokument potpisan kvalificiranim elektroničkim potpisom svoju punu vrijednost i mogućnost provjere zadržava u izvornom elektroničkom obliku, pojedine institucije i organizacije još uvijek prilagođavaju svoja tehnička rješenja i sustave za pohranu i obradu digitalnih dokumenata, povezano s time, postoji prostor za dodatno unaprjeđenje i ujednačavanje procedura za postupanje sa zaprimljenim elektronički potpisanim dokumentima
Sve navedeno može dovesti do situacija u kojima građani nailaze na poteškoće pri korištenju elektronički potpisanih dokumenata, unatoč njihovoj pravnoj valjanosti.
Iz naše perspektive, napredak u ovom području postoji, ali ima još prostora za njegovo ubrzavanje. Dodatno informiranje i podizanje svijesti o pravnim učincima kvalificiranog elektroničkog potpisa, daljnje usklađivanje prakse te razvoj odgovarajućih procedura mogli bi značajno pridonijeti njegovu još širem prihvaćanju.
U tome važnu ulogu imaju svi dionici – pružatelji usluga povjerenja, javni i privatni sektor, građani, kao i mediji koji otvaranjem ove teme pridonose boljem razumijevanju i široj primjeni digitalnih usluga.
Kako je u Certiliji zamišljeno razlikovanje privatnog i poslovnog potpisivanja? Može li ista fizička osoba iz jednog korisničkog računa odnosno aplikacije potpisivati dokument privatno, a zatim kao osoba povezana s trgovačkim društvom ili obrtom?
Certilia korisnik uvijek ima samo jedan račun te kod svakog potpisivanja mu se ponudi odabir certifikata sa kojim želi potpisati. Potpisni certifikat može biti osobni ili poslovni. Svaki građanin sa svakim uručenjem osobne iskaznice dobije pravo na 3 besplatna kvalificirana udaljena osobna certifikata, istovremeno može kupiti neograničen broj poslovnih certifikata za sve one organizacije sa kojima je povezan (npr. zaposlenik firme, vlasnik obrta…).
Može li korisnik biti povezan s više trgovačkih društava te prije potpisivanja odabrati u kojem svojstvu nastupa?
Naravno, korisnik je u praksi vrlo često povezan sa više organizacija, bilo da je zaposlen kod više poslodavaca, dodatno vlasnik obrta, OPG-a ili član udruge ili komore. Za svaki od tih subjekata može imati poslovni certifikat. Cijeli proces kupnje je potpuno online na https://reg.certilia.com traje 5 minuta i korisnik ne treba nikakvu dokumentaciju prilagati – sve provjere automatski obavljamo u nadležnim registrima i evidencijama. Cijena kvalificiranog udaljenog poslovnog certifikata je 9,29 eura na ukupni period od 2 godine – bez bilo kakvih skrivenih troškova. Certifikat je korisniku automatski dostupan u web i mobilnoj aplikaciji.
Osim potpisivanja, korisnik sa poslovnom uslugom automatski ima mogućnost Certilia poslovne prijave primjerice u eGrađane gdje onda i za proces prijave bira sa kojim poslovnim subjektom želi pristupiti.
Planirate li omogućiti automatsku provjeru aktualne ovlasti za zastupanje iz Sudskog ili Obrtnog registra tako da primatelj dokumenta ne mora zasebno provjeravati ovlast potpisnika?
Stupanjem na snagu eIDAS uredbe EU 910/2014 uvjet za ishođenje poslovnog certifikata je postojanje povezanosti fizičke osobe i organizacije, suprotno dotadašnjoj praksi pojedinih izdavatelja certifikata da poslovne certifikate izdaju samo osobama ovlaštenim za zastupanje organizacije. Ovlaštenje za zastupanje nije dio standardne validacije potpisa u EU i teško bi ga bilo implementirati bilo kojem pružatelju usluga povjerenja u EU, budući da Certilia kao i drugi pružatelji usluga povjerenja u EU izdaju poslovne certifikate i osobama koji su povezani sa organizacijama iz drugih država. Registri i/li informacije o ovlaštenju u kojima su upisane takve organizacije nisu uvijek javno dostupni.
Kako treća strana može provjeriti da je Certilia potpis zaista kvalificirani i valjani elektronički potpis? Nudi li AKD javno dostupnu validacijsku uslugu koja provjerava kvalificirani status potpisa, integritet dokumenta, status certifikata i vrijeme potpisivanja?
Da, Certilia usluga validacije je besplatno dostupna kroz Certilia Doc (https://doc.certilia.com) , nude ju i drugi pružatelji usluga povjerenja u EU, ali i sama EK na adresi: https://ec.europa.eu/digital-building-blocks/DSS/webapp-demo/validation
Može li ista validacijska usluga jednako provjeravati QES koji nije izdao AKD, nego FINA ili kvalificirani pružatelj iz druge države članice EU-a?
Naravno, sve validacijske usluge u EU su bazirane na EU Trusted listi (https://eidas.ec.europa.eu/efda/trust-services/browse/eidas/tls) i mogu uspješno validirati dokumente koji sadrže elektroničke potpise izrađene sa certifikatima koje je izdao bilo koji pružatelj usluga povjerenja u EU.
Kako se osigurava dugoročna dokazivost potpisa nakon što certifikat istekne ili bude opozvan?
Kvalificirani potpisi i pečati u EU se, ovisno o formatu dokumenta, izrađuju prema različitim standardima poput PAdES/XAdES/CAdES (Razine B, T, LT i LTA ). Dugoročna dokazivost elektroničkog potpisa osigurava se tako da se ne oslanja samo na valjanost certifikata u trenutku buduće provjere. Važno je dokazati da je potpis bio valjan u trenutku potpisivanja.
|
Razina
|
Što sadrži
|
Što praktično osigurava
|
Nedostaci
|
|
B – Basic
|
Potpis + certifikat/podaci o potpisniku
|
Dokazuje tko je potpisao i integritet dokumenta
|
Teško dokazati kada je potpis nastao i kakav je tada bio status certifikata
|
|
T – Timestamp
|
B + kvalificirani vremenski žig
|
Dokazuje da je potpis postojao u određenom trenutku
|
Ne mora sadržavati sve podatke potrebne za kasniju validaciju
|
|
LT – Long Term
|
T + certifikati lanca + podaci o opozivu
|
Omogućuje validaciju i nakon isteka certifikata ili nedostupnosti OCSP/CRL servisa
|
Kriptografski algoritmi i vremenski žigovi ipak mogu s vremenom zastarjeti
|
|
LTA – Long Term Archival
|
LT + dodatni/arhivski vremenski žigovi
|
Namijenjeno dugoročnom/arhivskom očuvanju dokaza
|
Zahtijeva periodično održavanje i obnovu zaštite
|
Kako AKD osigurava zaštitu privatnog ključa i osobnih podataka kod udaljenog kvalificiranog potpisivanja? Koji dio procesa potpisivanja odvija se na korisnikovu uređaju, a koji unutar AKD-ove infrastrukture i udaljenog QSCD-a?
Proces kvalificiranog udaljenog potpisivanja je dosta zahtjevan i na njega se primjenjuju vrlo stroga pravila u smislu dizajna procesa, upotrebe kriptografskih algoritama i operacija.
Sam mehanizam zaštite korisnikovog privatnog ključa se postiže razvojem ili kupnjom certificiranog rQSCD proizvoda koji je dokazao da ispunjava sve relevantne zahtjeve uključujući user SAP (Sole access possession).
AKD je jedna od rijetkih tvrtki i pružatelja usluga povjerenja u ovom dijelu Europe koja je samostalno razvila i certificirala vlastiti rQSCD uređaj:
https://eidas.ec.europa.eu/efda/browse/notification/qscd-sscd (product name: Certilia eSign).
Sam korisnikov ključ je zaštićen sigurnim HSM (Hardware security module), dok se na korisnikovom uređaju nalaze aktivacijski podaci koji unutar sesije nastale prijavom najmanje EU LoA visoke razine sudjeluju u lokalnoj kriptografskoj operaciji koja povezuje sadržaj koji korisnik potpisuje sa operacijom potpisivanja generirajući unikatnu i neponovljivu vrijednost koja omogućava aktivaciju korisnikovog ključa samo na HSM uređaju na kojem je nastao i za dokument kojeg je korisnik vidio, dok sami aktivacijski podaci nikad ne napuštaju korisnikov uređaj.
Tehnički detalji su opisani u aktualnom Certilia CPS dokumentu dostupnom na https://certilia.com u kategoriji Dokumenti.
Može li AKD tehnički pristupiti privatnom ključu korisnika ili samostalno inicirati potpis bez korisnikove autorizacije?
Ne postoje uvjeti pod kojima bi to bilo moguće. Iako se korisnikov ključ nalazi kriptiran sigurnim HSM uređajima u sigurnoj zoni Certilia okoline, koja je predmet redovnih
audita i certifikacija, upravo ovo je jedan od ključnih zahtjeva koje je potrebno dokazati certifikacijom rQSCD proizvoda.
Koji se podaci o potpisivanju, dokumentu, korisniku, vremenu i uređaju evidentiraju i koliko dugo se čuvaju?
Sadržaj i rokovi čuvanja podataka su definirani na više razina i redovito se mijenjaju. Zakonski (eIDAS, eIDAS 2.0, NN 62/17, NN 60/19), normativni (ETSI EN 319 401, EN 319 411-1/-2, TS 119 431-1/-2, TS 119 461, CEN EN 419 241). Sukladno propisima i zahtjevima, čuvaju se različiti evidencijski logovi prema propisanim rokovima za pojedine kategorije (za većinu je Zakonski minimum 10 godina od isteka certifikata), dok dokumenti koje korisnik potpisuje postoje na Certilia sustavu samo u periodu od kada je korisnik započeo potpisivanje do završetka potpisivanja. Ako korisnik ne završi potpisivanje dokument se bezuvjetno briše nakon 24h. Iznimka je Certilia Doc aplikacija koju korisnici mogu koristiti i za pohranu svojih dokumenata. Tada se dokument čuva prema trajanju koje je određeno paketom usluge koju je korisnik odabrao.
