Kvalificirani elektronički potpis u Hrvatskoj odavno više nije tehnologija rezervirana za uski krug velikih kompanija, računovodstva ili državne uprave, ali između pravnih mogućnosti koje pruža europski regulatorni okvir i svakodnevne prakse još uvijek postoji prostor za ozbiljan napredak. Fina trenutačno ima više od 300.000 aktivnih kvalificiranih certifikata izdanih fizičkim osobama i fizičkim osobama unutar poslovnih subjekata, pri čemu se sve veći dio korisnika okreće udaljenom potpisivanju bez klasičnog fizičkog kriptouređaja. Digitalno poslovanje pritom sve više ovisi ne samo o mogućnosti elektroničkog potpisivanja nego i o pouzdanoj validaciji potpisa, upravljanju ovlaštenjima, dugoročnoj pohrani elektroničkih isprava i interoperabilnosti različitih sustava, ističe za ICTbusiness Media - ICTbusiness.info Andreja Kajtaz, direktorica Sektora digitalnih rješenja u Fini.
Podaci Fine pokazuju da 60 posto aktivnih kvalificiranih certifikata danas otpada na udaljeni potpis, dok se 40 posto još uvijek nalazi na kriptografskim uređajima. Istodobno se otvara pitanje zašto građani i poslovni korisnici još uvijek imaju odvojene osobne i poslovne certifikate te može li se u budućnosti jedan pouzdano potvrđeni digitalni identitet povezivati s različitim ulogama, primjerice građanina, obrtnika, direktora ili ovlaštenog predstavnika više poduzeća. Fina naglašava da razdvajanje osobnih i poslovnih certifikata nije regulatorna obveza, nego poslovno-tehnički model koji omogućuje jasnije upravljanje pravima i sigurnije opozivanje poslovnih certifikata kada osoba više nema određenu poslovnu ulogu.
Posebno je važno i pitanje prihvaćanja kvalificiranih elektroničkih potpisa različitih izdavatelja. Fina Validator, prema objašnjenju Fine, jednako provjerava potpise svih kvalificiranih pružatelja koji se nalaze na službenom popisu EU Trusted List, uključujući hrvatske i druge europske izdavatelje. Time pitanje prihvaćanja dokumenta više ne bi trebalo ovisiti o tome čiji je kvalificirani certifikat korišten, nego o njegovoj stvarnoj valjanosti. U praksi, međutim, pojedine institucije i kompanije još uvijek nisu potpuno prilagodile poslovne procese zaprimanju, provjeri i dugoročnom čuvanju elektroničkih dokumenata.
Dodatne promjene donose eIDAS 2.0 i Europska lisnica za digitalni identitet, koja bi trebala bitno promijeniti način na koji građani upravljaju identitetom, vjerodajnicama i elektroničkim potpisom. Fina već radi na prilagodbama, uključujući mogućnost jednostavnije registracije korisnika, no dio budućeg sustava još je u fazi realizacije. S Andrejom Kajtaz razgovarali smo o stvarnoj uporabi kvalificiranog elektroničkog potpisa, razlici osobnih i poslovnih certifikata, validaciji potpisa drugih izdavatelja, problemima njihova prihvaćanja u praksi te promjenama koje donosi novi europski regulatorni okvir.
Kolika je danas stvarna uporaba Fininog kvalificiranog elektroničkog potpisa među građanima i poslovnim korisnicima? Koliko trenutačno postoji važećih osobnih i poslovnih kvalificiranih Fininih potpisnih certifikata?
Trenutačno postoji više od 300.000 aktivnih kvalificiranih certifikata izdanih fizičkim osobama (osobni certifikati) i fizičkim osobama unutar poslovnih subjekata (poslovni certifikati). Osim toga, Fina izdaje i kvalificirane certifikate za e-pečat, kvalificirane certifikate za autentikaciju mrežnih stranica te PSD2 kvalificirane certifikate za pružatelje platnih usluga.
Koliki udio korisnika koristi klasične QSCD uređaje, a koliki udaljeni e-Potpis?
Trenutačni je omjer 60 posto aktivnih kvalificiranih certifikata za udaljeni potpis prema 40 posto aktivnih kvalificiranih certifikata na kriptouređajima.
Koliko je kvalificiranih elektroničkih potpisa izrađeno putem Fininih sustava tijekom 2025. i u prvom dijelu 2026. godine?
Nije moguće znati točan broj izrađenih kvalificiranih potpisa s obzirom na to da se kvalificirani certifikati koriste u različitim sustavima i aplikacijama za izradu elektroničkog potpisa, od kojih nisu svi u Fininom vlasništvu. Međutim, s obzirom na to da je kvalificirani potpis u kontekstu dugoročno sigurnog elektroničkog poslovanja gotovo svakodnevna potreba u radu, pretpostavljamo da se broj transakcija koje podrazumijevaju primjenu kvalificiranog potpisa na godišnjoj razini mjeri u stotinama tisuća.
Zašto Fina još uvijek odvojeno tretira osobne i poslovne certifikate i može li se taj model pojednostavniti?
Fina u svojim javnim uputama razlikuje registraciju građanina od registracije poslovnog subjekta te navodi da osoba koja već ima poslovni certifikat mora zasebno proći registraciju ako želi osobni certifikat.
Je li takvo razdvajanje regulatorna obveza ili poslovno-tehnički model Fine?
Razdvajanje osobnih i poslovnih certifikata nije regulatorna obveza niti je zabranjeno osobne certifikate koristiti u poslovne svrhe i obratno. Međutim, regulativa kojom se uređuju i nadziru usluge povjerenja jasno razlikuje profile certifikata za fizičke osobe od profila certifikata za pravne osobe. Samim time, pružateljima usluga povjerenja (TSP-ovima) dopušteno je izdavati certifikate obiju namjena. Fina od samog početka izdavanja digitalnih certifikata, dakle više od 20 godina, razlikuje te dvije kategorije. Praksa je pokazala, posebice prethodnih godina, kada nisu postojali nikakvi sustavi ovlaštenja ili autorizacije, da je takvo postupanje u svakodnevnom poslovanju potpuno opravdano.
Naime, poslovni certifikat izdaje se na zahtjev pravne osobe, odnosno ovlaštene osobe pravnog subjekta, koja odlučuje kome je digitalni certifikat potreban kao sredstvo rada u poslovnom procesu ili transakciji koju obavlja. Tim se certifikatom ne predstavlja samo fizička osoba, već i poslovni subjekt u čije se ime i za čiji račun poslovanje obavlja. Izdani certifikat pod kontrolom je pravne osobe u smislu da ona u svakom trenutku može zatražiti njegov opoziv kada postoji potreba da fizička osoba, odnosno zaposlenik kojem je certifikat dodijeljen, više ne sudjeluje ili ne smije sudjelovati u transakciji koja podrazumijeva potpisivanje u okviru određenog poslovnog procesa.
Dakle, takav certifikat nedvojbeno povezuje i poslovni subjekt i fizičku osobu koja obavlja potpisivanje te ne ovisi o tome ima li fizička osoba osobnu vjerodajnicu, koju kao građanin može, ali i ne mora koristiti u poslovne svrhe.
Sljedeće je logično pitanje smije li se osobna vjerodajnica, odnosno osobni certifikat, koristiti u poslovne svrhe. Svakako da smije. U tom slučaju sustavi ovlaštenja ili autorizacije dodjeljuju prava osobnom certifikatu pojedine fizičke osobe i povezuju ga s poslovnim procesom u kojem se koristi. Ako govorimo o poslovnom dokumentu, primjerice ugovoru, pri čemu treba identificirati i potpisnika i pravnu osobu, najispravnije bi bilo uz elektronički potpis fizičke osobe koristiti i elektronički pečat pravne osobe. Na taj je način nedvojbeno jasno da su dokument ovjerile fizička osoba i pravna osoba na koju se dokument odnosi. No i to je koncept uređenog i ispravnog digitalnog poslovanja, a ne krovne regulative koja nameće, odnosno propisuje takvo postupanje.
Međutim, ovdje treba razumjeti da je osobna vjerodajnica pod isključivom kontrolom vlasnika, odnosno građanina – fizičke osobe. Fizička osoba samostalno odlučuje o njezinu posjedovanju i raspolaganju njome, kao i o njezinoj suspenziji, opozivu ili sličnom postupanju. Praksa je pokazala i da građani nisu uvijek voljni koristiti svoja osobna sredstva, odnosno vlastite vjerodajnice, u poslovne svrhe. S druge strane, ako navedena osoba više ne sudjeluje u poslovnom procesu, odnosno transakciji, neovisno o razlozima, pravna osoba nema pravo niti mogućnost zatražiti privremenu suspenziju ili opoziv takvog certifikata, kao što to može učiniti s poslovnim certifikatom čije je izdavanje sama zatražila. U tom slučaju treba voditi računa o tome na kojim su sve servisima, u kojim aplikacijama i procesima dodijeljena prava za rad, odnosno potpisivanje osobnom vjerodajnicom, kako bi se ta prava, odnosno ovlaštenja, mogla povući i kako ne bi došlo do neovlaštene uporabe. To je osobito važno ako se pokaže potreba za hitnim djelovanjem.
Kada se u svim procesima koriste poslovni certifikati, već se samom suspenzijom certifikata na zahtjev pravne osobe, a svakako njegovim opozivom, onemogućuje daljnja uporaba digitalnog potpisa, neovisno o procesu u kojem se certifikat koristi.
Zaključno, razdvajanje nije obveza, ali poslovno-tehnički model Fine, koji nije odabrala samo Fina, u praksi je logičan, sigurniji i samim time ispravniji. U konačnici, vlasnik određenog poslovnog servisa odlučuje što želi upotrijebiti, a mi pružamo mogućnosti koje su odgovarajuće i za građane – fizičke osobe i za pravne osobe.
Može li buduće rješenje omogućiti jedan verificirani identitet osobe kojoj se zatim pridružuju različita svojstva i ovlasti – privatna osoba, obrtnik, direktor ili predstavnik jednog ili više poduzeća?
Uredba eIDAS prvenstveno razlikuje izdavanje certifikata fizičkim osobama od izdavanja certifikata pravnim osobama. Kada je riječ o sadržaju certifikata za fizičke osobe, dopušta i korištenje drugih specifičnih atributa. Sukladno normi ETSI EN 319 411-1, atributi povezani s fizičkom osobom jesu ime i prezime te datum i mjesto rođenja ili jedinstveni identifikator po kojem se jedna osoba razlikuje od druge osobe s istim imenom i prezimenom. Kada je fizička osoba povezana s poslovnim subjektom, u postupak prikupljanja i provjere dodatno se moraju uključiti podatci povezani s poslovnim subjektom, kao što su registrirani naziv poslovnog subjekta, jedinstveni identifikator koji je država dodijelila poslovnom subjektu i slično.
Razmatra li Fina pojednostavljenje registracije kako korisnik koji je jednom pouzdano identificiran ne bi morao ponavljati sličan proces za svaku novu ulogu?
Kada je riječ o registraciji korisnika, odnosno podnositelja zahtjeva za izdavanje certifikata, ona, sukladno normi ETSI, podrazumijeva provjeru identiteta i specifičnih atributa povezanih s korisnikom.
To znači da Fina prije izdavanja certifikata za fizičke osobe provodi identifikaciju fizičke osobe u skladu s Uredbom eIDAS i provjeru specifičnih atributa povezanih s njom. To mogu biti podatci povezani s poslovnim subjektom, što uključuje provjeru identiteta poslovnog subjekta i povezanosti fizičke osobe s poslovnim subjektom putem zahtjeva za izdavanje poslovnog certifikata.
U postupku identifikacije i potvrde identiteta poslovnog subjekta mogu se koristiti informacije iz prethodno dostavljenih i prikupljenih dokumenata ako su ti dokumenti i dalje važeći. Međutim, pri svakom izdavanju certifikata fizičkoj osobi potrebno je provjeriti identitet fizičke osobe i poslovnog subjekta te provesti propisanu provjeru podataka, u skladu sa zahtjevom spomenute norme.
Fina razmatra pojednostavljenje registracije kako fizička osoba koja je jednom registrirana ne bi morala ponavljati sličan proces za svaku novu ulogu, ali uz ispunjavanje obvezujućih regulatornih zahtjeva za provjeru identiteta i atributa fizičke osobe pri podnošenju korisničkog zahtjeva za svaki novi certifikat, odnosno ulogu, kako je opisano u članku 24. stavku 1. i stavku 1.a Uredbe eIDAS te točki REG-6.2.2-02B norme ETSI EN 319 411-1. Vjerujemo da će rješenje uskoro biti odobreno.
Kako Fina validira kvalificirane elektroničke potpise drugih izdavatelja? Može li Finin sustav validacije jednako provjeriti QES AKD-a, Zagrebačke banke i kvalificiranih pružatelja iz drugih država EU-a?
Fina Validator je web-aplikacija koja omogućuje besplatnu provjeru valjanosti elektroničkih pečata i potpisa, a time i kvalificiranih elektroničkih potpisa (QES) svih kvalificiranih pružatelja usluga povjerenja koji se nalaze na popisu EU Trusted List. Prema svim izdavateljima koji se nalaze na popisu EU Trusted List postupa se na jednak način.
Slijedom navedenoga, moguće je provjeriti valjanost elektroničkog potpisa izrađenog certifikatom izdavatelja kao što su AKD i Zagrebačka banka, kao i bilo kojeg drugog kvalificiranog pružatelja usluga povjerenja iz bilo koje države članice Europske unije.
Sustav je tehnološki i pravno usklađen s Uredbom eIDAS i ETSI standardima te se oslanja na jedinstveni popis EU Trusted List. Valjanost elektronički potpisanih i/ili pečatiranih dokumenata moguće je provjeriti u formatima PAdES, XAdES, CAdES i ASiC.
Provjeravaju li se pri validaciji kvalificirani status pružatelja, opoziv ili suspenzija certifikata, integritet dokumenta i vremenski žig?
Da, Fina Validator tijekom postupka validacije provjerava navedene parametre. Kvalificirani status pružatelja provjerava se na popisu EU Trusted List, a u izvještaju o validaciji jasno se navodi status certifikata (istek, opoziv), potvrđuje integritet dokumenta, odnosno jamči da sadržaj nije mijenjan nakon potpisivanja, te pruža informaciju o točnom vremenu nastanka potpisa i postojanju podataka.
Izvještajni sustav Fina Validatora omogućuje pregled i preuzimanje triju vrsta izvještaja, jednostavnog, detaljnog i dijagnostičkog, na hrvatskom ili engleskom jeziku. Vrste izvještaja razlikuju se prema obuhvatu podataka koji se korisniku daju na pregled i preuzimanje, ovisno o njegovim potrebama.
Smatra li Fina da institucija koja prihvaća dokumente s QES-om treba koristiti automatiziranu validaciju umjesto održavanja vlastite liste „dopuštenih“ izdavatelja?
Automatizacija postupka validacije u poslovnom procesu svakako je prednost. Postupak prihvaćanja i obrade elektronički potpisanog dokumenta time je brži, što posljedično utječe na učinkovitost ostalih procesa neke organizacije. Aplikacija Fina Validator omogućuje integraciju sa sustavima koji prihvaćaju elektroničke dokumente. Integracija je jednostavna i svakako poželjna ako postoji potreba za automatizacijom postupka validacije te osiguravanjem ažurnosti i pravne sigurnosti.
Kada je riječ o navedenoj usporedbi, sama regulativa eIDAS-a navodi korištenje automatizirane validacije jer održavanje vlastitih lista izdavatelja ulazi u područje nesigurnosti i nepouzdanosti, a moguće i nekorektnosti zbog davanja prednosti određenim pružateljima usluga povjerenja u odnosu na druge.
Kako Fina gleda na problem prihvaćanja QES-a u hrvatskim bankama, javnoj upravi i privatnim kompanijama? Prima li Fina pritužbe korisnika kojima je neka institucija odbila dokument potpisan valjanim Fininim kvalificiranim potpisom?
Ako promatramo stvarnu praksu, takve se pritužbe sve rjeđe čuju. Naravno, tijekom vremena bilo je pritužbi da određeni vlasnik servisa ili pružatelj usluge ne prihvaća elektronički dokument, neovisno o tome što je potpisan kvalificiranim elektroničkim potpisom koji zamjenjuje vlastoručni potpis na papiru. Rekli bismo da je to više proizlazilo iz unutarnje nespremnosti za osiguravanje dugoročno sigurnog upravljanja elektroničkim ispravama nego iz nepoznavanja regulatornih mogućnosti povezanih sa samim elektroničkim potpisom. Jasno je da pri zaprimanju elektronički potpisanog dokumenta moraju postojati mogućnost i spremnost za provjeru, odnosno validaciju potpisa, osiguravanje dugoročne elektroničke arhive te mogućnost naknadne provjere i dohvata takvog dokumenta i slično.
Kada je riječ o institucijama i javnim uslugama, ipak treba reći da je na razini državne digitalne infrastrukture mnogo učinjeno i u smislu regulative i u smislu dostupnosti elektroničkih usluga koje se danas mogu koristiti putem sustava e-Građani, e-Ovlaštenja te povezanih komponenti i servisa, u kojima se vodi računa i o ispravnoj autentikaciji, potpisivanju, autorizaciji i daljnjoj digitalnoj obradi. Daljnja su unapređenja u smislu interoperabilnosti, kojima se rješavaju pojedine životne i poslovne situacije prema načelu „podatke dostavljam samo jednom”, moguća. Neka već postoje, a vjerujem da se s takvim razvojem neće stati.
Što korisnik može učiniti kada institucija inzistira na vlastoručnom potpisu iako dokument već ima valjani QES?
Korisnik može zatražiti prihvaćanje dokumenta potpisanog kvalificiranim elektroničkim potpisom. Znamo da regulativa propisuje da se dokument ne smije odbiti samo zato što je potpisan elektroničkim potpisom. Pritom, osim frustracije koja može nastati ako njegovo prihvaćanje nije moguće, možemo reći da, osobito kada je riječ o komercijalnim uslugama, vlasnik pojedine usluge može sam odlučiti i propisati na koji način prihvaća i obrađuje određeni dokument, barem dok interno ne osigura primitak, provjeru, obradu i pohranu pravovaljane elektroničke isprave.
Smatra li Fina da je potrebna jasnija nacionalna smjernica o prihvaćanju kvalificiranog elektroničkog potpisa?
Nacionalne su smjernice jasne, a Fina već niz godina nastoji širiti svijest o mogućnostima, ali i važnosti primjene usluga povjerenja. Stoga Fina nije institucija nadležna za preispitivanje regulatornih smjernica. No, promicanje, ukazivanje i educiranje nikada ne smiju prestati, i to među svim dionicima koji sudjeluju u osiguravanju dugoročno sigurnog i ispravnog digitalnog poslovanja.
Kakva će biti uloga Fine nakon pune provedbe eIDAS-a 2.0 i uvođenja Europske lisnice za digitalni identitet? Kako napreduje izrada registra za koji je Fina zadužena Odlukom Vlade iz rujna 2025. i kada bi trebao biti operativan? Kako će se Fina e-Potpis Oblak povezati s Europskom lisnicom te očekujete li da će korisnici moći koristiti Finin QES neposredno iz lisnice? Kako će činjenica da fizičke osobe trebaju imati besplatan pristup QES-u za neprofesionalnu uporabu utjecati na postojeći model naplate osobnih kvalificiranih certifikata?
Navedeni je projekt još u fazi realizacije pa se za pitanja o operativnoj provedbi potrebno obratiti koordinatoru aktivnosti određenom Odlukom Vlade Republike Hrvatske, odnosno Ministarstvu pravosuđa, uprave i digitalne transformacije.
Kada je riječ o posljednjem pitanju, izdavatelji certifikata, u ovom slučaju Fina, prilagodit će svoje modele profesionalnoj i neprofesionalnoj uporabi te će se zasigurno pronaći rješenje koje će biti održivo i za korisnike i za izdavatelje.
