Kvalificirani elektronički potpis u Hrvatskoj odavno nije tehnologija koju koristi tek ograničen broj informatički naprednijih građana i poslovnih korisnika. Podaci Agencije za komercijalnu djelatnost (AKD) o korištenju Certilije pokazuju da je riječ o usluzi koja je već pronašla široku primjenu, no istodobno otvaraju pitanje zašto dokumenti potpisani takvim potpisom još uvijek nailaze na odbijanje kod dijela financijskih institucija, telekomunikacijskih operatora i javnih tijela.
Trenutačno nešto više od 355.000 građana ima više od 533.000 aktivnih Certilia certifikata, dok je više od 345.000 građana aktiviralo elektroničku osobnu iskaznicu s pripadajućim certifikatima. Mobilnu aplikaciju Certilia koristi 401.000 građana, a broj njezinih dnevnih korištenja kreće se između 120.000 i 150.000. Još je značajniji podatak o broju dokumenata: putem Certilia Doca i drugih aplikacija koje koriste AKD-ovo integracijsko rješenje mjesečno se potpiše približno 4,5 milijuna dokumenata, uz više od 800.000 elektroničkih prijava.
Takav opseg korištenja pokazuje da pitanje prihvaćanja kvalificiranog elektroničkog potpisa više nije ograničeno na tehnološku dostupnost usluge, nego sve više na spremnost institucija da digitalno potpisane dokumente zaprime, provjere, obrade i dugoročno pohrane.
Korisnici imaju potpis, ali institucije nemaju procedure
U AKD-u upozoravaju da se redovito susreću sa slučajevima u kojima korisnici Certilije ne uspijevaju predati dokument potpisan kvalificiranim elektroničkim potpisom, iako takav potpis prema europskoj Uredbi eIDAS ima jednak pravni učinak kao vlastoručni.
„Naši korisnici nam redovno šalju upite i zahtjeve za pomoć nakon što njihov dokument potpisan sa kvalificiranim elektroničkim potpisom, kojeg pošalju emailom financijskoj instituciji, telekomu ili javnom tijelu, bude odbijen“, ističu za ICTbusiness Media – ICTbusiness.info iz AKD-a.
Prema njihovu iskustvu, uzrok nije nužno osporavanje samog potpisa, nego nedovoljna pripremljenost organizacija za rad s izvornim elektroničkim dokumentima. Dokument s kvalificiranim elektroničkim potpisom zadržava svoja kriptografska svojstva u elektroničkom obliku, dok običan papirnati ispis ne omogućuje provjeru izvornog potpisa na isti način.
Za prihvaćanje takvog dokumenta nije dovoljno samo omogućiti njegovo slanje elektroničkom poštom. Potrebno je osigurati sustav u kojem se dokument može validirati, obraditi i pohraniti uz očuvanje elektroničkih dokaza o njegovoj vjerodostojnosti.
AKD kao jednu od glavnih prepreka navodi upravo nedostatak odgovarajućih rješenja za pohranu digitalnih dokumenata, ali i izostanak jasnih procedura koje bi zaposlenicima institucija omogućile pravilno postupanje sa zaprimljenom dokumentacijom.
„Iz naše perspektive, napredak u ovom području je jako spor“, upozoravaju iz AKD-a, smatrajući da su potrebni ozbiljnija nacionalna kampanja podizanja svijesti i jasnije uređenje postupanja s pravno valjanim elektronički potpisanim dokumentima.
Jedan korisnički račun za privatno i poslovno potpisivanje
Važan dio problema prihvaćanja elektroničkih potpisa u bankarskom poslovanju odnosi se na razlikovanje privatnog i poslovnog identiteta. Kod poduzetnika, obrtnika i osoba koje zastupaju više trgovačkih društava potrebno je utvrditi ne samo tko je potpisao dokument nego i u kojem svojstvu to čini.
Certilia je taj problem na korisničkoj razini riješila mogućnošću korištenja više certifikata unutar jednog računa. Korisnik prilikom svakog potpisivanja odabire želi li koristiti osobni ili odgovarajući poslovni certifikat.
Svaki građanin pri uručenju elektroničke osobne iskaznice stječe pravo na tri besplatna kvalificirana udaljena osobna certifikata. Istodobno može imati više poslovnih certifikata povezanih s različitim organizacijama, primjerice trgovačkim društvima, obrtima, obiteljskim poljoprivrednim gospodarstvima, udrugama ili komorama.
Prema podacima AKD-a, kupnja poslovnog certifikata provodi se potpuno digitalno putem Certilijina registracijskog sustava, traje približno pet minuta i ne zahtijeva prilaganje dokumentacije jer se provjere obavljaju automatski u nadležnim registrima i evidencijama.
Cijena kvalificiranog udaljenog poslovnog certifikata iznosi 9,29 eura za dvogodišnje razdoblje. Nakon izdavanja certifikat je korisniku dostupan u web i mobilnoj aplikaciji.
Poslovni certifikat pritom nije namijenjen isključivo potpisivanju. Korisniku omogućuje i poslovnu elektroničku prijavu, primjerice u sustav e-Građani, pri čemu može odabrati u ime kojeg poslovnog subjekta pristupa određenoj usluzi.
Potpis dokazuje identitet, ali ne nužno i pravo zastupanja
Iz AKD-a posebno upozoravaju na razliku između povezanosti fizičke osobe s organizacijom i njezina prava da tu organizaciju zastupa.
Prema europskom okviru eIDAS, poslovni certifikat može biti izdan osobi koja ima utvrđenu povezanost s određenom organizacijom, a ne isključivo njezinu zakonskom zastupniku. Zato valjani poslovni certifikat sam po sebi ne znači da osoba ima pravo sklopiti svaki ugovor ili poduzeti svaku pravnu radnju u ime društva.
„Ovlaštenje za zastupanje nije dio standardne validacije potpisa u EU“, pojašnjavaju iz AKD-a.
Dodaju da bi automatsko provjeravanje takvih ovlasti na europskoj razini bilo tehnički i organizacijski zahtjevno. Pružatelji usluga povjerenja mogu izdavati poslovne certifikate povezane s organizacijama iz drugih država, a registri i podaci o ovlastima za zastupanje nisu svugdje jednako dostupni.
Za banke to znači da je potrebno razlikovati dvije zasebne provjere: tehničku i pravnu valjanost potpisa te aktualnu ovlast osobe za zastupanje poslovnog subjekta.
Provjera nije ograničena na Certiliju ni hrvatske izdavatelje
Jedno od ključnih pitanja istraživanja ICTbusinessa odnosi se na mogućnost provjere kvalificiranih elektroničkih potpisa koje nisu izdale institucije ili pružatelji čija rješenja primatelj dokumenta uobičajeno koristi.
AKD potvrđuje da Certilia omogućuje besplatnu validaciju potpisa putem aplikacije Certilia Doc, ali i da validacijski postupak nije ograničen na certifikate koje izdaje AKD.
Takva provjera temelji se na europskom sustavu pouzdanih popisa, odnosno EU Trusted Lists, koji omogućuje utvrđivanje kvalificiranog statusa pružatelja usluga povjerenja i njihovih usluga. Dostupna je i validacijska aplikacija Europske komisije.
To znači da primatelj dokumenta može provjeriti potpis izrađen certifikatom FINA-e, AKD-a ili drugog kvalificiranog pružatelja iz Europske unije, uz odgovarajuću provjeru kvalificiranog statusa i valjanosti konkretnog potpisa.
Upravo je takva interoperabilnost jedan od temelja europskog sustava elektroničkog potpisivanja. Tehnička provjera mora omogućiti utvrđivanje vjerodostojnosti potpisa neovisno o tome koristi li potpisnik i primatelj dokumenta isto komercijalno rješenje.
Zašto je dugoročna pohrana važna jednako kao i potpisivanje
Kod bankarskih dokumenata, poslovnih ugovora i drugih isprava koje se čuvaju godinama nije dovoljno samo potvrditi da je elektronički potpis valjan u trenutku zaprimanja. Potrebno je osigurati i mogućnost naknadnog dokazivanja njegove valjanosti, uključujući situacije u kojima je certifikat u međuvremenu istekao ili su pojedine validacijske usluge postale nedostupne.
AKD objašnjava da se elektronički potpisi izrađuju prema standardima kao što su PAdES, XAdES i CAdES, uz različite razine dugoročne zaštite.
Osnovna razina B obuhvaća potpis i podatke o potpisniku, dok razina T uključuje vremenski žig kojim se dokazuje postojanje potpisa u određenom trenutku. Razina LT uključuje i certifikacijski lanac te podatke potrebne za provjeru opoziva certifikata, čime omogućuje naknadnu validaciju i nakon isteka certifikata.
Najviša od navedenih razina, LTA, predviđena je za dugoročno arhivsko očuvanje elektroničkih dokaza. Uključuje dodatne arhivske vremenske žigove, uz potrebu periodičnog održavanja i obnove zaštite.
Takva arhitektura posebno je važna za financijske institucije koje dokumentaciju moraju čuvati tijekom duljih razdoblja i osigurati mogućnost dokazivanja njezine vjerodostojnosti u slučaju naknadnog spora.
Privatni ključ ostaje zaštićen u AKD-ovoj infrastrukturi
Kod udaljenog kvalificiranog potpisivanja korisnik ne mora fizički posjedovati USB token ili karticu s privatnim ključem. Međutim, takav model otvara pitanje gdje se privatni ključ nalazi i može li pružatelj usluge potpisivati dokumente bez korisnikove autorizacije.
AKD navodi da je samostalno razvio i certificirao vlastito sredstvo za udaljeno kvalificirano potpisivanje, Certilia eSign, koje se temelji na rQSCD arhitekturi.
Privatni ključ korisnika zaštićen je unutar sigurnosnog hardverskog modula, odnosno HSM-a. Na korisničkom uređaju nalaze se aktivacijski podaci koji sudjeluju u kriptografskoj operaciji i povezuju konkretan dokument s korisnikovom autorizacijom potpisivanja.
Prema objašnjenju AKD-a, aktivacijski podaci ne napuštaju korisnikov uređaj, a privatni ključ moguće je aktivirati samo za dokument za koji je korisnik pokrenuo i autorizirao postupak potpisivanja.
Na izravno pitanje može li AKD samostalno pristupiti privatnom ključu korisnika ili inicirati potpis bez njegove autorizacije, iz AKD-a odgovaraju da za to ne postoje tehnički uvjeti u okviru certificiranog rješenja.
Dokumenti se nakon potpisivanja uklanjaju iz sustava
Dodatno pitanje odnosi se na obradu i pohranu korisničkih podataka te sadržaja dokumenata tijekom udaljenog potpisivanja.
AKD navodi da se evidencijski podaci čuvaju prema različitim zakonskim i normativnim zahtjevima, pri čemu za većinu relevantnih kategorija kao zakonski minimum ističe deset godina od isteka certifikata.
Sam sadržaj dokumenta koji korisnik potpisuje u osnovnom procesu udaljenog potpisivanja nalazi se u Certilijinu sustavu samo od početka do završetka postupka. Ako korisnik ne dovrši potpisivanje, dokument se, prema navodima AKD-a, bezuvjetno briše nakon 24 sata.
Iznimka je aplikacija Certilia Doc, koja omogućuje i pohranu korisničkih dokumenata. U tom slučaju trajanje pohrane ovisi o paketu usluge koji je korisnik odabrao.
Odgovori AKD-a tako pokazuju da su tehnološka rješenja za izdavanje, korištenje, provjeru i dugoročno očuvanje kvalificiranih elektroničkih potpisa već dostupna. Međutim, njihova dostupnost ne znači da su svi poslovni procesi primatelja dokumenata prilagođeni elektroničkom poslovanju.
S približno 4,5 milijuna potpisanih dokumenata mjesečno, Certilia pokazuje razmjere stvarne uporabe elektroničkog potpisa u Hrvatskoj. Pitanje na koje banke i druge institucije tek trebaju pružiti potpun odgovor jest koliko su njihove interne procedure sposobne pratiti takav razvoj, osobito kada im građani i poduzetnici dostavljaju kvalificirano potpisane dokumente nastale izvan vlastitih sustava.
