Elektronický podpis (Electronic signature)

Příklady z praxe

1. 01

   Podpis PDF faktury u dodavatele

   Účetní systém vystaví fakturu v PDF a podepíše ji zaručeným elektronickým podpisem založeným na kvalifikovaném certifikátu firmy, ve formátu PAdES. Odběratel v čtečce PDF vidí, že dokument nebyl po podpisu změněn a kdo jej podepsal. Připojené kvalifikované časové razítko umožní ověření i po expiraci certifikátu.

2. 02

   Ověření podpisu na serveru

   Backend přijme podepsaný dokument a před uložením ověří, že hash odpovídá podpisu. Tohle je čistě kryptografická část: samotné rozhodnutí, zda jde o zaručený nebo kvalifikovaný podpis, závisí ještě na typu certifikátu a na kontrole důvěryhodného seznamu.

   import crypto from 'node:crypto';
   
   // data = obsah dokumentu, signature = podpis, cert = certifikat podepisujiciho
   const verifier = crypto.createVerify('SHA256');
   verifier.update(data);
   verifier.end();
   
   const platny = verifier.verify(cert, signature);
   if (!platny) {
     throw new Error('Podpis neodpovida obsahu dokumentu.');
   }

Časté omyly

MýtusNaskenovaný podpis vložený do PDF je elektronický podpis.

Ve skutečnostiObrázek podpisu v dokumentu je nanejvýš prostý elektronický podpis. Nijak nechrání obsah proti změně a při sporu nese důkazní břemeno ten, kdo se na něj odvolává. Zaručený podpis vyžaduje kryptografické navázání na obsah dokumentu.

MýtusKdyž mám kvalifikovaný certifikát, můžu podepisovat cokoli a všude to platí.

Ve skutečnostiKvalifikovaný certifikát je jen jedna ze složek. Kvalifikovaný podpis navíc vyžaduje kvalifikovaný prostředek pro vytváření podpisu. Některé úkony také zákon vyhrazuje jiné formě, například notářskému zápisu.

MýtusJednou podepsaný dokument je ověřitelný navždy.

Ve skutečnostiPlatnost podpisu je vázána na platnost certifikátu a dostupnost ověřovacích dat. Bez kvalifikovaného časového razítka a archivního profilu formátu se po vypršení certifikátu ověření podstatně komplikuje.

Časté dotazy

Kdy stačí prostý elektronický podpis a kdy je potřeba kvalifikovaný?

Prostý elektronický podpis obvykle postačí u běžných smluv mezi podnikateli, u objednávek a u souhlasů v aplikaci, pokud si provozovatel vede solidní auditní stopu s časem, identifikátorem uživatele a hashem verze dokumentu. Kvalifikovaný elektronický podpis je namístě tam, kde právní předpis vyžaduje písemnou formu s podpisem, u podání vůči orgánům veřejné moci a všude, kde je vysoké riziko sporu o pravost. Rozhodujícím kritériem není technologie, ale hodnota transakce a schopnost prokázat, kdo a co podepsal.

Jak se elektronický podpis ověřuje?

Ověření elektronického podpisu má dvě roviny. Kryptografická rovina spočítá hash dokumentu, dešifruje podpis veřejným klíčem z certifikátu a porovná hodnoty; shoda dokazuje, že se obsah po podpisu nezměnil. Druhá rovina ověřuje důvěru: zda certifikát vydala uznávaná certifikační autorita, zda nebyl v době podpisu odvolán (kontrola přes CRL nebo OCSP) a u kvalifikovaných podpisů zda byl poskytovatel na evropském důvěryhodném seznamu. Bez druhé roviny je matematicky platný podpis prakticky bezcenný.

Co je kvalifikované časové razítko a proč ho připojovat?

Kvalifikované elektronické časové razítko je údaj vydaný kvalifikovaným poskytovatelem, který kryptograficky váže dokument k určitému okamžiku a zakládá právní domněnku správnosti tohoto času. Bez razítka nelze po vypršení podepisujícího certifikátu spolehlivě prokázat, že podpis vznikl v době jeho platnosti. Proto archivní profily formátů PAdES, XAdES a CAdES razítko i ověřovací data vkládají přímo do dokumentu a razítko se v dlouhých archivech periodicky obnovuje, aby vydržela i změna kryptografických algoritmů.

Platí elektronický podpis vytvořený v jiné zemi Evropské unie?

Kvalifikovaný elektronický podpis vydaný v kterémkoli členském státě musí být podle nařízení eIDAS uznán ve všech ostatních členských státech se stejnými účinky jako doma. Právě přeshraniční uznávání bylo hlavním důvodem vzniku nařízení. U nižších úrovní podpisu takový automatický nárok neexistuje, jejich přijetí závisí na vnitrostátní úpravě a na dohodě stran. Uznávání mimo Evropskou unii se řídí smluvně nebo podle práva dané země.

Jaký je rozdíl mezi elektronickou pečetí a elektronickým podpisem?

Elektronický podpis náleží fyzické osobě a vyjadřuje její vůli. Elektronická pečeť patří právnické osobě a slouží k prokázání původu a neporušenosti dokumentu, nikoli k projevu vůle konkrétního člověka. Firma proto pečetí hromadně vystavované dokumenty, například faktury nebo výpisy z rejstříků, zatímco smlouvu podepisuje jednající osoba svým podpisem. Technicky jsou obě konstrukce téměř totožné, liší se typem certifikátu a právním významem.

Zdroje

1. Nařízení (EU) č. 910/2014 (eIDAS)(otevře se v novém okně)EUR-Lex, Úřad pro publikace EU, 2014
2. Zákon č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce(otevře se v novém okně)Zákony pro lidi, 2016
3. Digital Signature Standard (DSS), FIPS 186-5(otevře se v novém okně)NIST, 2023
4. RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile(otevře se v novém okně)IETF, 2008
5. Electronic signature(otevře se v novém okně)Wikipedia

Související pojmy

• ŠifrováníŠifrování je převod čitelných dat na nečitelnou podobu pomocí kryptografického algoritmu a klíče, aby obsah dokázala obnovit jen oprávněná strana. Chrání důvěrnost při ukládání i přenosu dat, ale samo neřeší identitu protistrany, integritu zprávy ani bezpečné zacházení s klíči.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.
• Bankovní identitaBankovní identita je způsob ověření totožnosti člověka na internetu pomocí přihlašovacích údajů do jeho internetového bankovnictví. Banka jako ověřený zdroj potvrdí poskytovateli služby jméno, datum narození, adresu či číslo dokladu klienta, který k tomu dal souhlas. V Česku funguje pod obchodní značkou Bank iD a je uznávaným prostředkem elektronické identifikace vůči státu.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.
• Autorské právo k softwareAutorské právo k software je právní ochrana počítačového programu jako autorského díla, zejména jeho zdrojového a objektového kódu. Nechrání samotné nápady, algoritmické principy ani funkce jako takové, ale konkrétní tvůrčí vyjádření programu. V praxi rozhoduje o tom, kdo smí software kopírovat, upravovat, šířit nebo licencovat.
• Bankovní převodBankovní převod je bezhotovostní přesun peněz z účtu plátce na účet příjemce, který inicializuje plátce příkazem své bance. Banka částku odepíše, předá ji přes zúčtovací systém (v Česku CERTIS, přeshraničně SEPA nebo SWIFT) a banka příjemce ji připíše. Identifikátorem účtu je číslo účtu nebo IBAN, párování zajišťuje variabilní symbol nebo reference.