Podpis kwalifikowany nie jest obrazkiem ani wyglądającym ładnie wąsem pod tekstem. To zestaw danych kryptograficznych dołączonych do pliku, więc po pierwszym użyciu wiele osób nie wie, czy w ogóle coś się stało. Efekt: dokument wraca z pytaniem „gdzie ten podpis?”, a ktoś otwiera plik w złej aplikacji i widzi tylko pustą stronę. Podpis kwalifikowany ma w całej UE skutek prawny równy podpisowi własnoręcznemu, ale żeby go używać, trzeba znać kilka rzeczy o formatach, certyfikacie i weryfikacji.
Czym różni się od zwykłego podpisu elektronicznego
Podpis elektroniczny w szerokim sensie to nawet zeskanowany autograf wklejony do PDF-a. Prawnie niewiele znaczy. Podpis kwalifikowany to osobna kategoria wynikająca z unijnego rozporządzenia eIDAS. Opiera się na certyfikacie kwalifikowanym wydanym przez dostawcę z unijnej listy zaufania, a klucz prywatny siedzi w bezpiecznym urządzeniu, z którego nie da się go skopiować.
W praktyce oznacza to, że umowę, aneks czy wniosek można podpisać bez drukowania, skanowania i kuriera. Druga strona nie musi też ufać na słowo, bo podpis da się niezależnie sprawdzić.
Jak wygląda podpis w dokumencie
To zależy od formatu. Trzy najczęstsze to PAdES, XAdES i CAdES, a różnica między nimi dotyczy tego, gdzie podpis „mieszka”.
PAdES – podpis wewnątrz PDF-a
Podpis jest osadzony w samym pliku PDF. Dokument otwiera się zwykle w Adobe Acrobat Readerze, który u góry pokazuje pasek z informacją, że dokument jest podpisany, a w panelu podpisów widać szczegóły i status.
Opcjonalnie można dodać widoczną pieczątkę z nazwiskiem i datą. Jest ona wyłącznie ozdobą, a o ważności decyduje to, co siedzi pod spodem.
XAdES i CAdES – podpis w osobnym pliku
Przy XAdES (kojarzony z plikami XML) i CAdES podpis może być zapisany jako osobny plik, np. z rozszerzeniem .xades lub .p7s. Dokument zostaje nietknięty, a obok niego leży plik z podpisem. Trzeba je trzymać razem, bo osobno podpis nie ma sensu.
Taki układ bywa wymagany w systemach urzędowych i przy dokumentach innych niż PDF, np. wielkich plikach czy XML-ach. Kto raz zgubi plik z podpisem, ten rozumie, dlaczego warto wrzucać oba do jednego folderu lub archiwum.
Jeśli instytucja nie narzuca formatu, do zwykłych dokumentów najbezpieczniej wybrać PAdES. Odbiorca otworzy plik w popularnej przeglądarce PDF i od razu zobaczy status podpisu.
Co jest potrzebne, żeby go mieć
Najpierw trzeba wybrać dostawcę z krajowej listy zaufania i kupić certyfikat. Weryfikacja tożsamości odbywa się w punkcie partnerskim albo zdalnie, np. przez wideoweryfikację lub przelew weryfikacyjny, zależnie od oferty. Koszt to zwykle kilkaset złotych za zestaw na 1–3 lata, w zależności od dostawcy i wariantu.
Karta i czytnik
Klasyczny zestaw to karta kryptograficzna z czytnikiem USB oraz oprogramowanie dostawcy. Klucz leży na karcie i odblokowuje go PIN. Rozwiązanie jest sprawdzone, ale przywiązuje do jednego komputera z czytnikiem i sterownikami.
Na nowych laptopach i w środowiskach firmowych z blokadami instalacji potrafią się pojawić kłopoty ze sterownikami. Warto to sprawdzić przed zakupem.
Podpis zdalny (w chmurze)
Klucz leży na serwerze dostawcy, a każde podpisanie potwierdza się kodem z aplikacji lub SMS-em. Nie trzeba czytnika, a podpisywać można z różnych urządzeń. Dla większości osób, które podpisują kilka–kilkanaście dokumentów miesięcznie, jest to wygodniejsza opcja.
Trzeba mieć dostęp do telefonu z aplikacją dostawcy i stabilne połączenie, bo bez nich podpis nie zadziała.
Podpisywanie krok po kroku
Dokładny przebieg zależy od dostawcy, ale schemat jest podobny:
- Zainstalować oprogramowanie dostawcy albo skonfigurować podpis zdalny.
- Przygotować gotowy dokument. Po podpisaniu nie wolno go zmieniać, bo zmiana unieważni podpis.
- Wybrać opcję podpisu kwalifikowanego w programie dostawcy lub w Acrobacie, albo użyć podpisu w aplikacji instytucji (np. na platformie, do której składa się dokument).
- Wskazać format (PAdES dla PDF, XAdES dla XML) i certyfikat.
- Potwierdzić PIN-em lub kodem z aplikacji.
- Zapisać podpisany plik pod nową nazwą, żeby nie nadpisać oryginału.
Dla ważnych dokumentów dobrze jest dodać kwalifikowany znacznik czasu. Dostawcy zwykle sprzedają go w pakietach lub osobno. Potwierdza on, że dokument istniał w określonym momencie.
Jak sprawdzić, czy podpis jest ważny
Weryfikuje się to w programie do podpisu albo w czytniku PDF, a także w narzędziach do walidacji udostępnianych przez dostawców i instytucje. Wynik zależy od kilku rzeczy: czy certyfikat był ważny w chwili podpisu, czy nie został unieważniony, czy dostawca figuruje na liście zaufania oraz czy dokument nie został zmieniony po podpisaniu.
Częsty błąd to założenie, że po wygaśnięciu certyfikatu wszystkie wcześniejsze podpisy tracą moc. Nie tracą, jeśli podpisano je w okresie ważności. Dlatego ważne dokumenty warto opatrzyć znacznikiem czasu, który ułatwia późniejsze udowodnienie momentu podpisania.
Podpis kwalifikowany, zaufany i osobisty
W Polsce funkcjonują trzy rozwiązania i łatwo je pomylić:
- Podpis kwalifikowany – płatny, uniwersalny, uznawany w obrocie prywatnym i w całej UE.
- Podpis zaufany – bezpłatny, powiązany z profilem zaufanym, przydatny głównie w sprawach urzędowych.
- Podpis osobisty – składany przy użyciu e-dowodu, bezpłatny, ale wymaga czytnika lub telefonu z NFC i również służy głównie do kontaktów z administracją.
Jeśli umowa z kontrahentem lub dokument firmowy wymaga formy równej pisemnej, w praktyce wchodzi w grę kwalifikowany. Do wniosków urzędowych często wystarczy zaufany lub osobisty, więc nie ma potrzeby kupować certyfikatu „na zapas”.
Wpadki, które zdarzają się najczęściej
- Zmiana pliku po podpisaniu, nawet drobna, np. dopisanie komentarza lub zapisanie w innym programie.
- Zgubiony PIN albo PUK do karty. Odblokowanie bywa kłopotliwe, a czasem trzeba wyrobić nowy certyfikat.
- Niedopilnowany termin ważności. Przedłużenie przed wygaśnięciem jest zwykle prostsze niż zakup od zera.
- Wysłanie osobno dokumentu i pliku podpisu bez informacji, że to komplet.
- Zakup zestawu bez sprawdzenia, jakiego rozwiązania wymaga system, w którym ma być składany podpis.
Najrozsądniej przed zakupem sprawdzić, gdzie podpis będzie realnie używany: do kilku umów rocznie, do przetargów, a może do księgowości. Od tego zależy, czy lepsza będzie karta, czy podpis zdalny, i czy w ogóle warto płacić za kwalifikowany.