| NAJWAŻNIEJSZE INFORMACJE W SKRÓCIE To nie tylko zwykłe obrazy: wizualny obraz podpisu na pliku PDF nie ma znaczenia prawnego – decydujące znaczenie ma certyfikat kryptograficzny w tle. Trzy filary weryfikacji: Podczas weryfikacji zawsze sprawdzana jest tożsamość osoby podpisującej, autentyczność dokumentu (integralność) oraz ważność certyfikatu. Czynnik EUTL: Kwalifikowany podpis elektroniczny (QES) jest w 100% uznawany przez sądy w całej Europie tylko wtedy, gdy dostawca usług zaufania (TSP) znajduje się na oficjalnej liście zaufania UE (EUTL). Wada konkurencyjna w USA: Wiele amerykańskich narzędzi nie spełnia wymagań europejskich narzędzi weryfikacyjnych (takich jak państwowa służba akredytacyjna RTR), ponieważ nie zapewniają one wystarczającego zakotwiczenia łańcuchów certyfikatów. |
Wprowadzenie: Dlaczego „weryfikacja” stanowi prawdziwą podstawę procesów cyfrowych
W wielu przedsiębiorstwach cyfrowe podpisywanie umów już dawno stało się standardem. Jednak podczas gdy ogromną ilość energii poświęca się na składanie podpisów, w codziennej działalności B2B często pozostaje bez odpowiedzi fundamentalne pytanie: w jaki sposób weryfikujecie dokumenty, które po podpisaniu wracają do waszej firmy?
Firmy codziennie wymieniają między sobą poufne umowy – od umów o pracę w dziale kadr, przez umowy z dostawcami, aż po transakcje finansowe o dużej wartości. Każdy, kto ufa, że zeskanowany podpis lub zwykły obrazek zastępczy w pliku PDF jest zgodny z prawem, naraża się na ogromne ryzyko związane z nieprzestrzeganiem przepisów i odpowiedzialnością prawną. Tylko systematyczna weryfikacja kryptograficzna daje Państwu pewność, którą uznają sądy, że Państwa kontrahent jest rzeczywiście tym, za kogo się podaje, oraz że treść umowy nie została później sfałszowana.
Anatomia techniczna: co się dzieje podczas weryfikacji podpisu cyfrowego?
Podczas sprawdzania podpisu cyfrowego (na przykład za pomocą programu sproof Validator, Acrobat Reader, państwowych serwisów weryfikacyjnych, takich jak Rundfunk und Telekom Regulierungs-GmbH w Austrii, lub specjalistycznego oprogramowania) w tle przebiega trzyetapowy proces:
1. Sprawdzanie integralności dokumentów (porównanie skrótów)
Podczas podpisywania cała zawartość pliku jest kompresowana za pomocą algorytmu do postaci unikalnego cyfrowego odcisku palca – tzw. wartości skrótu. Narzędzie weryfikacyjne ponownie oblicza tę wartość skrótu po otwarciu pliku. Jeśli aktualna wartość skrótu dokładnie pokrywa się z wartością zaszyfrowaną w momencie podpisania, można stwierdzić z całą pewnością: dokument nie został zmieniony ani o jeden znak od momentu podpisania.
| sproof Insight a lider rynku amerykańskiego: sproof sign na stałe i zgodnie z prawem osadza każdy podpis w pliku PDF za pomocą kryptografii w momencie jego złożenia. Amerykańscy dostawcy, tacy jak DocuSign, często umieszczają podpisy w trakcie procesu jedynie jako obrazy wizualne na dokumencie, a ostateczną pieczęć zbiorczą dodają dopiero podczas końcowego pobrania. Utrudnia to narzędziom weryfikacyjnym późniejsze dokładne ustalenie, w którym momencie wprowadzono konkretną zmianę w polu formularza. |
2. Weryfikacja certyfikatu cyfrowego (tożsamość)
Każdy zaawansowany (FES) lub kwalifikowany podpis elektroniczny (QES) jest nierozerwalnie powiązany z certyfikatem cyfrowym. Certyfikat ten pełni rolę cyfrowego dowodu tożsamości. Narzędzie weryfikacyjne wyodrębnia metadane certyfikatu w celu odczytania nazwiska podpisującego, zweryfikowanego adresu e-mail oraz danych wystawcy (dostawcy usług zaufania, w skrócie TSP).
3. Porównanie z listą zaufanych podmiotów Unii Europejskiej (EUTL)
Rozporządzenie eIDAS zapewnia maksymalną moc dowodową na terenie Europy. Branże podlegające ścisłej regulacji wymagają standardowo QES, ponieważ tylko on jest prawnie w 100% równoważny z podpisem odręcznym. Podczas weryfikacji QES oprogramowanie porównuje dostawcę usług zaufania (TSP), który wydał podpis, z oficjalną listą zaufania Komisji Europejskiej (EUTL). Jeśli dostawca nie jest tam akredytowany, podpis traci status QES.
Dlaczego niektóre podpisy są uznawane za „nieważne” w europejskich narzędziach weryfikacyjnych
Często spotykane zjawisko w europejskich działach prawnych: umowa podpisana za pomocą amerykańskiego narzędzia zostaje przesłana do oficjalnego serwisu weryfikacyjnego RTR (Austria) i natychmiast klasyfikowana jako „nieważna” lub „niemożliwa do zweryfikowania pod względem technicznym ”.
Jest ku temu powód: brak akredytacji EUTL. Wielu globalnych dostawców usług w chmurze typu hyperscaler wykorzystuje do swoich standardowych podpisów własne łańcuchy certyfikatów, które co prawda są oznaczone jako „zielone” na komercyjnych listach (takich jak Adobe Approved Trust List – AATL), jednak nie spełniają rygorystycznych kryteriów regulacyjnych europejskich organów nadzorczych.
Krok po kroku: jak sprawdzić podpis cyfrowy w praktyce
Dla przedsiębiorstw istnieją przede wszystkim trzy sprawdzone sposoby weryfikacji podpisów w sposób zgodny z wymogami audytowymi:
- Sposób 1: Zautomatyzowana weryfikacja za pomocą oprogramowania i API (dla przedsiębiorstw) Duże organizacje nie są w stanie ręcznie sprawdzać przychodzących dokumentów. W takich przypadkach wykorzystuje się moduły takie jak sproof Validate. Za pośrednictwem interfejsu REST-API umowy są automatycznie skanowane w momencie ich otrzymania, sprawdzane pod kątem kryptograficznym oraz archiwizowane w systemie zarządzania dokumentami (DMS) wraz z niezmiennym śladem audytowym (protokołem kontroli).
- Sposób 2: Weryfikacja bezpośrednio na platformie sproof sign Jeśli zarządzasz dokumentami w centralnym panelu sproof sign, wystarczy jedno kliknięcie. Po prostu najedź kursorem myszy na kartę podpisu w edytorze dokumentów. Narzędzie natychmiast wyświetli w nakładce informację, czy podpis jest ważny, jaki standard bezpieczeństwa (EES, FES, QES) został zastosowany oraz który dostawca usług zaufania wydał certyfikat.
- Sposób 3: Ręczna weryfikacja za pomocą programu Adobe Acrobat Reader Dzięki globalnemu standardowi PAdES podpisy obsługujące długoterminową walidację (LTV – Long-Term Validation) można weryfikować również w trybie offline w programie Adobe Reader. W tym celu program Adobe wykorzystuje wbudowane dane weryfikacyjne (CRL/OCSP) w celu potwierdzenia historycznej ważności podpisu na przestrzeni dziesięcioleci.
Połóż kres niepewności prawnej w zarządzaniu dokumentami
Zautomatyzuj procesy weryfikacji i chroń swoją firmę przed naruszeniami przepisów. Dzięki sproof sign i sproof Validate stawiasz na w 100% europejskie rozwiązanie – całkowicie niezależne od Stanów Zjednoczonych, w pełni zgodne z RODO i posiadające certyfikat ISO 27001.
Umów się teraz na niezobowiązującą prezentację lub wypróbuj sproof sign za darmo
Najczęściej zadawane pytania na ten temat
-
+–Was ist der Unterschied zwischen der visuellen Unterschrift und dem digitalen Zertifikat?Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist… więcej
Das Bild der Unterschrift auf dem PDF dient rein der optischen Information für den Menschen. Rechtlich und technisch bindend ist ausschließlich das digitale Zertifikat, das in den maschinenlesbaren Daten des PDF-Dokuments kryptografisch verankert ist. Ein reines Bild ohne Zertifikat bietet kaum Beweiskraft als elektronische Unterschrift.
-
+–Kann eine digitale Signatur geprüft werden, wenn keine Internetverbindung besteht?Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt… więcej
Ja, sofern die Unterschrift den Standard LTV (Long-Term Validation) unterstützt. Bei LTV-aktivierten Signaturen werden alle notwendigen Sperrinformationen des Zertifikats direkt beim Signieren in das PDF eingebettet.
-
+–Was bedeutet es, wenn ein Prüftool meldet: „Identität des Ausstellers unbekannt“?Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der… więcej
Diese Meldung erscheint meist dann, wenn das Dokument mit einem Tool signiert wurde, dessen Stammzertifikat nicht in der EUTL-Liste der EU oder im lokalen Windows/Adobe-Zertifikatsspeicher hinterlegt ist. Die Integrität des Dokuments kann zwar intakt sein, der Status als rechtssichere “Qualifizierte Elektronische Signatur” (QES) ist damit jedoch hinfällig.
-
+–Was passiert, wenn ein Dokument nach dem Signieren leicht verändert wird (z. B. durch das Hinzufügen einer Seitenzahl)?Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes… więcej
Sobald ein PDF-Dokument nach dem Aufbringen einer digitalen Signatur auch nur minimal verändert wird, bricht die kryptografische Siegelkette auf. Jedes professionelle Prüftool meldet sofort, dass das Dokument manipuliert wurde und die Signatur somit ungültig ist. Bei sproof ist durch die tiefe Verankerung im PDF genau nachvollziehbar, ob und welche Änderungen im Nachgang vorschriftswidrig vorgenommen wurden.
-
+–Wie lang ist eine digitale Signatur gültig und überprüfbar?Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei… więcej
Standardmäßige Signaturen können nach dem Ablauf des zugrunde liegenden Zertifikats (meist nach 2 bis 3 Jahren) oft nicht mehr fehlerfrei validiert werden. sproof Sign nutzt daher konsequent den LTV-Standard (Long-Term Validation). Hierbei werden die Sperrinformationen (wie CRL- oder OCSP-Listen) zum Zeitpunkt der Unterschrift direkt in das Dokument eingebettet. Dadurch lässt sich die Gültigkeit der Signatur auch noch nach Jahrzehnten revisionssicher und unabhängig vom Aussteller prüfen.
-
+–Kann man mehrere digitale Signaturen auf einem einzigen Dokument unabhängig voneinander prüfen?Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool… więcej
Ja. Wenn mehrere Personen ein Dokument nacheinander unterzeichnen (sequentieller Workflow), enthält das PDF eine Historie von sogenannten Revisionsständen. Ein Prüftool (z.B. sproof Validate) validiert jede Signatur einzeln für den Zustand des Dokuments, der zum jeweiligen Unterzeichnungszeitpunkt vorlag.
-
+–Warum ist der Prüfbericht (Audit Trail) für Compliance-Manager:innen so wichtig?Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben… więcej
Der Audit Trail (Prüfprotokoll) liefert die lückenlose, gerichtsverwertbare Historie des gesamten Signaturprozesses. Er dokumentiert, wann wer das Dokument eingesehen, freigegeben und signiert hat, inklusive der genutzten Verifikationsmethode (z. B. Zwei-Faktor-Authentifizierung oder qualifizierte eID). Dieses Protokoll dient bei Audits oder rechtlichen Streitigkeiten als primärer Beweis dafür, dass die Signatur ordnungsgemäß zustande gekommen ist.
