Kvalifikovaná pečeť a časové razítko: co dávají dokumentu navíc

Podpis říká, kdo s dokumentem souhlasil. Neříká ale, že dokument od té doby nikdo nezměnil, ani kdy přesně vznikl – datum v PDF si může kdokoli přepsat. Tyto dvě mezery zaplňují dva nástroje, které nařízení eIDAS upravuje vedle podpisu: elektronická pečeť a elektronické časové razítko. Ve své kvalifikované podobě mají přímo ze zákona důkazní účinky, které prostý podpis nemá.

Vysvětlíme, co každý nástroj dělá, čím se liší pečeť od podpisu, proč razítko po pár letech „vyprší“ a co s tím, a kdo tyto služby v Česku poskytuje.

Pečeť: podpis právnické osoby

Elektronická pečeť (čl. 3 odst. 25 eIDAS) je technicky totéž co elektronický podpis – kryptografický podpis soukromým klíčem s certifikátem – s jedním rozdílem: certifikát nezní na člověka, ale na právnickou osobu. Pečeť tedy neříká „Jan Novák souhlasí“, ale „tento dokument pochází od společnosti X a nebyl změněn“. Je to elektronický ekvivalent firemního razítka.

Stejně jako podpis má pečeť tři úrovně: prostou, zaručenou (čl. 36) a kvalifikovanou (čl. 3 odst. 27 – zaručená pečeť vytvořená kvalifikovaným prostředkem a založená na kvalifikovaném certifikátu). Český zákon č. 297/2016 Sb. v § 9 přidává „uznávanou pečeť“ = zaručená pečeť založená na kvalifikovaném certifikátu, analogicky k uznávanému podpisu.

Klíčový účinek kvalifikované pečeti stanoví čl. 35 odst. 2 eIDAS: platí pro ni domněnka integrity dat a správnosti původu dat, s nimiž je spojena. Před soudem tedy nemusíte dokazovat, že dokument je nezměněný a že pochází od držitele pečeti – naopak, kdo to zpochybňuje, musí prokázat opak.

K čemu pečeť u e-podpisové služby

U prostého elektronického podpisu nevzniká kryptografický podpis podepisujícího – jeho podpis je grafická značka plus záznam v auditní stopě. Aby byl výsledný dokument chráněn proti změně, opatří ho platforma po dokončení svou pečetí. Ta dokládá dvě věci: že PDF v této podobě vytvořila platforma (původ) a že od té chvíle nebyl změněn ani jeden bajt (integrita). Totéž platforma udělá s auditní stopou.

Pečeť ale nenahrazuje podpis. Advokáti upozorňují, že pečeť platformy nedělá z prostého podpisu podpis vyšší úrovně – vypovídá o dokumentu, nikoli o vůli podepisujícího. Správně je to číst takto: pečeť chrání důkaz, auditní stopa ho vytváří.

Časové razítko: důkaz, že dokument existoval

Elektronické časové razítko (čl. 3 odst. 33 eIDAS) spojuje data s konkrétním okamžikem a dokládá, že data v tomto okamžiku existovala. Technicky funguje tak, že se otisk dokumentu pošle autoritě časových razítek (TSA), ta k němu připojí svůj čas a celé to podepíše. Standardem je protokol RFC 3161. Dokument samotný autorita nevidí – jen jeho otisk.

Kvalifikované časové razítko (čl. 3 odst. 34) musí vydat kvalifikovaný poskytovatel a jeho čas musí být navázán na koordinovaný světový čas (UTC). Podle čl. 41 odst. 2 pro ně platí domněnka správnosti data a času a integrity dat, k nimž je připojeno. Zákon č. 297/2016 Sb. v § 11 ukládá veřejnoprávním podepisujícím razítkovat každý podepsaný dokument; pro soukromé subjekty to povinnost není, ale Ministerstvo spravedlnosti ve výkladu k zákonu uvádí, že přítomnost kvalifikovaného razítka je podmínkou pro uplatnění domněnky pravosti po celou dobu existence dokumentu.

Proč razítko „vyprší“ a co je LTV

Každý certifikát má omezenou platnost, obvykle jeden až tři roky, a kryptografické algoritmy časem slábnou. Podpis nebo razítko vytvořené dnes bude za deset let stát na certifikátu, který už dávno vypršel, a validátor nemusí umět ověřit, zda byl v době podpisu platný. Tomu se říká problém dlouhodobé platnosti.

Řešení je dvojí. Zaprvé, při podpisu se do PDF vloží všechny informace potřebné k pozdějšímu ověření – certifikační řetězec a údaje o odvolání (CRL/OCSP). Tomu říká standard PAdES (ETSI EN 319 142) profil B-LT, Adobe to zobrazuje jako „LTV enabled“. Zadruhé, před vypršením certifikátu razítka se dokument znovu orazítkuje novým, silnějším razítkem (profil B-LTA, archivní razítko). Tím vzniká řetěz, který lze ověřit i po desetiletích.

V praxi to znamená, že u dokumentů, které chcete mít průkazné déle než pět let (smlouvy o dílo se zárukou, nájemní smlouvy, pracovní dokumentace), je dobré vědět, zda vaše platforma LTV podporuje nebo nabízí přerazítkování.

Kdo pečeti a razítka v Česku vydává

Kvalifikované služby smí poskytovat jen kvalifikovaný poskytovatel služeb vytvářejících důvěru (QTSP) zapsaný na důvěryhodném seznamu EU. V České republice jsou to tři subjekty:

• První certifikační autorita, a.s. (I.CA) – certifikáty pro podpis i pečeť, časová razítka, vzdálené podepisování I.CA RemoteSign.
• PostSignum (Česká pošta) – certifikáty pro podpis i pečeť, časová razítka (TSA na seznamu EU od roku 2017).
• eIdentity a.s. – certifikáty pro podpis a pečeť.

E-podpisová platforma si od QTSP obstará kvalifikovaný certifikát pro pečeť, jehož soukromý klíč uloží v hardwarovém bezpečnostním modulu (HSM), a smlouvu o odběru časových razítek. Razítka se platí za kus; při dvou razítkách na dokument (po dokončení a archivní) jde o jednotky korun na obálku.

Stav v OneKlik

OneKlik dnes chrání výsledný dokument i auditní stopu otiskem SHA-256 v protokolu a elektronickou pečetí s certifikátem od českého QTSP (I.CA) včetně časového razítka ve formátu PAdES. Kvalifikovaná časová razítka na podepsaný dokument i na auditní stopu připravujeme; cílem je formát PAdES s dlouhodobou platností (LTV), aby dokumenty zůstaly ověřitelné i po letech. Do té doby platí doporučení stahovat podepsaný dokument s auditní stopou ihned po dokončení a archivovat je společně.

Nejde o právní poradenství. Pokud potřebujete pro konkrétní typ dokumentu kvalifikovanou pečeť už dnes (například pro autorizovanou konverzi na Czech POINT), ověřte si požadavky u příslušného úřadu.