Rodzaje podpisu elektronicznego: SES, AdES i QES

Nie wszystkie podpisy elektroniczne są sobie równe. Na gruncie unijnego rozporządzenia 910/2014, lepiej znanego jako eIDAS, istnieją trzy odrębne poziomy podpisu elektronicznego: prosty (SES), zaawansowany (AdES) i kwalifikowany (QES). Każdy poziom odpowiada innemu poziomowi bezpieczeństwa, weryfikacji tożsamości i domniemania prawnego.

W przeciwieństwie do amerykańskiej ustawy ESIGN, która traktuje wszystkie ważne podpisy elektroniczne jednakowo, eIDAS uznaje, że różne sytuacje umowne niosą różne poziomy ryzyka. Dobra wiadomość jest taka, że większość standardowych umów biznesowych nie potrzebuje najwyższego, a przy tym najdroższego poziomu. Oto jak ustalić, który z nich pasuje.

Jak oceniamy rodzaje podpisu elektronicznego

Aby to porównanie było praktyczne, a nie teoretyczne, oto wymiary, które mają znaczenie przy wyborze między trzema rodzajami podpisu w eIDAS:

• Poziom bezpieczeństwa, czyli jak solidna jest weryfikacja tożsamości i jak dobrze chroniony jest proces podpisywania.
• Waga prawna, czyli jakie znaczenie dowodowe ma podpis w postępowaniu sądowym.
• Złożoność techniczna, czyli czego wdrożenie wymaga od Twojego zespołu i Twoich narzędzi.
• Koszt i dostępność, czyli cena za podpis i łatwość obsługi dla podpisujących.
• Odpowiednie zastosowania, czyli jakim typom umów i poziomom ryzyka faktycznie służy każdy poziom.

Z tymi kryteriami w ręku zobaczmy, jak wypadają trzy rodzaje podpisu.

1. Prosty podpis elektroniczny (SES)

Prosty podpis elektroniczny to najbardziej podstawowa forma podpisu elektronicznego na gruncie eIDAS. Definicja prawna jest szeroka: to dowolne dane w postaci elektronicznej dołączone do innych danych albo logicznie z nimi powiązane, używane przez podpisującego do złożenia podpisu. To wszystko. Żadnych konkretnych wymogów technicznych, obowiązkowej weryfikacji tożsamości ani pieczęci kryptograficznej.

Dlaczego się wyróżnia

SES jest najłatwiejszym wdrożeniowo rodzajem podpisu, bo obejmuje niemal wszystko, co elektroniczne, a sygnalizuje wolę podpisania. Wpisane nazwisko na końcu e-maila, pole wyboru w formularzu internetowym, przycisk podpisu jednym kliknięciem albo zeskanowany podpis wklejony do dokumentu: wszystko się kwalifikuje. Jeśli coś ma postać elektroniczną i sygnalizuje wolę podpisania, liczy się jako podpis. Na tym poziomie nie ma wymogu wzmocnionego bezpieczeństwa ani wykrywania manipulacji.

Najlepsze zastosowania

• Wewnętrzne zatwierdzenia i rutynowe potwierdzenia
• Sytuacje o niskim ryzyku, w których strony już się znają
• Nieformalne porozumienia, umowy zawierane online albo zamówienia o minimalnym ryzyku oszustwa
• Dokumenty HR, takie jak potwierdzenia zapoznania się z politykami

Kluczowe mocne strony

• Minimalne tarcie w procesie podpisywania
• Opłacalność przy dużej liczbie dokumentów o niskim ryzyku
• Działa na każdym urządzeniu, bez specjalnego oprogramowania i sprzętu

Możliwe ograniczenia

SES ma najniższą wagę dowodową. Jeśli pojawi się spór, strona powołująca się na podpis musi wykazać tożsamość i wolę podpisującego innymi środkami. Nie ma wbudowanego mechanizmu, który weryfikuje, kto podpisał dokument ani czy dokument zmieniono po podpisaniu. Wszędzie tam, gdzie wykraczasz poza rutynowe podpisywanie o niskim ryzyku, ta luka ma znaczenie.

2. Zaawansowany podpis elektroniczny (AdES)

Zaawansowany podpis elektroniczny to praktyczny standard w większości umów biznesowych. Definiuje go art. 26 eIDAS, który stawia cztery konkretne wymagania odróżniające go od prostego podpisu elektronicznego.

Dlaczego się wyróżnia

Aby podpis kwalifikował się jako AdES, musi być:

1. unikalnie przyporządkowany podpisującemu,
2. umożliwiać ustalenie tożsamości podpisującego,
3. składany przy użyciu danych do składania podpisu pozostających pod wyłączną kontrolą podpisującego,
4. powiązany z podpisanymi danymi tak, by każda późniejsza zmiana była wykrywalna.

W praktyce oznacza to solidną weryfikację tożsamości w momencie podpisywania, pieczęć odporną na manipulacje na podpisanym dokumencie i pełną ścieżkę audytu. Właśnie to dostarcza większość renomowanych rozwiązań do podpisu elektronicznego, nawet jeśli nie używa w komunikacji terminu „AdES”.

Najlepsze zastosowania

• Umowy z dostawcami i umowy o świadczenie usług
• Umowy o zachowaniu poufności i NDA
• Subskrypcje SaaS i umowy sprzedaży
• Umowy o pracę i umowy prawne
• Zdecydowana większość transakcji handlowych B2B

Zgodnie z analizą zastosowań biznesowych SignQuick około 90% potrzeb związanych z podpisywaniem w firmach zaspokajają poziomy niższe niż QES. Zaawansowane podpisy pokrywają ten obszar.

Kluczowe mocne strony

• Integralność dokumentu jest wbudowana, więc każda zmiana po podpisaniu jest wykrywalna
• Bezpieczne ścieżki audytu dają mocny dowód w sporach
• Wyższe bezpieczeństwo niż w SES, z weryfikacją tożsamości powiązaną z podpisującym
• Ochrona integralności danych dzięki certyfikatom cyfrowym i pieczęci kryptograficznej
• Umiarkowany koszt, zwykle od €0,50 do €5 za podpis, w zależności od wolumenu

Możliwe ograniczenia

AdES wymaga więcej infrastruktury technicznej niż SES, w tym zarządzania certyfikatami i procesów weryfikacji tożsamości. Kosztuje też więcej za podpis niż proste podpisanie jednym kliknięciem. W standardowych umowach biznesowych i prawnych ten kompromis się opłaca. Różnica między podpisem, który zapewnia integralność dokumentu, a takim, który tego nie robi, bywa znacząca, gdy pojawia się spór.

3. Kwalifikowany podpis elektroniczny (QES)

Kwalifikowany podpis elektroniczny stoi na szczycie hierarchii eIDAS. To zaawansowany podpis elektroniczny, który dodaje dwa kluczowe wymagania: musi być złożony przy użyciu kwalifikowanego urządzenia do składania podpisu (QSCD) i musi opierać się na kwalifikowanym certyfikacie wydanym przez kwalifikowanego dostawcę usług zaufania wpisanego na unijną zaufaną listę.

Dlaczego się wyróżnia

Na mocy art. 25 ust. 2 eIDAS kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu we wszystkich państwach członkowskich UE. To jedyny rodzaj podpisu elektronicznego o takiej automatycznej równoważności prawnej i najwyższe wsparcie prawne, jakie podpis elektroniczny może uzyskać na gruncie prawa UE.

Kwalifikowany certyfikat wydany przez kwalifikowanego dostawcę usług zaufania wymusza surowe standardy weryfikacji tożsamości, a QSCD chroni klucz do podpisywania przed manipulacją i nieuprawnionym dostępem.

Najlepsze zastosowania

• Transakcje nieruchomościowe, w których prawo krajowe wymaga równoważności z podpisem odręcznym
• Dokumenty notarialne i dokumenty urzędowe
• Pisma sądowe i pełnomocnictwa
• Transakcje o dużej wartości, w których wymogi regulacyjne wymagają najsilniejszej mocy prawnej
• Konkretne dokumenty, w których prawo wprost nakazuje QES

Kluczowe mocne strony

• Najwyższe domniemanie ważności prawnej, uznawane we wszystkich państwach członkowskich UE
• Najsilniejsza wykonalność prawna spośród wszystkich poziomów podpisu elektronicznego
• Nie można odmówić mu dopuszczalności w postępowaniu sądowym tylko dlatego, że ma postać elektroniczną
• Zapewnia zarówno tożsamość podpisującego, jak i integralność dokumentu na najwyższym standardzie
• W ramach eIDAS 2.0 portfele EUDI umożliwią składanie QES ze smartfona do końca 2026 roku, zmniejszając obecne uzależnienie od sprzętu

Możliwe ograniczenia

QES wymaga kwalifikowanego certyfikatu od dostawcy z unijnej zaufanej listy i certyfikowanego urządzenia do składania podpisu. To wymóg techniczny wykraczający poza to, co oferują standardowe platformy do podpisu elektronicznego. Koszt zwykle wynosi od €5 do €25 za podpis, co czyni go znacznie droższym niż AdES w codziennym użyciu. Większość umów B2B nie wymaga tego poziomu. Jeśli prawo krajowe nie nakazuje wprost QES dla Twojego typu dokumentu, prawdopodobnie płacisz za zgodność prawną, której nie potrzebujesz.

Szybkie porównanie: który rodzaj podpisu do której umowy

Poniższa tabela przyporządkowuje typowe rodzaje umów do poziomu podpisu, który faktycznie pasuje.

Typ umowy	Zalecany poziom	Dlaczego
Umowy z dostawcami, umowy o świadczenie usług	AdES	Weryfikacja tożsamości i wykrywanie manipulacji pokrywają ryzyko
Umowy o zachowaniu poufności	AdES (SES w przypadkach niższego ryzyka)	Zależy od wartości i wrażliwości
Subskrypcje SaaS	AdES albo SES	AdES przy dużych zobowiązaniach, SES przy rutynowych rejestracjach
Umowy o pracę	AdES	Liczy się waga regulacyjna i dowodowa
Transakcje nieruchomościowe (UE)	QES (sprawdź lokalne prawo)	Często wymagane prawnie, by dorównać podpisowi odręcznemu
Dokumenty notarialne lub poświadczone	QES	Prawo zwykle nakazuje najwyższy poziom
Wewnętrzne zatwierdzenia, rutynowe potwierdzenia	SES	Niskie ryzyko, znane strony, minimalna stawka
Zamówienia	SES albo AdES	Zależy od wartości i relacji z drugą stroną

Wzorzec jest jasny. AdES to złoty środek w standardowych procesach biznesowych i umowach prawnych, SES wystarcza w sytuacjach o niskiej stawce, a podpisy kwalifikowane rezerwuje się na przypadki, w których prawo wyraźnie ich wymaga.

Jak wybrać właściwy rodzaj podpisu elektronicznego

Wybieraj według poziomu ryzyka umowy

Dopasuj rodzaj podpisu do rzeczywistego ryzyka, a nie do teoretycznych najgorszych scenariuszy:

• Niskie ryzyko, znane strony: SES wystarcza. Wewnętrzna dokumentacja, rutynowe potwierdzenia i podstawowe zatwierdzenia formularzy często trafiają do lekkiego repozytorium umów.
• Standardowe umowy biznesowe: AdES jest odpowiedni. Obejmuje zdecydowaną większość sytuacji, w których podpisujesz dokumenty elektronicznie z podmiotami zewnętrznymi.
• Wymogi prawne o wysokiej stawce: QES jest potrzebny tylko wtedy, gdy prawo krajowe wprost wymaga ważności prawnej równoważnej podpisowi odręcznemu.

Wybieraj według wymogów prawnych

Zanim domyślnie wybierzesz najwyższy poziom, sprawdź, czy Twój konkretny typ dokumentu naprawdę go wymaga. Większość umów handlowych, w tym umowy sprzedaży, umowy z dostawcami i umowy o zachowaniu poufności, nie ma na gruncie prawa UE wymogu QES. Podpis elektroniczny jest prawnie wiążący na wszystkich trzech poziomach, a wybór planu cenowego powinien odzwierciedlać, jak często korzystasz z każdego poziomu. Różnica tkwi w ciężarze dowodu, jeśli sprawa trafi do sądu.

Wybieraj według możliwości technicznych

SES i AdES są dostępne w standardowych platformach do podpisu elektronicznego i systemach zarządzania umowami. QES wymaga wyspecjalizowanych dostawców z kwalifikowanymi certyfikatami, a często także dedykowanego sprzętu lub certyfikowanego oprogramowania. Zanim zainwestujesz w infrastrukturę QES, oceń złożoność wdrożenia względem rzeczywistej potrzeby prawnej.

Który rodzaj podpisu elektronicznego jest dla Ciebie najlepszy?

Oto bezpośrednia odpowiedź, bo ten artykuł nie powinien kończyć się stwierdzeniem „to zależy”:

• Wybierz SES do prostego podpisywania wewnętrznego o niskim ryzyku, gdy strony się znają, a stawka jest niska.
• Wybierz AdES do standardowych umów biznesowych. To właściwy wybór w około 80 do 90% podpisywanych umów biznesowych, w tym tych obsługiwanych przez zespoły zakupowe. Zapewnia solidną weryfikację tożsamości, pieczęć odporną na manipulacje, mocne ścieżki audytu i pozycję prawną, która broni się w sporach.
• Wybierz QES tylko wtedy, gdy prawo krajowe wyraźnie tego wymaga dla Twojego typu dokumentu, albo gdy obsługujesz transakcje o dużej wartości, takie jak przeniesienie własności nieruchomości czy czynności notarialne, gdzie pełna moc prawna jest wymogiem regulacyjnym.

Jeśli nie masz pewności, AdES jest niemal na pewno właściwym punktem wyjścia.

Uwaga o systemie amerykańskim

Dla firmy działającej wyłącznie w Stanach Zjednoczonych kwestia poziomów nie wygląda tak samo. Na gruncie ustawy ESIGN i Uniform Electronic Transactions Act (UETA) podpis elektroniczny definiuje się szeroko: to dowolny dźwięk, symbol lub proces elektroniczny dołączony do zapisu z wolą podpisania.

System amerykański nie dzieli podpisów na poziomy. Każdy ważny podpis elektroniczny spełniający wymogi zgody, woli i przechowywania zapisu ma ważność prawną. Nie ma osobnej kategorii podpisów zaawansowanych ani kwalifikowanych. Dla firm z działalnością w UE lub partnerami z UE dopasowanie do poziomów eIDAS nadal daje realną pewność prawną. Rzetelne śledzenie umów w różnych jurysdykcjach pomaga też zadbać, by odnowienia, wygaśnięcia i zobowiązania były obsługiwane poprawnie, gdy umowy wchodzą w jurysdykcję UE.

Podsumowanie

Trzy rodzaje podpisu elektronicznego w eIDAS istnieją nie bez powodu: różne umowy niosą różne ryzyko, a proces podpisywania powinien być do niego dopasowany. Zrozumienie różnicy między SES, AdES i QES pozwala podjąć świadomą decyzję, zamiast domyślnie wybierać najtańszą albo najdroższą opcję.

W większości umów biznesowych odpowiedzią jest AdES. Zapewnia weryfikację tożsamości, integralność dokumentu i pozycję prawną, których wymaga komercyjne repozytorium umów, bez kosztu i złożoności QES.

Wbudowana funkcja podpisu elektronicznego w Contracko dostarcza podpisy na poziomie AdES z solidną weryfikacją tożsamości, pieczęcią odporną na manipulacje i pełną ścieżką audytu. Po podpisaniu umowy trafiają bezpośrednio do analizy umów z AI, która automatycznie wyodrębnia dane, ustawia inteligentne przypomnienia i śledzi zobowiązania.

Możesz wypróbować platformę w bezpłatnym okresie próbnym, bez karty kredytowej. Plany zaczynają się już od 75 EUR miesięcznie.

Obrazy w tym artykule zostały wygenerowane przy pomocy AI.