Elektronická pečeť: K čemu slouží a čím se liší od elektronického podpisu

Elektronické dokumenty už dávno nejsou pouze digitální náhradou papíru. Firmy i úřady potřebují spolehlivě prokázat, odkud dokument pochází a zda jej někdo po vystavení nezměnil. Právě k tomu slouží elektronická pečeť. Na první pohled připomíná elektronický podpis, její účel je ale odlišný. Zatímco podpis je spojen s konkrétní fyzickou osobou, pečeť reprezentuje právnickou osobu, například firmu nebo organizaci.

Co je elektronická pečeť

Elektronická pečeť je digitální prostředek, který umožňuje ověřit, že dokument nebo jiná elektronická data skutečně pocházejí od určité právnické osoby a že po jejich vytvoření nebyla neoprávněně změněna. Může jít například o firmu, úřad, banku, pojišťovnu nebo jinou organizaci, píše Digicert.

Svým účelem připomíná klasické firemní razítko, využívá však kryptografické mechanismy a digitální certifikát. Díky tomu lze při ověření zjistit nejen původ dokumentu, ale také případnou změnu jeho obsahu.

Hlavní rozdíl oproti elektronickému podpisu spočívá v tom, koho reprezentuje. Elektronický podpis je spojen s konkrétní fyzickou osobou, zatímco elektronická pečeť s právnickou osobou. Pokud například firemní systém automaticky vystavuje faktury, potvrzení nebo jiné dokumenty, může je společnost opatřovat elektronickou pečetí bez nutnosti ručního podpisu zaměstnance.

Elektronické pečetě jsou proto vhodné zejména pro automatizované procesy, při kterých organizace vytvářejí a odesílají větší množství elektronických dokumentů.

Elektronická pečeť vs. elektronický podpis

Elektronická pečeť a elektronický podpis využívají podobné kryptografické principy a v dokumentu mohou na první pohled vypadat podobně. Jejich právní význam však není stejný. Nejdůležitější rozdíl spočívá v tom, koho reprezentují.  

Pokud například jednatel elektronicky podepíše smlouvu, podpis dokládá jeho jednání jako konkrétní fyzické osoby. Pokud však informační systém společnosti automaticky vytvoří tisíce dokumentů, není vždy nutné, aby je jednotlivě podepisoval zaměstnanec. Firma je může opatřit elektronickou pečetí.

Podle Evropské komise může elektronický podpis v režimu eIDAS vytvářet fyzická osoba, zatímco elektronická pečeť je určena právnickým osobám a slouží především k zajištění původu a integrity dat.

Kde se elektronické pečetě používají

Velkou výhodou elektronické pečeti je možnost automatizace. Nemusí být vytvářena ručně člověkem u každého jednotlivého dokumentu. Pečetění lze začlenit přímo do firemních informačních systémů.

Elektronické pečetě proto nacházejí využití například při:

• automatickém vystavování faktur a dalších firemních dokumentů,
• generování výpisů a potvrzení,
• komunikaci mezi informačními systémy,
• elektronické komunikaci úřadů,
• zpracování velkého množství dokumentů,
• ochraně dokumentů před dodatečnými změnami.

Typickým příkladem může být společnost, která každý měsíc automaticky vytvoří desetitisíce elektronických dokumentů. Ruční podepisování každého souboru odpovědnou osobou by bylo nepraktické. Systém může dokumenty opatřit elektronickou pečetí a příjemce následně ověřit jejich původ a integritu.

Právě možnost použití elektronických pečetí informačními systémy označuje Evropská komise za důležitý nástroj pro zabezpečené automatizované transakce. Současně doporučuje zavést interní kontrolní mechanismy, které zabrání neoprávněnému používání pečeti.

Tři úrovně elektronické pečeti

Podobně jako u elektronických podpisů rozlišuje evropské nařízení eIDAS několik úrovní elektronických pečetí. Liší se především požadavky na zabezpečení, způsob vytvoření a použitý certifikát. Čím vyšší úroveň pečeti organizace využívá, tím přísnější požadavky musí splnit.

• Prostá elektronická pečeť – představuje základní úroveň. Jde o elektronická data připojená k jiným elektronickým datům nebo s nimi logicky spojená za účelem zajištění původu a integrity. Nemusí splňovat přísnější technické podmínky stanovené pro vyšší úrovně, a proto poskytuje nižší míru jistoty o původu dokumentu.
• Zaručená elektronická pečeť – musí splňovat konkrétní požadavky nařízení eIDAS. Musí být jednoznačně spojena s tvůrcem pečeti, umožňovat jeho identifikaci a být vytvořena pomocí dat, která má tvůrce pod svou kontrolou. Zároveň musí být s dokumentem propojena tak, aby bylo možné zjistit případnou následnou změnu dat.
• Kvalifikovaná elektronická pečeť – nabízí nejvyšší úroveň. Jde o zaručenou elektronickou pečeť vytvořenou pomocí kvalifikovaného prostředku a založenou na kvalifikovaném certifikátu pro elektronické pečetě. Certifikát vydává kvalifikovaný poskytovatel služeb vytvářejících důvěru, který splňuje požadavky evropské legislativy.

Pro běžné firemní použití proto není důležité pouze to, zda dokument elektronickou pečeť obsahuje, ale také o jaký typ pečeti jde a jaký certifikát byl při jejím vytvoření použit. Vyšší úroveň přináší silnější záruky týkající se identity organizace, původu dokumentu a jeho integrity.

Co zaručuje kvalifikovaná elektronická pečeť

Kvalifikovaná elektronická pečeť poskytuje nejvyšší úroveň důvěry podle evropského nařízení eIDAS. Její hlavní význam spočívá v tom, že umožňuje spolehlivě ověřit původ dokumentu a jeho integritu.

U dokumentu opatřeného platnou kvalifikovanou elektronickou pečetí platí právní domněnka integrity dat a správnosti jejich původu. Příjemce tak získává silnou záruku, že dokument pochází od právnické osoby uvedené v certifikátu a že od vytvoření pečeti nebyl změněn. Pokud by někdo následně upravil například část textu, částku nebo jiný údaj, validace pečeti by změnu odhalila.

Důležitou součástí je kvalifikovaný certifikát pro elektronickou pečeť. Ten vydává kvalifikovaný poskytovatel služeb vytvářejících důvěru, který musí splňovat požadavky evropské legislativy a podléhá dohledu. Jeho kvalifikovaný status lze ověřit prostřednictvím evropských Trusted Lists.

Kvalifikovaná elektronická pečeť však sama o sobě neznamená souhlas konkrétní osoby s obsahem dokumentu. Jejím hlavním úkolem je potvrdit, od které organizace data pocházejí, a chránit jejich integritu. Právě proto se hodí například pro úřední dokumenty, elektronická potvrzení nebo automatizovaně vytvářené firemní dokumenty.

Jak ověřit elektronickou pečeť

Elektronickou pečeť lze podobně jako elektronický podpis ověřit pomocí validačních nástrojů. Nestačí přitom pouze zkontrolovat, zda se u dokumentu zobrazuje informace o platné pečeti. Validace prověřuje několik údajů, které společně potvrzují její důvěryhodnost.

Při ověřování se kontroluje především to, zda dokument nebyl po vytvoření pečeti změněn, kdo je uveden jako její tvůrce a zda byl použitý certifikát v době vytvoření pečeti platný. Součástí kontroly může být také ověření certifikačního řetězce a toho, zda certifikát nebyl zneplatněn.

U kvalifikovaných elektronických pečetí je důležité také ověřit, zda certifikát pochází od kvalifikovaného poskytovatele služeb vytvářejících důvěru. K tomu slouží národní Trusted Lists, které jsou propojené v rámci evropského systému eIDAS. Díky nim lze zjistit, zda měl poskytovatel a konkrétní služba kvalifikovaný status.

Pro kontrolu lze využít specializované validační nástroje. Evropská komise například nabízí řešení založené na technologii Digital Signature Service (DSS), které umožňuje ověřovat elektronické podpisy a pečetě podle pravidel eIDAS a příslušných evropských standardů.

Pokud validace proběhne úspěšně, příjemce získá potvrzení, že pečeť odpovídá dokumentu, certifikát je důvěryhodný a data nebyla po opatření pečetí změněna.

Podpis patří člověku, pečeť organizaci

Rozdíl mezi elektronickým podpisem a elektronickou pečetí lze shrnout jednoduše. Elektronický podpis je spojen s konkrétní fyzickou osobou, zatímco elektronická pečeť pomáhá prokázat, od které organizace dokument pochází a zda nebyl následně změněn.

Podpis proto dává smysl především tam, kde je důležité jednání konkrétní osoby. Pečeť se naopak uplatňuje zejména u dokumentů vydávaných firmami a dalšími právnickými osobami, včetně automatizovaných procesů, při kterých vzniká větší množství dokumentů.

Důležitou součástí elektronického podepisování a pečetění jsou také digitální certifikáty a jejich správná správa. Firmy musí hlídat jejich platnost, bezpečné používání i včasnou obnovu. Se správou certifikátů mohou pomoci specializované služby, jako je SSLmarket, který nabízí certifikáty předních certifikačních autorit včetně DigiCertu a nástroje pro jejich správu a automatizaci.

Správně zvolený způsob elektronického podepisování nebo pečetění tak může firmám nejen zvýšit důvěryhodnost elektronických dokumentů, ale také usnadnit jejich bezpečné zpracování a automatizaci.