Jak v Česku získat elektronický podpis: od identity ke certifikátu

Elektronický podpis se v Česku nežádá jedním univerzálním formulářem. Existují v praxi dvě cesty, jak získat elektronický podpis: kvalifikovaný certifikát od certifikačních autorit ze seznamu, který vede Digitální a informační agentura (DIA), pro úkony u úřadů, a bezplatné podepisování přes službu Bank iD s bankovní identitou pro běžné soukromé dokumenty. Popisujeme obě i pořadí rozhodování, které ušetří kroky navíc.

Nejdřív si ujasněte, k čemu podpis budete potřebovat

• Soukromá agenda – smlouvy, souhlasy, výpovědi, přihlášky, předávací protokoly. Zde stačí zaručený podpis; Bank iD na své stránce ho popisuje jako bezplatný z počítače i z mobilu a pro dokument zasílaný úřadům uvádí, že je potřeba uznávaný podpis. Postup pro PDF krok za krokem má stránka elektronický podpis PDF.
• Úřady a veřejná správa – datová schránka firmy, finanční správa, sociální zabezpečení, e-tržiště. K tomu směřuje kvalifikovaný certifikát od PostSignum: podle vlastního popisu služby jím vytvoříte zaručený elektronický podpis uznávaný orgány veřejné moci v ČR. Co přesně znamená uznávaný a jak se liší od zaručeného, rozebírá stránka zaručený elektronický podpis.
• Přeshraniční úkony – nařízení eIDAS přiznává kvalifikovanému elektronickému podpisu účinek rovnocenný podpisu vlastnoručnímu; proto se u jednání s jinou zemí EU počítá s kvalifikovaným certifikátem a kvalifikovaným prostředkem.

Jak získat elektronický podpis s kvalifikovaným certifikátem

Seznam kvalifikovaných poskytovatelů služeb vytvářejících důvěru zveřejňuje Digitální a informační agentura. Pro podpis fyzické osoby se v něm setkáte mimo jiné s První certifikační autoritou, Českou poštou se službou PostSignum, eIdentity nebo Správou státních služeb vytvářejících důvěru; kvalifikované certifikáty pro elektronické podpisy tam od června 2023 vydává i Komerční banka. Jména i rozsah služeb přebírejte z tohoto seznamu, ne z odkazů třetích stran.

Ověřené cesty k vydání vypadají rozdílně:

Pro komunikaci s finanční správou se do osobního certifikátu vkládá identifikátor klienta MPSV – PostSignum to doporučuje a pro finanční správu je povinný. Kvalifikovaný certifikát pro elektronickou pečeť autorita vydá jen zástupci právnické osoby, ne podnikateli ani nepodnikající fyzické osobě.

Vedle vydavatelských autorit stojí na stejném seznamu poskytovatelé kvalifikované služby ověřování platnosti podpisů a pečetí – Software602, SEFIRA, TECHNISERV IT a Seyfor; Software602 nabízí z kvalifikovaných služeb navíc i uchování podpisů. O nový podpis se tedy žádá u autority, na posouzení cizího podpisu se naopak obracíte k ověřovací službě nebo validátoru.

Na čem budete podepisovat

Kvalifikovaný podpis vznikne jen tehdy, když podepisovací klíč drží kvalifikovaný prostředek:

• čipová karta nebo USB token – I.CA prodává čipovou kartu ve svém e-shopu, PostSignum má vlastní kvalifikované prostředky;
• eObčanka – PostSignum umožňuje vložit kvalifikovaný certifikát do eObčanky, na USB token nebo na čipovou kartu;
• mobilní podepisovací aplikace – PostSignum u svého certifikátu zmiňuje Software602 Signer pro Android a iOS, k generování žádosti nabízí iSignum pro Windows, Android i macOS;
• soubor s klíčem v počítači – podpis z takového klíče je maximálně zaručený; s kvalifikovaným certifikátem jím sice u úkonů vůči českým úřadům splníte uznávaný podpis, ale kvalifikovaný nikdy nevznikne. Klíč uložený jen na kartě nebo tokenu se navíc z prohlížeče načíst nedá.

Volba prostředku se promítne i do toho, kde všude pak můžete podepisovat: PostSignum uvádí, že žádost o vydání certifikátu lze vygenerovat i samotný certifikát používat prakticky v libovolné aplikaci a v libovolném operačním systému.

Postup krok za krokem

1. Vyberte autoritu ze seznamu DIA a typ certifikátu: osobní, pečetový, případně s identifikátorem MPSV.
2. Vygenerujte žádost aplikací, kterou autorita doporučuje – u služby PostSignum je to iSignum.
3. Prokážte totožnost: osobně na registračním pracovišti, u I.CA na dálku aplikací ZealiD, u PostSignum přes eObčanku nebo MojeID, nebo výjezdem Mobilní registrační autority, kterou nabízí Pošta.
4. Zavřete smlouvu o poskytování služeb a nechte si certifikát vydat; při dálkovém vydání vám autorita posílá certifikát e-mailem s pokyny k instalaci.
5. Nainstalujte certifikát do prostředku, vytvořte vzorový podpis a ověřte jeho výsledky – postup kontroly má návod ověření elektronického podpisu.
6. Hlídejte platnost: PostSignum posílá upozornění e-mailem 20 a 7 dní před vypršením certifikátu a navazující certifikát už lze žádat elektronicky bez nové osobní identifikace.

Elektronický podpis zdarma: co to reálně je

Protiklad placené cesty existuje, jen plní jinou roli. Bank iD uvádí podepisování PDF zaručeným elektronickým podpisem zdarma a bez registrace – výměnou je identifikace bankovní identitou a omezení na soukromoprávní oblast, jak sama služba popisuje. Ani na stránkách autorit, které jsme v této souvislosti četli, se kvalifikovaný certifikát pro fyzickou osobu bez poplatku nenabízí; I.CA u vydání na dálku počítá s úhradou za ověření. „Podpis zdarma“ u jednoduchých nástrojů bývá ve skutečnosti jen obrázek parafy, který neprokáže to, co prokazují podpisová data – srovnání úrovní má stránka co je elektronický podpis.

První pohled na to, kdo soubor podepsal, bez instalace dává i tato čtečka: jak otevřít podepsaný dokument, u datových zpráv pak ověření datové zprávy.

Vyzkoušejte si to na souboru nahoře

Rozhodnutí, jak získat elektronický podpis a v jaké kvalitě, máte za sebou – teď ho ověřte na reálném souboru. Do okna nahoře vložte ZFO, P7S, P7M nebo ASiC: stránka vyčte podepisujícího, vydavatele certifikátu i čas podpisu, protože čte přímo ve vašem zařízení a nikam data neposílá. Bezplatný účet ukáže souhrn s náhledem první strany, kompletní dokument včetně stažení je placený. O platnosti podpisu se stránka nevyslovuje – k tomu slouží ověřovací služby a validátory.