Stanąłem kiedyś przed zadaniem podpisania (z wykorzystaniem bezpiecznego podpisu elektronicznego w formacie XAdES) prostego pliku XML. Wyglądał mniej-więcej tak:

<?xml version="1.0" encoding="UTF-8"?>
<?xml-stylesheet type="text/xsl" href="https://www.klimek.ws/test/test.xsl"?>
<dokument>
<aaa>fdgsdfgs</aaa>
</dokument>


Zadanie na pierwszy rzut oka wydaje się banalne. Wystarczy bowiem wykorzystać jedną z dostępnych powszechnie bibliotek, służących do obsługi tego formatu podpisu, zbudować odpowiednią strukturę podpisu i wydać polecenie "Podpisz".

Po wykonaniu prostego podpisu, dumny z (pozornie) szybkiego załatwienia sprawy, spojrzałem do wymagań polskiej ustawy o podpisie elektronicznym i wydanych do niej rozporządzeń. Znalazłem tam między innymi zapis: Bezpieczne urządzenia do składania podpisów elektronicznych zapewniają możliwość prezentacji przeznaczonych do podpisania danych... Podobne zapisy pojawiają się też w kontekście weryfikacji podpisu.

Dziś wchodzą w życie przepisy ustawy o podpisie elektronicznym, które obligują podmioty publiczne do przyjmowania podpisanych dokumentów elektronicznych. Ciekawą analizę aktualnej sytuacji w tej branży opublikowała firma MadKom.

Ponadto także od dziś należy ogłaszać akty normatywne i inne akty prawne w formie dokumentów elektronicznych. Temat poruszony został w serwisie prawo.vagla.pl.

Jak widać z powyższych notatek, sytuacja w zakresie podpisu elektronicznego jest nieciekawa, a przesunięcie pierwotnego terminu o 2 lata nie wystarczyło ani na dopracowanie regulacji prawnych, ani na wdrożenie niezbędnych rozwiązań technicznych. Powstało wprawdzie kilka komercyjnych rozwiązań elektronicznej skrzynki podawczej, udało się też uruchomić fragment systemu e-PUAP, ale nie wiadomo, czy i w jakim zakresie przekłada się to na faktyczną gotowość polskiej e-administracji.

Gdy piszę o certyfikacie kwalifikowanym (a więc i o podpisie, który składam z jego użyciem), nie mam na myśli konkretnej "implementacji" e-podpisu. Dla mnie taki certyfikat to po prostu elektroniczna tożsamość w Sieci - nieważne, w jaki sposób zapewniona. Obecnie funkcjonuje komercyjna struktura centrów certyfikacji, zarządzających taką tożsamością w postaci certyfikatów kwalifikowanych. Nie widzę jednak powodów, by nie zastąpić tego czymś innym - choćby systemami typu Single Sign On, jak OpenID. Ważne jest, by operator takiej usługi dawał gwarancję, że "ja to ja" i że nie wyprę się później moich działań. Istotne też jest, by wszyscy operatorzy działający na polskim (a w przypadku idealnym nawet europejskim/światowym) rynku byli ze sobą kompatybilni. I pierwszy, i drugi warunek jest spełniany przez certyfikaty kwalifikowane - nieużywalność ich nie wynika bowiem z samej koncepcji certyfikatów, ale z obostrzeń dotyczących ich stosowania, czyli tak zwanych bezpiecznych urządzeń.

Istnieją wątpliwości, z jakiego formatu podpisu powinna korzystać skrzynka podawcza (rozumiana jako oprogramowanie służące zarówno do odbierania dokumentów elektronicznych przychodzących do urzędu, jak przez ten urząd wysyłanych). Polskie ustawodawstwo rozróżnia tutaj przypadki opisane poniżej.

Dokumenty wysyłane do urzędu