eidas elektronická identita, elektronický podpis - příprava, dopad do praxe

Transkript

1 eidas elektronická identita, elektronický podpis - příprava, dopad do praxe Praha Mgr. Jan Schwaller Hlavní město Praha, Magistrát hlavního města Prahy, Archiv hlavního města Prahy, Oddělení fondů městských podniků, institucí a fyzických osob , jan.schwaller@praha.eu Novinky léta Veřejné zakázky a související změny 1

2 Osnova přednášky EIDAS o čem to je? Odraz v ČR Metodická doporučení Novinky léta Veřejné zakázky a související změny 2

3 Legislativní rámec Dne 28.srpna 2014 vyšlo v Ústředním věstníku EU nové Nařízení parlamentu a Rady o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES (dále eidas) NAŘÍZENÍ EIDAS EU/910/2014 Regulation of the European Parliament and of the Council on electronic identification and trust services for electronic transactions in the internal market Novinky léta Veřejné zakázky a související změny 3

4 Poslanecká sněmovna program 47. schůze dne Vládní návrh zákona o službách vytvářejících důvěru pro elektronické transakce /sněmovní tisk 763/ - třetí čtení 171. Vládní návrh zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o službách vytvářejících důvěru pro elektronické transakce, zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů, a zákon č. 121/2000 Sb., o právu autorském, o právech souvisejících s právem autorským a o změně některých zákonů (autorský zákon), ve znění pozdějších předpisů /sněmovní tisk 764/ - třetí čtení Novinky léta Veřejné zakázky a související změny 4

5 Prováděcí akty I. 1. Prováděcí rozhodnutí Komise (EU) 2015/296 ze dne 24. února 2015, kterým se stanoví procesní opatření pro spolupráci mezi členskými státy v oblasti elektronické identifikace podle čl. 12 odst. 7 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu 2. Prováděcí nařízení Komise (EU) 2015/806 ze dne 22. května 2015, kterým se stanoví specifikace týkající se podoby značky důvěry EU pro kvalifikované služby vytvářející důvěru 3. Prováděcí rozhodnutí Komise (EU) 2015/1506 ze dne 8. září 2015, kterým se stanoví specifikace pro formáty zaručených elektronických podpisů a zaručených pečetí uznávaných subjekty veřejného sektoru podle čl. 27 odst. 5 a čl. 37 odst. 5 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu 4. Prováděcí rozhodnutí Komise (EU) 2015/1505 ze dne 8. září 2015, kterým se stanoví technické specifikace a formáty důvěryhodných seznamů podle čl. 22 odst. 5 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu Novinky léta Veřejné zakázky a související změny 5

6 Prováděcí akty II. 5. Prováděcí nařízení Komise (EU) 2015/1502 ze dne 8. září 2015, kterým se stanoví minimální technické specifikace a postupy pro úrovně záruky prostředků pro elektronickou identifikaci podle čl. 8 odst. 3 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu 6. Prováděcí nařízení Komise (EU) 2015/1501 ze dne 8. září 2015 o rámci interoperability podle čl. 12 odst. 8 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu 7. Prováděcí rozhodnutí Komise (EU) 2015/1984 ze dne 3. listopadu 2015, kterým se stanoví okolnosti, formáty a postupy pro oznamování podle čl. 9 odst. 5 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu (oznámeno pod číslem C(2015) 7369) 8. Prováděcí rozhodnutí Komise (EU) 2016/650 ze dne 25. dubna 2016, kterým se stanoví normy pro posuzování bezpečnosti kvalifikovaných prostředků pro vytváření elektronických podpisů a pečetí podle čl. 30 odst. 3 a čl. 39 odst. 2 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu bylo zveřejněno v Úředním věstníku EU dne 26. dubna 2016 a vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Novinky léta Veřejné zakázky a související změny 6

7 Proč eidas? Novinky léta Veřejné zakázky a související změny 7

8 Oficiální stanovisko I: Pocit právní nejistoty při provádění transakcí elektronickými prostředky Snaha zvýšit důvěryhodnost elektronických transakcí poskytnutím společného základu pro bezpečnou elektronickou komunikaci Směrnice 1999/93/ES neposkytovala ucelený rámec pro bezpečné důvěryhodné a snadno použitelné elektronické transakce v přeshraničního styku Roztříštěnost digitálního trhu Snaha o prosazení plně integrovaného jednotného digitálního trhu využíváním on-line služeb se zvláštním zřetelem na bezpečné elektronické identifikace a autentizace Členské státy musí vytvořit jednotná kontaktní místa s cílem zajistit, aby veškeré postupy a formality byly splněny na dálku prostřednictvím elektronické identifikace, autentizace a podpisu Novinky léta Veřejné zakázky a související změny 8

9 Oficiální stanovisko II: Mělo by být možné použít (u služeb vytvářejících důvěru) ve všech členských státech jako důkaz v soudním i správním řízení Toho by se mělo dosáhnout jakýmikoli technickými prostředky, jsou-li splněny požadavky tohoto nařízení. Zavést pojmy kvalifikované služby vytvářející důvěru a kvalifikovaný poskytovatel služeb vytvářejících důvěru. Stanovení odpovědnosti poskytovatele služeb vytvářejících důvěru. Zajištění požadavků na akreditaci subjektů. Zásada, podle které by elektronickému podpisu neměly být upírány právní účinky na základě skutečnosti, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikovaný elektronický podpis. Právní účinky elektronických podpisů v členských státech by však měly být vymezeny vnitrostátním právem, s výjimkou požadavků stanovených v tomto nařízení, podle něhož by měl mít kvalifikovaný elektronický podpis rovnocenný právní účinek jako podpis vlastnoruční Novinky léta Veřejné zakázky a související změny 9

10 Mimo oficiality I: Roztříštěnost v rámci EU, ale i jednotlivých členských zemí i u nás Ponecháno na uživatelích, aby správně používali ty nástroje pro práci s elektronickými podpisy, které si sami a svobodně vyberou ale za cenu toho, že pak také sami odpovídají za jejich správnou činnost, správné nastavení, i za správnou interpretaci jejich výsledků Dnes už samotné elektronické podpisy rozhodně nestačí pro všechno to, co bychom chtěli dělat elektronickou cestou. Zapotřebí je řada dalších věcí, které umožní dosáhnout v celém online světě dostatečné důvěry ve všechno to, na co se potřebujeme spoléhat Dnes už nejde zdaleka jen o elektronické dokumenty, které opatřujeme elektronickými podpisy, případně značkami a také časovými razítky, abychom se mohli spoléhat na jejich neměnnost (integritu), ale také na jejich původ a pravost (autenticitu). Jde například také o to, abychom jako zákazníci (resp. občané) věděli, kdo je naší skutečnou protistranou při nějakém online jednání, a mohli se na to spoléhat Novinky léta Veřejné zakázky a související změny 10

11 Mimo oficiality II: A stejně tak druhá strana, ať již je to nějaký komerční poskytovatel, nebo orgán veřejné moci: i on potřebuje vědět, kdo s ním chce komunikovat (potřebuje identifikovat svého klienta), a mít jistotu, že je skutečně tím, za koho se vydává (klient se musí tzv. autentizovat). Teprve pak ho může protistrana někam pustit, nechat ho něco udělat, dát mu nějaká oprávnění atd. (tj. autorizovat ho k určitým činnostem či úkonům, obecně provést jeho autorizaci) Privátní sektor se s takovýmito úkoly vyrovnává snáze, protože má větší volnost ve svých smluvních vztazích oproti státu. Ale i tak je nepříjemné, když si každý privátní subjekt vše řeší po svém, a tedy jinak než ostatní. Veřejný sektor to má složitější, ale na druhou stranu mu lze snáze nařídit jednotné řešení cestou zákona. A nemusí to být jen národní zákon To je i případ popisovaného nařízení eidas, které je povinné pro veřejný sektor Celý eidas je přitom zaměřen hlavně na tzv. přeshraniční styk. Tj. ukládá striktní povinnosti tam, kde dochází k přesahu mezi jednotlivými členskými zeměmi Novinky léta Veřejné zakázky a související změny 11

12 Nařízení se dotkne zejména následujících oblastí: důvěryhodná elektronická identita fyzické osoby; důvěryhodný podpis zaručující integritu a vazbu na identitu fyzické osoby; důvěryhodná značka zajišťující integritu a vazbu na právnickou osobu; důvěryhodné časové razítko zajišťující integritu a vazbu na čas; důvěryhodná služba registrovaného elektronického doručování zajišťující integritu a vazbu na odesílatele, adresáta a čas odeslání a doručení; důvěryhodný dokument se zaručenou integritou; důvěryhodnost webových stránek s vazbou na provozovatele Novinky léta Veřejné zakázky a související změny 12

13 TECHNICKÝ PROBLÉMY E-GOVERNMENTU PRÁVNÍ Novinky léta Veřejné zakázky a související změny 13

14 Důvěryhodná elektronická identita fyzické osoby obecně definována v čl nařízení EU/910/2014 lze jít rozumět jednorázovou autentizaci osoby spojenou s prokázáním totožnosti osoby (uživatele) na počátku počítačového sezení nebo před provedením důležité operace identifikace je důležitá zejména k tomu, pokud chcete poskytovat služby pouze některým osobám od příštího roku bude každý OP vybaven elektronickým čipem, který bude obsahovat tzv. identifikační certifikát, který bude sloužit jako klíč k elektronickým službám státu. dále si bude možné zdarma zažádat o podpisový certifikát jednání se státem nová e-op bude obsahovat kvalifikovaný elektronický podpis založený na kvalifikovaném certifikátu Novinky léta Veřejné zakázky a související změny 14

15 Důvěryhodná elektronická identita fyzické osoby Novinky léta Veřejné zakázky a související změny 15

16 Úrovně záruky Novinky léta Veřejné zakázky a související změny 16

17 Shrnutí Novinky léta Veřejné zakázky a související změny 17

18 Služby vytvářející důvěru Novinky léta Veřejné zakázky a související změny 18

19 Kvalifikované služby vytvářející důvěru (čl EU/910/2014) jde o takové služby, které slouží k vytváření důvěry v něco jiného: například v dokumenty, v místa v online světě, v datování nějaké události atd. služby pro vytváření a ověřování elektronických podpisů, pečetí, časových razítek, obálek (zpráv) a míst (web sites) bývá od TSP poskytován jako vedlejší služba a slouží pro autentizaci a identifikaci webového serveru jako samočinně běžící technické entity, spravované určitou osobou, jejíž totožnost je certifikátu uvedena certifikát se vydává pouze na jeden webový server, na jeden website certifikát autentizuje webový server a nikoli jednotlivé internetové stránky služby pro udržování podpisů, pečetí a razítek důvěryhodnost by se neměla odvozovat od toho, zda někdy prošel nějakým archivem, spisovou službou či třeba datovými schránkami, a jak se s ním přitom nakládalo. Měla by se odvozovat pouze od toho, co o sobě dokument říká sám. Především svým podpisem, pečetí a časovými razítky používání formátů tzv. dlouhodobě ověřitelných elektronických podpisů (LTV, Long Term Validation) a o pravidelné přerazítkovávání, které dokáže kontrovat možnosti vypočítat kolizní dokument v únosně krátkém čase. otázka, nebo problém? tzv. digitální kontinuita (viz 69a, odst. 5, AZ) požadavky na kvalifikované služby vytvářející důvěru (článek 24) Důvěryhodné seznamy článek Novinky léta Veřejné zakázky a související změny 19

20 Elektronické podpisy (čl EU/910/2014) eidas definuje 3 úrovně elektronického podpisu: a) zaručený el. podpis b) zaručený el. podpis založený na kvalifikovaném certifikátu (současný uznávaný el. podpis) c) kvalifikovaný el. podpis Elektronickému podpisu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické podpisy. Kvalifikovaný elektronický podpis má právní účinek rovnocenný vlastnoručnímu podpisu Kvalifikovaný elektronický podpis založený na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaný elektronický podpis ve všech ostatních členských státech. přechodné období - po dobu 2 let bude možné používat zaručený el. podpis založený na kvalifikovaném certifikátu (současný stav) Novinky léta Veřejné zakázky a související změny 20

21 Elektronická pečeť (čl EU/910/2014) Novinky léta Veřejné zakázky a související změny 21

22 Elektronická časová razítka (čl EU/910/2014) kvalifikovaného elektronického časového razítka platí domněnka správnosti data a času, které udává, a integrity dat, s nimiž jsou toto datum a tento čas spojeny Zachovává stejné principy jako v současnosti Účel časového razítka je především v určení existence dat v čase a v integritě dat Novinky léta Veřejné zakázky a související změny 22

23 Služba elektronického (kvalifikovaného) doporučeného doručování (čl EU/910/2014) Postavení ISDS - aspiruje být kvalifikovanou službou doporučeného doručování (ale eidas nám žádnou nenařizuje) ISDS je v souladu s eidas po technické stránce a) integrita dat zaručený elektronický podpis b) správnost data a času kvalifikované časové razítko c) poskytuje důkaz týkající se nakládání s přenášenými daty ALE Datová zpráva nemůže suplovat projev vůle - to dokáže pouze el. podpis nebo pečeť Novinky léta Veřejné zakázky a související změny 23

24 Co s tím? Novinky léta Veřejné zakázky a související změny 24

25 Co s tím? Novinky léta Veřejné zakázky a související změny 25

26 Výsledek?! Budeme nuceni otevřít datové schránky komunikace mimo legislativní a technický rámec ČR Otevře se trh kvalifikovaných certifikátů Dojde ke změně politik certifikačních autorit včetně např. k prodloužení platnosti kvalifikovaného i uznávaného certifikátu Veřejná správa se naučí správně pracovat se serverovými certifikáty Naučíme se pracovat s LTV podpisy a vytvářet dlouhodobě důvěryhodné elektronické dokumenty Implementuje evropskou letitou dobrou praxi v oblasti využití elektronické identity Stěžejní technologické prvky národního e-governmentu nebudou již výhradní doménou státu Novinky léta Veřejné zakázky a související změny 26

27 Zdroje eidas legislativa 28-srpna-2014-zverejneno-v-urednim-vestniku-eu.aspx eidas obecně a na všechny způsoby: Novinky léta Veřejné zakázky a související změny 27

28 Zdroje eidas stránky MV ČR Informační materiál s předpokládanými dopady nařízení eidas a návrhu zákona o službách vytvářejících důvěru pro elektronické transakce na veřejnou správu ( Metodický návod pro ověřování platnosti uznávaných elektronických podpisů a elektronických pečetí ( Informace k formátům zaručených elektronických podpisů a zaručených elektronických pečetí pro subjekty veřejného sektoru ( Přijaté prováděcí akty k nařízení eidas ( Novinky léta Veřejné zakázky a související změny 28

29 Děkuji za pozornost Novinky léta Veřejné zakázky a související změny 29