eIDAS-rendelet: mit szabályoz, és mit változtatott az eIDAS 2.0?

Mi az eIDAS-rendelet, és mit szabályoz?

Az eIDAS-rendelet az Európai Unió közös szabálya az elektronikus azonosításra és a bizalmi szolgáltatásokra. Ebből derül ki, mikor egyenértékű egy elektronikus aláírás a saját kezű aláírással, és milyen követelményeknek kell megfelelniük a bizalmi szolgáltatóknak. Hivatalos neve az Európai Parlament és a Tanács 910/2014/EU rendelete (2014. július 23.) „a belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról, valamint az 1999/93/EK irányelv hatályon kívül helyezéséről”.

Az 1. cikk szerint a rendelet szabályozza a tagállamok elektronikus azonosító eszközeinek kölcsönös elismerését és az európai digitális személyazonossági tárcát, szabályokat ad a bizalmi szolgáltatásokra, és jogi keretet teremt többek között az elektronikus aláírásnak, a bélyegzőnek, az időbélyegzőnek, az archiválásnak és az attribútumtanúsítványnak.

Uniós rendeletként „teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban”, a magyar jogba tehát nem kellett átültetni. Az 52. cikk (2) bekezdése szerint „2016. július 1-jétől kell alkalmazni”, néhány kivétellel.

Az alaki szabályokat viszont nem írja felül. A 2. cikk (3) bekezdése szerint a rendelet „nem érinti sem a szerződések megkötésére és érvényességére, sem az alaki követelményekkel kapcsolatos más jogi vagy eljárási kötelezettségekre vagy az ágazatspecifikus alaki követelményekre vonatkozó uniós vagy nemzeti jogot”. Ha egy ügyletre a magyar jog például közjegyzői okiratot ír elő, azon az eIDAS nem változtat.

Mik az eIDAS-rendelet szerinti bizalmi szolgáltatások?

A bizalmi szolgáltatás a 3. cikk 16. pontja szerint „rendszerint díjazás ellenében nyújtott” elektronikus szolgáltatás, amely az alábbi tevékenységek valamelyikéből áll. Az eIDAS 2.0 négy új szolgáltatással bővítette a listát:

Bizalmi szolgáltatást minősített és nem minősített szolgáltató is nyújthat (3. cikk 19. pont). A minősített bizalmi szolgáltató az, „amelynek minősített státusát a felügyeleti szerv jóváhagyta” (3. cikk 20. pont).

Hogy ki minősített, azt a bizalmi listából tudod meg. A 22. cikk (1) bekezdése szerint minden tagállam „bizalmi listákat állít össze, tart fenn és tesz közzé” a minősített bizalmi szolgáltatóiról, és ezekben a listákban az EU bizalmi lista böngészőjében kereshetsz.

A Netlock minősített bizalmi szolgáltató: az EU bizalmi listáján szereplő bejegyzése szerint minősített tanúsítványt ad ki elektronikus aláíráshoz, elektronikus bélyegzőhöz és weboldal-hitelesítéshez, és minősített időbélyegzést nyújt. A Nemzeti Média- és Hírközlési Hatóság (NMHH) bizalmi szolgáltatói nyilvántartásában is szerepel.

Milyen aláírási szinteket határoz meg az eIDAS-rendelet?

Az eIDAS-rendelet három aláírási szintet ismer, és minden magasabb szint teljesíti az alatta lévő követelményeit is.

Ha egy nyomtatvány vagy szerződés „az eIDAS-rendelet 3. cikk 12. pontja szerinti” aláírást kér, minősített elektronikus aláírás kell hozzá. Ha a 11. pontra hivatkozik, a minősített aláírás is megfelel, mert a 12. pont szerint az is fokozott biztonságú aláírás.

Az aláíró mindig természetes személy (3. cikk 9. pont). Ha egy szervezet nevében kell hitelesítened például egy számlát vagy egy igazolást, arra az elektronikus bélyegző való: a bélyegző létrehozója a rendelet szerint „elektronikus bélyegzőt létrehozó jogi személy” (3. cikk 24. pont). A három aláírási szint gyakorlati különbségeit a SES, az AES és a QES különbségéről szóló cikkünk mutatja be.

Mit mond az eIDAS-rendelet az aláírás joghatásáról?

Az elektronikus aláírást nem lehet figyelmen kívül hagyni csak azért, mert elektronikus, a minősített aláírás pedig a saját kezű aláírással azonos joghatású. A 25. cikk két bekezdése:

• (1) „Az elektronikus aláírás joghatása és bírósági eljárásokban bizonyítékként való elfogadhatósága nem tagadható meg kizárólag amiatt, hogy az elektronikus formátumú, illetve nem felel meg a minősített elektronikus aláírásra vonatkozó követelményeknek.”
• (2) „A minősített elektronikus aláírás a saját kezű aláírással azonos joghatású.”

A minősített aláírás az Unió minden tagállamában minősített. A 24a. cikk (1) bekezdése szerint a valamely tagállamban kibocsátott minősített tanúsítványon alapuló minősített elektronikus aláírásokat „az összes többi tagállamban el kell ismerni minősített elektronikus aláírásként”. Ez a szabály korábban a 25. cikk (3) bekezdésében volt; a 2024/1183 rendelet azt elhagyta, és az elismerést az új 24a. cikkbe tette, amely a többi minősített bizalmi szolgáltatásra is kiterjed.

A magyar jog ehhez két szabályt tesz hozzá:

• A Pp. 325. § (1) bekezdés f) pontja szerint teljes bizonyító erejű a magánokirat, ha „az elektronikus okiraton az aláíró a minősített vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírását vagy bélyegzőjét helyezte el”, és ha jogszabály előírja, időbélyegzőt is tett rá.
• A Dáptv. 101. § (1) bekezdése szerint ha egy elektronikus dokumentumot minősített elektronikus aláírással vagy bélyegzővel, vagy időbélyegzővel láttak el, és az ellenőrzés eredményéből más nem következik, „vélelmezni kell, hogy a dokumentum tartalma az aláírás vagy a bélyegző, vagy az időbélyegző elhelyezése óta nem változott”.

Hogy egy minősített aláírás érvényes-e, azt az aláírás időpontjára kell vizsgálni. A 32. cikk (1) bekezdése szerint az aláírást igazoló tanúsítványnak „az aláírás időpontjában” minősített tanúsítványnak kellett lennie, amelyet minősített bizalmi szolgáltató bocsátott ki, és amely „az aláírás időpontjában érvényes volt”. Az ellenőrzés lépéseit az elektronikus aláírás ellenőrzése oldalunk mutatja be.

Mit változtatott az eIDAS 2.0?

Az eIDAS 2.0 a 910/2014/EU rendelet módosítása, nem új rendelet. Hivatalosan az Európai Parlament és a Tanács (EU) 2024/1183 rendelete (2024. április 11.) „a 910/2014/EU rendeletnek az európai digitális személyazonossági keret létrehozása tekintetében történő módosításáról”.

A 2. cikke szerint „az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba”. A változásokat az EUR-Lexen elérhető egységes szerkezetű szöveg már tartalmazza. Az aláírási szintek meghatározását és a 25. cikk (1)–(2) bekezdését nem érintette.

Az európai digitális személyazonossági tárca

A legnagyobb újdonság az európai digitális személyazonossági tárca, röviden EUDI-tárca, amelyet a rendelet magyar szövege „európai digitális személyiadat-tárcának” nevez. A 3. cikk 42. pontja szerint olyan elektronikus azonosító eszköz, amely lehetővé teszi a felhasználó számára, hogy „személyazonosító adatokat és elektronikus attribútumtanúsítványokat biztonságosan tároljon, kezeljen és érvényesítsen”, valamint „hogy minősített elektronikus aláírások révén aláírjon”.

• Mikorra? A rendelet nem naptári dátumot ad meg: „minden tagállam legalább egy európai digitális személyiadat-tárcát nyújt az e cikk (23) bekezdésében és az 5c. cikk (6) bekezdésében említett végrehajtási jogi aktusok hatálybalépésétől számított 24 hónapon belül” (5a. cikk (1) bekezdés). Ezekre a végrehajtási jogi aktusokra a Bizottság „2024. november 21-ig” kapott határidőt (5a. cikk (23) bekezdés, 5c. cikk (6) bekezdés).
• Önkéntes és ingyenes. „Az európai digitális személyiadat-tárcák használata önkéntes.” (5a. cikk (15) bekezdés) A kibocsátásuknak, használatuknak és visszavonásuknak pedig „ingyenesnek kell lennie minden természetes személy számára” (5a. cikk (13) bekezdés).
• Aláírás a tárcával. A tárcáknak „minden természetes személy számára lehetővé kell tenniük, hogy alapértelmezés szerint és ingyenesen alkalmazhassák a minősített elektronikus aláírást” (5a. cikk (5) bekezdés g) pont). A tagállamok ezt az ingyenes használatot „a nem szakmai célú felhasználásra” korlátozhatják.
• Ki köteles elfogadni? A közigazgatási szervek, ha online szolgáltatásukhoz elektronikus azonosítást írnak elő (5f. cikk (1) bekezdés).
• Magánszolgáltatók is. Azok, amelyeknek jogszabály vagy szerződés erős felhasználóhitelesítést ír elő az online azonosításhoz, például a közlekedés, az energia, a banki és pénzügyi szolgáltatások, az egészségügy vagy a távközlés területén. Nekik „legkésőbb az 5a. cikk (23) bekezdésében és az 5c. cikk (6) bekezdésében említett végrehajtási jogi aktusok hatálybalépésétől számított 36 hónappal és kizárólag a felhasználó önkéntes kérésére” kell elfogadniuk a tárcát. A mikro- és kisvállalkozásokra ez nem vonatkozik (5f. cikk (2) bekezdés).

Új bizalmi szolgáltatások: attribútumtanúsítvány, archiválás, főkönyv

• Elektronikus attribútumtanúsítvány: „olyan, elektronikus formátumú igazolás, amely lehetővé teszi az attribútumok hitelesítését” (3. cikk 44. pont). Attribútum a rendelet szerint valamely természetes vagy jogi személy, vagy tárgy „jellemzője, sajátossága, joga vagy engedélye” (3. cikk 43. pont).
• Elektronikus archiválás: az elektronikus archiválás a 3. cikk 48. pontja szerint olyan szolgáltatás, amely az elektronikus adatok és dokumentumok fogadását, tárolását, visszakeresését és törlését biztosítja, hogy a megőrzés alatt „garantálja azok tartósságát és olvashatóságát, valamint megőrizze azok sértetlenségét, bizalmasságát és eredetének bizonyítékát”. Minősített archiválásnál „a minősített bizalmi szolgáltató általi megőrzés időszaka alatt vélelmezni kell az adatok sértetlenségét és megfelelő eredetét” (45i. cikk (2) bekezdés).
• Elektronikus főkönyv: „elektronikus adatrekordok sorozata, amely biztosítja ezen adatrekordok integritását és ezen adatrekordok időrendi sorrendjének pontosságát” (3. cikk 52. pont). A minősített főkönyv adatrekordjainál „vélelmezni kell azok egyedi és pontos szekvenciális időrendi sorrendjét és sértetlenségét” (45k. cikk (2) bekezdés).

A minősített attribútumtanúsítvány joghatása a papíralapú tanúsítványéval azonos. A 45b. cikk (2) bekezdése szerint: „A minősített elektronikus attribútumtanúsítványoknak és a hiteles forrásért felelős közigazgatási szerv által vagy nevében kibocsátott attribútumtanúsítványoknak ugyanolyan joghatással kell bírniuk, mint a jogszerűen kibocsátott papíralapú tanúsítványoknak.”

A VI. melléklet szerint a tagállamoknak azt is lehetővé kell tenniük, hogy a minősített szolgáltatók a felhasználó kérésére a közszféra hiteles forrásaiból ellenőrizzék például a végzettség, a szakmai képesítés és a „természetes vagy jogi személyek képviseletére vonatkozó meghatalmazások és megbízások” hitelességét.

Távoli aláírás, azonosítás és weboldal-hitelesítés

• Távoli aláírás-létrehozó eszköz. A rendelet új fogalma a „távoli minősített elektronikus aláírást létrehozó eszköz”: olyan minősített eszköz, amelyet minősített bizalmi szolgáltató kezel „az aláíró nevében” (3. cikk 23a. pont). Ilyenkor nem neked kell kezelned az aláírás-létrehozó eszközt, hanem a szolgáltató kezeli a nevedben.
• A kezelés is bizalmi szolgáltatás. Az ilyen eszközök kezelése önálló bizalmi szolgáltatás (3. cikk 16. pont f) alpont), minősített szolgáltatásként pedig csak a 29a. cikk követelményeinek megfelelő minősített bizalmi szolgáltató végezheti. A más tagállamban nyújtott minősített kezelési szolgáltatást minden tagállamban el kell ismerni (24a. cikk (3) bekezdés).
• Azonosítás a minősített tanúsítványhoz. A 24. cikk (1a) bekezdése szerint a szolgáltató az EUDI-tárcával, „magas” biztonsági szintű bejelentett elektronikus azonosító eszközzel, meglévő minősített tanúsítvánnyal, megfelelőségértékelő szervezet által igazolt, magas megbízhatóságú egyéb módszerrel vagy személyes jelenléttel ellenőrizheti a személyazonosságot. Hogy a távoli azonosítás a gyakorlatban hogyan működik, azt a videós azonosításról szóló cikkünk mutatja be.
• Weboldal-hitelesítés. A 45. cikk (1a) bekezdése szerint a minősített weboldal-hitelesítő tanúsítványokat „a webböngésző-szolgáltatóknak el kell ismerniük”.

Milyen jogszabály szabályozza az elektronikus aláírást Magyarországon?

Magyarországon az elektronikus aláírásra közvetlenül az eIDAS-rendelet vonatkozik, a végrehajtásához szükséges szabályokat pedig a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény, a Dáptv. adja. A Dáptv. 122. § (1) bekezdése szerint a törvény a 910/2014/EU rendelet és az azt módosító (EU) 2024/1183 rendelet „végrehajtásához szükséges rendelkezéseket állapít meg”.

Három szabályt érdemes ismerned a Dáptv.-ből:

• Az egyszerű aláírás fogalma. A 8. § 15. pontja szerint egyszerű elektronikus aláírás az eIDAS-rendelet „3. cikk 10. pontjában meghatározott olyan aláírás, amely nem felel meg az eIDAS Rendelet 3. cikk 11. és 12. pontjában meghatározott követelményeknek”.
• Családi és öröklési ügyek. A 103. § (1) bekezdése szerint „A családi jogi és öröklési jogi jogviszonyokban nem lehet – az elektronikus formán kívüli dokumentumokat mellőzve – csak elektronikus aláírást vagy bélyegzőt felhasználni, és elektronikus aláírással vagy bélyegzővel ellátott elektronikus dokumentumot készíteni.” Ezekben az ügyekben tehát az elektronikus aláírás önmagában nem elég.
• Ahol aláírás szerepel, bélyegzőt is érteni kell. A 103. § (2) bekezdése szerint ahol jogszabály elektronikus aláírást említ, ott „kifejezett eltérő rendelkezés hiányában elektronikus bélyegzőt […] is érteni kell”.

Ha egy régi szerződésben vagy útmutatóban az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvényre (Eüsztv.) hivatkoznak: a Nemzeti Jogszabálytár szerint „a 2023. évi CIII. törvény 121. §-a hatályon kívül helyezte 2024. szeptember 1. napjával”. Ma a Dáptv. az irányadó.

Ki felügyeli a bizalmi szolgáltatókat Magyarországon?

A Nemzeti Média- és Hírközlési Hatóság (NMHH). A Dáptv. 95. § (1) bekezdése így szól: „A bizalmi szolgáltatások eIDAS Rendelet 46b. cikk (1) bekezdése szerinti felügyeletét ellátó hatóság a Nemzeti Média- és Hírközlési Hatóság.” A (2) bekezdés szerint a bizalmi lista közzétételéről is a bizalmi felügyelet gondoskodik. A minősített szolgáltatóknál a felügyelet „évente legalább egyszer átfogó helyszíni ellenőrzést tart” (99. § (2) bekezdés).

A tárcáról is rendelkezik a Dáptv. A hazai tárcát a Kormány „a rendeletében kijelölt szolgáltató útján biztosítja” (112/F. § (1) bekezdés), a tárcákra vonatkozó keret felügyelete pedig szintén az NMHH feladata (112/G. § (1) bekezdés).

Mit jelent az eIDAS és az eIDAS 2.0 a magyar cégeknek?

A magyar cégeknek a tárca megjelenése előtt is van teendőjük. A legfontosabb tudnivalók:

1. Elektronikus ügyintézés. A Dáptv. 19. § (1) bekezdése szerint a felhasználóként eljáró gazdálkodó szervezet „elektronikus ügyintézésre köteles” a digitális szolgáltatás nyújtására köteles szervek digitális szolgáltatásai tekintetében. A Magyar Kereskedelmi és Iparkamara felhívása szerint „minden gazdálkodó szervezet képviselőjének minősített elektronikus aláírással kell rendelkeznie az elektronikus ügyintézéshez és nyilatkozattételhez”.
2. A DÁP-os aláírás erre nem jó. A Dáptv. 54. § (7) bekezdése szerint „A felhasználó az eAláírást magánszemélyként használja.” A részleteket a DÁP-os aláírásról szóló cikkünk írja le.
3. Szerződés külföldi partnerrel. A 24a. cikk (1) bekezdése miatt a Magyarországon kibocsátott minősített tanúsítványon alapuló minősített aláírás például Ausztriában vagy Németországban is minősített aláírásnak számít. A szerződésre vonatkozó alaki szabályokat ettől még ellenőrizned kell (2. cikk (3) bekezdés).
4. Ha a szolgáltatásodhoz erős felhasználóhitelesítés kell. Ha jogszabály vagy szerződés erős felhasználóhitelesítést ír elő az online azonosításhoz, például banki, energetikai vagy távközlési szolgáltatásnál, az ügyfél kérésére a tárcát is el kell fogadnod (5f. cikk (2) bekezdés). Ehhez a cégednek a letelepedési helye szerinti tagállamban „nyilvántartásba kell vetetnie magát”, és nem kérhet több adatot, mint amennyit ott megjelölt (5b. cikk (1) és (3) bekezdés). Mikro- és kisvállalkozásként ez nem kötelező.

A Netlock tanúsítványával a cég nevében is aláírhatsz, és egy közös céges fiókban több aláírót is kezelhetsz, közös kreditekkel. A céges használatra szóló ajánlatunkat az elektronikus aláírás cégeknek oldal mutatja be.

Minősített aláírást ma is kaphatsz, a tárcától függetlenül. A Netlocknál a regisztrációtól kb. 3 perc alatt minősített elektronikus aláírásod lesz, és minden aláírásodra minősített időbélyeg kerül.

Az azonosítás automatikus, szükség esetén munkatársunk ellenőrzi, és percek alatt kész: videós azonosítással bármilyen kamerás eszközön, külön alkalmazás nélkül, vagy chipes személyi igazolvánnyal a Netlock mobilalkalmazásában, még gyorsabban. Bármelyik EU-tagállam személyi igazolványát és útlevelét elfogadjuk, az Egyesült Államokból útlevelet vagy vezetői engedélyt, Magyarországon pedig DÁP-ot is. Minden aláírást kétlépcsős megerősítéssel (MFA) hagysz jóvá. Az EUDI-tárcák támogatását is tervezzük.

A regisztráció és a tanúsítvány ingyenes, és 15 ingyenes aláírást kapsz. Utána csak a használatért fizetsz: kreditet veszel, és egy aláírás 1 kredit. Az aktuális árakat a csomagok és árak oldalon találod.

GYIK