Tymczasem Rozporządzenie o warunkach technicznych podpisu elektronicznego wskazuje wprost na normy ITSEC i Common Criteria (par. 49, 1.4 i 2.2). Obowiązują one także przy wprowadzaniu do obrotu urządzeń do ochrony informacji niejawnej. Część przedsiębiorców wskazuje też na możliwość "outsourcingu", czyli wystawiania poświadczeń odbioru przez zewnętrzny podmiot, co istotnie mogłoby zmniejszyć koszty ich wystawiania w przeliczeniu na jednostkę administracji. Jednak z rozporządzenia w żaden sposób nie wynika, by było to prawnie możliwe, wprost przeciwnie, rozporządzenie posługuje się językiem wskazującym raczej na to, że poświadczenie ma wystawiać sama jednostka. Czy administracja publiczna doczeka się jednoznacznej interpretacji tego przepisu ze strony odpowiednich ministrów, zanim przed 16 sierpnia br. zacznie zamawiać urządzenia z amerykańskim certyfikatem?

Przed nowelizacją ustawy należy koniecznie rozważyć konieczność stosowania HSM we wszystkich jednostkach administracji. Ich stosowanie jest niewątpliwie uzasadnione w urzędach, w których czas otrzymania dokumentu może mieć istotne znaczenie dla konkurujących o jakieś zasoby firm, jest jednak nieuzasadnionym obciążeniem dla małych jednostek administracji, które będą otrzymywać drogą elektroniczną dwa dokumenty miesięcznie.

Dla nich powinna być dostępna tańsza opcja, np. outsourcing, którego legalność musi jednak wynikać wprost z rozporządzenia, lub podpis elektroniczny w trybie potwierdzenia autentyczności, generowany przez system informatyczny (bez udziału człowieka). W każdym wypadku niezbędne jest wprowadzenie norm ITSEC oraz Common Criteria, które obecnie nie są wymienione w rozporządzeniu - wbrew wcześniejszym przepisom i praktyce europejskiej.

Nie tylko nasz problem

Ankieta przeprowadzona przeze mnie w Austrii, Niemczech, Republice Czeskiej, Estonii i Francji pokazuje, że inne kraje Unii borykają się z podobnymi problemami. Brak jest doświadczeń oraz jednoznacznych stanowisk, by zaradzić wszystkim problemom podpisu elektronicznego, są one wystarczające, by wskazać rozwiązanie opisanych obok problemów. Proponowane rozwiązania są kompatybilne z rozwiązaniami w innych państwach członkowskich UE. Jest to tym bardziej istotne, że podpis elektroniczny z założenia ma być instrumentem ułatwiającym wymianę gospodarczą nie tylko wewnątrz Polski, ale także na rynku europejskim, zwłaszcza po otwarciu rynków usług oraz możliwym wejściu Polski do strefy euro. Kluczowe jest dążenie do ujednolicenia rozwiązań prawnych i technicznych stosowanych w Europie. Nie powinno to jednak oznaczać wyłącznie przyjmowania rozwiązań wdrożonych w innych krajach, ale także aktywną wymianę doświadczeń i promowanie rozwiązań, które sprawdziły się w Polsce. Doświadczenia Polski, w tym także negatywne, mogą być dla innych krajów bardziej wartościowe niż doświadczenia Estonii, która ma 1,4 mln obywateli. Choćby były one jak najlepsze, to skalą nie przekraczają wdrożenia e-podpisu w Małopolsce.

Odpowiednią organizacją zrzeszającą większość krajów Unii jest FESA (Forum of European Supervisory Authorities for Electronic Signatures), w której Polska jako jeden z niewielu krajów nie ma reprezentacji.