Čl. 42 eIDAS: jak ověřit, že je časové razítko opravdu kvalifikované

Stručná odpověď

Časové razítko je kvalifikované jen tehdy, když splňuje požadavky čl. 42 nařízení eIDAS a vydal ho poskytovatel služeb vytvářejících důvěru, který má pro časová razítka kvalifikovaný status. Teprve pak se na něj vztahuje domněnka podle čl. 41 odst. 2: přesnost data a času, které uvádí, a integrita dat, k nimž je datum a čas připojen.

PDF, ve kterém stojí „kvalifikované časové razítko“, samo nic nedokazuje. Rozhoduje samotný token časového razítka, status poskytovatele na důvěryhodném seznamu EU v okamžiku vydání a podpis, který lze stále ověřit. Všechny tři věci může zkontrolovat soud, znalec i protistrana, aniž by musel věřit dodavateli, který důkaz vytvořil.

Co požaduje čl. 42 odst. 1

Čl. 42 odst. 1 vyjmenovává požadavky, které musí kvalifikované elektronické časové razítko splnit. Spolu s definicí v čl. 3 bodě 34 z nich plynou čtyři podmínky:

• Propojení: připojuje datum a čas k datům tak, aby se rozumně vyloučila možnost nezjistitelné změny dat.
• Zdroj času: vychází z přesného zdroje času napojeného na koordinovaný světový čas (UTC).
• Podpis: je podepsáno zaručeným elektronickým podpisem nebo zapečetěno zaručenou elektronickou pečetí kvalifikovaného poskytovatele, případně rovnocennou metodou.
• Vydavatel: vydává ho kvalifikovaný poskytovatel služeb vytvářejících důvěru, kterému byl pro tuto službu udělen kvalifikovaný status.

Razítko, které některou podmínku nesplní, není bezcenné. Podle čl. 41 odst. 1 mu nelze upřít právní účinky jen proto, že je elektronické nebo není kvalifikované, soud ho ale hodnotí volně, bez domněnky. Ten rozdíl je podstatný ve chvíli, kdy se vede spor o datum webové stránky, smlouvy nebo příspěvku.

Co změnil eIDAS 2: čl. 42 odst. 1a a nařízení 2025/1929

Nařízení (EU) 2024/1183, známé jako eIDAS 2, změnilo čl. 42. Doplnilo domněnku souladu (čl. 42 odst. 1a): pokud služba vydávání časových razítek splňuje referenční normy stanovené Komisí, má se za to, že požadavky čl. 42 odst. 1 jsou splněny. Čl. 42 odst. 2 ukládá Komisi stanovit tyto normy prováděcími akty.

Komise tak učinila prováděcím nařízením (EU) 2025/1929 ze dne 29. září 2025, účinným od 20. října 2025. Z jeho odůvodnění plyne, že domněnka míří na orgány dohledu: poskytovatele, který dodržuje uvedené normy, mají při udělení nebo potvrzení kvalifikovaného statusu považovat za vyhovujícího. Pro každého, kdo na časová razítka spoléhá, to v praxi znamená jeden zveřejněný technický standard toho, co musí kvalifikovaná služba splňovat.

Technické normy za kvalifikovaným razítkem

Příloha prováděcího nařízení 2025/1929 vychází z dokumentů, na které narazíte v politikách poskytovatelů i ve zprávách o ověření:

• ETSI EN 319 421 V1.3.1: požadavky na politiku a bezpečnost poskytovatelů, kteří vydávají časová razítka, včetně ochrany podpisových klíčů, přesnosti hodin a pravidelného bezpečnostního testování.
• ETSI EN 319 422 V1.1.1: protokol a profil tokenu časového razítka. Token prohlášený za kvalifikované elektronické časové razítko musí obsahovat rozšíření qcStatements s prohlášením esi4-qtstStatement-1.
• RFC 3161: internetový protokol pro časová razítka, ze kterého formát tokenu vychází.

Jak razítko ověřit sami: šest kroků

Nemusíte být kryptograf. Tyto kontroly zaberou pár minut s bezplatnými nástroji a se samotným balíčkem důkazů:

• Získejte token. Vyžádejte si token časového razítka podle RFC 3161 (často soubor .tsr nebo .tst) a přesná data nebo hash, které pokrývá, ne jen zprávu, která se o něm zmiňuje.
• Přečtěte ho. Bezplatné nástroje jako OpenSSL (openssl ts -reply -text) ukážou jednotku, která razítko vydala, čas, politiku a hash orazítkovaných dat.
• Porovnejte hash. Spočítejte SHA-256 důkazu, nebo manifestu, který token váže, a porovnejte ho s hashem uvnitř tokenu. Jediný změněný bajt shodu rozbije.
• Ověřte poskytovatele na důvěryhodném seznamu EU. Najděte poskytovatele a ověřte kvalifikovanou službu časových razítek (typ služby QTST) se statusem granted v čase uvedeném v tokenu.
• Ověřte řetězec podpisu. Podpisový certifikát tokenu musí vést k certifikátu, který důvěryhodný seznam pro danou kvalifikovanou službu eviduje.
• Hledejte kvalifikované prohlášení. Podle EN 319 422 nese token prohlášený za kvalifikovaný esi4-qtstStatement-1; pokud chybí, ptejte se dřív, než se na domněnku spolehnete.

Varovné signály: když razítko není tím, za co se vydává

• Dostanete jen PDF nebo screenshot, který razítko zmiňuje, ale žádný token, který by šel ověřit.
• Poskytovatel na důvěryhodném seznamu EU není, nebo jeho služba časových razítek neměla v rozhodném dni status granted.
• Čas pochází z vlastních serverových hodin dodavatele nebo jen z blockchainu. Ukotvení v blockchainu může být užitečný doplňkový důkaz, kvalifikované elektronické časové razítko to ale není.
• Ověření funguje jen na webu dodavatele a offline ho provést nejde.
• Hash v tokenu neodpovídá žádnému souboru v balíčku, nebo vám nikdo neumí říct, co přesně bylo orazítkováno.

Co kvalifikované razítko nedokazuje

Čl. 41 odst. 2 zakládá domněnku dvou věcí: že datum a čas jsou přesné a že se orazítkovaná data od té doby nezměnila. Neříká, že obsah je pravdivý, kdo ho vytvořil, ani že záznam webu ukazuje vše, co viděl návštěvník. To jsou otázky způsobu zajištění důkazu, a proto dál záleží na metodě záznamu, její dokumentaci a řetězci úschovy.

V praxi kvalifikované razítko uzavře jednu linii útoku, totiž že důkaz mohl být později změněn, a spor se přesune k samotnému obsahu. Přesně tam chcete, aby se spor o důkaz z internetu vedl.

Kde pomůže GetProofAnchor

Ve všech placených tarifech GetProofAnchor je každý důkaz pomocí SHA-256 svázán s kvalifikovaným elektronickým časovým razítkem (RFC 3161) od SK ID Solutions, kvalifikovaného poskytovatele služeb vytvářejících důvěru v EU. Šest výše uvedených kontrol si můžete udělat přímo na našich balíčcích důkazů:

• Webová aplikace: zachyťte stránku podle URL nebo z prohlížeče a získáte Evidence ZIP s tokenem časového razítka, snímkem důvěryhodného seznamu EU a SHA-256 manifestem všech souborů. Od 9 € bez DPH za 3 důkazy (10,89 € s 21 % DPH), měsíční tarify od 19 € bez DPH.
• Forensic Browser: aplikace pro Windows na vícestránkové a přihlášené relace, která umí vytvořit PDF s vloženým kvalifikovaným razítkem (PAdES), jež se ověří v Adobe Acrobat Reader. Roční licence od 290 € bez DPH.
• Assisted Capture: URL zachytíme za vás, od 49 € bez DPH za URL do 90 minut, v tarifu Rush do 60 minut.

Open-source nástroj gpa-verify ověří naše balíčky offline včetně řetězce časového razítka, takže soud ani protistrana nemusí věřit našemu slovu.

Časté otázky

Zdroje

• Nařízení (EU) č. 910/2014 (eIDAS), články 3, 41 a 42
• Nařízení (EU) 2024/1183, kterým se mění eIDAS (eIDAS 2)
• Prováděcí nařízení Komise (EU) 2025/1929 o kvalifikovaných elektronických časových razítkách
• Prohlížeč důvěryhodných seznamů EU (Evropská komise)
• RFC 3161: Internet X.509 PKI Time-Stamp Protocol (TSP)