Kérdések és válaszok a DÁP eAláírásról – 2. rész
Továbbra is rengeteg kérdést kapunk ügyfeleinktől és a pénzügyi piac szakmai szereplőitől a DÁP eAláírás bevezetéséről, ezért úgy döntöttük, legutóbbi Q&A-nkből sorozatot indítunk. Hónapról hónapra fogunk jelentkezni a DÁP, a digitális ügyfél-átvilágítás és az e-aláírás technológiai, szabályozási pontjait áttekintő anyagokkal. A legnagyobb bizonytalanságot mostanában az integrációhoz szükséges auditok körül tapasztaljuk, úgyhogy friss cikkünket rögtön ennek tisztázásával indítjuk. A kérdéseinkre ezúttal is Dr. Kósa Ferenc a Magyar Elektronikus Aláírás Szövetség elnöke válaszol.
– Milyen auditot kell megszerezni a pénzügyi szolgáltatóknak a DÁP eAláírás bevezetéséhez?
Ha egy MNB által felügyelt szolgáltató ugyanabban a rendszerben integrálja az eAzonosítást és az eAláírást, akkor neki csak a zártsági auditra van szüksége. Ugyanakkor biztosítania kell a 7/2024 MK rendeletben a „jelentős” biztonsági szintre vonatkozó elvárásokat, és az ETSI 119 101 v1.1.1 szerinti biztonsági elvárásokat.
– Ez azt jelenti, hogy nem kell külön kiberbiztonsági audit a DÁP eAláírás integrációjához?
A folyamatba épített eAláírás integrálásához nem szükséges újabb kiberbiztonsági audit azon szolgáltatóknak, akik az adott rendszerükre azzal már rendelkeznek az eAzonosítási keretszolgáltatás integrálásához, vagy MNB által felügyelt szervezetként rendelkeznek a szükséges zártsági audittal.
– Mi a helyzet az önkéntesen csatlakozó szervezetekkel?
Akik önkéntesen kívánnak csatlakozni, azoknak szükséges a megfelelő kiberbiztonsági audit beszerzése a saját rendszerükre, amibe azt integrálni kívánják. A DÁP integrált eAláírás Csatlakozási Szabályzata alapján a rendszernek, amelyikbe a szolgáltató be kívánja építeni ezt a szolgáltatást, meg kell felelnie a 7/2024. (VI. 24.) MK rendelet „jelentős” biztonsági szintjére előírt követelményeknek, valamint az ETSI 119 101 v1.1.1 szabvány szerinti, az aláírás létrehozását biztosító rendszer biztonsági követelményeinek.
Akkor is, ha erre a kiberbiztonsági, vagy zártsági audit nem terjedt ki. Amennyiben a kiberbiztonsági audit kiterjed legalább a 7/2024. (VI. 24.) MK rendelet szerinti „jelentős” biztonsági szintre, úgy újabb audit nem szükséges.
– Képes-e a DÁP rendszer teljes körű akadálymentes működésre? A vonatkozó jogszabályok alapján az IdomSoft számára ez elvileg kötelezettség.
Így van. A 2025. június 28. után fogyasztóknak nyújtott szolgáltatásoknak meg kell felelniük a fenti jogszabályokban meghatározott akadálymentességi követelményeknek. Erről rendelkezik:
- az eIDAS 15. cikke alapján a termékekre és a szolgáltatásokra vonatkozó akadálymentességi követelményekről szóló, az Európai Parlament és a Tanács (EU) 2019/882 IRÁNYELVE,
- valamint a termékekre és a szolgáltatásokra vonatkozó akadálymentességi követelményeknek való megfelelés általános szabályairól szóló 2022. évi XVII. törvény rendelkezései.
Ugyanakkor, figyelemmel arra tényre, hogy a teljes akadálymentességi megfelelőség kialakítása a már 2025. június 28-a előtt működő szolgáltatások tekintetében hosszabb időt igényel, így ezekre az irányelv is és a törvény is felkészülési időt biztosít 2030. június 28-ig, azaz eddig kell a szolgáltatásokat megfeleltetni.
Figyelemmel arra a tényre, hogy a DÁP keretszolgáltatás 2024. szeptember 01. napján indult, a DÁP megfeleltetésének határideje is 2030. június 28. Ugyanakkor az IdomSoft Zrt. már most is komoly erőforrásokat fordít az akadálymentesség kialakítására, és folyamatosan igyekszik az akadálymentességi követelményeknek való megfelelést megvalósítani.
– Az eIDAS rendelet hogyan befolyásolja a DÁP eAláírás jogi és technológiai működését a jövőben?
A DÁP keretalkalmazás jelenleg nemzeti digitális irattárcaként működik a DÁP törvény rendelkezései szerint, ugyanakkor az eIDAS rendelet rendelkezései szerint annak európai digitális személyiadat-tárcaként (EUDI Wallet) kell működnie. Azaz minden olyan szolgáltatást biztosítania kell a felhasználók részére, amit az eIDAS rendelet kötelezőként előír az európai digitális személyiadat-tárcákra.
Ez nemcsak technikai-technológiai kötelezettség, hanem jogi megfelelőséget is jelent, aminek fontos lépése a DÁP bejelentése az Európai Unió Bizottsága felé. Amikor ez a bejelentés megtörténik, attól a pillanattól kezdve a DÁP európai digitális személyiadat-tárcaként fog működni, és egyben azt is jelenti, hogy az összes többi EU tagállamban el kell fogadni mindazon szolgáltatását, amit az eIDAS rendelet alapján nyújt. Azaz alkalmas lesz az összes többi tagállamban is arra, hogy azonosítsuk magunkat az ottani hatóságok előtt, és igazoljuk mindazokat az adatainkat, amiket Magyarországon belül igazolni tudunk vele (pl. személyes adatok, gépjárművezetői engedély, forgalmi engedély, TB jogviszony stb.).
Ezen felül nincs akadálya, hogy a DÁP a jövőben olyan szolgáltatásokat is nyújtson, amiket az eIDAS rendelet nem ír elő; ezen szolgáltatások tekintetében továbbra is nemzeti digitális irattárcaként fog működni, azaz ezen többletszolgáltatásokat a többi tagállamban nem lesz kötelező elfogadni.
– Az EUDI Wallet esetén ez hogy fog kinézni?
A fenti kérdésre adott válaszban rögzítettek szerint a DÁP keretalkalmazást teljes mértékben meg kell feleltetni az eIDAS EUDI Walletre előírt követelményeinek, de emellett az eIDAS rendeletben megfogalmazott kötelező szolgáltatásokon túl nyújthat olyan nemzeti szolgáltatásokat is, amire Magyarországon igény mutatkozik.
A DÁP EUDI Walletként történő bejelentése várhatóan még idén megtörténik, ezt követően fokozatosan az egész EU területén használhatjuk a DÁP szolgáltatásait, azaz azokat a többi tagállamban is el kell fogadni.
– Az EUDI Wallet alkalmas lesz üzleti ügyek intézésére is?
A folyamatban lévő jogalkotás során az az elképzelés, hogy az EUDI Wallet valóban személyiadat-tárca lesz, azaz annak szolgáltatásait magánszemélyként magáncélra lehet majd csak használni, és az üzleti célú felhasználásra létrejönnek majd külön jogszabály alapján az üzleti adattárcák (Business Wallet). Ez azt jelenti, hogy üzleti vállalkozások és jogi személyek számára piaci alapon üzleti adattárcákat kell biztosítani – ezeken keresztül tudnak az egyes tagállamok és az Unió felé ügyet intézni, valamint ezeken keresztül tudnak kereskedelmi kapcsolatot létesíteni és fenntartani más vállalkozásokkal.
– Van lehetőség dokumentum törlésére a DÁP eAláírási folyamat során? Az alkalmazás jelenleg felajánlja ezt az opciót, ami ügyféloldalon problémás lehet, mert megszakíthatja az adott folyamatot.
Dokumentum törlésére nincs lehetőség, az aláírás elutasítására azonban van. Elutasítás esetén az aláírt dokumentum nem jön létre, új folyamatot kell indítani.
– Elérhető-e többes aláírási megoldás a DÁP eAláírás esetében? Például egy adásvételi szerződésnél több tulajdonos is lehet – ilyen esetben hogyan zajlik a folyamat a rendszerben?
Jelenleg a DÁP-ban biztosított aláírási folyamatban csak egy aláíró címezhető meg, azaz a DÁP eAláírást saját rendszerébe beépítő szervezet feladata kialakítani a saját rendszeren belül, hogy többes aláírás esetén az egyes aláírók a saját folyamatban egymás után kerüljenek megcímzésre.
– Mi történik akkor, ha a folyamatban a szülő mellett egy 14 éves kiskorú is érintett, akinek szintén alá kellene írnia a dokumentumot?
Nincs akadálya, hogy a DÁP-pal rendelkező, 14. életévét betöltött (korlátozottan cselekvőképes) kiskorú aláírását követően a törvényes képviselője (szülő, gyám) azt jóváhagyja ott, ahol ez szükséges.
Fontos megjegyezni, hogy egyébként a korlátozottan cselekvőképes kiskorú a törvényes képviselőjének közreműködése nélkül:
- tehet olyan személyes jellegű jognyilatkozatot, amelyre jogszabály feljogosítja;
- megkötheti a mindennapi élet szokásos szükségleteinek fedezése körébe tartozó kisebb jelentőségű szerződéseket;
- rendelkezhet munkával szerzett jövedelmével, annak erejéig kötelezettséget vállalhat;
- köthet olyan szerződéseket, amelyekkel kizárólag előnyt szerez;
- ajándékozhat a szokásos mértékben.
Emellett a törvényes képviselő a korlátozottan cselekvőképes kiskorú nevében maga is tehet jognyilatkozatot, kivéve azokat, amelyeknél jogszabály a korlátozottan cselekvőképes kiskorú saját nyilatkozatát kívánja meg, vagy amelyek a korlátozottan cselekvőképes kiskorú munkával szerzett jövedelmére vonatkoznak.
A törvényes képviselőnek a kiskorú személyét és vagyonát érintő jognyilatkozata megtétele során a korlátozott cselekvőképességű kiskorú véleményét figyelembe kell vennie.
– Hány éves kortól használható a DÁP eAláírás?
A 14. életévét betöltött kiskorú számára igényelhető DÁP, és ennek során eAláírást is kap, így az őt érintő szerződéseket ő is alá tudja írni azzal, hogy a fentiek szerint szükséges lehet a törvényes képviselő hozzájárulására. Az aláírási folyamat el sem tud indulni, ha az aláírónak nincs DÁP-ja, mert az aláírási folyamat elindításához (azaz az aláíró “címzéséhez”) szükséges az aláíró digitális állampolgár azonosítója (DÁP iD-ja).
