歐盟 eIDAS 法規及合規保障指南

無論您的企業是在歐盟境內營運，還是與歐盟主體存在業務往來，掌握 eIDAS 相關要求都能幫助您保障數碼身份安全，確保完全合規。

什麼是 eIDAS 法規？

eIDAS 是「電子身份、認證與信任服務」的縮寫，是歐盟（EU）針對內部市場電子簽名與電子交易出台的法規，替代了此前的1999/93/EC指令。eIDAS 法規及其實施法案在所有歐盟成員國均具有法律效力。根據該法規，歐盟公民和企業在接入其他已部署電子身份識別系統（eIDS）的成員國的線上公共服務時，可使用本國的電子身份識別方案，以此推動互操作性。這為合格信任服務提供商打造了歐盟內部市場，通過保障服務跨境可用提升了可信等級。

在歐盟之外，英國在脫歐後將 eIDAS 法規納入了本國法律。儘管其他司法管轄區可能未將其確立為法律，但如果非歐盟企業或公民在適用該法規的國家有大量業務或營運活動，使用 eIDAS 基礎設施的情況也並不罕見。

eIDAS 法規為多種電子身份識別方式的應用與法律效力建立了法律框架，針對電子簽名、電子印章、電子時間戳、電子文檔、電子註冊送達服務以及網站身份認證證書服務制定了標準。該法規賦予這類電子交易與紙質手寫簽名交易同等的法律地位，認可其可作為法律訴訟中的證據。

通過 eIDAS 法規，歐盟委員會制定了通用的電子簽名標準，未綁定任何特定技術。這種做法是為了避免限制技術發展。eIDAS 設定了最低標準，可隨着新實踐的出現以及原有方案被證實存在安全隱患而更新。

歐盟出台的另一項重要監管框架是修訂後的支付服務指令（PSD2）。該指令於2015年通過，是保障歐盟支付系統便捷、高效且滿足安全要求的監管框架，適用於消費者、私營部門和公共管理機構，旨在為發展陷入停滯的支付行業提升效率、推動創新。

eIDAS 合規

eIDAS 法規最初於2014年制定，自2016年7月1日起在全歐盟範圍內強制執行。即將出台的 eIDAS 2.0 法規 旨在完善歐盟電子身份識別與信任服務框架，引入了歐洲數碼身份（EUDI）錢包，可實現成員國之間的高效數碼交易與身份驗證。雖然 eIDAS 2.0有望提升線上交易的安全性與效率，但也引發了關於數碼身份管理領域私隱、中心化風險以及政府可能過度干預的擔憂。

儘管 eIDAS 法規在多個領域制定了標準，其中最常被提及的標準之一就是其電子簽名框架。

數碼簽名與電子簽名的區別

首先需要注意的是，儘管「數碼簽名」和「電子簽名」兩個術語經常被混用，但二者存在區別。

數碼簽名始終基於密碼學技術。使用這類簽名時，文檔內容會被鎖定加密，簽名完成後內容無法被篡改。

電子簽名可以是粘貼在Word文檔中的手寫簽名圖片等形式。使用這類簽名時，文檔內容並非總能得到安全保護。換言之，數碼簽名可以是電子簽名的一種，但電子簽名不一定是數碼簽名。

eIDAS 框架專門適用於電子簽名，並定義了三類電子簽名：簡單電子簽名、高級電子簽名和合格電子簽名，每一類的驗證標準各不相同。

簡單電子簽名（SES）

根據eIDAS的定義，簡單電子簽名（即電子簽名）涵蓋所有廣義類型的電子簽名：作為電子形式的數據，附屬於其他電子數據或與其他電子數據存在邏輯關聯，並作為一種認證方法。

該定義具有技術中立性，這意味着任何電子形式或技術都可獲得互認，且被普遍接受。生成的簽名應當體現簽名人的意願，由關聯主體完成，且與簽名人意圖簽署的文檔相關聯。

高級電子簽名（AES）

高級電子簽名會為簽名和文件附加認證機制。AES必須符合簽署人身份、安全性、已簽署文件完整性方面的特定要求。eIDAS訂明的要求如下：

• 與簽署人唯一關聯
• 能夠識別簽署人身份
• 使用電子簽名生成數據建立，且簽署人可在高置信度下對該數據實施唯一控制

與被簽署數據相關聯，關聯方式可檢測到數據的任何後續變更

合格電子簽名（QES）

與AES類似，合格電子簽名與簽署人唯一關聯，且以合格證書為基礎。這類簽名的法律效力等級最高，若符合規範實施，將自動被視為與手寫簽名具有同等法律效力。

合格證書僅可由經歐盟成員國指定機構認證及監管、符合eIDAS要求的證書頒發機構（CA）簽發，例如Sectigo。合格證書還必須儲存於合格簽名生成設備中，例如智能卡、USB令牌，或可提供歐盟信任標識的雲端信任服務。合格證書一般包含電子時間戳及其他驗證手段。

討論QES時，您可能會聽到有人將其與合格電子印章混為一談。後者是另一類電子認證工具，用途有所區別：合格電子簽名用於認證自然人身份，提供與手寫簽名同等的法律效力；而合格電子印章用於驗證企業及組織簽發或出具的電子文件的完整性、真實性及法律效力。Sectigo提供合格印章證書以及面向機構的PSD2印章以確保合規性。

還有另一類合格證書，名為合格網站認證證書（QWAC），它屬於SSL/TLS 證書，可在伺服器與客戶端之間提供端到端數據加密，證明網站或伺服器背後存在可透過可信信息識別的自然人或法人。QWAC的使用主體包括個人以及商業主體或企業.

eIDAS為何重要？

eIDAS為電子身份及簽名的認可提供統一的法律框架，明確了使用這類方式的法律效力及其在司法場景中的可接納性，在數碼化世界中，這類框架的必要性正日益凸顯。

它在數據保護及用戶體驗方面帶來諸多優勢，包括：

• 降低歐盟成員國企業的流程複雜度與管理開支

• 為跨境交易建立一定程度的可信性與安全性保障

• 提升歐盟線上服務的靈活性與便捷性

• 推動歐盟市場實現透明度與標準化

• 透過建立數碼領域法人身份識別框架，保障問責性

隨着歐洲機構落實eIDAS合規要求，其影響將延伸至歐洲以外地區。任何在歐洲設有實體、或與歐盟成員國境內機構開展業務的機構，都將需要遵守這項關於電子身份識別和信任服務的歐盟法規。

如何獲取eIDAS證書？

為確保正常運作，合格電子簽名（QES）必須使用從信任服務提供商處購買的數碼證書創建，這類提供商通常為證書頒發機構（CA），例如 Sectigo。

信任服務提供商在頒發證書前需履行多項職責，核心職責是核驗並驗證證書申請人的身份，核驗可透過多種方式完成。信任服務提供商還必須能夠安全儲存證書頒發流程中收集的數據與證書，以便後續核驗。

此外，信任服務提供商必須持續改進自身的加密流程與實踐，防範任何形式的偽造行為或證書違規簽發。因此，信任服務提供商必須留存已吊銷或認定無效的證書相關數據，以便追蹤所有證書的使用情況，並為各類變更確定對應的監管機構。

選用 Sectigo 可信解決方案，妥善滿足 eIDAS 合規要求

借助 Sectigo 的eIDAS 合規證書解決方案，確保您的數碼互動安全且合法合規。無論您是需要安全個人身份認證的個人用戶，還是需要可靠文檔認證能力的企業，我們的全系列合格證書均可幫助您滿足所有 eIDAS 法規要求。