Tydzień temu wspominałem o temacie podpisowym, który spychany był w tył kolejki „szponowej” od dobrych kilku lat – i ruszyło mnie sumienie, aby półkowicza odkurzyć. Za tym spychaniem wstecz stała jednak pewna konkretna przyczyn – choć każdy uczestnik rynku zamówieniowego w tym kraju w tematykę podpisów elektronicznych wdrożyć się musiał (zwłaszcza pracownicy zamawiających), zawsze to pozostaje wdrożeniem się tylko „w pewnym stopniu”. Bo tematyka jest na tyle skomplikowana, z pogranicza informatyki i prawa, że wyszła poza ramy do ogarnięcia przez zwykłego człowieka i wykształciła własnych specjalistów. Ale nic to, zaryzykujmy.

Problemy z podpisami w zamówieniach to w zasadzie niekończący się temat, bo one wciąż są obecne i w niemal każdym postępowaniu zamawiający musi poświęcić choć parę myśli temu tematowi. Są takie całkiem prozaiczne. Np. serwis wykorzystywany do weryfikacji sygnalizuje niepewność co do podpisu, ale wynika ona z faktu, że w chwili sprawdzenia ważność certyfikatu już wygasła (był on jednak ważny gdy podpis składano). Albo sygnalizuje, że podpisane są dwie wersje dokumentu, ale trzecia już nie – cóż, niemal zawsze się okazuje, że to jakiś kolejny dodatek mechanizmu podpisowego, a wersje są identyczne co do treści (w przypadku plików pdf opcję porównania zapewnia nawet darmowy Acrobat Reader). W obu tych przypadkach problem niby jest, ale tak naprawdę wszystko jest OK.

Najwięcej problemów pojawia się w przypadku wykonawców z zagranicy. Niby mamy eIDAS, wspólne standardy w Unii Europejskiej, a nawet wychodzące poza jej granice, a w praniu okazuje się, że jednak coś nie gra. I czasem żeby znaleźć magiczne „OK” dla podpisu pod ofertą, trzeba drążyć i korzystać z usług weryfikacji w krajach wystawienia podpisów (czasami po kontakcie z wykonawcą, którego można poprosić o wyjaśnienie). Pierwszym krokiem w takich sytuacjach może być narzędzie https://ec.europa.eu/digital-building-blocks/DSS/webapp-demo/validation – choć zastrzeżenie na wstępie tej strony nakazuje ostrożność z przekazywaniem danych wrażliwych.

Problem także w tym, że u nas podpisy kwalifikowane i podpisy zaufane – a więc dwa rodzaje podpisów dopuszczonych w zamówieniach – w gruncie rzeczy w dużym stopniu wypełniły „rynek podpisów”. To ich na co dzień najczęściej używamy, także poza zamówieniami publicznymi. I gdy przychodzi do podpisania oferty, rzadko sięgamy po coś innego. Jednak podpis zaufany to nasz krajowy, specyficzny wynalazek. Poza naszymi granicami go nie ma. W efekcie sporo tam podpisów na co dzień używanych przez ich właścicieli, które nie spełniają norm wynikających z naszej ustawy. I taki wykonawca ma problem, gdy okazuje się, że podpis z Adobe czy Autenti, który każdego dnia używa w swojej firmie, nie jest podpisem, który wystarczy do podpisania oferty lub umowy, ale kwalifikowaną pieczęcią (niepotwierdzającą w wystarczający sposób tożsamości osoby fizycznej składającej podpis) lub podpisem zaawansowanym, który nie jest podpisem kwalifikowanym, a tym bardziej zaufanym lub osobistym. Czasami jest podpisem zaawansowanym opartym na kwalifikowanym certyfikacie, ale to też za mało – bo do podpisu kwalifikowanego nie wystarczy kwalifikowany certyfikat, konieczne jest także kwalifikowane urządzenie. Nic z tego w naszych zamówieniach nie przejdzie.

I ostatnio dostrzegam, że takie wynalazki coraz częściej pojawiają się także u wykonawców krajowych. Kompleksowe rozwiązania oferowane przez takich dostawców wydają się wygodne. Problem w tym, że w zamówieniach publicznych poprzeczka jest zawieszona wysoko (niepotrzebnie wysoko moim zdaniem) i coś, co na co dzień w handlowym obrocie się sprawdzi, w zamówieniach publicznych będzie niewystarczające.

PS Jeden z ciekawszych przypadków swego czasu to oferta z plikiem pdf, w którym widniał w prawym górnym rogu tradycyjny znacznik podpisu zaufanego, ale w strukturze pliku taki podpis nie był zapisany. Cóż, podpis bez widocznego w dokumencie znacznika jest w porządku, ale znacznik bez podpisu ukrytego w strukturze pliku jest nic niewart.