Pigułka wiedzy, zawiera informacje, które potrzebne będą po otwarciu ofert. Pomogą one przy weryfikacji podpisów kwalifikowanych złożonych na dokumentach przesłanych przez Wykonawców.
W folderze na dysku znajdują się przygotowane przez nas przykładowe dokumenty, na których można trenować weryfikację podpisów. Pliki w treści zawierają informację czy są poprawnie podpisane, oraz jaka forma podpisu została użyta. Niektóre celowo zostały podpisane nieprawidłowo i powinny wykazywać błędy przy weryfikacji.
Co należy zainstalować?
✔Program Adobe Reader – do otwarcia plików w formacie: pdf.
✔Pakiet Microsoft Office lub Open Office – do otwarcia plików w formatach: doc, xls, odt itp.
✔Aktualną wersję przeglądarki z włączoną obsługą języka Javascript, akceptującą pliki typu „cookies”.
✔Program do rozpakowywania plików w formacie zip.
✔Program do podpisu kwalifikowanego dostępny do pobrania ze stron wydawców, rekomendujemy weryfikację pliku programem, którym plik został podpisany.
- Szafir – Krajowa Izba Rozliczeniowa
- Sigillum Sign – Państwowa Wytwórnia Papierów Wartościowych
- SecureDoc – Eurocert
- PEM-HEART Signature – CenCert
- proCertum SmartSign – Certum
Uwaga, oprogramowania Szafir oraz SmartSign mogą nawzajem zakłócać swoje działanie. Rekomendujemy, aby te programy nie były jednocześnie zainstalowane na jednym komputerze.
Procedura weryfikacji podpisów elektronicznych:
Wersja bez komplikacji:
- Pobierz plik na komputer i zweryfikuj go jednym z programów.
- Program powinien pokazać status weryfikacji i umożliwić pobranie raportu z weryfikacji (pobrane potwierdzenie możesz dodać do notatek z postępowania w postępowaniu na platformie zakupowej).
Wersja z komplikacjami: Jeżeli weryfikacja pliku nie przebiega pomyślnie
- Pobierz plik z platformy ponownie. Nie otwieraj go i przeprowadź weryfikację ponownie w dowolnym programie.
- Jeżeli nadal pojawiają się błędy, sprawdź jakim programem plik został podpisany i zweryfikuj plik ponownie odpowiednim programem.
- Jeżeli weryfikacja pokazuje konkretny błąd, skontaktuj się z pomocą techniczną obsługującą dany program do podpisu kwalifikowanego, który został użyty do podpisu dokumentu.
- Jeżeli nadal pojawiają się błędy, wezwij wykonawcę do wyjaśnienia jakim sposobem podpisał pliki oraz poproś, aby przesłał Ci potwierdzenie złożenia podpisu na dokumencie.
Weryfikacja zagranicznych podpisów elektronicznych
Weryfikacja podpisów elektronicznych nie zdarza się często, jednak Firmy z krajów członkowskich Unii Europejskiej mogą składać ważne oferty w przetargach. Ich weryfikacja przebiega inaczej niż weryfikacja podpisów krajowych.
- Sprawdź wystawcę podpisu. Aby to zrobić otwórz dowolny program do weryfikacji podpisów i wgraj plik z podpisem zagranicznym. Przejdź weryfikację aby zobaczyć szczegóły podpisu oraz wystawcę podpisu elektronicznego.
- Kiedy ustalisz już podmiot wydający podpis i kraj pochodzenia podpisu przejdź na stronę: https://webgate.ec.europa.eu/tl-browser/#/. Jest to lista Zaufanych podmiotów wydających podpisy kwalifikowane w Unii Europejskiej.
- Odszukaj na stronie dotyczącej danego kraju podmiot wydający weryfikowany przez Ciebie podpis. Jeżeli nazwa podmiotu znajduje się na tej liście istnieje domniemanie, że podmiot może zostać uznany za poprawnie zweryfikowany.
- Jeżeli występują jakieś problemy z weryfikacją podpisu kwalifikowanego można wezwać Wykonawcę do wyjaśnień i poprosić o informację jakim narzędziem można przeprowadzić weryfikację.
- Niektóre z Państw członkowskich udostępniają swoje narzędzia np.:
- Niemcy – https://www.signatur.rtr.at/de/vd/Pruefung.html
- Hiszpania – https://valide.redsara.es/valide/ejecutarValidarFirma/ejecutar.html
- Włochy – https://www.firma.infocert.it/utenti/verifica.php
- Francja – http://www.e-signaturesecurisee.com/verifier-une-signature-electronique
Weryfikacja podpisów kwalifikowanych za pomocą weryfikatorów online
Zalecamy ostrożność w przypadku wykorzystywania narzędzi do weryfikowania plików z podpisami online. Sprawdzenie pliku w ten sposób, wiąże się z udostępnieniem go podmiotowi trzeciemu. Sugerujemy aby nie weryfikować w ten sposób podpisów kwalifikowanych złożonych na plikach stanowiących tajemnicę przedsiębiorstwa, która nie może być ujawniona osobom do tego nieupoważnionym.
Formaty przesyłanych przez Wykonawców plików
Należy zwrócić szczególną uwagę na formaty plików, jakie Zamawiający dopuszcza w specyfikacji. Formaty muszą wynikać z załącznika nr. 2 do Obwieszczenia Prezesa Rady Ministrów z dnia 9 listopada 2017 r. w sprawie Krajowych Ram Interoperacyjności.
Zaleca się stosowanie katalogów zamkniętych obejmujących formaty plików wyszczególnionych w powyższym rozporządzeniu. Sporządzone zapisy do specyfikacji mają na celu ochronę zamawiającego przed odwołaniami z tytułu naruszenia Art 7. ust. 1., który stanowi o zasadzie równego traktowania wykonawców. Decyzja o dopuszczeniu oferty złożonej w formacie spoza zestawienia, może skutkować odwołanianiem wykonawców od decyzji zamawiającego.
Formaty podpisów kwalifikowanych
W załączniku nr. 2 do rozporządzenia – Obwieszczenie Prezesa Rady Ministrów z dnia 9 listopada 2017 r. w sprawie Krajowych Ram Interoperacyjności wyszczególnione zostały formaty stosowane do elektronicznego podpisywania, weryfikacji podpisu, opatrywania pieczęcią elektroniczną i szyfrowania dokumentów elektronicznych.
Podobnie jak w przypadku formatów plików zalecamy stosowanie zamkniętego katalogu formatów wynikającego z rozporządzenia. Różnica w tym przypadku polega na tym, że zamawiający musi dopuścić wszystkie formaty podpisów elektronicznych wyszczególnione w rozporządzeniu. Formaty wyszczególnione w rozporządzeniu to: TSL, XMLsig, XAdES, PAdES, CAdES, ASIC, XMLenc.
Co musisz zapamiętać
1. Podpis złożony na „paczce” dokumentów czyli podpis złożony na spakowanych do archiwum (zip) plikach może być zakwestionowany przez KIO.
2. Zapisz w swojej specyfikacji zalecenie aby Wykonawcy zapisywali w ramach możliwości dokumenty w formacie pdf i podpisywali je dedykowanym rodzajem podpisu czyli PAdES. Nie możesz wymagać takiego działania, ale możesz je zalecić.
3. Pliki, bywają również podpisane:
– profilem zaufanym poprzez ePUAP.
– podpisem zaawansowanym, który nie jest obsługiwany przez kwalifikowany certyfikat
– podpisem cyfrowym (np. w programie WORD)
– kwalifikowaną pieczęcią
Powyższe formaty nie są poprawną formą uwierzytelnienia. Jedyną dopuszczalną formą jest kwalifikowany podpis elektroniczny wydawany przez instytucję znajdującą się na liście zaufanych podmiotów.
4. Pomimo opinii UZP uznającej podpisany skan za poprawny, istnieją różne (sprzeczne) orzecznictwa KIO w tej sprawie.
5. SHA-1 nie jest rekomendowaną, jednak akceptowalną funkcją skrótu w podpisie kwalifikowanym.
6. Zdarza się, że Wykonawca dołącza tylko zewnętrzny plik podpisu bez pliku z danymi. Taki plik ma zazwyczaj niewielki rozmiar (kilka KB), jego nazwa zakończona jest na .XAdES. Oferta podpisana w ten sposób nie może zostać uznana za poprawną.
7. Jeśli podpis nie zawiera kwalifikowanego znacznika czasu to data złożenia podpisu jest datą „deklarowaną” czyli została pobrana z komputera osoby podpisującej. Ta data może być rozbieżna z datą utworzenia dokumentu i nie powinna mieć wpływu na weryfikację.
Szukasz więcej wiedzy na temat podpisów kwalifikowanych?
Sprawdź nasze najbliższe warsztaty tutaj 👇👇
