Odnowienie i unieważnienie certyfikatu: plan zwykły i plan awaryjny

Zapisz informacje, zanim pojawi się problem

Utwórz kartę certyfikatu zawierającą nazwę podpisującego, dostawcę, dokładną usługę, identyfikator certyfikatu, początek i koniec ważności, używane urządzenia, systemy odbiorców oraz oficjalny kanał zgłoszenia unieważnienia. Nie zapisuj w tej karcie PIN-u, kodów jednorazowych ani danych pozwalających złożyć podpis.

Jeżeli podpis jest używany służbowo, przypisz odpowiedzialność za kalendarz, aktualizacje i kontakt z dostawcą. Certyfikat należy do podpisującej osoby, a nie do wspólnej skrzynki zespołu. Nie przekazuj urządzenia i kodu zastępcy; zastępca powinien działać własnym podpisem i na podstawie własnego umocowania.

Odnowienie zaczyna się od ponownej kontroli wymagań

Nie zakładaj, że konfiguracja sprzed kilku lat nadal jest właściwa. Przed odnowieniem sprawdź:

• czy docelowe systemy nadal wymagają tego samego rodzaju i formatu podpisu;
• czy system operacyjny, telefon i aplikacja są wspierane;
• czy zmienił się model pracy między urządzeniem lokalnym i zdalnym;
• czy dostawca i dokładna usługa mają właściwy status na zaufanej liście;
• jak przebiega identyfikacja oraz wydanie nowego certyfikatu;
• co trzeba zrobić ze starym urządzeniem i niepotrzebnym oprogramowaniem.

Odnowienie może oznaczać wydanie kolejnego certyfikatu, a nie techniczne wydłużenie tego samego wpisu. Procedura identyfikacji i wymagane dokumenty zależą od aktualnych zasad dostawcy oraz prawa. Rozpocznij ją z wyprzedzeniem, które uwzględnia weryfikację tożsamości, dostawę lub aktywację i test w rzeczywistym systemie. Nie podajemy jednego terminu, bo nie pasowałby do każdej usługi.

Test nowego certyfikatu przed wygaśnięciem starego

Po aktywacji nowego certyfikatu podpisz neutralny plik testowy. Zweryfikuj dane podpisującego, kwalifikowany status, okres ważności, integralność i urządzenie. Następnie wykonaj kontrolowaną próbę w systemie odbiorcy, jeżeli pozwala on na testy. Ustal, który certyfikat aplikacja wybiera domyślnie, aby nie podpisać ważnego dokumentu innym niż zamierzony.

Nie usuwaj starego certyfikatu ani całej aplikacji przed sprawdzeniem, czy nie są potrzebne do odczytania historii lub zakończenia trwającego procesu. Sam klucz prywatny nie powinien być jednak kopiowany ani archiwizowany poza mechanizmem dopuszczonym dla kwalifikowanego urządzenia.

Kiedy potrzebne jest unieważnienie

Unieważnienie jest reakcją bezpieczeństwa, a nie metodą zwykłego wylogowania. Rozważ je zgodnie z procedurą dostawcy, gdy utracisz token lub telefon, ktoś pozna kod i uzyska dostęp do urządzenia, zauważysz podpis, którego nie zatwierdzałeś, albo istnieje inne wiarygodne podejrzenie utraty wyłącznej kontroli nad danymi do podpisu.

Działaj w kolejności ograniczającej ryzyko

1. Przerwij używanie podejrzanego urządzenia lub konta.
2. Skontaktuj się z kwalifikowanym dostawcą przez wcześniej zapisany oficjalny kanał i wykonaj procedurę unieważnienia.
3. Powiadom osobę odpowiedzialną za proces w organizacji oraz odbiorców, jeśli incydent może dotyczyć wysłanych dokumentów.
4. Zabezpiecz dzienniki, wiadomości, raporty i informacje o czasie zdarzenia.
5. Wydaj nowy certyfikat dopiero po zabezpieczeniu przyczyny utraty kontroli.

Zmiana PIN-u nie zawsze wystarcza, jeżeli mogło dojść do skopiowania danych, przejęcia konta lub zatwierdzenia nieznanej operacji. O właściwym działaniu decydują okoliczności i procedura dostawcy.

Co prawnie dzieje się po unieważnieniu

Zgodnie z eIDAS kwalifikowany certyfikat unieważniony po początkowej aktywacji traci ważność od chwili unieważnienia, a jego poprzedniego statusu nie można przywrócić. Dlatego decyzji nie należy odkładać, gdy istnieje realne podejrzenie przejęcia, ale nie należy też używać procedury bez rozpoznania właściwego certyfikatu.

Unieważnienie certyfikatu nie jest poleceniem usunięcia dokumentów. Zachowaj wcześniejsze pliki i dowody, ponieważ trzeba móc ocenić, kiedy powstał podpis, jaki status miał w tym czasie certyfikat i czy dane pozostały niezmienione. Jeśli podejrzewasz nieautoryzowane podpisanie, sam pozytywny wynik kryptograficzny nie rozstrzyga, kto faktycznie zatwierdził operację. Potrzebna jest analiza incydentu i okoliczności.

Wygaśnięcie nie kasuje historii podpisu

Po końcu okresu ważności certyfikatu nie można nim składać nowych ważnych podpisów kwalifikowanych. Ocena dokumentu podpisanego wcześniej odnosi się między innymi do statusu certyfikatu w chwili podpisania. Długoterminowa możliwość wykazania tego statusu zależy od zachowanych danych walidacyjnych, znaczników czasu, formatu i sposobu konserwacji.

Nie dopisuj znacznika czasu po fakcie jako uniwersalnego lekarstwa. Ustal wymagany profil podpisu i zasady przechowywania przed rozpoczęciem procesu, zwłaszcza gdy dokument ma być weryfikowany przez wiele lat. Kwalifikowana usługa konserwacji, archiwizacji albo walidacji ma własny zakres i status na zaufanej liście; nie jest automatyczną częścią każdego certyfikatu.

Po zmianie wykonaj próbę całej ścieżki

Zaktualizuj kartę certyfikatu, stanowiska, instrukcję awaryjną i listę systemów. Usuń nieaktualne skróty do pomocy, lecz zachowaj dowody dotyczące poprzednich podpisów zgodnie z właściwymi zasadami przechowywania. Nowy certyfikat sprawdź według strony Uruchomienie i walidacja — Uruchomienie i walidacja.

Jeśli przy odnowieniu rozważasz zmianę modelu albo dostawcy, wróć do strony Wybór i przygotowanie — Wybór i przygotowanie — i ponownie sprawdź usługę na liście, zamiast traktować odnowienie jako automatyczny zakup.

Wniosek: termin planuj, incydent obsługuj natychmiast

Wygaśnięcie można wpisać do kalendarza, przetestować nowy certyfikat i kontrolowanie przełączyć proces. Utrata kontroli nad danymi do podpisu wymaga przerwania użycia oraz kontaktu z dostawcą. W obu sytuacjach zachowaj wcześniej podpisane pliki i informacje potrzebne do walidacji historycznej.

Źródła do artykułu, stan na 25.08.2026 r.:

• eIDAS po zmianach eIDAS 2, zwłaszcza art. 28 ust. 4, art. 32 oraz załącznik I.
• Komisja Europejska, pytania i odpowiedzi o usługach zaufania po eIDAS 2.
• Komisja Europejska, dokumentacja DSS o statusie certyfikatu i walidacji długoterminowej.
• NCCert, Polska zaufana lista i historia statusów.