Semnături electronice: pe rol, marcă temporală, verificare, PDF

Documentele din dosar (tipăriturile arhivate, consimțămintele, documentele încărcate) se semnează pe rol: medicul curant, medicul șef de secție, pacientul pe consimțământ. Toate semnăturile sunt peste același fișier, care nu se mai schimbă după arhivare (amprenta SHA-256 din dosar), deci o semnătură nu o strică pe alta.

PDF-ul tipăriturilor

• Pe orice tipăritură, lângă Tipărește, butonul Descarcă PDF face PDF-ul pe serverul Nexus (fără browser), cu fonturile incluse: diacriticele (ș, ț, ă, î, â) arată la fel pe orice calculator. Se face câte un PDF odată pentru fiecare utilizator; dacă serverul e ocupat cu alte PDF-uri, mesajul cere să încerci din nou peste un minut.
• Arhivează în dosar salvează tipăritura ca PDF/A (formatul pentru păstrarea pe termen lung). Mesajul de după arhivare spune ce semnături mai trebuie („De semnat în dosar: Medic curant, Medic șef de secție”).
• Setările sunt în Sistem → Unitatea → Tipărituri: „Arhivează tipăriturile ca PDF” (altfel pagina HTML, ca înainte) și „PDF/A pentru arhivă”.

Circuitul de semnare

Fiecare document are rolurile cerute după ce fel de tipăritură este:

Lista se schimbă din Sistem → Semnături → Semnături pe rol (circuite de semnare): un rând pe document, de exemplu fo: medic_curant, sef_sectie. Celelalte documente pot primi semnături pe orice rol, fără să fie cerute.

Cum semnezi un document

1. În dosar (fișa pacientului sau a episodului → Documente), pe rândul documentului: Semnături. Se deschide panoul cu rolurile, cine a semnat și ce lipsește.
2. Semnează documentul: alegi rolul și felul semnăturii:
   • Semnătură simplă (contul meu Nexus): semnătura electronică simplă, cu contul cu care ești autentificat; dacă e configurată, primește și marca temporală.
   • Cu certificatul de pe token (Nexus.AgentCard): semnătura ta calificată (sau avansată), cu tokenul / cardul prestatorului. Pe stația ta trebuie să ruleze Nexus.AgentCard (același program ca pentru cardul de sănătate). Caută certificatele de pe stație, alegi certificatul, apoi Semnează: pe stație apare o fereastră cu numele documentului și amprenta lui; după „Da”, tokenul îți cere PIN-ul.
   • Încarc semnătura .p7s: dacă ai semnat fișierul descărcat din dosar cu aplicația prestatorului (semnătură detașată CAdES / PKCS#7, sau un .p7m cu documentul înăuntru), o încarci aici. Dacă fișierul vine cu o marcă temporală care nu e a acestei semnături, marca nu se păstrează (mesajul o spune) și se pune una nouă, dacă marca temporală e configurată.
   • Confirm semnătura pacientului de pe hârtie: pacientul a semnat exemplarul tipărit; tu confirmi în Nexus (cu numele pacientului sau al reprezentantului). E o confirmare a ta, nu o semnătură electronică a pacientului.
3. Pe rolul „Medic curant” semnează medicul episodului, pe „Medic șef de secție” medicul șef al secției (din Organizare). Dacă semnezi în locul lor (înlocuitor de drept), bifezi Semnez în locul titularului și scrii motivul. Contul tău trebuie să fie legat de fișa ta din Personal medical.
4. La semnătura cu certificat, numele din certificat (numele persoanei, nu firma sau localitatea din certificat) trebuie să fie al tău; pe rolul pacientului, al pacientului din dosar. Dacă semnează reprezentantul legal (părinte, tutore), bifezi Semnează reprezentantul legal al pacientului, scrii calitatea lui (ex. „mamă, pacient minor”) și numele lui, ca în certificat — amândouă sunt obligatorii, și la fișierul .p7s, și la semnarea cu tokenul; un certificat cu alt nume e refuzat. Semnătura apare apoi „(reprezentant legal)”, cu calitatea, în panou și în raportul de verificare.
5. O semnătură greșită se anulează cu motiv (Anulează semnătura); o anulează doar cel care a semnat sau un administrator. Rolul se poate semna apoi din nou.

Coloana Semnat din dosar arată semnătura simplă veche, semnătura unității („unitate: CAdES-B-T”) și stadiul circuitului („pe rol: 1 din 2 · lipsește: Medic șef de secție”).

Pagina Semnături electronice

Meniul Clinic → Semnături electronice (/semnaturi):

• De semnat: documentele din ultimele 180 de zile ale episoadelor la care ești medic curant sau ale secțiilor la care ești medic șef, care așteaptă semnătura ta. Semnează deschide panoul documentului direct aici.
• Verifică un fișier semnat: încarci un document primit din afară cu semnătura lui (.p7s), un container ASiC-S (.asics, .scs), un fișier .p7m sau un PDF cu semnăturile în el. Nimic nu se salvează.
• Marca temporală: starea autorității de marcare temporală. Administratorul o poate testa (Testează TSA-ul) și poate adăuga marca pe semnăturile vechi, care nu o au (Adaugă marca pe semnăturile vechi).
• Termen lung: nivelul la care se păstrează semnăturile (B-T, B-LT, B-LTA), câte sunt sub el, câte mărci de arhivare trebuie reînnoite, câte n-au mers în ultima zi (care anume și de ce vede doar administratorul). Administratorul pornește Adu semnăturile la nivelul ales; dacă un alt lot rulează deja (serviciul de fundal sau alt server), Nexus spune să încerci mai târziu.
• Lista de încredere: listele de încredere ale UE păstrate pe server (lista listelor și lista României), când au fost actualizate și cine le-a semnat. Administratorul le poate descărca din nou (Actualizează acum) sau poate importa fișierul unei liste (Importă fișierul), când serverul nu are internet. O listă mai veche decât cea păstrată (cu un număr de secvență mai mic) nu o înlocuiește — nici descărcată, nici importată —, în afară de importul cu Permite o listă mai veche bifat, când revenirea e voită. O listă trecută de data următoarei actualizări se primește, cu un avertisment.

Verificarea

Verifică semnăturile (în panoul documentului) și Raport de verificare (tipăribil, cu Descarcă PDF: /print/verificare-semnaturi/{id}) arată:

• dacă fișierul din dosar e exact cel semnat;
• pentru fiecare semnătură cu certificat: certificatul (cine, emis de cine, valabilitate, „declarat calificat”), lanțul până la o autoritate de încredere, marca temporală;
• rezultatul: Validă, Nedeterminată (semnătura e corectă, dar nu se poate confirma complet: autoritatea nu e de încredere pe server, certificatul a expirat fără marcă temporală, revocarea nu s-a verificat, marca temporală nu e a acestei semnături sau, la o semnătură cu certificat, e de la un TSA neconfirmat / simulat, semnătura nu e CAdES, momentul declarat e după marca temporală, sigiliul semnăturii e unul vechi sau făcut cu altă cheie a serverului) sau Invalidă (fișierul, semnătura sau datele semnăturii din Nexus au fost modificate).

Revocarea certificatelor (OCSP și CRL) se verifică online doar dacă e pornită în Sistem → Semnături → Semnătură: marca temporală și verificarea (serverul are nevoie de internet). Întâi se întreabă responderul OCSP al autorității, apoi CRL-ul (ordinea se schimbă din Revocarea: OCSP sau CRL, în grupa Semnătură: termen lung, lista de încredere UE, PAdES). Fără verificarea online, semnăturile cu certificat rămân „Nedeterminate”, cu motivul scris — în afară de cele păstrate pe termen lung (B-LT / B-LTA), care au datele de revocare în ele și se verifică fără internet. Datele de revocare din semnătură contează doar dacă sunt emise după momentul semnăturii (marca temporală): un răspuns mai vechi nu arată că certificatul nu fusese revocat între timp. Serverul cere CRL-ul și OCSP-ul doar de la autoritățile de încredere și doar de pe internet; o autoritate de certificare a spitalului, din rețeaua internă, cere în plus Revocarea: permite adrese interne.

Cu lista de încredere a UE pornită, raportul spune pentru fiecare semnătură cu certificat dacă certificatul e calificat după listă (emis de un serviciu calificat, acordat la momentul semnării) și dacă marca temporală e calificată. Un serviciu retras din listă înainte de semnătură nu mai e autoritate de încredere pentru ea. Fără ea, „declarat calificat” e doar ce scrie în certificat.

Vezi doar documentele (și semnăturile) episoadelor din secțiile tale, ca la episoade, dacă nu ai acces la toate secțiile; tot așa, poți încărca sau arhiva documente doar pe episoadele din secțiile tale (documentele pacientului, fără episod, nu sunt restrânse).

Marca temporală

Marca temporală (RFC 3161) dovedește momentul semnăturii, de la o autoritate independentă: semnătura rămâne verificabilă și după ce certificatul semnatarului expiră (CAdES-B-T). Se configurează în Sistem → Semnături → Semnătură: marca temporală și verificarea (adresa TSA-ului din contractul cu prestatorul, contul dacă e cerut). „Simulat” e doar pentru instruire: mărcile lui sunt marcate SIMULATE, nu au valoare legală, iar semnătura rămâne „CAdES-B-B (TSA simulat)”, nu B-T. La fel la semnătura simplă: cu TSA-ul simulat apare „simplă (TSA simulat)”, cu un TSA care nu e de încredere pe server „simplă (marcă neconfirmată)”; „simplă + marcă temporală” apare doar cu o marcă de la un TSA de încredere. Semnătura simplă rămâne validă (o garantează Nexus), dar o astfel de marcă nu dovedește momentul semnării.

Adaugă marca temporală (în panoul documentului) o pune pe semnăturile documentului care nu o au. Nu se poate pune pe o semnătură al cărei certificat a expirat deja.

Pachetul semnat

Descarcă pachetul semnat (.asics) dă documentul și toate semnăturile cu certificat într-un singur fișier ASiC-S, care se poate verifica și în afara spitalului (de exemplu cu validatorul DSS al Comisiei Europene). Semnăturile simple și confirmările de pe hârtie rămân în Nexus și apar în raportul de verificare.

Semnătura unității

Semnează cu certificatul unității (în panoul documentului, cu dreptul de administrare a documentelor) pune semnătura calificată a spitalului, cu certificatul configurat pe server (Sistem → Semnături → Semnătură calificată), cu marca temporală dacă e configurată.

Semnătura în PDF (PAdES)

Dacă administratorul pornește Semnătura în PDF (PAdES) (Sistem → Semnături → Semnătură: termen lung, lista de încredere UE, PAdES), pe documentele PDF semnătura cu tokenul și semnătura unității intră și în PDF: le arată Adobe Reader, în panoul de semnături. Panoul documentului scrie „PDF semnat (PAdES)” și nivelul, iar Descarcă PDF semnat (PAdES) dă fișierul.

• Documentul din dosar nu se schimbă: PDF-ul semnat e documentul plus câte o „revizie” pentru fiecare semnătură, deci semnăturile de mai înainte rămân valide.
• La semnarea cu tokenul, fereastra de pe stație arată amprenta PDF-ului semnat (nu a documentului). Dacă între alegerea certificatului și semnare altcineva a semnat același PDF, Nexus cere să reîncepi semnarea.
• Semnătura simplă, confirmarea de pe hârtie și fișierul .p7s rămân ca înainte. Pachetul .asics are doar semnăturile care nu sunt în PDF.
• O semnătură anulată în Nexus rămâne în PDF-ul semnat (o revizie nu se poate scoate fără să le strice pe cele de după); anularea apare în Nexus și în raportul de verificare.
• La verificarea unui PDF semnat, reviziile de după o semnătură pot aduce doar alte semnături, mărci temporale și date de validare. Dacă o revizie schimbă altceva (de exemplu conținutul unei pagini), semnătura apare Nedeterminată, cu mesajul „După această semnătură PDF-ul a fost schimbat…”: ce se vede în PDF poate să nu mai fie ce s-a semnat.
• Un PDF stricat sau construit anume ca să încarce serverul e refuzat repede, cu un mesaj („PDF-ul nu se poate citi…”).

Păstrarea pe termen lung (B-LT, B-LTA)

O semnătură trebuie să poată fi verificată și peste zeci de ani, după ce certificatul semnatarului a expirat și autoritatea nu mai publică liste de revocare. Nivelul se alege în Sistem → Semnături → Semnătură: termen lung, lista de încredere UE, PAdES → Nivelul semnăturilor păstrate:

• B-T: marca temporală (ca până acum).
• B-LT: în semnătură (sau în PDF-ul semnat) intră și certificatele și răspunsurile de revocare din momentul semnării; verificarea nu mai are nevoie de internet.
• B-LTA: în plus, o marcă temporală „de arhivare” peste tot, pe care Nexus o reînnoiește înainte să-i expire certificatul autorității de marcare.

La semnare, Nexus aduce semnătura direct la nivelul ales; dacă nu se poate (autoritatea nu răspunde), semnătura rămâne B-T, cu un mesaj, și se completează mai târziu: din panoul documentului (Adu la B-LT / B-LTA), din Semnături electronice → Termen lung, sau automat, o dată pe oră, dacă e pornită Extinde automat semnăturile. O semnătură care n-a putut fi extinsă se reia după o zi. Cu o autoritate care publică doar CRL (o dată la câteva ore), B-LT se face abia după ce apare un CRL emis după semnătură, deci de obicei la trecerea din ziua următoare.

Ce nu face încă

• În PDF-ul semnat, reviziile de după o semnătură se judecă după o listă fixă de schimbări permise (semnături, mărci, date de validare), nu după permisiunile scrise în semnătură, iar semnătura e invizibilă pe pagină (se vede în panoul de semnături al cititorului PDF).
• Lista de încredere cere certificatele cu care Comisia semnează lista listelor, puse de administrator pe server (din Jurnalul Oficial al UE).