مقدم خدمات الثقة eIDAS: فهم دور خدمات الثقة

مقدمة

منذ دخول لائحة eIDAS رقم 910/2014 حيز التنفيذ، أصبح مقدمو خدمات الثقة (TSP، Trust Service Providers) العمود الفقري للثقة الرقمية في أوروبا. هؤلاء الفاعلون، الخاضعون لنظام تنظيمي صارم، يوفرون الشهادات والطوابع الزمنية والتوقيعات المؤهلة التي تمنح القوة القانونية لعمليات التبادل الإلكترونية. مع اعتماد لائحة eIDAS 2.0 (لائحة الاتحاد الأوروبي 2024/1183)، تطورت التزاماتهم بشكل إضافي. توضح لك هذه المقالة ماهية مقدم خدمات الثقة، وكيفية اعتماده، والخدمات التي يمكنه تقديمها، ولماذا يعتبر اختيار مقدم خدمات مؤهل حاسماً لشركتك.

---

ما هو مقدم خدمات الثقة (TSP)؟

التعريف والنطاق التنظيمي

وفقاً للمادة 3 من لائحة eIDAS، مقدم خدمات الثقة هو شخص طبيعي أو معنوي يوفر خدمة أو أكثر من خدمات الثقة، إما بصفة مؤهلة أو بصفة غير مؤهلة. تميز اللائحة بوضوح بين هاتين الفئتين: فقط مقدمو الخدمات المؤهلون يستفيدون من افتراض المطابقة والقيمة القانونية المحسنة المرتبطة بخدماتهم.

تشمل خدمات الثقة المغطاة بموجب eIDAS:

• إنشاء والتحقق من والتحقق من صحة التوقيعات الإلكترونية (البسيطة أو المتقدمة أو المؤهلة)
• إنشاء والتحقق من والتحقق من صحة الأختام الإلكترونية (للأشخاص المعنويين)
• إنشاء والتحقق من والتحقق من صحة الطوابع الزمنية الإلكترونية المؤهلة
• خدمات الإرسال الموصى به إلكترونياً
• إصدار وإدارة شهادات لمصادقة مواقع الويب (QWAC)
• الحفظ طويل الأجل للتوقيعات والأختام المؤهلة

منذ eIDAS 2.0، توسع النطاق ليشمل المحافظ الأوروبية للهوية الرقمية (EUDIW) والشهادات على السمات الإلكترونية المؤهلة، مما يعزز نطاق تدخل TSP بشكل أكبر.

التمييز بين TSP المؤهل وغير المؤهل

لا جميع مقدمي خدمات الثقة متساوون من الناحية القانونية. TSP غير المؤهل يمكنه ممارسة النشاط بحرية، لكن خدماته لا تتضمن أي افتراض قانوني للمطابقة. TSP المؤهل (QTSP، Qualified Trust Service Provider) مدرج في قائمة الثقة الوطنية المراقبة (Trusted List) بدولته العضو، والمنشورة والمحفوظة وفقاً للمادة 22 من eIDAS والقرار التنفيذي 2015/1505.

في فرنسا، ANSSI (الوكالة الوطنية لأمن نظم المعلومات) هي التي تلعب دور منظم الإشراف (المادة 17 من eIDAS). قائمة الثقة الفرنسية متاحة عبر البوابة الأوروبية المركزية. لمزيد من المعلومات حول الهرمية بين مستويات التوقيع واعترافها، اطلع على دليلنا الشامل للائحة eIDAS 2.0.

---

عملية تأهيل TSP

التدقيق على الامتثال من جانب جهة تقييم المطابقة

للحصول على مركز مؤهل، يجب على مقدم الخدمة الخضوع لتدقيق تجريه جهة تقييم المطابقة (OEC) معتمدة من قبل COFRAC في فرنسا (أو ما يعادلها الوطني في كل دولة عضو). يتحقق هذا التدقيق من الامتثال لمتطلبات الملحق الثاني من eIDAS (للشهادات المؤهلة) والمعايير ETSI المعمول بها.

المعايير التقنية المرجعية الرئيسية هي:

• ETSI EN 319 401: المتطلبات العامة لـ TSP
• ETSI EN 319 411-1 و -2: سياسة وممارسات الإصدار للشهادات المؤهلة
• ETSI EN 319 421: السياسة والممارسات لـ TSP الطوابع الزمنية
• ETSI EN 319 132: ملف تعريف XAdES للتوقيعات المتقدمة والمؤهلة
• ETSI EN 319 122: ملف تعريف CAdES

يسفر التدقيق عن تقرير تقييم يُنقل إلى منظم الإشراف الوطني، الذي يمكنه منح أو رفض أو سحب التأهيل. عادة ما تبلغ فترة صلاحية شهادة التأهيل 24 شهراً، وقابلة للتجديد.

قائمة الثقة الأوروبية: سجل المرجع

قائمة الثقة الأوروبية (EU Trusted List، أو TL) هي الآلية المركزية التي يضمن بها eIDAS القابلية للتشغيل البيني عبر الحدود. تنشر كل دولة عضو قائمتها الوطنية، وتجمع المفوضية الأوروبية المجموع في قائمة قوائم الثقة (LOTL). تسمح هذه البنية الهرمية لأي نظام تحقق بالصعود حتى جذر الثقة الأوروبي.

اعتباراً من 1 يناير 2026، تحتوي LOTL على أكثر من 200 TSP مؤهل عبر جميع الدول الأعضاء، يصدرون مجتمعين ملايين الشهادات المؤهلة سنوياً. بالنسبة لمشتري حل SaaS، يعتبر التحقق من وجود المزود على هذه القائمة هو أول عملية فحص جدية.

التزامات المراقبة المستمرة

التأهيل لا يتم اكتساب نهائياً. خضوع TSP المؤهل لـ:

• عمليات تدقيق دورية (على الأقل كل 24 شهراً)
• إخطار فوري بأي حادثة أمنية تؤثر على الخدمات (المادة 19 من eIDAS)
• الحفاظ على سياسة الإصدار (CP) وبيان ممارسات الإصدار (CPS) عام
• الحفاظ على خطة استمرارية العمل وخطة إيقاف النشاط تضمن حفظ البيانات في حالة التوقف

---

الخدمات المؤهلة ونطاقها القانوني

التوقيع الإلكتروني المؤهل (SEQ)

التوقيع الإلكتروني المؤهل هو المستوى الأعلى المنصوص عليه بموجب eIDAS. يستند إلى شهادة مؤهلة صادرة عن QTSP وينشأ باستخدام جهاز إنشاء توقيع إلكتروني مؤهل (QSCD)، مثل بطاقة ذكية معتمدة Common Criteria EAL4+ أو HSM (Hardware Security Module) متوافق مع ملف الحماية EN 419 221-5.

تضع المادة 25§2 من eIDAS مبدأ التكافؤ مع التوقيع اليدوي: التوقيع الإلكتروني المؤهل الصادر عن دولة عضو معترف به في جميع الدول الأعضاء بدون إجراء إضافي. هذا هو المستوى الوحيد الذي ينطبق عليه هذا الافتراض القانوني تلقائياً. لمزيد من المعلومات حول القيمة القانونية للتوقيع الإلكتروني حسب السياقات التعاقدية، أعددنا دليلاً مخصصاً.

الطابع الزمني الإلكتروني المؤهل

الطابع الزمني الإلكتروني المؤهل (QTS، Qualified Time Stamp) يشهد بطريقة لا تقبل التزوير على وجود مستند أو بيانات في لحظة محددة. وفقاً للمادة 41 من eIDAS، يستفيد من افتراض دقة التاريخ والوقت، وكذلك تكامل البيانات.

تشمل الاستخدامات النموذجية: إثبات إيداع براءة الاختراع والأرشفة الثابتة والتوثيق الإلزامي للأحداث التعاقدية. يلعب الطابع الزمني الإلكتروني المؤهل دوراً مركزياً في الحفظ طويل الأجل للتوقيعات.

خدمة الإرسال الموصى به الإلكتروني المؤهل

خدمة البريد الموصى به الإلكتروني المؤهل (REMS qualified، Qualified Electronic Registered Mail Service) هي المكافئ الرقمي للرسالة الموصى بها مع إشعار الاستلام. تضمن تحديد الأطراف وتكامل البيانات المرسلة والطابع الزمني للإرسال والاستقبال. تمنح المادة 44 من eIDAS افتراضاً بتكامل البيانات ودقة تاريخ الإرسال والاستقبال. هذه الخدمة مفيدة بشكل خاص للإنذارات الرسمية وإلغاء العقود والإخطارات القانونية.

---

اختيار مقدم خدمات TSP الخاص بك: معايير حاسمة

التأهيل والقابلية للتشغيل البيني والتغطية الجغرافية

المعيار الأول هو بوضوح الوجود على قائمة الثقة الخاصة بالدول الأعضاء التي تعمل فيها. لكن بعد التأهيل الرسمي، تدخل عدة أبعاد عملية في الاعتبار:

• القابلية للتشغيل البيني: هل يدعم TSP معايير ETSI القياسية (XAdES و PAdES و CAdES و JAdES)؟ هل ستكون التوقيعات المنتجة قابلة للتحقق بواسطة أدوات جهات خارجية مثل أداة التحقق من DSS الأوروبية؟
• توفر الخدمة: ما هو ضمان مستوى الخدمة (SLA)؟ هل البنية التحتية QSCD مكررة جغرافياً؟
• التغطية الجغرافية: إذا كنت تعمل في عدة دول أوروبية، هل يقدم TSP شهادات مؤهلة معترف بها في هذه الدول؟
• واجهات برمجة التطبيقات والتكامل: هل واجهات برمجة التطبيقات REST/SOAP موثقة بشكل جيد؟ هل يوجد SDK أو تكامل أصلي مع مكدس التطبيق الخاص بك؟

الشفافية في الأسعار والنموذج التجاري

يفرض TSP المؤهل عادة فواتير حسب الشهادة الصادرة أو حجم المعاملات أو من خلال الاشتراكات السنوية. تختلف الأسعار بشكل كبير: تكلف الشهادة المؤهلة الفردية بين 50 و 200 يورو بدون ضريبة سنوياً، بينما قد تتجاوز حلول التوقيع الضخمة (الخادم) عدة آلاف يورو سنوياً. قارن العروض في السوق مع مقارنتنا لحلول التوقيع الإلكتروني.

الدعم والامتثال لـ RGPD وموقع البيانات

يعتبر TSP الذي يعالج البيانات الشخصية (وهو الحال دائماً لإصدار الشهادات المؤهلة) خاضعاً لـ RGPD رقم 2016/679. تحقق من:

• موقع البيانات (استضافة داخل الاتحاد الأوروبي أم خارجه؟)
• سياسة حفظ وحذف البيانات
• وجود ضابط حماية البيانات (Data Protection Officer) معين
• المعالجة الثانوية المحتملة والشروط التعاقدية القياسية (CCT) المعمول بها

للشركات التي ترغب في الهجرة من حل موجود إلى مزود أكثر امتثالاً، يفصل دليلنا حول الهجرة من DocuSign أو YouSign إلى Certyneo المراحل والاحتياطات المطلوبة.

الإطار القانوني الذي ينطبق على مقدمي خدمات TSP eIDAS

النصوص الأساسية

يستند الإطار القانوني لمقدمي خدمات الثقة إلى عدة طبقات تنظيمية متشابكة.

لائحة eIDAS رقم 910/2014/UE (المعدلة بموجب لائحة الاتحاد الأوروبي 2024/1183 تسمى "eIDAS 2.0"): النص المرجعي الذي يحدد خدمات الثقة ومستويات التأهيل والتزامات TSP (المواد 13 إلى 22 للالتزامات العامة والمواد 23 إلى 45 للخدمات المؤهلة المحددة) ونظام المسؤولية (المادة 13: المسؤولية عن أي ضرر يسبب عن قصد أو بسبب الإهمال، مع عكس عبء الإثبات لصالح الضحية).

قانون مدني فرنسي، المادتان 1366 و 1367: تضع المادة 1366 مبدأ تكافؤ الكتابة الإلكترونية مع الكتابة على وسيط ورقي بشرط التعريف بالمؤلف والحفاظ على التكامل. تحدد المادة 1367 التوقيع الإلكتروني وافتراض موثوقيته عندما يكون مؤهلاً بمعنى eIDAS.

مرسوم رقم 2017-1416 بتاريخ 28 سبتمبر 2017 بشأن التوقيع الإلكتروني: يوضح بموجب القانون الفرنسي شروط التوقيع الإلكتروني الموثوق به التقنية والإجرائية، مع الإحالة الصريحة إلى متطلبات eIDAS.

التزامات الأمان والإخطار

تفرض المادة 19 من eIDAS على TSP اتخاذ تدابير تقنية وتنظيمية مناسبة لإدارة المخاطر التي تواجه خدماتهم. في حالة حادثة أمنية أو فقدان تكامل مؤثر بشكل جوهري على الخدمة أو البيانات الشخصية، يجب على TSP إخطار منظم الإشراف بدون تأخير لا مبرر له وفي موعد لا يتجاوز 24 ساعة بعد اكتشافه. يتراكم هذا الالتزام مع الالتزام المنصوص عليه في المادة 33 من RGPD رقم 2016/679 (الإخطار إلى السلطة الرقابية — CNIL في فرنسا — في غضون 72 ساعة).

خضعت توجيهية NIS2 (2022/2555/UE)، المنقولة إلى القانون الفرنسي بموجب القانون رقم 2023-703 بتاريخ 1 أغسطس 2023، TSP المؤهل لمتطلبات معززة لإدارة المخاطر السيبرية وإخطار الحوادث، بصفتهم كيانات حيوية أو مهمة وفقاً لحجمهم.

المسؤولية والعقوبات

نظام المسؤولية eIDAS (المادة 13) صارم: يُفترض أن يكون TSP مسؤولاً عن أي ضرر يسببه لأي شخص طبيعي أو معنوي بسبب مخالفة التزاماته. يقع على عاتقه إثبات عدم الخطأ. قد تشمل العقوبات الوطنية لعدم الامتثال سحب التأهيل والغرامات الإدارية (تصل إلى 10 ملايين يورو أو 2% من رقم الأعمال العالمي بموجب RGPD) والإجراءات المتعلقة بالمسؤولية المدنية. في فرنسا، يمكن لـ ANSSI أيضاً أن تفرض تدابير تصحيحية.

سيناريوهات الاستخدام: TSP eIDAS في الممارسة العملية

مكتب محاماة يدير إجراءات قضائية بدون أوراق

يتعامل مكتب محاماة متخصص في قضايا تجارية يضم حوالي 50 متعاوناً يومياً مع وثائق تتطلب توقيعاً مؤهلاً: مذكرات الطعن وخطابات التوكيل ووثائق نقل متاجر تجارية. من خلال الاعتماد على QTSP مرجعي على قائمة الثقة الفرنسية، ينتج المكتب توقيعات PAdES-LTV (التحقق من صلاحية المدى الطويل) تتضمن طابعاً زمنياً مؤهلاً. النتيجة: يقل وقت معالجة المستند القابل للتوقيع من 3 إلى 4 أيام (تبادل الأوراق) إلى أقل من ساعتين. القيمة الثابتة لكل توقيع قابلة للتحقق تلقائياً من قبل الطرف الآخر والمحاكم، بدون خبرة إضافية، مما يقلل من الطعون الإجرائية بنسبة حوالي 70% وفقاً لردود الفعل الميدانية من مكاتب مماثلة.

شركة صناعية صغيرة ومتوسطة الحجم تأمن عقودها مع الموردين عبر الحدود

شركة صناعية صغيرة ومتوسطة الحجم فرنسية بحوالي 180 موظفاً، تُمول من موردين في ألمانيا وبولندا وإسبانيا، كانت يجب عليها سابقاً تصديق أو توثيق بعض المستندات التعاقدية لضمان اعترافها عبر الحدود. من خلال التكامل عبر API مع TSP مؤهل يصدر شهادات معترف بها في الاتحاد الأوروبي بأكمله (المادة 25§2 من eIDAS)، تلغي الشركة هذه الإجراءات الرسمية. يتم توقيع 300 عقد مورد سنوي بشكل إلكتروني الآن مع الاعتراف القانوني التلقائي في الدول الثلاث الشريكة. يقدر المكسب في التكاليف الإدارية والتأخيرات بـ 35 إلى 45% على مجمل دورة العقد، متوافق مع النطاقات المنشورة من قبل الدراسات القطاعية للاتحاد الصناعات الميكانيكية.

مجموعة مستشفيات تحافظ على تكامل ملفاتها الطبية الرقمية

مجموعة مستشفيات بحوالي 1200 سرير يجب عليها ضمان تكامل وأصالة تقارير العمليات والوصفات والموافقات المستنيرة على فترات حفظ تصل إلى 20 سنة (المادة R. 1112-7 من قانون الصحة العامة). من خلال استخدام خدمة طابع زمني إلكتروني مؤهل مقدمة من TSP مؤهل، تنشئ المجموعة أدلة تكامل لا تقبل التزوير عند إنتاج الوثيقة. يمكن للتدقيقات الداخلية والعمليات الرقابية من قبل HAS (السلطة الوطنية العليا للصحة) التحقق تلقائياً من تكامل كل مستند مؤرشف، مما يقلل من عبء العمل على فرق الجودة بحوالي 25% وفقاً لمعايير القطاع الصحي.

أسئلة متكررة

ما هو مقدم خدمات الثقة المؤهل بمعنى eIDAS؟

مقدم خدمات ثقة مؤهل (QTSP) هو منظمة حصلت على المركز المؤهل من منظم الإشراف بدولتها العضو (ANSSI في فرنسا)، بعد تدقيق المطابقة من جانب جهة معتمدة. يظهر في قائمة الثقة الوطنية المنشورة وفقاً للمادة 22 من eIDAS. يسمح له هذا المركز بتقديم خدمات بافتراض قانوني بالمطابقة: توقيعات مؤهلة وطوابع زمنية مؤهلة وأختام مؤهلة وخدمات بريد إلكتروني موصى بها مؤهلة.

كيف تتحقق من أن مقدم خدمات TSP مؤهل فعلاً بموجب eIDAS؟

يتم التحقق من خلال البوابة الرسمية للمفوضية الأوروبية "eIDAS Trusted List Browser" (tlbrowser.tsl.website) أو من خلال بوابة ANSSI لمقدمي الخدمات الفرنسيين. يكفي البحث عن اسم مقدم الخدمة أو عنوان URL لخدمته. يتم تحديث القائمة في الوقت الفعلي. أي مقدم خدمة يدعي أنه مؤهل بدون الظهور على هذه القائمة لا يستفيد من أي افتراض قانوني مرتبط بخدمات eIDAS المؤهلة.

هل TSP مؤهل في بلد أوروبي معترف به في جميع أنحاء الاتحاد الأوروبي؟

نعم. هذا أحد الإسهامات الأساسية لـ eIDAS: مبدأ الاعتراف المتبادل عبر الحدود (المادة 25§2 للتوقيعات والمادة 35§2 للأختام والمادة 41§2 للطوابع الزمنية). يتم الاعتراف بتوقيع إلكتروني مؤهل ينشأ بواسطة شهادة صادرة عن QTSP فرنسي قانونياً في ألمانيا وإسبانيا وبولندا أو أي دولة عضو أخرى، بدون إجراء إضافي. تعتبر هذه القابلية للتشغيل البيني السبب الأساسي لوجود لائحة eIDAS على المستوى الأوروبي.

###