مقدم خدمات الثقة eIDAS: فهم دور خدمات الثقة

مقدمة

منذ دخول لائحة eIDAS رقم 910/2014 حيز التنفيذ، أصبح مقدمو خدمات الثقة (TSP، Trust Service Providers) العمود الفقري للثقة الرقمية في أوروبا. هؤلاء الفاعلون، الخاضعون لنظام تنظيمي صارم، يوفرون الشهادات والطوابع الزمنية والتوقيعات المؤهلة التي تمنح القوة القانونية لعمليات التبادل الإلكترونية. مع اعتماد لائحة eIDAS 2.0 (لائحة الاتحاد الأوروبي 2024/1183)، تطورت التزاماتهم بشكل إضافي. توضح لك هذه المقالة ماهية مقدم خدمات الثقة، وكيفية اعتماده، والخدمات التي يمكنه تقديمها، ولماذا يعتبر اختيار مقدم خدمات مؤهل حاسماً لشركتك.

---

ما هو مقدم خدمات الثقة (TSP)؟

التعريف والنطاق التنظيمي

وفقاً للمادة 3 من لائحة eIDAS، مقدم خدمات الثقة هو شخص طبيعي أو معنوي يوفر خدمة أو أكثر من خدمات الثقة، إما بصفة مؤهلة أو بصفة غير مؤهلة. تميز اللائحة بوضوح بين هاتين الفئتين: فقط مقدمو الخدمات المؤهلون يستفيدون من افتراض المطابقة والقيمة القانونية المحسنة المرتبطة بخدماتهم.

تشمل خدمات الثقة المغطاة بموجب eIDAS:

• إنشاء والتحقق من والتحقق من صحة التوقيعات الإلكترونية (البسيطة أو المتقدمة أو المؤهلة)
• إنشاء والتحقق من والتحقق من صحة الأختام الإلكترونية (للأشخاص المعنويين)
• إنشاء والتحقق من والتحقق من صحة الطوابع الزمنية الإلكترونية المؤهلة
• خدمات الإرسال الموصى به إلكترونياً
• إصدار وإدارة شهادات لمصادقة مواقع الويب (QWAC)
• الحفظ طويل الأجل للتوقيعات والأختام المؤهلة

منذ eIDAS 2.0، توسع النطاق ليشمل المحافظ الأوروبية للهوية الرقمية (EUDIW) والشهادات على السمات الإلكترونية المؤهلة، مما يعزز نطاق تدخل TSP بشكل أكبر.

التمييز بين TSP المؤهل وغير المؤهل

لا جميع مقدمي خدمات الثقة متساوون من الناحية القانونية. TSP غير المؤهل يمكنه ممارسة النشاط بحرية، لكن خدماته لا تتضمن أي افتراض قانوني للمطابقة. TSP المؤهل (QTSP، Qualified Trust Service Provider) مدرج في قائمة الثقة الوطنية المراقبة (Trusted List) بدولته العضو، والمنشورة والمحفوظة وفقاً للمادة 22 من eIDAS والقرار التنفيذي 2015/1505.

في فرنسا، ANSSI (الوكالة الوطنية لأمن نظم المعلومات) هي التي تلعب دور منظم الإشراف (المادة 17 من eIDAS). قائمة الثقة الفرنسية متاحة عبر البوابة الأوروبية المركزية. لمزيد من المعلومات حول الهرمية بين مستويات التوقيع واعترافها، اطلع على دليلنا الشامل للائحة eIDAS 2.0.

---

عملية تأهيل TSP

التدقيق على الامتثال من جانب جهة تقييم المطابقة

للحصول على مركز مؤهل، يجب على مقدم الخدمة الخضوع لتدقيق تجريه جهة تقييم المطابقة (OEC) معتمدة من قبل COFRAC في فرنسا (أو ما يعادلها الوطني في كل دولة عضو). يتحقق هذا التدقيق من الامتثال لمتطلبات الملحق الثاني من eIDAS (للشهادات المؤهلة) والمعايير ETSI المعمول بها.

المعايير التقنية المرجعية الرئيسية هي:

• ETSI EN 319 401: المتطلبات العامة لـ TSP
• ETSI EN 319 411-1 و -2: سياسة وممارسات الإصدار للشهادات المؤهلة
• ETSI EN 319 421: السياسة والممارسات لـ TSP الطوابع الزمنية
• ETSI EN 319 132: ملف تعريف XAdES للتوقيعات المتقدمة والمؤهلة
• ETSI EN 319 122: ملف تعريف CAdES

يسفر التدقيق عن تقرير تقييم يُنقل إلى منظم الإشراف الوطني، الذي يمكنه منح أو رفض أو سحب التأهيل. عادة ما تبلغ فترة صلاحية شهادة التأهيل 24 شهراً، وقابلة للتجديد.

قائمة الثقة الأوروبية: سجل المرجع

قائمة الثقة الأوروبية (EU Trusted List، أو TL) هي الآلية المركزية التي يضمن بها eIDAS القابلية للتشغيل البيني عبر الحدود. تنشر كل دولة عضو قائمتها الوطنية، وتجمع المفوضية الأوروبية المجموع في قائمة قوائم الثقة (LOTL). تسمح هذه البنية الهرمية لأي نظام تحقق بالصعود حتى جذر الثقة الأوروبي.

اعتباراً من 1 يناير 2026، تحتوي LOTL على أكثر من 200 TSP مؤهل عبر جميع الدول الأعضاء، يصدرون مجتمعين ملايين الشهادات المؤهلة سنوياً. بالنسبة لمشتري حل SaaS، يعتبر التحقق من وجود المزود على هذه القائمة هو أول عملية فحص جدية.

التزامات المراقبة المستمرة

التأهيل لا يتم اكتساب نهائياً. خضوع TSP المؤهل لـ:

• عمليات تدقيق دورية (على الأقل كل 24 شهراً)
• إخطار فوري بأي حادثة أمنية تؤثر على الخدمات (المادة 19 من eIDAS)
• الحفاظ على سياسة الإصدار (CP) وبيان ممارسات الإصدار (CPS) عام
• الحفاظ على خطة استمرارية العمل وخطة إيقاف النشاط تضمن حفظ البيانات في حالة التوقف

---

الخدمات المؤهلة ونطاقها القانوني

التوقيع الإلكتروني المؤهل (SEQ)

التوقيع الإلكتروني المؤهل هو المستوى الأعلى المنصوص عليه بموجب eIDAS. يستند إلى شهادة مؤهلة صادرة عن QTSP وينشأ باستخدام جهاز إنشاء توقيع إلكتروني مؤهل (QSCD)، مثل بطاقة ذكية معتمدة Common Criteria EAL4+ أو HSM (Hardware Security Module) متوافق مع ملف الحماية EN 419 221-5.

تضع المادة 25§2 من eIDAS مبدأ التكافؤ مع التوقيع اليدوي: التوقيع الإلكتروني المؤهل الصادر عن دولة عضو معترف به في جميع الدول الأعضاء بدون إجراء إضافي. هذا هو المستوى الوحيد الذي ينطبق عليه هذا الافتراض القانوني تلقائياً. لمزيد من المعلومات حول القيمة القانونية للتوقيع الإلكتروني حسب السياقات التعاقدية، أعددنا دليلاً مخصصاً.

الطابع الزمني الإلكتروني المؤهل

الطابع الزمني الإلكتروني المؤهل (QTS، Qualified Time Stamp) يشهد بطريقة لا تقبل التزوير على وجود مستند أو بيانات في لحظة محددة. وفقاً للمادة 41 من eIDAS، يستفيد من افتراض دقة التاريخ والوقت، وكذلك تكامل البيانات.

تشمل الاستخدامات النموذجية: إثبات إيداع براءة الاختراع والأرشفة الثابتة والتوثيق الإلزامي للأحداث التعاقدية. يلعب الطابع الزمني الإلكتروني المؤهل دوراً مركزياً في الحفظ طويل الأجل للتوقيعات.

خدمة الإرسال الموصى به الإلكتروني المؤهل

خدمة البريد الموصى به الإلكتروني المؤهل (REMS qualified، Qualified Electronic Registered Mail Service) هي المكافئ الرقمي للرسالة الموصى بها مع إشعار الاستلام. تضمن تحديد الأطراف وتكامل البيانات المرسلة والطابع الزمني للإرسال والاستقبال. تمنح المادة 44 من eIDAS افتراضاً بتكامل البيانات ودقة تاريخ الإرسال والاستقبال. هذه الخدمة مفيدة بشكل خاص للإنذارات الرسمية وإلغاء العقود والإخطارات القانونية.

---

اختيار مقدم خدمات TSP الخاص بك: معايير حاسمة

التأهيل والقابلية للتشغيل البيني والتغطية الجغرافية

المعيار الأول هو بوضوح الوجود على قائمة الثقة الخاصة بالدول الأعضاء التي تعمل فيها. لكن بعد التأهيل الرسمي، تدخل عدة أبعاد عملية في الاعتبار:

• القابلية للتشغيل البيني: هل يدعم TSP معايير ETSI القياسية (XAdES و PAdES و CAdES و JAdES)؟ هل ستكون التوقيعات المنتجة قابلة للتحقق بواسطة أدوات جهات خارجية مثل أداة التحقق من DSS الأوروبية؟
• توفر الخدمة: ما هو ضمان مستوى الخدمة (SLA)؟ هل البنية التحتية QSCD مكررة جغرافياً؟
• التغطية الجغرافية: إذا كنت تعمل في عدة دول أوروبية، هل يقدم TSP شهادات مؤهلة معترف بها في هذه الدول؟
• واجهات برمجة التطبيقات والتكامل: هل واجهات برمجة التطبيقات REST/SOAP موثقة بشكل جيد؟ هل يوجد SDK أو تكامل أصلي مع مكدس التطبيق الخاص بك؟

الشفافية في الأسعار والنموذج التجاري

يفرض TSP المؤهل عادة فواتير حسب الشهادة الصادرة أو حجم المعاملات أو من خلال الاشتراكات السنوية. تختلف الأسعار بشكل كبير: تكلف الشهادة المؤهلة الفردية بين 50 و 200 يورو بدون ضريبة سنوياً، بينما قد تتجاوز حلول التوقيع الضخمة (الخادم) عدة آلاف يورو سنوياً. قارن العروض في السوق مع مقارنتنا لحلول التوقيع الإلكتروني.

الدعم والامتثال لـ RGPD وموقع البيانات

يعتبر TSP الذي يعالج البيانات الشخصية (وهو الحال دائماً لإصدار الشهادات المؤهلة) خاضعاً لـ RGPD رقم 2016/679. تحقق من:

• موقع البيانات (استضافة داخل الاتحاد الأوروبي أم خارجه؟)
• سياسة حفظ وحذف البيانات
• وجود ضابط حماية البيانات (Data Protection Officer) معين
• المعالجة الثانوية المحتملة والشروط التعاقدية القياسية (CCT) المعمول بها

للشركات التي ترغب في الهجرة من حل موجود إلى مزود أكثر امتثالاً، يفصل دليلنا حول الهجرة من DocuSign أو YouSign إلى Certyneo المراحل والاحتياطات المطلوبة.

الإطار القانوني الذي ينطبق على مقدمي خدمات TSP eIDAS

النصوص الأساسية

يستند الإطار القانوني لمقدمي خدمات الثقة إلى عدة طبقات تنظيمية متشابكة.

لائحة eIDAS رقم 910/2014/UE (المعدلة بموجب لائحة الاتحاد الأوروبي 2024/1183 تسمى "eIDAS 2.0"): النص المرجعي الذي يحدد خدمات الثقة ومستويات التأهيل والتزامات TSP (المواد 13 إلى 22 للالتزامات العامة والمواد 23 إلى 45 للخدمات المؤهلة المحددة) ونظام المسؤولية (المادة 13: المسؤولية عن أي ضرر يسبب عن قصد أو بسبب الإهمال، مع عكس عبء الإثبات لصالح الضحية).

قانون مدني فرنسي، المادتان 1366 و 1367: تضع المادة 1366 مبدأ تكافؤ الكتابة الإلكترونية مع الكتابة على وسيط ورقي بشرط التعريف بالمؤلف والحفاظ على التكامل. تحدد المادة 1367 التوقيع الإلكتروني وافتراض موثوقيته عندما يكون مؤهلاً بمعنى eIDAS.

مرسوم رقم 2017-1416 بتاريخ 28 سبتمبر 2017 بشأن التوقيع الإلكتروني: يوضح بموجب القانون الفرنسي شروط التوقيع الإلكتروني الموثوق به التقنية والإجرائية، مع الإحالة الصريحة إلى متطلبات eIDAS.

التزامات الأمان والإخطار

تفرض المادة 19 من eIDAS على TSP اتخاذ تدابير تقنية وتنظيمية مناسبة لإدارة المخاطر التي تواجه خدماتهم. في حالة حادثة أمنية أو فقدان تكامل مؤثر بشكل جوهري على الخدمة أو البيانات الشخصية، يجب على TSP إخطار منظم الإشراف بدون تأخير لا مبرر له وفي موعد لا يتجاوز 24 ساعة بعد اكتشافه. يتراكم هذا الالتزام مع الالتزام المنصوص عليه في المادة 33 من RGPD رقم 2016/679 (الإخطار إلى السلطة الرقابية — CNIL في فرنسا — في غضون 72 ساعة).

خضعت توجيهية NIS2 (2022/2555/UE)، المنقولة إلى القانون الفرنسي بموجب القانون رقم 2023-703 بتاريخ 1 أغسطس 2023، TSP المؤهل لمتطلبات معززة لإدارة المخاطر السيبرية وإخطار الحوادث، بصفتهم كيانات حيوية أو مهمة وفقاً لحجمهم.

المسؤولية والعقوبات

نظام المسؤولية eIDAS (المادة 13) صارم: يُفترض أن يكون TSP مسؤولاً عن أي ضرر يسببه لأي شخص طبيعي أو معنوي بسبب مخالفة التزاماته. يقع على عاتقه إثبات عدم الخطأ. قد تشمل العقوبات الوطنية لعدم الامتثال سحب التأهيل والغرامات الإدارية (تصل إلى 10 ملايين يورو أو 2% من رقم الأعمال العالمي بموجب RGPD) والإجراءات المتعلقة بالمسؤولية المدنية. في فرنسا، يمكن لـ ANSSI أيضاً أن تفرض تدابير تصحيحية.

سيناريوهات استخدام توضيحية: مزوّد خدمات الثقة المؤهل TSP بموجب eIDAS

مكتب محاماة يدير إجراءات قضائية بدون أوراق

هذه السيناريوهات توضيحية: فهي تصف حالات نموذجية ولا تعكس أي نتيجة فعلية قِيست لدى أحد العملاء. يتعامل مكتب محاماة في مجال الأعمال يضم نحو خمسين موظفًا يوميًا مع وثائق تستلزم توقيعًا إلكترونيًا مؤهلًا: المذكرات القانونية، وتفويضات التمثيل، وعقود التنازل عن الأصول التجارية. وباعتماده على QTSP مُدرج ضمن قائمة الثقة الفرنسية، ينشئ المكتب توقيعات PAdES-LTV (التحقق طويل الأمد) تتضمن ختم زمني مؤهل. ويمكن بذلك تقليص مدة معالجة الوثيقة القابلة للتوقيع، التي تستلزم عادة تنقل الأوراق، بشكل ملحوظ. كما تصبح القيمة الإثباتية لكل توقيع قابلة للتحقق تلقائيًا من قبل الطرف الخصم والجهات القضائية، دون الحاجة إلى خبرة إضافية، مما يحد من الطعون الإجرائية. ويُقاس حجم المكسب فعليًا على نطاق المكتب نفسه، قبل تجربة تجريبية وبعدها.

شركة صناعية صغيرة ومتوسطة الحجم تأمن عقودها مع الموردين عبر الحدود

تحتاج شركة صناعية فرنسية متوسطة الحجم تضم نحو 180 موظفًا، تتزوّد من موردين في ألمانيا وبولندا وإسبانيا، أحيانًا إلى تصديق أو توثيق بعض الوثائق التعاقدية لضمان الاعتراف بها عبر الحدود. وبإدماج مزوّد خدمات ثقة مؤهل عبر واجهة برمجية API يصدر شهادات معترفًا بها في كامل الاتحاد الأوروبي (المادة 25§2 من eIDAS)، تتجنب الشركة هذه الإجراءات الشكلية. ويمكن توقيع عقودها السنوية البالغ عددها 300 عقد مع الموردين إلكترونيًا مع اعتراف قانوني في الدول الشريكة الثلاث. كما تنخفض التكاليف الإدارية والآجال على امتداد دورة التعاقد بأكملها. ويُقاس حجم المكسب فعليًا على نطاق الشركة نفسها، قبل تجربة تجريبية وبعدها.

مجموعة مستشفيات تحافظ على تكامل ملفاتها الطبية الرقمية

يحتاج تجمع استشفائي يضم نحو 1200 سرير إلى ضمان سلامة وموثوقية تقاريره الجراحية ووصفاته الطبية وموافقاته المستنيرة على مدى فترات حفظ قد تصل إلى عشرين عامًا (المادة R. 1112-7 من قانون الصحة العامة الفرنسي). وباستخدام خدمة ختم زمني إلكتروني مؤهل يوفرها QTSP، ينشئ التجمع أدلة سلامة غير قابلة للتزوير منذ لحظة إنشاء الوثيقة. وبات بإمكان عمليات التدقيق الداخلي ومراقبات الهيئة العليا للصحة (HAS) التحقق تلقائيًا من سلامة كل وثيقة مؤرشفة، مما يخفف عبء العمل عن فرق الجودة. ويُقاس حجم المكسب فعليًا على نطاق التجمع نفسه، قبل تجربة تجريبية وبعدها.

أسئلة متكررة

ما هو مقدم خدمات الثقة المؤهل بمعنى eIDAS؟

مقدم خدمات ثقة مؤهل (QTSP) هو منظمة حصلت على المركز المؤهل من منظم الإشراف بدولتها العضو (ANSSI في فرنسا)، بعد تدقيق المطابقة من جانب جهة معتمدة. يظهر في قائمة الثقة الوطنية المنشورة وفقاً للمادة 22 من eIDAS. يسمح له هذا المركز بتقديم خدمات بافتراض قانوني بالمطابقة: توقيعات مؤهلة وطوابع زمنية مؤهلة وأختام مؤهلة وخدمات بريد إلكتروني موصى بها مؤهلة.

كيف تتحقق من أن مقدم خدمات TSP مؤهل فعلاً بموجب eIDAS؟

يتم التحقق من خلال البوابة الرسمية للمفوضية الأوروبية "eIDAS Trusted List Browser" (tlbrowser.tsl.website) أو من خلال بوابة ANSSI لمقدمي الخدمات الفرنسيين. يكفي البحث عن اسم مقدم الخدمة أو عنوان URL لخدمته. يتم تحديث القائمة في الوقت الفعلي. أي مقدم خدمة يدعي أنه مؤهل بدون الظهور على هذه القائمة لا يستفيد من أي افتراض قانوني مرتبط بخدمات eIDAS المؤهلة.

هل TSP مؤهل في بلد أوروبي معترف به في جميع أنحاء الاتحاد الأوروبي؟

نعم. هذا أحد الإسهامات الأساسية لـ eIDAS: مبدأ الاعتراف المتبادل عبر الحدود (المادة 25§2 للتوقيعات والمادة 35§2 للأختام والمادة 41§2 للطوابع الزمنية). يتم الاعتراف بتوقيع إلكتروني مؤهل ينشأ بواسطة شهادة صادرة عن QTSP فرنسي قانونياً في ألمانيا وإسبانيا وبولندا أو أي دولة عضو أخرى، بدون إجراء إضافي. تعتبر هذه القابلية للتشغيل البيني السبب الأساسي لوجود لائحة eIDAS على المستوى الأوروبي.

###