TSP доставчик по eIDAS: разберете ролята на удостоверителните услуги

Въведение

От влизането в сила на Регламент eIDAS № 910/2014 насам доставчиците на удостоверителни услуги (TSP, Trust Service Providers) са гръбнакът на цифровото доверие в Европа. Тези участници, подчинени на строга нормативна рамка, издават сертификати, електронни времеви печати и квалифицирани подписи, които придават правна сила на електронния обмен. С приемането на Регламент eIDAS 2.0 (Регламент (ЕС) 2024/1183) задълженията им бяха допълнително разширени. В тази статия ще научите какво е TSP, как получава квалифициран статус, какви услуги може да предлага и защо изборът на квалифициран доставчик е решаващ за вашето предприятие.

---

Какво е доставчик на удостоверителни услуги (TSP)?

Дефиниция и нормативен обхват

Съгласно член 3 от Регламент eIDAS доставчик на удостоверителни услуги е физическо или юридическо лице, което предоставя една или повече удостоверителни услуги като квалифициран или неквалифициран доставчик. Регламентът ясно разграничава тези две категории: само квалифицираните доставчици се ползват от презумпция за съответствие и засилена правна сила на своите услуги.

Удостоверителните услуги, обхванати от eIDAS, включват:

• Създаване, проверка и валидиране на електронни подписи (обикновени, усъвършенствани или квалифицирани)
• Създаване, проверка и валидиране на електронни печати (за юридически лица)
• Създаване, проверка и валидиране на квалифицирани електронни времеви печати
• Услуги за квалифицирана електронна препоръчана поща
• Издаване и управление на удостоверения за автентичност на уебсайтове (QWAC)
• Дългосрочно съхранение на квалифицирани подписи и печати

С eIDAS 2.0 списъкът се разширява с европейските портфейли за цифрова самоличност (EUDIW) и квалифицираните електронни удостоверения за атрибути, което допълнително разширява обхвата на дейност на TSP.

Разликата между квалифициран и неквалифициран TSP

Не всички доставчици на удостоверителни услуги имат еднаква правна тежест. Неквалифициран TSP може да работи свободно, но услугите му не се ползват с презумпция за съответствие. Квалифициран TSP (QTSP, Qualified Trust Service Provider) е вписан в доверителния списък на своята държава членка, публикуван и поддържан съгласно член 22 от eIDAS и Решение за изпълнение (ЕС) 2015/1505.

Във Франция ANSSI (Agence nationale de la sécurité des systèmes d'information) изпълнява ролята на надзорен орган (член 17 от eIDAS). Френският доверителен списък е достъпен чрез централизирания европейски портал. За повече информация относно нивата на подпис и тяхното признаване вижте нашето подробно ръководство за Регламент eIDAS 2.0.

---

Процес на квалификация на TSP

Одит на съответствие от орган за оценка на съответствието

За да получи квалифициран статус, доставчикът трябва да премине одит, извършен от орган за оценка на съответствието (CAB), акредитиран от COFRAC във Франция (или от съответния национален орган по акредитация във всяка държава членка). Одитът проверява съответствието с изискванията на Приложение II към eIDAS и приложимите стандарти на ETSI.

Основните технически стандарти са:

• ETSI EN 319 401: общи изисквания за TSP
• ETSI EN 319 411-1 и -2: политика и практики за сертифициране при квалифицирани сертификати
• ETSI EN 319 421: политика и практики за TSP, издаващи електронни времеви печати
• ETSI EN 319 132: профил XAdES за усъвършенствани и квалифицирани подписи
• ETSI EN 319 122: профил CAdES

Одитът завършва с доклад за оценка на съответствието, който се предава на националния надзорен орган; той може да предостави, да откаже или да отнеме квалифицирания статус. Докладът обикновено е валиден 24 месеца и подлежи на подновяване.

Европейският доверителен списък: централният регистър

Европейският доверителен списък (EU Trusted List, или TL) е основният механизъм, чрез който eIDAS гарантира трансграничната оперативна съвместимост. Всяка държава членка публикува свой национален списък, а Европейската комисия ги обединява в Списъка на доверителните списъци (LOTL). Тази йерархична архитектура позволява на всяка система за проверка да проследи веригата до европейския корен на доверие.

Към 1 януари 2026 г. LOTL включва над 200 квалифицирани TSP във всички държави членки, които издават общо милиони квалифицирани сертификати годишно. За купувача на SaaS решение проверката дали доставчикът фигурира в този списък е първата стъпка на дължимата грижа.

Задължения за текущо съответствие

Квалифицираният статус не се получава веднъж завинаги. Квалифицираните TSP подлежат на:

• Периодични одити (поне всеки 24 месеца)
• Незабавно уведомяване за всеки инцидент със сигурността, засягащ услугите (член 19 от eIDAS)
• Поддържане на актуална и публична политика на сертификация (CP) и декларация за сертификационната практика (CPS)
• Поддържане на план за непрекъснатост на дейността и план за прекратяване на дейността, които гарантират запазването на данните при преустановяване на услугите

---

Квалифицираните услуги и техният правен обхват

Квалифициран електронен подпис (КЕП)

Квалифицираният електронен подпис е най-високото ниво, предвидено в eIDAS. Той се основава на квалифициран сертификат, издаден от QTSP, и се създава с квалифицирано устройство за създаване на електронен подпис (QSCD), например смарт карта, сертифицирана по Common Criteria EAL4+, или HSM (Hardware Security Module) в съответствие със защитния профил EN 419 221-5.

Член 25§2 от eIDAS установява принципа на равностойност със саморъчния подпис: КЕП, създаден в една държава членка, се признава във всички държави членки без допълнителни формалности. Това е единственото ниво, за което тази презумпция се прилага автоматично. За да научите повече за правната стойност на електронния подпис в различните договорни контексти, вижте специалното ни ръководство.

Квалифициран електронен времеви печат

Квалифицираният електронен времеви печат (QTS, Qualified Time Stamp) удостоверява по неоспорим начин, че даден документ или данни са съществували в определен момент. Съгласно член 41 от eIDAS той се ползва с презумпция за точност на датата и часа, както и за целостта на данните.

Типичните приложения включват: доказване на датата на заявка за патент, архиви с доказателствена стойност, регистриране на събития по договори. Квалифицираният електронен времеви печат играе и централна роля при дългосрочното съхранение на подписи.

Услуга за квалифицирана електронна препоръчана поща

Квалифицираната REMS (Qualified Electronic Registered Mail Service) е цифровият еквивалент на препоръчаното писмо с обратна разписка. Тя гарантира идентификацията на страните, целостта на изпратените данни и датата и часа на изпращане и получаване. Член 44 от eIDAS ѝ осигурява презумпция за целостта на данните и за точността на датата и часа на изпращане и получаване. Услугата е особено полезна за официални покани, прекратяване на договори или правни уведомления.

---

Избор на TSP доставчик: решаващи критерии

Квалификация, оперативна съвместимост и географски обхват

Първият критерий очевидно е присъствието в доверителния списък на една или повече държави членки, в които работите. Но освен официалната квалификация значение имат и няколко практически аспекта:

• Оперативна съвместимост: поддържа ли TSP стандартните формати на ETSI (XAdES, PAdES, CAdES, JAdES)? Могат ли създадените подписи да се проверяват с външни инструменти като европейския валидатор DSS?
• Наличност на услугата: какво SLA е гарантирано? Резервирани ли са QSCD инфраструктурите в различни географски локации?
• Географски обхват: ако работите в няколко европейски държави, предлага ли TSP квалифицирани сертификати, признати в тези държави?
• API и интеграция: добре ли са документирани REST/SOAP API? Има ли SDK или готова интеграция с вашия технологичен стек?

Прозрачност на цените и бизнес модел

Квалифицираните TSP обикновено таксуват на издаден сертификат, според обема транзакции или чрез годишни абонаменти. Цените варират значително: квалифициран персонален сертификат струва между 50 и 200 € без ДДС годишно, докато решенията за масово подписване (сървърни) могат да надхвърлят няколко хиляди евро годишно. Сравнете пазарните оферти с нашия сравнител на решения за електронен подпис.

Поддръжка, съответствие с GDPR и местоположение на данните

TSP, които обработват лични данни (което е неизбежно при издаването на квалифицирани сертификати), са обвързани с GDPR № 2016/679. Проверете:

• Местоположението на данните (хостинг в ЕС или извън ЕС?)
• Политиката за съхранение и изтриване на данните
• Наличието на определено длъжностно лице по защита на данните (DPO)
• Евентуално подизпълнение и приложими стандартни договорни клаузи (SCC)

За предприятия, които искат да преминат от сегашното си решение към доставчик с по-добро съответствие, нашето ръководство за миграция от DocuSign или YouSign към Certyneo описва подробно стъпките и мерките за безопасност.

Правна рамка за TSP доставчиците по eIDAS

Основни нормативни актове

Правната рамка за доставчиците на удостоверителни услуги се основава на няколко взаимосвързани нормативни нива.

Регламент eIDAS № 910/2014/ЕС (изменен с Регламент (ЕС) 2024/1183, т.нар. „eIDAS 2.0“): основният акт, който определя удостоверителните услуги, нивата на квалификация, задълженията на TSP (членове 13 до 22 за общите задължения, членове 23 до 45 за отделните квалифицирани услуги) и режима на отговорност (член 13: отговорност за всяка вреда, причинена умишлено или поради небрежност, с обърната тежест на доказване в полза на пострадалия).

Френският Граждански кодекс, членове 1366 и 1367: член 1366 установява равностойността на електронния документ с документа на хартия, при условие че авторът е идентифициран и целостта е гарантирана. Член 1367 определя електронния подпис и неговата презумпция за надеждност, когато той е квалифициран по смисъла на eIDAS.

Декрет № 2017-1416 от 28 септември 2017 г. относно електронния подпис: уточнява във френското право условията за надежден електронен подпис, като изрично препраща към изискванията на eIDAS.

Задължения за сигурност и уведомяване

Член 19 от eIDAS задължава TSP да предприемат подходящи технически и организационни мерки за управление на рисковете за своите услуги. При инцидент със сигурността или нарушаване на целостта със съществено въздействие върху услугата или личните данни TSP трябва да уведоми надзорния орган без ненужно забавяне и най-късно в рамките на 24 часа след узнаването. Това задължение се съчетава с предвиденото в член 33 от GDPR № 2016/679 (уведомяване на надзорния орган по защита на данните — CNIL във Франция — в срок до 72 часа).

Директива NIS2 (2022/2555/ЕС), транспонирана във френското право със закон № 2023-703 от 1 август 2023 г., налага на квалифицираните TSP засилени изисквания за управление на киберрисковете и за уведомяване за инциденти като съществени или важни субекти в зависимост от размера им.

Отговорност и санкции

Режимът на отговорност по eIDAS (член 13) е строг: предполага се, че TSP носи отговорност за всяка вреда, причинена на физическо или юридическо лице поради неизпълнение на задълженията му. Той трябва да докаже липсата на вина. Националните санкции за несъответствие могат да включват отнемане на квалифицирания статус, административни глоби (до 10 млн. евро или 2 % от световния оборот съгласно GDPR) и искове за гражданска отговорност. Във Франция ANSSI може също да наложи задължителни коригиращи мерки.

Илюстративни сценарии за използване: QTSP по eIDAS

Адвокатска кантора, която управлява процесуални актове в електронен вид

Тези сценарии са илюстративни: те описват типични ситуации и не отразяват никакъв измерен резултат при клиент. Адвокатска кантора за бизнес право с около петдесет сътрудници обработва ежедневно актове, изискващи квалифициран електронен подпис: заключения, пълномощни за представителство, актове за прехвърляне на търговски предприятия. Опирайки се на QTSP, вписан във френския Trusted List, кантората генерира подписи PAdES-LTV (Long-Term Validation), включващи квалифициран електронен времеви печат. Срокът за обработка на подлежащ на подписване акт, който предполага хартиен документооборот, може по този начин да бъде значително съкратен. Доказателствената стойност на всеки подпис е автоматично проверима от насрещната страна и от съдилищата, без допълнителна експертиза, което ограничава процесуалните оспорвания. Мащабът на печалбата се измерва в реалния периметър на кантората, преди и след пилотен проект.

Индустриално МСП, което защитава трансграничните си договори с доставчици

Френско промишлено МСП с около 180 служители, снабдявано от доставчици в Германия, Полша и Испания, понякога трябва да легализира или апостилира определени договорни документи, за да гарантира тяхното трансгранично признаване. Чрез интегриране посредством API на квалифициран доставчик на доверителни услуги (TSP), издаващ сертификати, признати в целия ЕС (член 25, параграф 2 от eIDAS), МСП избягва тези формалности. Неговите 300 годишни договора с доставчици могат да бъдат подписвани електронно с правно признаване в трите партньорски държави. Административните разходи и сроковете по целия договорен цикъл намаляват. Мащабът на печалбата се измерва в реалния периметър на МСП-то, преди и след пилотен проект.

Болнична група, която гарантира целостта на цифровите си медицински досиета

Болнична група с около 1200 легла трябва да гарантира целостта и автентичността на своите оперативни протоколи, предписания и информирани съгласия за срокове на съхранение до 20 години (член R. 1112-7 от Кодекса за общественото здраве). Използвайки услуга за квалифициран електронен времеви печат, предоставяна от QTSP, групата създава неподправими доказателства за цялост още при създаването на документа. Вътрешните одити и проверките на HAS (Haute Autorité de Santé) вече могат автоматично да проверяват целостта на всеки архивиран документ, което облекчава натовареността на екипите по качество. Мащабът на печалбата се измерва в реалния периметър на групата, преди и след пилотен проект.

Често задавани въпроси

Какво е квалифициран доставчик на удостоверителни услуги според eIDAS?

Квалифицираният доставчик на удостоверителни услуги (QTSP) е организация, получила квалифициран статус от надзорния орган на своята държава членка (ANSSI във Франция) след одит на съответствието от акредитиран орган. Той фигурира в националния доверителен списък, публикуван съгласно член 22 от eIDAS. Този статус му позволява да предоставя услуги с презумпция за съответствие: квалифицирани подписи, квалифицирани електронни времеви печати, квалифицирани електронни печати и квалифицирана електронна препоръчана поща.

Как да проверя дали даден TSP наистина е квалифициран по eIDAS?

Проверката се извършва чрез официалния портал на Европейската комисия „eIDAS Trusted List Browser“ (tlbrowser.tsl.website) или чрез портала на ANSSI за френските доставчици. Достатъчно е да потърсите името на доставчика или URL адреса на услугата му. Списъкът се актуализира непрекъснато. Доставчик, който твърди, че е квалифициран, но не фигурира в списъка, не се ползва от презумпциите, свързани с квалифицираните услуги по eIDAS.

Признава ли се квалифициран TSP от една европейска държава в целия ЕС?

Да. Това е един от основните приноси на eIDAS: принципът на взаимно трансгранично признаване (член 25§2 за подписите, член 35§2 за печатите, член 41§2 за времевите печати). Квалифициран електронен подпис, създаден със сертификат от френски QTSP, е законово признат в Германия, Испания, Полша и всяка друга държава членка без допълнителни стъпки. Тази оперативна съвместимост е основната причина за съществуването на регламента eIDAS на европейско ниво.

Каква е разликата между квалифициран и усъвършенстван сертификат?

Усъвършенстван сертификат може да бъде издаден от всеки доставчик, квалифициран или не, при спазване на минимални технически изисквания. Квалифициран сертификат може да бъде издаден само от QTSP, вписан в доверителния списък, в съответствие с Приложение I към eIDAS (съдържание на сертификата) и след строга проверка на самоличността на заявителя — лично или чрез квалифициран процес за дистанционна идентификация. Квалифицираният сертификат е необходимо условие за създаването на квалифициран електронен подпис — единственият, който се ползва с презумпция за равностойност със саморъчния подпис.

Може ли TSP да загуби своята квалификация eIDAS? Какви са последствията?

Да. Надзорният орган може да отнеме или да спре квалифицирания статус на TSP при сериозно нарушение на задълженията му (отрицателен одит, сериозен неотстранен инцидент със сигурността, невярна декларация). Отнемането се публикува в доверителния списък със статус „отнет“. Сертификатите, издадени преди отнемането, остават валидни, ако веригата им на доверие е надлежно архивирана. От момента на отнемането обаче не може да се издава нов квалифициран сертификат, а предоставяните услуги вече не се ползват от презумпциите по eIDAS.

Заключение

Доставчиците на удостоверителни услуги (TSP) са много повече от обикновени технически доставчици: те са нормативната и правна основа, върху която почива доказателствената стойност на електронния подпис в Европа. Разбирането на тяхната роля, на процеса на квалификация и на задълженията им е от съществено значение за всяко предприятие, което иска да защити цифровия си обмен с неоспорима правна сила. Изборът на QTSP, вписан в европейския доверителен списък, е задължителен, щом целите квалифициран подпис или квалифициран електронен времеви печат.

Certyneo работи единствено с квалифицирани TSP доставчици, признати по eIDAS, за да ви гарантира електронни подписи с пълна правна сила, признати в целия Европейски съюз. Готови ли сте да защитите договорните си процеси? Създайте безплатен акаунт в Certyneo или свържете се с нашия екип за персонализирана демонстрация.