Poskytovatel TSP eIDAS: pochopení role služeb důvěry

Úvod

Od vstupu nařízení eIDAS č. 910/2014 v platnost tvoří poskytovatelé služeb důvěry (TSP, Trust Service Providers) páteř digitální důvěry v Evropě. Tito aktéři, podléhající přísné regulaci, vydávají certifikáty, časové značky a kvalifikované podpisy, které dávají právní sílu elektronickým výměnám. S přijetím nařízení eIDAS 2.0 (nařízení EU 2024/1183) se jejich povinnosti ještě vyvíjely. Tento článek vám vysvětluje, co je TSP, jak je kvalifikován, jaké služby může nabídnout a proč je výběr kvalifikovaného poskytovatele zásadní pro vaši firmu.

---

Co je poskytovatel služeb důvěry (TSP)?

Definice a regulační scope

Podle článku 3 nařízení eIDAS je poskytovatel služeb důvěry fyzická nebo právnická osoba, která poskytuje jednu nebo více služeb důvěry, a to buď v kvalifikované, nebo v nekvalifikované podobě. Nařízení jasně rozlišuje tyto dvě kategorie: pouze kvalifikovaní poskytovatelé mají prospěch ze zákona o souladu a zesílené právní hodnoty připisované jejich službám.

Služby důvěry pokryté eIDAS zahrnují:

• Vytváření, ověřování a validaci elektronických podpisů (jednoduchých, pokročilých nebo kvalifikovaných)
• Vytváření, ověřování a validaci elektronických pečetí (pro právnické osoby)
• Vytváření, ověřování a validaci kvalifikovaných elektronických časových značek
• Služby kvalifikované elektronické doporučené pošty
• Vydávání a správu certifikátů pro autentizaci webových stránek (QWAC)
• Dlouhodobou ochranu kvalifikovaných podpisů a pečetí

Od eIDAS 2.0 se seznam rozšířil o evropské peněženky digitální identity (EUDIW) a kvalifikované atesty elektronických atributů, což dále posiluje rozsah intervence TSP.

Rozlišení mezi kvalifikovaným a nekvalifikovaným TSP

Ne všichni poskytovatelé služeb důvěry mají stejnou právní hodnotu. Nekvalifikovaný TSP může volně operovat, ale jeho služby nemají žádný právní základ souladu. Kvalifikovaný TSP (QTSP, Qualified Trust Service Provider) je zapsán na národní seznam důvěry pod dohledem (Trusted List) své členské státu, publikovaný a vedený v souladu s článkem 22 eIDAS a rozhodnutím Komise 2015/1505.

Ve Francii hraje roli orgánu dohledu ANSSI (Agence nationale de la sécurité des systèmes d'information). Francouzský seznam důvěry je dostupný přes centralizovaný evropský portál. Další informace o hierarchii úrovní podpisů a jejich uznávání najdete v našem komplexním průvodci nařízením eIDAS 2.0.

---

Proces kvalifikace TSP

Audit shody provedený orgánem pro hodnocení shody

Aby poskytovatel získal status kvalifikovaného, musí se podrobit auditu provedenému orgánem pro hodnocení shody (OEC) akreditovaným COFRAC ve Francii (nebo ekvivalentním národním orgánem v každé členské státě). Tento audit ověřuje soulad s požadavky Přílohy II eIDAS a příslušnými normami ETSI.

Hlavní technické referenční normy jsou:

• ETSI EN 319 401: obecné požadavky na TSP
• ETSI EN 319 411-1 a -2: zásady a postupy certifikace pro kvalifikované certifikáty
• ETSI EN 319 421: zásady a postupy pro TSP poskytující časové značky
• ETSI EN 319 132: profil XAdES pro pokročilé a kvalifikované podpisy
• ETSI EN 319 122: profil CAdES

Audit vede ke zprávě o hodnocení předané národnímu orgánu dohledu, který může kvalifikaci udělit, odmítnout nebo odebrat. Doba platnosti kvalifikačního certifikátu je obvykle 24 měsíců, obnovitelná.

Seznamu důvěry Evropy: referenční registr

Evropský seznam důvěry (EU Trusted List, nebo TL) je centrálním mechanismem, kterým eIDAS zajišťuje mezinárodní interoperabilitu. Každá členská státu publikuje svůj národní seznam, a Evropská komise agreguje všechny v List of Trusted Lists (LOTL). Tato pyramidální architektura umožňuje jakémukoli systému ověřování sledovat zpět až do evropského kořene důvěry.

K 1. lednu 2026 LOTL eviduje přes 200 kvalifikovaných TSP ve všech členských státech, které kolektivně vydávají miliony kvalifikovaných certifikátů ročně. Pro kupujícího řešení SaaS je ověření přítomnosti poskytovatele na tomto seznamu první kontrolou péče.

Povinnosti průběžného monitoringu

Kvalifikace není jednou navždy získaná. Kvalifikovaní TSP jsou podléhají:

• Periodických auditech (alespoň každých 24 měsíců)
• Bezodkladnému oznámení všech incidentů bezpečnosti ovlivňujících služby (článek 19 eIDAS)
• Udržování aktuální zásady certifikace (CP) a prohlášení o praktikách certifikace (CPS) veřejných
• Zachování plánu kontinuity podnikání a plánu ukončení podnikání zaručujícího ochranu dat v případě zastavení

---

Kvalifikované služby a jejich právní rozsah

Kvalifikovaný elektronický podpis (SEQ)

Kvalifikovaný elektronický podpis je nejvyšší úroveň předvídaná eIDAS. Opírá se o kvalifikovaný certifikát vydaný QTSP a je vytvořen pomocí kvalifikovaného zařízení pro vytváření elektronického podpisu (QSCD), například certifikované čipové karty Common Criteria EAL4+ nebo HSM (Hardware Security Module) odpovídající profilu ochrany EN 419 221-5.

Článek 25§2 eIDAS stanovuje princip rovnocennosti s ručně psaným podpisem: SEQ vytvořená v jedné členské státě je uznána ve všech členských státech bez další formalnosti. Jedná se jedinou úroveň, pro kterou se tato právní domněnka uplatňuje automaticky. Chcete-li se hlouběji ponořit do právní hodnoty elektronického podpisu podle různých smluvních kontextů, věnovali jsme dedikovaného průvodce.

Kvalifikovaná elektronická časová značka

Kvalifikovaná elektronická časová značka (QTS, Qualified Time Stamp) nezvratně potvrzuje, že dokument nebo údaj existoval v přesném okamžiku. Podle článku 41 eIDAS se těší domněnce přesnosti data a času a také integrity údajů.

Typické použití zahrnuje: důkaz podání patentu, důkazní archivaci, záznam smluvních událostí. Kvalifikovaná elektronická časová značka také hraje ústřední roli v dlouhodobé ochraně podpisů.

Služba kvalifikované elektronické doporučené pošty

Kvalifikovaná REMS (Qualified Electronic Registered Mail Service) je digitálním ekvivalentem doporučeného dopisu s potvrzením o přijetí. Zajišťuje identifikaci stran, integritu přenesených údajů, časování odeslání a přijetí. Článek 44 eIDAS jí přiznává domněnku integrity údajů a přesnosti data odeslání a přijetí. Tato služba je zvláště užitečná pro upozornění, zrušení smluv nebo právní oznámení.

---

Výběr TSP poskytovatele: rozhodující kritéria

Kvalifikace, interoperabilita a geografické pokrytí

Prvním kritériem je samozřejmě přítomnost na Trusted List jedné nebo více členských států, ve kterých provozujete. Ale mimo formální kvalifikaci existuje několik praktických dimenzí:

• Interoperabilita: podporuje TSP standardní formáty ETSI (XAdES, PAdES, CAdES, JAdES)? Budou podpisy produkovány ověřitelné třetími nástroji jako evropský validátor DSS?
• Dostupnost služby: jaká je zaručená SLA? Jsou infrastruktury QSCD geograficky redundantní?
• Geografické pokrytí: pokud provozujete v několika evropských zemích, nabízí TSP kvalifikované certifikáty uznávané v těchto zemích?
• API a integrace: jsou API REST/SOAP dobře zdokumentovány? Existuje SDK nebo nativní integrace s vaším aplikačním stackem?

Transparentní tvorba cen a obchodní model

Kvalifikovaní TSP obvykle fakturují za vydaný certifikát, za objem transakcí nebo prostřednictvím ročních předplatných. Ceny se výrazně liší: kvalifikovaný individuální certifikát stojí 50 až 200 € bez DPH ročně, zatímco řešení pro hromadné podepisování (server) mohou překročit několik tisíc eur ročně. Porovnejte nabídky na trhu s naším srovnáním řešení elektronického podpisu.

Podpora, soulad GDPR a umístění údajů

TSP zpracovávající osobní údaje (což je systematicky případ pro vydávání kvalifikovaných certifikátů) podléhá GDPR č. 2016/679. Ověřte:

• Umístění údajů (hostování v EU nebo mimo EU?)
• Politiku uchovávání a mazání údajů
• Existenci určeného DPO (Data Protection Officer)
• Případné subdodávky a použitelné standardní smluvní doložky (SCC)

Pro podniky, které chtějí migrovat z existujícího řešení k lépe souladu odpovídajícímu poskytovateli, náš průvodce o migraci z DocuSign nebo YouSign na Certyneo podrobně popisuje kroky a preventivní opatření.

Právní rámec aplikovatelný na TSP poskytovatele eIDAS

Zakládající texty

Právní rámec poskytovatelů služeb důvěry spočívá na několika regulačních vrstvách vzájemně propojených.

Nařízení eIDAS č. 910/2014/EU (změněno nařízením EU 2024/1183 nazývaným „eIDAS 2.0"): referenční text definující služby důvěry, úrovně kvalifikace, povinnosti TSP (články 13 až 22 pro všeobecné povinnosti, články 23 až 45 pro konkrétní kvalifikované služby) a režim odpovědnosti (článek 13: odpovědnost za veškerou škodu způsobenou úmyslně nebo z nedbalosti, s obrácením důkazního břemene ve prospěch poškozeného).

Francouzský občanský zákoník, články 1366 a 1367: článek 1366 stanoví princip rovnocennosti elektronického písma s písmem na papírovém nosiči pod podmínkou identifikace autora a integrity. Článek 1367 definuje elektronický podpis a jeho domněnku spolehlivosti, je-li kvalifikován ve smyslu eIDAS.

Dekret č. 2017-1416 ze 28. září 2017 týkající se elektronického podpisu: upřesňuje v právu francouzské podmínky elektronického podpisu, výslovně odkazujíc na požadavky eIDAS.

Bezpečnostní povinnosti a povinnosti oznamování

Článek 19 eIDAS ukládá TSP přijmout vhodná technická a organizační opatření pro řízení rizik spojených s jejich službami. V případě bezpečnostního incidentu nebo ztráty integrity s významným dopadem na službu nebo osobní údaje musí TSP upozornit orgán dohledu bez zbytečného zpoždění a nejpozději 24 hodin poté, co se o tom dozvěděl. Tato povinnost se kumuluje s tou stanovenou v článku 33 GDPR č. 2016/679 (oznámení orgánu dohledu — CNIL ve Francii — do 72 hodin).

Směrnice NIS2 (2022/2555/EU), transponovaná do francouzského práva zákonem č. 2023-703 ze 1. srpna 2023, podrobuje kvalifikované TSP zesíleným požadavkům na řízení kybernetických rizik a oznamování incidentů, a to jako podstatným nebo důležitým subjektům podle jejich velikosti.

Odpovědnost a sankce

Režim odpovědnosti eIDAS (článek 13) je přísný: TSP je považován za odpovědný za jakoukoli škodu způsobenou jakékoli fyzické nebo právnické osobě porušením jeho povinností. Jemu připadá dokazování absence viny. Národní sankce za neshodu mohou zahrnovat odejmutí kvalifikace, správní pokuty (až 10 M€ nebo 2 % světového obratu podle GDPR) a žaloby na škodu. Ve Francii může ANSSI také vyhlasit nařízená nápravná opatření.

Ilustrativní scénáře použití: QTSP eIDAS

Kancelář právníků řídící dematerializované procesní akty

Tyto scénáře jsou ilustrativní: popisují typové situace a nevypovídají o žádném měřeném výsledku u konkrétního klienta. Advokátní kancelář zabývající se obchodním právem s přibližně padesáti spolupracovníky denně zpracovává dokumenty vyžadující kvalifikovaný elektronický podpis: závěrečné návrhy, plné moci k zastupování, smlouvy o převodu obchodního závodu. Díky využití QTSP uvedeného na francouzském Trusted Listu kancelář generuje podpisy PAdES-LTV (Long-Term Validation) zahrnující kvalifikované časové razítko. Doba zpracování podepisovatelného dokumentu, která dříve vyžadovala papírový oběh, se tak může výrazně zkrátit. Důkazní hodnota každého podpisu je automaticky ověřitelná protistranou i soudy, bez nutnosti dalšího znaleckého posudku, což omezuje procesní spory. Rozsah přínosu je třeba posoudit na vlastním rozsahu kanceláře, před pilotním projektem a po něm.

Malý průmyslový podnik zabezpečující své mezinárodní dodavatelské smlouvy

Francouzský průmyslový podnik se zhruba 180 zaměstnanci, zásobovaný dodavateli z Německa, Polska a Španělska, musí u některých smluvních dokumentů zajišťovat legalizaci nebo apostilu, aby bylo zaručeno jejich přeshraniční uznání. Díky integraci kvalifikovaného TSP přes API, který vydává certifikáty uznávané v celé EU (článek 25§2 eIDAS), se podnik těmto formalitám vyhne. Jeho 300 ročních dodavatelských smluv tak může být podepsáno elektronicky s právním uznáním ve všech třech partnerských zemích. Administrativní náklady a lhůty v celém smluvním cyklu se snižují. Rozsah přínosu je třeba posoudit na vlastním rozsahu podniku, před pilotním projektem a po něm.

Skupiny nemocnic zajišťující integritu svých digitalizovaných zdravotnických záznamů

Nemocniční skupina s přibližně 1 200 lůžky musí zaručit integritu a autenticitu svých operačních zpráv, předpisů a informovaných souhlasů po dobu uchovávání až 20 let (article R. 1112-7 du Code de la santé publique). Díky využití služby kvalifikovaného elektronického časového razítka poskytované QTSP skupina vytváří nefalšovatelné důkazy o integritě již v okamžiku vzniku dokumentu. Interní audity i kontroly HAS (Haute Autorité de Santé) tak mohou nyní automaticky ověřovat integritu každého archivovaného dokumentu, což snižuje pracovní zátěž týmů kvality. Rozsah přínosu je třeba posoudit na vlastním rozsahu skupiny, před pilotním projektem a po něm.

Často kladené otázky

Co je kvalifikovaný poskytovatel služeb důvěry podle eIDAS?

Kvalifikovaný poskytovatel služeb důvěry (QTSP) je subjekt, který získal status kvalifikovaného u orgánu dohledu své členské státu (ANSSI ve Francii), po auditu shody provedeném akreditovaným orgánem. Je uveden na seznamu důvěry publikovaném v souladu s článkem 22 eIDAS. Tento status mu umožňuje poskytovat služby se právní domněnkou souladu: kvalifikované podpisy, kvalifikované časové značky, kvalifikované pečeti, kvalifikované elektronické doporučené zásilky.

Jak si ověřit, že TSP je skutečně kvalifikován eIDAS?

Ověření se provádí prostřednictvím oficiálního portálu Evropské komise „eIDAS Trusted List Browser" (tlbrowser.tsl.website) nebo prostřednictvím portálu ANSSI pro francouzské poskytovatele. Stačí vyhledat jméno poskytovatele nebo URL jeho služby. Seznam se aktualizuje v reálném čase. Jakýkoli poskytovatel vydávající se za kvalifikovaného bez figurování na tomto seznamu se nemůže těšit žádné právní domněnce připisované kvalifikovaným službám eIDAS.

Je TSP kvalifikovaný v jedné evropské zemi uznáván v celé EU?

Ano. Jedním z hlavních přínosů eIDAS je princip vzájemného uznávání přes hranice (článek 25§2 pro podpisy, článek 35§2 pro pečeti, článek 41§2 pro časové značky). Elektronický podpis kvalifikovaný vytvořený prostřednictvím certifikátu vydaného francouzským QTSP je právně uznán v Německu, Španělsku, Polsku nebo kterékoli jiné členské státu bez dodatečných kroků. Tato interoperabilita je hlavním důvodem existence nařízení eIDAS na evropské úrovni.

Jaký je rozdíl mezi kvalifikovaným certifikátem a pokročilým certifikátem?

Pokročilý certifikát může být vydán jakýmkoli poskytovatelem, kvalifikovaným nebo ne, podle minimálních technických požadavků. Kvalifikovaný certifikát mohou vydávat pouze QTSP zapsaní na Trusted List, na základě Přílohy I eIDAS (obsah certifikátu) a po důkladném ověření identity žadatele osobně nebo prostřednictvím kvalifikovaného procesu vzdálené identifikace (QES). Kvalifikovaný certifikát je nezbytnou podmínkou pro vydání kvalifikovaného elektronického podpisu, jedinou se domněnkou rovnocennosti s ručně psaným podpisem.

Může TSP ztratit svou kvalifikaci eIDAS? Jaké jsou důsledky?

Ano. Orgán dohledu může odebrat nebo pozastavit kvalifikaci TSP v případě závažného porušení jeho povinností (negativní audit, neopravený závažný bezpečnostní incident, falešné prohlášení). Odebrání je zveřejněno na Trusted List se statusem „revoked". Certifikáty vydané před odebráním zůstávají platné, je-li jejich řetěz důvěry zachován v důkazně souladu řádné archivaci. Nicméně po odebránímožné být vydány žádné nové kvalifikované certifikáty a poskytované služby přestávají těžit z právních domněnek eIDAS.

Závěr

Poskytovatelé služeb důvěry (TSP) jsou daleko více než pouhou technickou dodávkou: představují regulační a právní základ, na kterém spočívá veškerá důkazní hodnota elektronického podpisu v Evropě. Pochopení jejich role, jejich procesu kvalifikace a jejich povinností je nezbytné pro každou firmu, která chce zabezpečit své digitální výměny s nezpochybňitelnou právní hodnotou. Výběr QTSP uvedeného na evropském Trusted List není volitelný, jakmile zamýšlíte kvalifikovaný podpis nebo kvalifikovanou časovou značku.

Certyneo se opírá výhradně o kvalifikované TSP poskytovatele uznávané eIDAS, aby vám zaručili elektronické podpisy s plnou právní hodnotou, interoperabilní v celé Evropské unii. Jste připraveni zabezpečit své smluvní toky? Vytvořte si svůj účet Certyneo zdarma nebo kontaktujte náš tým pro personalizovanou ukázku.