Prestador TSP eIDAS: comprende el papel de los servicios de confianza

Introducción

Desde la entrada en vigor del Reglamento eIDAS nº 910/2014, los proveedores de servicios de confianza (TSP, Trust Service Providers) constituyen la columna vertebral de la confianza digital en Europa. Estos actores, sometidos a una regulación estricta, emiten certificados, sellos de tiempo y firmas cualificadas que otorgan fuerza jurídica a los intercambios electrónicos. Con la adopción del Reglamento eIDAS 2.0 (Reglamento UE 2024/1183), sus obligaciones han evolucionado aún más. Este artículo le explica qué es un TSP, cómo se acredita, qué servicios puede ofrecer y por qué la elección de un proveedor cualificado es determinante para su empresa.

---

¿Qué es un proveedor de servicios de confianza (TSP)?

Definición y ámbito regulatorio

Según el artículo 3 del Reglamento eIDAS, un proveedor de servicios de confianza es una persona física o jurídica que proporciona uno o más servicios de confianza, ya sea en carácter cualificado o no cualificado. El Reglamento distingue claramente estas dos categorías: solo los proveedores cualificados se benefician de la presunción de conformidad y del valor jurídico reforzado asociado a sus servicios.

Los servicios de confianza cubiertos por eIDAS incluyen:

• La creación, verificación y validación de firmas electrónicas (simples, avanzadas o cualificadas)
• La creación, verificación y validación de sellos electrónicos (para personas jurídicas)
• La creación, verificación y validación de marcas de tiempo electrónicas cualificadas
• Los servicios de correo electrónico registrado cualificado
• La emisión y gestión de certificados para la autenticación de sitios web (QWAC)
• La conservación a largo plazo de firmas y sellos cualificados

Desde eIDAS 2.0, la lista se ha ampliado a los monederos europeos de identidad digital (EUDIW) y a las atestaciones de atributos electrónicos cualificados, reforzando aún más el ámbito de intervención de los TSP.

La distinción TSP cualificado vs. no cualificado

No todos los proveedores de servicios de confianza tienen el mismo valor jurídico. Un TSP no cualificado puede ejercer libremente, pero sus servicios no conllevan ninguna presunción legal de conformidad. Un TSP cualificado (QTSP, Qualified Trust Service Provider) está inscrito en la lista de confianza nacional supervisada (Trusted List) de su Estado miembro, publicada y mantenida de conformidad con el artículo 22 de eIDAS y la Decisión de Ejecución 2015/1505.

En Francia, es la ANSSI (Agencia Nacional de la Seguridad de los Sistemas de Información) la que desempeña el papel de organismo de supervisión (artículo 17 de eIDAS). La lista de confianza francesa es accesible a través del portal europeo centralizado. Para profundizar en la jerarquía de los niveles de firma y su reconocimiento, consulte nuestro guía completa del Reglamento eIDAS 2.0.

---

El proceso de cualificación de un TSP

La auditoría de conformidad por un organismo de evaluación de la conformidad

Para obtener el estatus cualificado, un proveedor debe someterse a una auditoría realizada por un organismo de evaluación de la conformidad (OEC) acreditado por el COFRAC en Francia (o su equivalente nacional en cada Estado miembro). Esta auditoría verifica el cumplimiento de los requisitos del Anexo II de eIDAS (para certificados cualificados) y de las normas ETSI aplicables.

Las principales normas técnicas de referencia son:

• ETSI EN 319 401: requisitos generales para los TSP
• ETSI EN 319 411-1 y -2: política y práctica de certificación para certificados cualificados
• ETSI EN 319 421: política y práctica para TSP de marcas de tiempo
• ETSI EN 319 132: perfil XAdES para firmas avanzadas y cualificadas
• ETSI EN 319 122: perfil CAdES

La auditoría se traduce en un informe de evaluación transmitido al organismo de supervisión nacional, que puede otorgar, denegar o retirar la cualificación. La duración de validez de un certificado de cualificación es generalmente de 24 meses, renovable.

La Lista de Confianza Europea: el registro de referencia

La lista de confianza europea (EU Trusted List, o TL) es el mecanismo central mediante el cual eIDAS garantiza la interoperabilidad transfronteriza. Cada Estado miembro publica su lista nacional, y la Comisión Europea las agrega todas en la Lista de Listas de Confianza (LOTL). Esta arquitectura piramidal permite que cualquier sistema de verificación remonte hasta la raíz de confianza europea.

Al 1 de enero de 2026, la LOTL registra más de 200 TSP cualificados en todos los Estados miembros, emitiendo colectivamente millones de certificados cualificados al año. Para un comprador de una solución SaaS, la verificación de la presencia de un proveedor en esta lista es la primera diligencia debida a realizar.

Obligaciones de supervisión continua

La cualificación no se adquiere de manera definitiva. Los TSP cualificados están sometidos a:

• Auditorías periódicas (al menos cada 24 meses)
• La notificación sin demora de cualquier incidente de seguridad que afecte a los servicios (artículo 19 de eIDAS)
• El mantenimiento actualizado de una política de certificación (CP) y una declaración de prácticas de certificación (CPS) públicas
• El mantenimiento de un plan de continuidad de actividad y un plan de cese de actividad que garantice la preservación de datos en caso de cierre

---

Los servicios cualificados y su alcance jurídico

La firma electrónica cualificada (SEQ)

La firma electrónica cualificada es el nivel más elevado previsto por eIDAS. Se basa en un certificado cualificado emitido por un QTSP y se crea mediante un dispositivo cualificado de creación de firmas electrónicas (QSCD), como una tarjeta inteligente certificada Common Criteria EAL4+ o un módulo de seguridad hardware (Hardware Security Module) conforme con el perfil de protección EN 419 221-5.

El artículo 25§2 de eIDAS establece el principio de equivalencia con la firma manuscrita: una SEQ producida en un Estado miembro es reconocida en todos los Estados miembros sin trámite adicional. Este es el único nivel para el cual esta presunción legal se aplica automáticamente. Para profundizar en el valor jurídico de la firma electrónica según los contextos contractuales, hemos dedicado una guía específica.

La marca de tiempo electrónica cualificada

La marca de tiempo electrónica cualificada (QTS, Qualified Time Stamp) atestigua de manera infalible que un documento o dato existía en un momento preciso. Según el artículo 41 de eIDAS, se beneficia de una presunción de exactitud de la fecha y hora, así como de integridad de los datos.

Los usos típicos incluyen: prueba de depósito de patente, archivo probatorio, registro de eventos contractuales. El sello de tiempo electrónico cualificado también juega un papel central en la conservación a largo plazo de firmas.

El servicio de correo electrónico registrado cualificado

El REMS cualificado (Qualified Electronic Registered Mail Service) es el equivalente digital del correo certificado con acuse de recibo. Garantiza la identificación de las partes, la integridad de los datos transmitidos, el sello de tiempo del envío y la recepción. El artículo 44 de eIDAS le confiere una presunción de integridad de datos y exactitud de la fecha de envío y recepción. Este servicio es particularmente útil para notificaciones formales, rescisiones de contratos o avisos legales.

---

Elegir su proveedor TSP: criterios determinantes

Cualificación, interoperabilidad y cobertura geográfica

El primer criterio es obviamente la presencia en la Lista de Confianza del o los Estados miembros en los que opera. Pero más allá de la cualificación formal, entran en juego varias dimensiones prácticas:

• Interoperabilidad: ¿el TSP soporta los formatos estándar ETSI (XAdES, PAdES, CAdES, JAdES)? ¿Serán verificables las firmas producidas por herramientas de terceros como el validador europeo DSS?
• Disponibilidad de servicio: ¿cuál es el acuerdo de nivel de servicio garantizado? ¿Las infraestructuras QSCD están redundadas geográficamente?
• Cobertura geográfica: si opera en varios países europeos, ¿el TSP ofrece certificados cualificados reconocidos en estos países?
• APIs e integración: ¿las APIs REST/SOAP están bien documentadas? ¿Existe un SDK o integración nativa con su stack aplicativo?

Transparencia de precios y modelo comercial

Los TSP cualificados generalmente facturan por certificado emitido, por volumen de transacciones o mediante suscripciones anuales. Los precios varían considerablemente: un certificado cualificado individual cuesta entre 50 y 200 € IVA excluido por año, mientras que las soluciones de firma en masa (servidor) pueden superar varios miles de euros anuales. Compare las ofertas del mercado con nuestro comparativo de soluciones de firma electrónica.

Soporte, conformidad con RGPD y localización de datos

Un TSP que trata datos personales (lo que es sistemáticamente el caso para la emisión de certificados cualificados) está sometido al RGPD nº 2016/679. Verifique:

• La localización de los datos (alojamiento UE o fuera de UE?)
• La política de conservación y supresión de datos
• La existencia de un DPO (Data Protection Officer) designado
• La posible subcontratación y las cláusulas contractuales tipo (CCT) aplicables

Para las empresas que deseen migrar de una solución existente a un proveedor más conforme, nuestra guía sobre migración desde DocuSign o YouSign a Certyneo detalla los pasos y precauciones a tomar.

Marco legal aplicable a los proveedores TSP eIDAS

Textos fundamentales

El marco jurídico de los proveedores de servicios de confianza se basa en varias capas regulatorias articuladas entre sí.

Reglamento eIDAS nº 910/2014/UE (modificado por el Reglamento UE 2024/1183 denominado « eIDAS 2.0 »): texto de referencia que define los servicios de confianza, los niveles de cualificación, las obligaciones de los TSP (artículos 13 a 22 para obligaciones generales, artículos 23 a 45 para servicios cualificados específicos) y el régimen de responsabilidad (artículo 13: responsabilidad por todo daño causado intencionadamente o por negligencia, con inversión de la carga de la prueba a favor de la víctima).

Código Civil francés, artículos 1366 y 1367: el artículo 1366 establece el principio de equivalencia del escrito electrónico al escrito en soporte papel bajo la condición de identificación del autor e integridad. El artículo 1367 define la firma electrónica y su presunción de fiabilidad cuando es cualificada conforme a eIDAS.

Decreto nº 2017-1416 de 28 de septiembre de 2017 relativo a la firma electrónica: precisa en derecho francés las condiciones técnicas de la firma electrónica fiable, remitiendo explícitamente a los requisitos de eIDAS.

Obligaciones de seguridad y notificación

El artículo 19 de eIDAS impone a los TSP adoptar medidas técnicas y organizativas apropiadas para gestionar los riesgos que afecten a sus servicios. En caso de incidente de seguridad o pérdida de integridad con un impacto significativo en el servicio o los datos personales, el TSP debe notificar al organismo de supervisión sin demora injustificada y, a más tardar, en las 24 horas después de tener conocimiento. Esta obligación se acumula con la prevista en el artículo 33 del RGPD nº 2016/679 (notificación a la autoridad de control — CNIL en Francia — en 72 horas).

La Directiva NIS2 (2022/2555/UE), transpuesta a derecho francés mediante la ley nº 2023-703 de 1 de agosto de 2023, somete los TSP cualificados a requisitos reforzados de gestión de riesgos cibernéticos y notificación de incidentes, como entidades esenciales o importantes según su tamaño.

Responsabilidad y sanciones

El régimen de responsabilidad de eIDAS (artículo 13) es severo: el TSP se presume responsable de todo daño causado a cualquier persona física o jurídica por incumplimiento de sus obligaciones. Le corresponde al TSP probar la ausencia de culpa. Las sanciones nacionales por incumplimiento pueden incluir la retirada de la cualificación, multas administrativas (hasta 10 M€ o 2% de la facturación mundial conforme a RGPD) y acciones de responsabilidad civil. En Francia, la ANSSI también puede imponer medidas correctivas.

Casos de uso: el TSP eIDAS en la práctica

Un despacho de abogados gestionando actos de procedimiento desmaterializados

Un despacho de abogados de asuntos corporativos de alrededor de cincuenta colaboradores trata diariamente actos que requieren firma cualificada: escritos procesales, poderes de representación, actos de venta de fondos de comercio. Apoyándose en un QTSP inscrito en la Lista de Confianza francesa, el despacho genera firmas PAdES-LTV (Validación a Largo Plazo) que integran un sello de tiempo cualificado. Resultado: el tiempo de tramitación de un acto susceptible de firma pasa de 3 a 4 días (envío de documentos) a menos de 2 horas. El valor probatorio de cada firma es automáticamente verificable por la parte contraria y por los tribunales, sin peritaje complementario, reduciendo las impugnaciones procedimentales en alrededor del 70% según los datos de despachos comparables.

Una PYME industrial asegurando sus contratos con proveedores transfronterizos

Una PYME industrial francesa de aproximadamente 180 empleados, abastecida por proveedores en Alemania, Polonia y España, debía previamente legalizar o apostillar ciertos documentos contractuales para garantizar su reconocimiento transfronterizo. Al integrar mediante API un TSP cualificado que emite certificados reconocidos en toda la UE (artículo 25§2 de eIDAS), la PYME elimina estos trámites. Los 300 contratos de proveedores anuales se firman ahora electrónicamente con reconocimiento jurídico automático en los tres países socios. La ganancia estimada en costos administrativos y tiempos alcanza el 35 a 45% en el conjunto del ciclo contractual, coherente con las bandas publicadas en estudios sectoriales de la Federación de Industrias Mecánicas.

Un grupo hospitalario preservando la integridad de sus expedientes médicos digitales

Un grupo hospitalario de aproximadamente 1.200 camas debe garantizar la integridad y autenticidad de sus informes quirúrgicos, prescripciones y consentimientos informados durante períodos de conservación de hasta 20 años (artículo R. 1112-7 del Código de Salud Pública). Recurriendo a un servicio de marca de tiempo electrónica cualificada proporcionado por un QTSP, el grupo crea pruebas de integridad infalibles desde la producción del documento. Las auditorías internas y los controles de la HAS (Alta Autoridad de Salud) pueden ahora verificar automáticamente la integridad de cada documento archivado, reduciendo la carga de trabajo de los equipos de calidad en aproximadamente un 25% según benchmarks sectoriales del sector sanitario.

Preguntas frecuentes

¿Qué es un proveedor de servicios de confianza cualificado conforme a eIDAS?

Un proveedor de servicios de confianza cualificado (QTSP) es un organismo que ha obtenido el estatus cualificado ante el organismo de supervisión de su Estado miembro (la ANSSI en Francia), tras auditoría de conformidad por un organismo acreditado. Aparece en la lista de confianza nacional publicada de conformidad con el artículo 22 de eIDAS. Este estatus le permite emitir servicios con presunción legal de conformidad: firmas cualificadas, sellos de tiempo cualificados, sellos cualificados, envíos de correo electrónico registrado cualificado.

¿Cómo verificar que un proveedor TSP está correctamente cualificado según eIDAS?

La verificación se realiza a través del portal oficial de la Comisión Europea « Navegador de Lista de Confianza eIDAS » (tlbrowser.tsl.website) o a través del portal de la ANSSI para proveedores franceses. Basta buscar el nombre del proveedor o la URL de su servicio. La lista se actualiza en tiempo real. Cualquier proveedor que se declare cualificado sin aparecer en esta lista no se beneficia de ninguna presunción legal asociada a los servicios eIDAS cualificados.

¿Un TSP cualificado en un país europeo es reconocido en toda la UE?

Sí. Este es uno de los principales aportes de eIDAS: el principio de reconocimiento mutuo transfronterizo (artículo 25§2 para firmas, artículo 35§2 para sellos, artículo 41§2 para marcas de tiempo). Una firma electrónica cualificada creada mediante un certificado emitido por un QTSP francés es legalmente reconocida en Alemania, España, Polonia o cualquier otro Estado miembro, sin gestión adicional. Esta interoperabilidad es la razón fundamental de ser del Reglamento eIDAS a nivel europeo.

¿Cuál es la diferencia entre un certificado cualificado y un certificado avanzado?

Un certificado avanzado puede ser emitido por cualquier proveedor, cualificado o no, conforme a los requisitos técnicos mínimos. Un certificado cualificado solo puede ser emitido por un QTSP inscrito en la Lista de Confianza, sobre la base del Anexo I de eIDAS (contenido del certificado) y después de verificación rigurosa de la identidad del solicitante cara a cara o mediante un proceso de identificación a distancia cualificado (QES). El certificado cualificado es la condición necesaria para la emisión de una firma electrónica cualificada, la única que se beneficia de la presunción de equivalencia con la firma manuscrita.

¿Puede un TSP perder su cualificación eIDAS? ¿Cuáles son las consecuencias?

Sí. El organismo de supervisión puede retirar o suspender la cualificación de un TSP en caso de incumplimiento grave de sus obligaciones (auditoría negativa, incidente de seguridad importante no resuelto, declaración falsa). La retirada se publica en la Lista de Confianza con el estatus « revocado ». Los certificados emitidos antes de la revocación siguen siendo válidos si su cadena de confianza se preserva en un archivado probatorio conforme. Sin embargo, ningún certificado cualificado nuevo puede ser emitido después de la revocación, y los servicios prestados dejan de beneficiarse de las presunciones legales de eIDAS.

Conclusión

Los proveedores de servicios de confianza (TSP) son mucho más que simples proveedores técnicos: constituyen el fundamento regulatorio y jurídico sobre el cual descansa todo el valor probatorio de la firma electrónica en Europa. Comprender su papel, su proceso de cualificación y sus obligaciones es indispensable para cualquier empresa que desee asegurar sus intercambios digitales con un valor jurídico incontestable. La elección de un QTSP inscrito en la Lista de Confianza europea no es opcional en cuanto se persiga la firma cualificada u horodataje cualificado.

Certyneo se apoya exclusivamente en proveedores TSP cualificados reconocidos por eIDAS para garantizarle firmas electrónicas con pleno valor jurídico, interoperables en toda la Unión Europea. ¿Listo para asegurar sus flujos contractuales? Cree su cuenta Certyneo gratuitamente o póngase en contacto con nuestro equipo para una demostración personalizada.