Pätevät eIDAS-palveluntarjoajat: virallinen luettelo 2026

Miksi eIDAS:n "pätevä" asema on ratkaisevan tärkeä yrityksellesi?

Sähköisen allekirjoituksen asetuksen eIDAS (N:o 910/2014) voimaantulosta lähtien Euroopan sähköisen allekirjoituksen markkina on rakentunut uudelleen kolmitasoisen hierarkian ympärille: yksinkertainen sähköinen allekirjoitus (SES), edistynyt sähköinen allekirjoitus (AES) ja pätevä sähköinen allekirjoitus (QES). Viimeksi mainittu on ainoa, joka nauttii laillisesta oletuksesta vastaavuudesta käsinkirjoitetun allekirjoituksen kanssa koko Euroopan unionin alueella.

Jotta yritys voisi tarjota pätevää allekirjoitusta, se on välttämättä auditoitava ja merkittävä sen jäsenvaltion luottamusluetteloon (Trust List). Ranskassa tämän virallisen rekisterin ylläpitäjä on Agence nationale de la sécurité des systèmes d'information (ANSSI), joka julkaisee sen sitten Euroopan komission hallinnoimassa keskitetyssä eurooppalaisessa luettelossa.

Tämän arkkitehtuurin ymmärtäminen on olennaista, ennen kuin allekirjoitat mitään arkaluontoista liikesopimusta. Lisätietoja sääntelyperusteiden osalta saat tutustumalla täydelliseen oppaaseemme eIDAS 2.0 -asetuksesta, joka käsittelee uudistetun eIDAS 2.0 -asetuksen (EU-asetus 2024/1183) kaikki velvoitteet ja muutokset.

---

Kuinka pätevät luottamuspalvelun tarjoajat sertifioidaan?

Polku pätevän luottamuspalvelun tarjoajan (PSCQ) statukseen on tiukka. Se edellyttää auditointia akkreditoidun vaatimustenmukaisuuden arviointiorgaanin (CAB, Conformity Assessment Body) suorittamaa ETSI EN 319 401 (yleiset vaatimukset) ja ETSI EN 319 411-2 (pätevät sertifikaatit) standardien mukaisesti.

ANSSI:n pätevyysvaiheet

• Pätevyysanomusten jättäminen: palveluntarjoaja toimittaa tekniset, turvallisuus- ja organisaatioasiakirjat ANSSI:lle.

• Auditointi akkreditoidulla CAB:lla: kolmas osapuoli — kuten Bureau Veritas, LSTI tai Apave Certification — varmistaa vaatimustenmukaisuuden paikan päällä ja asiakirjojen perusteella.

• Pätevyyspäätös: ANSSI pätevöi palveluntarjoajan ja merkitsee sen Ranskan luottamusluetteloon (TL-FR).

• Määräaikainen uusiminen: pätevyyden uudelleenarviointi tapahtuu yleensä kahden vuoden välein vaatimusten täyttämisen varmistamiseksi.

Mitä auditointi käytännössä tarkistaa?

Auditoija tutkii muun muassa:

• Fyysisen turvallisuuden kryptografisia avaimia säilyttävien palvelinkeskuksissa (sertifioidut HSM-moduulit CC EAL 4+ tai FIPS 140-2 Level 3 vähintään) ;

• Sertifiointikäytäntöjen (CP) ja sertifiointikäytäntöjen ilmoitukset (CPS) palveluntarjoajan julkaisemia ;

• Allekirjoittajien henkilöllisyyden varmistamisen menettelyt (kasvotusten tai etätekniikoiden mukaisesti EN 419 241-1 -standardiin) ;

• Peruuttamisen hallintaa ja OCSP/CRL-palveluiden saatavuutta.

Nämä kriteerit selittävät, miksi Ranskassa vain muutama toimija saavuttaa ja ylläpitää tätä sertifiointitasoa.

---

Ranskassa rekisteröidyt pätevät eIDAS-palveluntarjoajat vuonna 2026

Virallinen pätevien palveluntarjoajien luettelo on saatavilla milloin tahansa Euroopan komission virallisella portaalilla (eidas.ec.europa.eu/efts) suodattamalla "Ranska" ja palvelun "QCertESig" (Qualified Certificate for Electronic Signature). Seuraavat toimijat olivat rekisterissä tämän artikkelin kirjoitushetkellä (kesäkuu 2026):

Ranskalaiset toimijat luottamusluettelossa

> Varoitus: tämä luettelo on annettu informatiivisesti ja ohjeellisesti. Vain Euroopan komission virallinen luottamusluettelo on oikeellinen. Tarkista aina nykyinen asema ETSI-portaalilla ennen kaupallistasiaan.

Ulkomaiset palveluntarjoajat, jotka ovat tunnustettuja Ranskassa eurooppalaisen luottamusluettelon kautta

eIDAS:n 25 artiklan mukaisen keskinäisen tunnustamisen periaatteen nojalla eIDAS-määräyksen mukaisen pätevän luottamuspalvelun tarjoajan (PSCQ) toisessa jäsenvaltiossa myöntämä pätevä allekirjoitus tuottaa samat oikeudelliset vaikutukset Ranskassa. Useasti käytetyt ulkomaiset toimijat:

• Namirial (Italia): vahva etäpätevässä allekirjoituksessa (QES remote signing) ;

• SwissSign (Sveitsi): huomioi, että Sveitsi ei ole EU:n jäsen; tunnustaminen on osittaista ;

• Qualified.one / Asseco Data Systems (Puola): eurooppalainen julkinen toimija, yleinen rajat ylittävissä markkinoissa.

Näiden ratkaisujen vertailuun liiketoiminta-analyysin perusteella kannattaa tutustua sähköisen allekirjoitusratkaisujen vertailuumme, joka analysoi hinta-, vaatimustenmukaisuus- ja API-integrointikriteereita.

---

Kuinka valita oikea pätevä eIDAS-palveluntarjoaja organisaatiolle?

Merkintä luottamusluettelossa on välttämätön, mutta riittämätön ehto. PSCQ:n valinta tulee perustua useisiin täydentäviin kriteereihin.

Tekniset ja integrointikriteerit

• REST API tai SDK saatavilla: välttämätöntä liiketoimintaprosessien (ERP, SIRH, CRM) allekirjoituksen automatisoinnille ;

• Tuetut allekirjoitusmuodot: PAdES PDF:ille, XAdES XML:lle, CAdES binaaritiedostoille — kaikki normalisoitu ETSI EN 319 100:lla ;

• Palvelun saatavuus: SLA suurempi kuin 99,9 %, sopimuksessa takaa, huoltokatkot työaikojen ulkopuolella ;

• Tietojen sijainti: ensisijaisesti Ranska tai EU, mieluiten SecNumCloud-sertifioitu arkaluontoisille tiedoille.

Oikeudelliset ja vaatimustenmukaisuuskriteerit

• Varmista, että palveluntarjoaja toimittaa ajantasaisen pätevyysraportin (alle 24 kuukautta vanha) ;

• Vaadi julkaisematon sertifiointikäytäntö (CP), joka on julkisesti saatavilla ja auditoitu ;

• Varmista, että yleiset ehdot nimenomaisesti määrittelevät eIDAS-asetuksen I liitteessä tarkoitettujen pätevien sertifikaattien toimittamisen.

Käytännön ja tuen kriteerit

• Allekirjoittajien rekisteröintimenettelyt: kasvotusten osoitteessa, eIDAS-yhteensopiva videoidentifiointi tai etätunnistus elektronisella henkilöllisyystodistuksella ;

• Tuki ranskaksi sopimukseen kirjatuilla vastausajoilla ;

• Koulutus ja dokumentaatio IT- ja oikeusasioiden tiimeille.

Jos organisaatiosi hallinnoi merkittäviä henkilöstöasiakirja-virtoja, tutustumalla sähköisen allekirjoituksen HR-tiimeille -osioon saat tietoa erityisistä käyttötapauksista (työsopimukset, liitteet, perehdytys) ja suositelluista allekirjoitustasosta asiakirjatyypeittäin.

---

eIDAS 2.0: Mitkä muutokset päteville palveluntarjoajille vuonna 2026?

Asetus eIDAS 2.0 (EU-asetus 2024/1183, voimassa asteittain toukokuusta 2024) ottaa käyttöön useita rakenteellisia muutoksia, jotka vaikuttavat suoraan PSCQ:ihin ja niiden asiakkaisiin.

Eurooppalainen digitaalinen identiteettiarkku (EUDI Wallet)

Muutetun asetuksen 6a artikla velvoittaa jäsenvaltiota tarjoamaan digitaalisen identiteettiarkun (EUDI Wallet) koko EU:ssa, viimeistään syyskuussa 2026. Päteville palveluntarjoajille tämä tarkoittaa:

• Hyväksi allekirjoittajien rekisteröinnin henkilöllisyystodistukseksi lompakan identiteettiominaisuuksien vastaanottamisen velvollisuutta ;

• Uuden pätevän palvelun syntymistä: pätevien identiteettiominaisuuksien todistuspalveluiden (Qualified Electronic Attestation of Attributes, QEAA) toimittaminen.

Uudet pätevät palvelut ja laajempi soveltamisala

eIDAS 2.0 laajentaa pätevien luottamuspalveluiden luetteloa sisältämään:

• Pätevät sähköisen arkistoinnin palvelut (QPDS, 45f artikla) ;

• Etäisän allekirjoituksen luontilaitteiden hallintopalvelut (QRCD).

Nämä kehityskulut edustavat sekä vaatimustenmukaisuuden saavuttamisen haasteita (tiukat määräajat nykyisille palveluntarjoajille) että eriyttämismahdollisuutta uusille tulokkaille, jotka pystyvät nopeasti integroimaan ENISA:n ja ETSI:n julkaisemat tekniset määritykset.

Yrityksille, jotka harkitsevat siirtymistä nykyisestä alustasta vaatimustenmukaisempaan ratkaisuun, oppaassa siirtymisestä DocuSignista tai YouSignista Certyneohon esitetään käytännölliset vaiheet ja sääntelyllisen varovaisuuden huomioimispisteet.

Päteville eIDAS-palveluntarjoajille sovellettava oikeuskehikko

eIDAS-asetus ja Euroopan oikeus

Oikeudellinen perusta on Euroopan parlamentin ja neuvoston asetus (EU) N:o 910/2014 23. heinäkuuta 2014 sähköisestä tunnistamisesta ja palveluista luottamuksesta sähköisissä liiketoimissa sisämarkkinoilla (ns. "eIDAS-asetus"), sellaisena kuin sitä on muutettu asetuksella (EU) 2024/1183 (eIDAS 2.0). Tämä asetus on suoraan sovellettavissa kaikissa jäsenvaltioissa ilman kansallista täytäntöönpanoa.

Sen tärkeimmät säännökset päteville palveluntarjoajille:

• Artikla 17: kunkin jäsenvaltion on määrättävä valvontaelin (Ranskassa ANSSI) ;

• Artikla 20: valvonta-, auditointi- ja luottamusluetteloon merkitsemismenettely ;

• Artikla 25: QES:n ja käsinkirjoitetun allekirjoituksen välinen vastaavuuden oletus, jolla on oikeudellinen vaikutus koko EU:ssa ;

• I liite: vaatimukset päteville sähköisen allekirjoituksen sertifikaateille ;

• II liite: vaatimukset päteville sähköisen allekirjoituksen luontilaitteille (QSCD).

Ranskan kansallinen oikeus

Kotimaisen oikeuden osalta sähköinen allekirjoitus on säädetty seuraavasti:

• Kansalaiset lait, artikla 1366 ja 1367: artikla 1366 tunnustaa sähköisen asiakirjan todistusarvon edellyttäen, että kirjoittajan henkilöllisyys ja asiakirjan eheys varmistetaan. Artikla 1367 täsmentää, että luotettavaan henkilöllisyysvarmistukseen perustuva sähköinen allekirjoitus nauttii luotettavaksi olettamuksesta, kun se luodaan soveltamislain mukaisesti ;

• Asetus N:o 2017-1416 28. syyskuuta 2017: määritellään ehdot, joissa pätevä sähköinen allekirjoitus oletetaan luotettavaksi Ranskassa, ja viitataan nimenomaisesti eIDAS-asetukseen ;

• Laki N:o 2005-674 16. kesäkuuta 2005 jotakin sopimusmenettelyjä koskien elektronisesti suoritettavaksi.

Henkilötietojen suoja

Rekisteröinti- ja allekirjoitusprosessit sisältävät henkilötietojen käsittelyä (henkilöllisyystiedot, biometria videoidentifiointia varten). Pätevä palveluntarjoaja on Asetuksen (EU) 2016/679 (GDPR) alainen ja sen on erityisesti:

• Määrättävä tietosuojavaltuutettu, jos käsittely on laajamittaista ;

• Dokumentoitava käsittelyt CNIL-rekisteriin ;

• Säännellä EU:n ulkopuolelle siirtämisiä asianmukaisilla takeilla (mallisopimusehto, riittävyyspäätös).

Kyberturvallisuus ja joustavuus

Lokakuusta 2024 alkaen NIS2-direktiivi (2022/2555/EU) koskee pätevien luottamuspalvelun tarjoajia, jotka on luokiteltu oleellisiksi yhteisöiksi. Niiden on toteutettava riskienhallintotoimenpiteet, ilmoitettava merkittävistä tapahtumista ANSSI:lle 24 tunnin kuluessa ja joutua säännöllisiin tarkastuksiin. Noudattamatta jättäminen saattaa aiheuttaa sakkoja jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta vuosittaisesta liikevaihdosta.

Viitemerkinnät

• ETSI EN 319 401: yleiset vaatimukset luottamuspalveluiden tarjoajille ;

• ETSI EN 319 411-2: pätevien sertifikaattien käytäntöprofiilit ;

• ETSI EN 319 132: XAdES-allekirjoitusmuodot ;

• ETSI EN 319 122: CAdES-allekirjoitusmuodot ;

• ETSI EN 319 162: PAdES-allekirjoitusmuodot (PDF).

Havainnollistavia käyttöskenaarioita: milloin eIDAS-vaatimusten mukainen hyväksytty sähköinen allekirjoitus on välttämätön?

Skenaario 1 — Asianajotoimisto, joka hoitaa yksityisiä asiakirjoja suurella todistusarvolla

Nämä skenaariot ovat havainnollistavia: ne kuvaavat tyypillisiä tilanteita eivätkä kerro mitään mitattua tulosta asiakkaalta. Noin kahdenkymmenen työntekijän liikejuridiikan asianajotoimisto käsittelee kuukausittain kymmeniä yhtiöosuuksien luovutuksia, aiesopimuksia ja vastuusitoumussopimuksia (garantie d'actif et de passif, GAP). Nämä asiakirjat koskevat usein summia, jotka ylittävät useita satoja tuhansia euroja, ja niitä voidaan riitauttaa tuomioistuimessa.

Ennen siirtymistään eIDAS-vaatimusten mukaiseen hyväksyttyyn palveluntarjoajaan toimisto käyttää kehittynyttä sähköistä allekirjoitusta (AES), mikä riittää useimpiin tavanomaisiin asiakirjoihin. Sen jälkeen, kun vastapuoli riitauttaa allekirjoituksen aitouden oikeudenkäynnissä, toimisto voi valita hyväksytyn sähköisen allekirjoituksen (QES) kaikkiin korkean riskin asiakirjoihin. Allekirjoitustodisteiden tuottamiseen oikeudenkäyntimenettelyissä käytetty aika voi tällöin vähentyä QES:ään liitetyn luotettavuusolettaman ansiosta. Allekirjoituskohtaista lisäkustannusta, joka vaihtelee volyymin mukaan, tulee verrata vältettyihin oikeudenkäyntikuluihin. Hyödyn suuruus on mitattava toimiston todellisessa toimintaympäristössä, ennen pilottia ja sen jälkeen.

Skenaario 2 — Keskisuuri teollisuusyritys, joka hallinnoi rajat ylittäviä toimittajasopimuksia

Teollisuuslaitteiden alalla toimiva keskisuuri yritys (ETI), jonka toimittajat sijaitsevat Ranskassa, Saksassa, Italiassa ja Puolassa, joutuu ilman sähköistä allekirjoitusta lähettämään puitesopimuksensa postitse tai järjestämään kasvokkaisia allekirjoitustapaamisia, mikä aiheuttaa huomattavia viiveitä sopimusta kohden.

Eurooppalaiseen, Trust Listille merkittyyn hyväksyttyyn luottamuspalvelun tarjoajaan (PSCQ) liitetyn ratkaisun avulla yritys voi lyhentää allekirjoitussykliä merkittävästi. Jäsenvaltioiden välinen keskinäinen tunnustaminen takaa oikeudellisen pätevyyden ilman erillistä laillistamista. Vuotuisen 350 toimittajasopimuksen salkun osalta vältetyt hallinnolliset ja logistiset kustannukset on laskettava yrityksen todellisessa toimintaympäristössä, ennen pilottia ja sen jälkeen.

Skenaario 3 — Sairaalaklusterit, joka noudattaa terveydenhuoltoalan vaatimuksia

Noin 1 200 potilaspaikan sairaalaklusteriin on allekirjoitettava sähköisesti julkisia kilpailuja, kliinisiä tutkimussopimuksia ja sairaalahoitajien sopimuksia. Nämä asiakirjat ovat kansallisen hankintalain (Code de la commande publique) alaisia, joka vaatii sähköisen allekirjoituksen, joka vastaa RGS:ää (Référentiel Général de Sécurité) tasolla ** tai, hankintahallinnon sähköistymisen myötä, vastaavaa eIDAS-tasoa.

Tukeutumalla Ranskan Trust Listille merkittyyn hyväksyttyyn luottamuspalvelun tarjoajaan (PSCQ) yhteenliittymä täyttää article R. 2132-7 du Code de la commande publique -artiklan vaatimukset ja lyhentää samalla hankintasopimusten allekirjoitusaikoja. API-integraatio sairaalan tietojärjestelmän (SIH) kanssa mahdollistaa asiakirjojen lähetyksen ja seurannan automatisoinnin, mikä vapauttaa aikaa sopimuksiin liittyvistä hallinnollisista tehtävistä. Hyödyn suuruus on mitattava yhteenliittymän todellisessa toimintaympäristössä, ennen pilottia ja sen jälkeen.

Usein kysytyt kysymykset

Mitä eroa on edistyneellä sähköisellä allekirjoituksella ja hyväksytyllä sähköisellä allekirjoituksella?

Edistynyt allekirjoitus (AES) varmistaa allekirjoittajan henkilöllisyyden ja asiakirjan eheyden, mutta sen todistusvoima voidaan riitauttaa tuomioistuimessa: tuomari arvioi sen. Hyväksytty allekirjoitus (QES), jonka on myöntänyt kansallisella luottamusluettelolla rekisteröity palveluntarjoaja, nauttii laillisesta oletuksesta, jonka mukaan se vastaa kätköistettyä allekirjoitusta koko Euroopan unionissa eIDAS-asetuksen (EY) N:o 910/2014 25 artiklan mukaisesti.

Onko eIDAS-hyväksynnän saanut palveluntarjoaja, joka on perustettu toiseen EU-maan, tunnustettu Ranskassa?

Kyllä. eIDAS-asetus edellyttää keskinäisen tunnustamisen periaatetta: hyväksytty allekirjoitus, jonka on myöntänyt jäsenvaltion luottamusluettelolla rekisteröity palveluntarjoaja, tuottaa samat oikeusvaikutukset kaikissa jäsenvaltioissa, myös Ranskassa. Riittää varmistaa, että palveluntarjoaja on merkitty Euroopan komission keskitettyyn luottamusluetteloon, joka on saatavilla osoitteessa eidas.ec.europa.eu/efts.

Mistä voi tarkistaa, että palveluntarjoaja on todella eIDAS-hyväksytty sopimuksen allekirjoitushetkellä?

Ainoa virallinen lähde on Euroopan keskitetty luottamusluettelo, jota voi käyttää Euroopan komission virallisella portaalilla (eidas.ec.europa.eu/efts). Suodattamalla maan ja palvelun tyypin "QCertESig" mukaan saat reaaliajassa kunkin palveluntarjoajan tilan. Aiempi merkintä ei takaa nykyistä asemaa: hyväksyntä voidaan keskeyttää tai peruuttaa tarkastuksen jälkeen.

Kuinka usein eIDAS-hyväksytyn palveluntarjoajan on uusittava sertifikaattonsa?

Hyväksyntä ei ole pysyvä. Palveluntarjoajan on oltava tarkastelun kohteena, jonka suorittaa akkreditoitu arviointielin, yleensä kahden vuoden välein. ANSSI voi myös käynnistää ilmoittamattomia tarkastuksia. Jos vaatimuksenmukaisuuspuute havaitaan, hyväksyntä voidaan keskeyttää, jolloin myöntämistä sertifikaatit menettävät välittömästi hyväksynnän arvonsa uusissa allekirjoituksissa.

Onko eIDAS-hyväksytty allekirjoitus pakollinen kaikille yrityssopimuksille?

Ei. Vaadittu allekirjoitustaso riippuu sopimuksen oikeudellisesta luonteesta ja sovellettavasta sektorikohtaisesta kehyksestä. QES vaaditaan tietyissä tilanteissa: tietyissä sähköisissä notaarin toimista, julkisia hankintoja koskevista sopimuksista, joissa tämä taso vaaditaan, tai sopimuksista, joiden osalta sektorikohtainen laki edellyttää sitä nimenomaisesti. Useimpien tavallisten kaupallisten sopimusten osalta edistynyt allekirjoitus riittää antamaan tyydyttävää todistusarvoa, edellyttäen vahvaa tunnistamismenetelmää.

Johtopäätös

Pätevän eIDAS-palveluntarjoajan valinta ei ole pelkkä ohjelmistohankkinta: se on strateginen päätös, joka vaikuttaa asiakirjoidesi todistusarvoon, organisaatiosi sääntelynoudattamukseen ja kauppakumppaneidesi ja julkisten tahojen luottamukseen. Vuonna 2026, eIDAS 2.0:n asteittaisen voimaantulon ja uusien NIS2-velvollisuuksien myötä, vaatimustaso vain kasvaa.

Tärkeimmät asiat muistettavaksi: tarkista aina merkintä virallisella luottamusluettelolla, vaadi julkaisemattua sertifiointikäytäntöä ja sovita allekirjoitustaso (QES, AES, SES) kunkin asiakirjan oikeudelliseen merkitykseen.

Certyneo auttaa sinua tässä prosessissa antamalla sinulle pääsyn päteviin sertifikaatteihin pätevien palveluntarjoajien kautta, kestävään API-integrointihin ja erityiseen oikeudelliseen tukeen. Valmiina siirtymään pätevään allekirjoitukseen? Pyydä demo tai luo tilisi Certyneohon ja tuo organisaatiosi vaatimustenmukaisuuteen jo tänään.