Fornitore TSP eIDAS: comprendere il ruolo dei servizi di fiducia

Introduzione

Dall'entrata in vigore del regolamento eIDAS n°910/2014, i fornitori di servizi di fiducia (TSP, Trust Service Providers) costituiscono la spina dorsale della fiducia digitale in Europa. Questi attori, sottoposti a una rigorosa regolamentazione, rilasciano certificati, marche temporali e firme qualificate che conferiscono forza giuridica agli scambi elettronici. Con l'adozione del regolamento eIDAS 2.0 (regolamento UE 2024/1183), i loro obblighi si sono ulteriormente evoluti. Questo articolo ti spiega che cosa è un TSP, come viene accreditato, quali servizi può fornire e perché la scelta di un fornitore qualificato è determinante per la tua azienda.

---

Che cos'è un fornitore di servizi di fiducia (TSP)?

Definizione e ambito normativo

Secondo l'articolo 3 del regolamento eIDAS, un fornitore di servizi di fiducia è una persona fisica o giuridica che fornisce uno o più servizi di fiducia, sia a titolo qualificato che non qualificato. Il regolamento distingue chiaramente queste due categorie: solo i fornitori qualificati beneficiano della presunzione di conformità e del valore giuridico rafforzato associato ai loro servizi.

I servizi di fiducia coperti da eIDAS includono:

• La creazione, verifica e convalida di firme elettroniche (semplici, avanzate o qualificate)
• La creazione, verifica e convalida di sigilli elettronici (per le persone giuridiche)
• La creazione, verifica e convalida di marche temporali elettroniche qualificate
• I servizi di posta elettronica certificata qualificata
• Il rilascio e la gestione di certificati per l'autenticazione di siti web (QWAC)
• La conservazione a lungo termine di firme e sigilli qualificati

A partire da eIDAS 2.0, l'elenco si è esteso ai portafogli europei di identità digitale (EUDIW) e agli attestati di attributi elettronici qualificati, rafforzando ulteriormente l'ambito di intervento dei TSP.

La distinzione TSP qualificato vs non qualificato

Non tutti i fornitori di servizi di fiducia hanno lo stesso valore giuridico. Un TSP non qualificato può operare liberamente, ma i suoi servizi non comportano alcuna presunzione legale di conformità. Un TSP qualificato (QTSP, Qualified Trust Service Provider) è iscritto nell'elenco di fiducia nazionale supervisato (Trusted List) del suo Stato membro, pubblicato e mantenuto conformemente all'articolo 22 di eIDAS e alla decisione di esecuzione 2015/1505.

In Francia, è l'ANSSI (Agence nationale de la sécurité des systèmes d'information) che svolge il ruolo di organismo di supervisione (articolo 17 di eIDAS). L'elenco di fiducia francese è accessibile tramite il portale europeo centralizzato. Per approfondire la gerarchia dei livelli di firma e il loro riconoscimento, consulta la nostra guida completa al regolamento eIDAS 2.0.

---

Il processo di qualificazione di un TSP

L'audit di conformità da parte di un organismo di valutazione della conformità

Per ottenere lo status di qualificato, un fornitore deve sottoporsi a un audit condotto da un organismo di valutazione della conformità (OEC) accreditato dal COFRAC in Francia (o dall'equivalente nazionale in ogni Stato membro). Questo audit verifica la conformità ai requisiti dell'Allegato II di eIDAS (per i certificati qualificati) e alle norme ETSI applicabili.

Le principali norme tecniche di riferimento sono:

• ETSI EN 319 401: requisiti generali per i TSP
• ETSI EN 319 411-1 e -2: politica e pratiche di certificazione per i certificati qualificati
• ETSI EN 319 421: politica e pratiche per i TSP di marcatura temporale
• ETSI EN 319 132: profilo XAdES per le firme avanzate e qualificate
• ETSI EN 319 122: profilo CAdES

L'audit si conclude con un rapporto di valutazione trasmesso all'organismo di supervisione nazionale, che può concedere, rifiutare o ritirare la qualificazione. La durata della validità di un certificato di qualificazione è generalmente di 24 mesi, rinnovabile.

L'elenco di fiducia europeo: il registro di riferimento

L'elenco di fiducia europeo (EU Trusted List, o TL) è il meccanismo centrale attraverso il quale eIDAS garantisce l'interoperabilità transfrontaliera. Ogni Stato membro pubblica il suo elenco nazionale, e la Commissione europea lo aggrega nell'Elenco degli elenchi di fiducia (LOTL). Questa architettura piramidale consente a qualsiasi sistema di verifica di risalire fino alla radice di fiducia europea.

A partire dal 1º gennaio 2026, il LOTL registra più di 200 TSP qualificati in tutti gli Stati membri, che rilasciano collettivamente milioni di certificati qualificati ogni anno. Per un acquirente di soluzione SaaS, la verifica della presenza di un fornitore in questo elenco è la prima verifica da effettuare.

Obblighi di sorveglianza continua

La qualificazione non è acquisita definitivamente. I TSP qualificati sono soggetti a:

• Audit periodici (almeno ogni 24 mesi)
• Notifica senza ritardo di qualsiasi incidente di sicurezza che colpisce i servizi (articolo 19 di eIDAS)
• Mantenimento aggiornato di una politica di certificazione (CP) e di una dichiarazione delle pratiche di certificazione (CPS) pubbliche
• Mantenimento di un piano di continuità aziendale e di un piano di cessazione dell'attività che garantiscano la preservazione dei dati in caso di arresto

---

I servizi qualificati e il loro ambito giuridico

La firma elettronica qualificata (FEQ)

La firma elettronica qualificata è il livello più elevato previsto da eIDAS. Si basa su un certificato qualificato rilasciato da un QTSP e viene creata per mezzo di un dispositivo qualificato per la creazione di firme elettroniche (QSCD), come una carta a microchip certificata Common Criteria EAL4+ o un HSM (Hardware Security Module) conforme al profilo di protezione EN 419 221-5.

L'articolo 25 paragrafo 2 di eIDAS pone il principio di equivalenza con la firma manuscritta: una FEQ prodotta in uno Stato membro è riconosciuta in tutti gli Stati membri senza formalità aggiuntiva. È l'unico livello per il quale questa presunzione legale si applica automaticamente. Per approfondire il valore giuridico della firma elettronica secondo i diversi contesti contrattuali, abbiamo dedicato una guida specifica.

La marca temporale elettronica qualificata

La marca temporale elettronica qualificata (QTS, Qualified Time Stamp) attesta in modo infalsificabile che un documento o un dato esisteva in un momento preciso. Secondo l'articolo 41 di eIDAS, beneficia di una presunzione di esattezza della data e dell'ora, nonché di integrità dei dati.

Gli usi tipici includono: prova di deposito di brevetto, archiviazione probatoria, registrazione degli eventi contrattuali. La marca temporale elettronica qualificata svolge inoltre un ruolo centrale nella conservazione a lungo termine delle firme.

Il servizio di posta elettronica certificata qualificata

Il REMS qualificato (Qualified Electronic Registered Mail Service) è l'equivalente digitale della lettera raccomandata con ricevuta di ritorno. Garantisce l'identificazione delle parti, l'integrità dei dati trasmessi, la marcatura temporale dell'invio e della ricezione. L'articolo 44 di eIDAS gli conferisce una presunzione di integrità dei dati ed esattezza della data di invio e ricezione. Questo servizio è particolarmente utile per diffide, rescissioni di contratti o notifiche legali.

---

Scegliere il proprio fornitore TSP: criteri determinanti

Qualificazione, interoperabilità e copertura geografica

Il primo criterio è ovviamente la presenza nell'elenco di fiducia dello o degli Stati membri in cui operi. Ma oltre alla qualificazione formale, entrano in gioco diverse dimensioni pratiche:

• Interoperabilità: il TSP supporta i formati standard ETSI (XAdES, PAdES, CAdES, JAdES)? Le firme prodotte saranno verificabili da strumenti di terze parti come il validatore europeo DSS?
• Disponibilità del servizio: quale SLA è garantito? Le infrastrutture QSCD sono ridondanti geograficamente?
• Copertura geografica: se operi in più paesi europei, il TSP offre certificati qualificati riconosciuti in questi paesi?
• API e integrazione: le API REST/SOAP sono ben documentate? Esiste un SDK o un'integrazione nativa con il tuo stack applicativo?

Trasparenza tariffaria e modello commerciale

I TSP qualificati generalmente fatturano in base al certificato emesso, al volume di transazioni o tramite abbonamenti annuali. I prezzi variano considerevolmente: un certificato qualificato individuale costa tra 50 e 200 € al netto di IVA all'anno, mentre le soluzioni di firma in massa (server) possono superare diversi migliaia di euro annuali. Confronta le offerte del mercato con il nostro confronto delle soluzioni di firma elettronica.

Supporto, conformità RGPD e localizzazione dei dati

Un TSP che tratta dati personali (cosa che accade sistematicamente per l'emissione di certificati qualificati) è soggetto al RGPD n°2016/679. Verifica:

• La localizzazione dei dati (hosting UE o al di fuori dell'UE?)
• La politica di conservazione e cancellazione dei dati
• L'esistenza di un DPO (Data Protection Officer) designato
• L'eventuale subappalto e le clausole contrattuali standard (CCS) applicabili

Per le aziende che desiderano migrare da una soluzione esistente a un fornitore più conforme, la nostra guida sulla migrazione da DocuSign o YouSign a Certyneo descrive in dettaglio le fasi e le precauzioni da prendere.

Quadro normativo applicabile ai fornitori TSP eIDAS

Testi fondamentali

Il quadro giuridico dei fornitori di servizi di fiducia si basa su diversi strati normativi articolati tra loro.

Regolamento eIDAS n°910/2014/UE (modificato dal regolamento UE 2024/1183 detto « eIDAS 2.0 »): testo di riferimento che definisce i servizi di fiducia, i livelli di qualificazione, gli obblighi dei TSP (articoli 13 a 22 per gli obblighi generali, articoli 23 a 45 per i servizi qualificati specifici) e il regime di responsabilità (articolo 13: responsabilità per qualsiasi danno causato intenzionalmente o per negligenza, con inversione dell'onere della prova a favore della vittima).

Codice civile francese, articoli 1366 e 1367: l'articolo 1366 pone il principio dell'equivalenza dello scritto elettronico allo scritto su supporto cartaceo purché sia identificato l'autore e sia garantita l'integrità. L'articolo 1367 definisce la firma elettronica e la sua presunzione di affidabilità quando è qualificata ai sensi di eIDAS.

Decreto n°2017-1416 del 28 settembre 2017 relativo alla firma elettronica: precisa in diritto francese le condizioni tecniche della firma elettronica affidabile, rinviando esplicitamente ai requisiti di eIDAS.

Obblighi di sicurezza e notifica

L'articolo 19 di eIDAS impone ai TSP di adottare misure tecniche e organizzative appropriate per gestire i rischi che pesano sui loro servizi. In caso di incidente di sicurezza o perdita di integrità che ha un impatto significativo sul servizio o sui dati personali, il TSP deve notificare l'organismo di supervisione senza ritardo ingiustificato e, entro le 24 ore dalla conoscenza del fatto. Questo obbligo si cumula con quello previsto dall'articolo 33 del RGPD n°2016/679 (notifica all'autorità di controllo — CNIL in Francia — entro 72 ore).

La direttiva NIS2 (2022/2555/UE), recepita in diritto francese dalla legge n°2023-703 del 1º agosto 2023, sottopone i TSP qualificati a requisiti rafforzati di gestione dei rischi informatici e notifica di incidenti, in qualità di entità essenziali o importanti in base alle loro dimensioni.

Responsabilità e sanzioni

Il regime di responsabilità di eIDAS (articolo 13) è severo: il TSP è presunto responsabile di qualsiasi danno causato a qualsiasi persona fisica o giuridica dal mancato adempimento dei suoi obblighi. Gli incombe provare l'assenza di colpa. Le sanzioni nazionali per non conformità possono includere il ritiro della qualificazione, ammende amministrative (fino a 10 milioni di euro o 2% del fatturato mondiale secondo il RGPD), e azioni di responsabilità civile. In Francia, l'ANSSI può inoltre pronunciare misure correttive imposte.

Scenari d'uso: il TSP eIDAS nella pratica

Uno studio legale che gestisce atti procedurali dematerializzati

Uno studio legale specializzato in diritto degli affari con una cinquantina di collaboratori tratta quotidianamente atti che richiedono una firma qualificata: conclusioni, mandati di rappresentanza, atti di cessione di fondi commerciali. Appoggiandosi a un QTSP riferito nell'elenco di fiducia francese, lo studio genera firme PAdES-LTV (Long-Term Validation) che integrano una marca temporale qualificata. Risultato: il tempo di elaborazione di un atto sottoscrivibile passa da 3-4 giorni (navetta cartacea) a meno di 2 ore. Il valore probatorio di ogni firma è automaticamente verificabile dalla controparte e dai tribunali, senza necessità di perizia aggiuntiva, riducendo le contestazioni procedurali di circa il 70% secondo i riscontri di studi comparabili.

Una PMI industriale che protegge i suoi contratti fornitori transfrontalieri

Una PMI industriale francese di circa 180 dipendenti, rifornita da fornitori in Germania, Polonia e Spagna, doveva precedentemente legalizzare o autenticare alcuni documenti contrattuali per garantirne il riconoscimento transfrontaliero. Integrando tramite API un TSP qualificato che rilascia certificati riconosciuti in tutta l'UE (articolo 25 paragrafo 2 di eIDAS), la PMI elimina queste formalità. I 300 contratti fornitori annuali sono ora firmati elettronicamente con riconoscimento giuridico automatico nei tre paesi partner. Il guadagno stimato in costi amministrativi e tempi raggiunge il 35-45% su l'intero ciclo contrattuale, coerente con le fasce pubblicate dagli studi settoriali della Federazione delle industrie meccaniche.

Un raggruppamento ospedaliero che preserva l'integrità dei suoi fascicoli sanitari digitali

Un raggruppamento ospedaliero di circa 1.200 posti letto deve garantire l'integrità e l'autenticità dei suoi referti operatori, prescrizioni e consensi informati per periodi di conservazione fino a 20 anni (articolo R. 1112-7 del Codice della sanità pubblica). Ricorrendo a un servizio di marca temporale elettronica qualificata fornito da un QTSP, il raggruppamento crea prove di integrità infalsificabili fin dalla produzione del documento. Gli audit interni e i controlli dell'HAS (Haute Autorité de Santé) possono ora verificare automaticamente l'integrità di ogni documento archiviato, riducendo il carico di lavoro dei team della qualità di circa il 25% secondo i benchmark settoriali sanitari.

Domande frequenti

Che cos'è un fornitore di servizi di fiducia qualificato ai sensi di eIDAS?

Un fornitore di servizi di fiducia qualificato (QTSP) è un organismo che ha ottenuto lo status qualificato presso l'organismo di supervisione del suo Stato membro (l'ANSSI in Francia), dopo audit di conformità da parte di un organismo accreditato. È iscritto nell'elenco di fiducia nazionale pubblicato conformemente all'articolo 22 di eIDAS. Questo status gli consente di fornire servizi con presunzione legale di conformità: firme qualificate, marche temporali qualificate, sigilli qualificati, servizi di posta elettronica certificata qualificata.

Come verificare che un fornitore TSP sia effettivamente qualificato eIDAS?

La verifica avviene tramite il portale ufficiale della Commissione europea « eIDAS Trusted List Browser » (tlbrowser.tsl.website) o tramite il portale dell'ANSSI per i fornitori francesi. Basta cercare il nome del fornitore o l'URL del suo servizio. L'elenco è aggiornato in tempo reale. Qualsiasi fornitore che si dichiari qualificato senza comparire in questo elenco non beneficia di alcuna presunzione legale associata ai servizi qualificati di eIDAS.

Un TSP qualificato in un paese europeo è riconosciuto in tutta l'UE?

Sì. Questo è uno dei principali contributi di eIDAS: il principio del riconoscimento reciproco transfrontaliero (articolo 25 paragrafo 2 per le firme, articolo 35 paragrafo 2 per i sigilli, articolo 41 paragrafo 2 per le marche temporali). Una firma elettronica qualificata creata per mezzo di un certificato rilasciato da un QTSP francese è legalmente riconosciuta in Germania, Spagna, Polonia o in qualsiasi altro Stato membro, senza procedura aggiuntiva. Questa interoperabilità è la ragione principale dell'esistenza del regolamento eIDAS a livello europeo.

Qual è la differenza tra un certificato qualificato e un certificato avanzato?

Un certificato avanzato può essere rilasciato da qualsiasi fornitore, qualificato o meno, secondo requisiti tecnici minimi. Un certificato qualificato può essere emesso solo da un QTSP iscritto nell'elenco di fiducia, sulla base dell'Allegato I di eIDAS (contenuto del certificato) e dopo verifica rigorosa dell'identità del richiedente di persona o tramite un processo di identificazione a distanza qualificato (QES). Il certificato qualificato è la condizione necessaria per l'emissione di una firma elettronica qualificata, unica a beneficiare della presunzione di equivalenza con la firma manuscritta.

Un TSP può perdere la sua qualificazione eIDAS? Quali sono le conseguenze?

Sì. L'organismo di supervisione può ritirare o sospendere la qualificazione di un TSP in caso di grave inadempimento dei suoi obblighi (audit negativo, incidente di sicurezza importante non risolto, dichiarazione falsa). Il ritiro è pubblicato nell'elenco di fiducia con uno status « revocato ». I certificati emessi prima della revoca rimangono validi se la loro catena di fiducia è preservata in un archivio probatorio conforme. Tuttavia, nessun nuovo certificato qualificato può essere emesso dopo la revoca, e i servizi forniti cessano di beneficiare delle presunzioni legali di eIDAS.

Conclusione

I fornitori di servizi di fiducia (TSP) sono molto più che semplici fornitori tecnici: costituiscono il fondamento normativo e giuridico su cui poggia tutta la validità probatoria della firma elettronica in Europa. Comprendere il loro ruolo, il processo di qualificazione e i loro obblighi è indispensabile per qualsiasi azienda che desideri proteggere i suoi scambi digitali con una validità giuridica incontestabile. La scelta di un QTSP iscritto nell'elenco di fiducia europeo non è facoltativa non appena miri alla firma qualificata o alla marca temporale qualificata.

Certyneo si appoggia esclusivamente a fornitori TSP qualificati riconosciuti eIDAS per garantirti firme elettroniche a piena validità giuridica, interoperabili in tutta l'Unione europea. Pronto a proteggere i tuoi flussi contrattuali? Crea il tuo account Certyneo gratuitamente o contatta il nostro team per una dimostrazione personalizzata.