eIDASトラストサービスプロバイダー(TSP)：信頼できるサービスの役割を理解する

はじめに

eIDAS規則910/2014の発効以来、トラストサービスプロバイダー(TSP、Trust Service Providers)はヨーロッパのデジタル信頼の中核を担っています。厳格な規制に従うこれらの事業者は、電子取引に法的効力を与える資格認定、タイムスタンプ、および認定済み署名を提供しています。eIDAS 2.0規則(EU規則2024/1183)の採択により、その義務はさらに進化しました。この記事では、TSPとは何か、どのように認定されるか、どのサービスを提供できるか、および認定されたプロバイダーを選択することがなぜ企業にとって決定的であるのかについて説明します。

---

トラストサービスプロバイダー(TSP)とは何か？

定義と規制対象

eIDAS規則第3条によれば、トラストサービスプロバイダーは、認定済みまたは非認定のいずれかの形式で1つ以上のトラストサービスを提供する自然人または法人です。規則はこれら2つのカテゴリーを明確に区別しており、認定済みプロバイダーのみが適合性の推定および強化された法的価値の恩恵を受けます。

eIDASでカバーされるトラストサービスには以下が含まれます：

• 電子署名(シンプル、アドバンス、または認定済み)の作成、検証、および検証
• 電子シール(法人向け)の作成、検証、および検証
• 認定電子タイムスタンプの作成、検証、および検証
• 認定電子配送サービス
• ウェブサイト認証用証明書(QWAC)の発行と管理
• 認定署名および認定シールの長期保存

eIDAS 2.0以降、リストはヨーロッパデジタルアイデンティティウォレット(EUDIW)および認定電子属性証明書に拡張され、TSPの介入範囲はさらに強化されました。

認定済みTSP対非認定TSPの区別

すべてのトラストサービスプロバイダーが法的に同等ではありません。非認定TSPは自由に業務を行うことができますが、そのサービスは適合性に関する法的推定の恩恵を受けません。認定済みTSP(QTSP、Qualified Trust Service Provider)は国家信頼リスト(Trusted List)に登録されており、eIDAS第22条および実行決定2015/1505に従い、その加盟国によって監督、公開、および維持されています。

フランスでは、ANSSI(情報システムセキュリティに関する国家機関)が監視機関(eIDAS第17条)の役割を果たします。フランスの信頼リストはヨーロッパ中央ポータルを通じてアクセスできます。署名レベルの階層構造と認識についてさらに詳しく知るには、当社のeIDAS 2.0規則完全ガイドを参照してください。

---

TSPの認定プロセス

認定適合評価機関による監査

認定ステータスを取得するには、プロバイダーは認定適合評価機関(OEC)によって実施される監査を受け入れる必要があります。フランスではCOFRACによって認定された機関(または各加盟国の同等機関)です。この監査はeIDASの附属書II(認定証明書の場合)および適用されるETSI標準への適合性を検証します。

参照される主要な技術標準は以下の通りです：

• ETSI EN 319 401：TSPの一般要件
• ETSI EN 319 411-1および-2：認定証明書の認定ポリシーと実務
• ETSI EN 319 421：タイムスタンプTSPのポリシーと実務
• ETSI EN 319 132：アドバンス署名および認定署名用XAdESプロファイル
• ETSI EN 319 122：CAdESプロファイル

監査の結果、国家監視機関に送付される評価報告書が作成され、認定の付与、拒否、または取消が可能になります。認定証明書の有効期間は通常24ヶ月で、更新可能です。

ヨーロッパ信頼リスト：参照レジストリ

ヨーロッパ信頼リスト(EU Trusted List、またはTL)は、eIDASが国境を越えた相互運用性を保証する中央メカニズムです。各加盟国が国家リストを公開し、欧州委員会は信頼リストのリスト(LOTL)にすべてを統合します。このピラミッド構造により、任意の検証システムがヨーロッパの信頼の根に遡ることができます。

2026年1月1日現在、LOTLは全加盟国で200以上の認定済みTSPを記録しており、年間数百万の認定済み証明書を集約して発行しています。SaaS ソリューションの購入者にとって、このリストにプロバイダーが存在することを確認することは最初のデューデリジェンスです。

継続的な監視義務

認定は永遠に獲得されるものではありません。認定済みTSPは以下に従う必要があります：

• 定期監査(少なくとも24ヶ月ごと)
• セキュリティインシデントの即座の通知：サービスに影響を与えるもの(eIDAS第19条)
• 公開された認定ポリシー(CP)および認定実務声明(CPS)の最新維持
• 事業継続計画および事業終了計画の維持：停止時のデータ保存を保証

---

認定済みサービスとその法的範囲

認定電子署名(SEQ)

認定電子署名はeIDASが規定する最高レベルです。認定証明書(QTSP により発行)に基づき、認定電子署名作成デバイス(QSCD)。例えば、Common Criteria EAL4+認定スマートカードまたはEN 419 221-5に適合するHSM(Hardware Security Module)を使用して作成されます。

eIDAS第25条第2項は手書き署名との等価性の原則を定めています：ある加盟国で作成された認定電子署名は、すべての加盟国で追加の手続なしに認識されます。これは、この法的推定が自動的に適用される唯一のレベルです。契約コンテキストに応じた電子署名の法的価値をさらに深く理解するために、当社は専用ガイドを作成しました。

認定電子タイムスタンプ

認定電子タイムスタンプ(QTS、Qualified Time Stamp)は、ドキュメントまたはデータが特定の瞬間に存在したことを改ざん不可能な方法で証明します。eIDAS第41条によれば、それは日付と時刻の正確性およびデータの整合性に関する推定の恩恵を受けます。

典型的な使用例には：特許出願の証明、証拠的保管、契約イベントのログがあります。認定電子タイムスタンプは、署名の長期保存で中心的な役割を果たします。

認定電子配送サービス

認定電子配送サービス(REMS、Qualified Electronic Registered Mail Service)は電子配達証明付き手紙に相当します。これは当事者の識別、送信されたデータの整合性、送受信のタイムスタンプを保証します。eIDAS第44条は、データの整合性および送受信の日付と時刻の正確性に関する推定を与えます。このサービスは、催告状、契約終了、または法的通知に特に有用です。

---

TSPプロバイダーの選択：決定的な基準

認定、相互運用性、および地理的カバレッジ

最初の基準は明らかに、業務を行う加盟国(複数)の信頼リストへの登録です。ただし、正式な認定を超えて、複数の実用的な側面が作用します：

• 相互運用性：TSPは標準ETSI形式(XAdES、PAdES、CAdES、JAdES)をサポートしていますか？ 作成された署名は、DSS ヨーロッパ検証ツールなどのサードパーティツールで検証可能ですか？
• サービスの可用性：保証されているSLAは何ですか？ QSCD インフラストラクチャは地理的に冗長化されていますか？
• 地理的カバレッジ：複数のヨーロッパ諸国で業務を行う場合、TSPはこれらの国で認識されている認定証明書を提供していますか？
• APIと統合：REST/SOAP APIは十分に文書化されていますか？ SDKまたはアプリケーションスタックとのネイティブ統合は存在していますか？

透明性のある価格設定と商用モデル

認定済みTSPは通常、発行された証明書、トランザクションボリューム、または年間サブスクリプションで請求します。価格設定は大きく異なります：個人向け認定証明書は年間50〜200ユーロHT、一方、大規模署名ソリューション(サーバー)は数千ユーロ以上の年間費用がかかる場合があります。当社の電子署名ソリューション比較を使用して市場オファーを比較してください。

サポート、GDPR適合性、およびデータロケーション

個人データを処理するTSP(認定証明書発行の場合は常に該当)はGDPR 2016/679に従う必要があります。確認してください：

• データのロケーション(EU内またはEU外のホスティング？)
• データ保持およびデリート ポリシー
• 指定されたDPO(Data Protection Officer)の存在
• 潜在的な外注およびサブプロセッサ契約(SCC)の適用

DocuSignまたはYouSignから、より適合性の高いプロバイダーへの移行を希望する企業の場合、当社のDocuSignまたはYouSignからCertyneoへの移行ガイドは手順と注意事項を詳しく説明しています。

eIDAS TSPプロバイダーに適用される法的枠組み

基礎となるテキスト

トラストサービスプロバイダーの法的枠組みは、複数の規制層で構成されており、相互に結び付いています。

eIDAS規則910/2014/EU(EU規則2024/1183いわゆる「eIDAS 2.0」により改正)：トラストサービス、認定レベル、TSPの義務(一般的義務についてはeIDAS第13〜22条、特定の認定済みサービスについてはeIDAS第23〜45条)および責任制度(第13条：故意または過失により引き起こされた損害に対する責任、被害者に有利な立証責任の転換)を定義する参照テキスト。

フランス民法第1366条および1367条：第1366条は、著者の識別およびデータの整合性に基づき、紙媒体の記述への電子記述の等価性の原則を定めています。第1367条は電子署名を定義し、eIDASの意味で認定される場合、その信頼性の推定を定めています。

2017年9月28日の令第2017-1416号：電子署名に関する：フランス法における安全な電子署名の条件を明確にし、eIDAS要件に明示的に言及しています。

セキュリティおよび通知義務

eIDAS第19条は、TSPにサービスまたは個人データに影響を与えるリスクを管理するための適切な技術的および組織的対策を講じることを要求しています。サービスまたは個人データの整合性に重大な影響を与えるセキュリティインシデントまたはデータ喪失の場合、TSPは監視機関に不当な遅延なく、最新で24時間以内に通知する必要があります。この義務はGDPR 2016/679第33条(監視機関(フランスではCNIL)への72時間以内の通知)で規定されたものと重複しています。

NIS2指令(2022/2555/EU)は、2023年8月1日の法律第2023-703号によってフランス法に転置され、認定済みTSPをサイバーセキュリティ管理とインシデント通知のための強化された要件に従わせ、その規模に応じた本質的または重要なエンティティとして扱います。

責任およびペナルティ

eIDAS責任制度(第13条)は厳格です：TSPは、その義務違反により、あらゆる自然人または法人に引き起こされた損害に対して責任があると推定されます。過失の不在を証明することはプロバイダー次第です。適合性違反の国家的ペナルティには、認定の取消、行政罰金(GDPR下では最大10M€または世界売上の2%)および民事責任訴訟が含まれます。フランスでは、ANSSIは是正措置の命令を下すこともできます。

ユースケース：実際のeIDAS TSP

デジタル化手続きでのドキュメント作成に対応する法律事務所

約50人の従業員を持つ法律事務所が、認定署名が必要な行為を日常的に処理しています：主張書面、表示権限、事業買収契約。信頼できるフランス信頼リスト登録のQTSPを活用することで、当事務所は認定電子タイムスタンプを統合したPAdES-LTV署名を生成します。結果：署名可能な文書の処理時間が、紙の やり取り3〜4日から2時間未満に短縮されました。各署名の証拠価値は、第三者および司法機関によって自動的に検証可能で、追加の専門家鑑定なしで、手続き異議減少が業界に比べて約70％に達しています。

国境を越えた複数サプライヤーと取引する中小企業

フランスの約180人の従業員を持つ中小企業が、ドイツ、ポーランド、スペインのサプライヤーから調達しており、一部の契約ドキュメントは国外での認識を保証するために認証または証明されていました。eIDAS 規則(第25条第2項)で認識されている認定証明書を提供する認定済みTSPをAPI経由で統合することで、会社はこれらの形式を排除しました。年間300件のサプライヤー契約は、3つのパートナー国で自動的に法的認識を持つ電子署名で署名されています。行政費用とリード時間削減は、契約全体のサイクルで35〜45％に達し、これは機械産業連盟が公開している業界調査の範囲と一致しています。

医療ファイルのデジタル整合性を保存する病院グループ

約1,200床の病院グループが、最大20年間の保持期間を持つ手術レポート、処方箋、および通知された同意のデジタルファイルの整合性と真正性を保証する必要があります(公式衛生法第R. 1112-7条)。認定済みTSPによるタイムスタンプ電子サービスの認定に頼ることで、病院グループはドキュメント作成時から改ざん不可能な整合性を作成します。内部監査およびHAS(高衛生監督)チェックは、保管された各ドキュメントの整合性を自動的に検証でき、品質チームの作業負荷削減は業界ベンチマークに従い約25％に達しています。

よくある質問

eIDASの意味で認定されたトラストサービスプロバイダーとは何ですか？

認定トラストサービスプロバイダー(QTSP)は、その加盟国の監視機関(フランスではANSSI)から認定ステータスを取得した組織です。これは認定機関による監査後です。国家信頼リストに登録されており、eIDAS第22条に従い公開されています。このステータスは、推定される適合性を持つサービスを提供することを可能にします：認定署名、認定タイムスタンプ、認定シール、認定電子配送サービス。

TSPプロバイダーが本当にeIDAS認定されているかを確認するにはどうしますか？

検証は、欧州委員会の公式ポータル「eIDAS Trusted List Browser」(tlbrowser.tsl.website)またはフランスのプロバイダー用ANSSIポータルを通じて行われます。プロバイダー名またはそのサービスのURLを検索するだけです。リストはリアルタイムで更新されます。このリストに表示されていないeIDAS認定を主張するプロバイダーは、認定済みeIDASサービスに関連する法的推定の恩恵を受けません。

ある国のeIDAS認定済みTSPはEU全体で認識されていますか？

はい。これはeIDASの基本的な側面の1つです。相互認識の原則(署名についてはeIDAS第25条第2項、シールについてはeIDAS第35条第2項、タイムスタンプについてはeIDAS第41条第2項)。フランスのQTSPにより発行された証明書を使用して作成された認定電子署名は、ドイツ、スペイン、ポーランド、または他の加盟国で、追加の手続なしで法的に認識されます。この相互運用性がヨーロッパレベルでeIDAS規則の主な存在理由です。

認定証明書とアドバンス証明書の違いは何ですか？

アドバンス証明書は、認定されているかどうかに関わらず任意のプロバイダーにより発行でき、最小限の技術要件に従います。認定証明書は、信頼リストに登録されたQTSPによってのみ発行でき、eIDAS附属書I(証明書の内容)に基づき、対面またはeIDAS適合した遠隔識別プロセスを通じた申請者の身元確認を厳密に行った後です。認定証明書は認定電子署名の発行に必要な条件であり、手書き署名との等価性の推定の恩恵を受ける唯一のものです。

TSP はeIDAS認定を失うことはありますか？結果は何ですか？

はい。監視機関は、重大な義務違反の場合(負の監査、未解決の重大セキュリティインシデント、虚偽申告)、TSPの認定を取り消しまたは停止できます。取消は信頼リストで「失効」ステータスで公開されます。失効前に発行された証明書は、適合性のある証拠的保管で信頼チェーンが保存されている場合は有効なままです。しかし、失効後に新しい認定証明書を発行することはできず、提供されるサービスはeIDAS法的推定の恩恵を受けなくなります。

結論

トラストサービスプロバイダー(TSP)は単なる技術仕入先以上のものです。ヨーロッパ全体の電子署名の法的価値が依拠する規制および法的基礎の基盤を構成しています。デジタル取引を異議のない法的価値で保護することを望むあらゆる企業にとって、その役割、認定プロセス、および義務を理解することは不可欠です。疑問の余地のない法的価値に対する認定署名またはタイムスタンプを目指す場合、ヨーロッパ信頼リストに登録されたQTSPの選択は任意ではありません。

Certyneoは、電子署名が完全な法的価値を持ち、ヨーロッパ連合全体で相互運用可能であることを保証するために、eIDAS認定を受けた認定TSPプロバイダーのみに依存しています。契約フローを保護する準備はできていますか？ Certyneoアカウントを無料で作成するか、当社チームにお問い合わせしてパーソナライズデモを依頼してください。