Kvalifiserte eIDAS-leverandører: den offisielle listen 2026

Hvorfor er eIDAS «kvalifisert»-status avgjørende for bedriften din?

Siden ikrafttredelsen av eIDAS-forordningen (nr. 910/2014) har det europeiske markedet for elektroniske signaturer blitt grundig omstrukturert rundt et tre-nivå hierarki: enkel elektronisk signatur (SES), avansert elektronisk signatur (AES) og kvalifisert elektronisk signatur (QES). Sistnevnte er den eneste som nyter godt av en presumpsjon om juridisk likevekt med håndskreven signatur i alle EU-medlemsstater.

For at en bedrift skal kunne tilby kvalifiserte signaturer, må den på det sterkeste ha blitt revidert og registrert på tillitslisten (Trust List) i sitt medlemsland. I Frankrike er det Agence nationale de la sécurité des systèmes d'information (ANSSI) som forvalter dette offisielle registeret, republisert igjen på den sentraliserte europeiske listen administrert av EU-kommisjonen.

Å forstå denne arkitekturen er grunnleggende før du signerer noen følsomme kommersielle kontrakter. For å gå dypere inn i de regulatoriske grunnlagene, vår komplette veiledning om eIDAS 2.0-forordningen detaljerer alle forpliktelsene og endringene som ble introdusert av den reviderte eIDAS 2.0-forordningen (EU-forordning 2024/1183).

---

Hvordan sertifiseres leverandører av kvalifiserte tillitssamfunnstjenester?

Veien til Kvalifisert leverandør av tillitssamfunnstjenester (PSCQ)-status er krevende. Det innebærer en revisjon som utføres av et akkreditert konformitetsvurderingsorgan (CAB, Conformity Assessment Body), i samsvar med normene ETSI EN 319 401 (generelle krav) og ETSI EN 319 411-2 for kvalifiserte sertifikater.

ANSSI-kvalifiseringstrinnene

• Innsending av kvalifiseringsdokumentar: leverandøren sender inn sine tekniske, sikkerhetsmessige og organisatoriske dokumenter til ANSSI.

• Revisjon av et akkreditert CAB: et tredjepartskorgan — som Bureau Veritas, LSTI eller Apave Certification — bekrefter samsvar på stedet og på papir.

• Kvalifiseringsbeslutning: ANSSI uttaler kvalifiseringen og registrerer leverandøren på den franske tillitslisten (TL-FR).

• Periodisk fornyelse: kvalifiseringen vurderes på nytt, vanligvis hvert annet år, for å garantere vedlikehold av kravene.

Hva undersøker revisor konkret?

Revisor undersøker særlig:

• Den fysiske sikkerheten for datasentre som hoster kryptografiske nøkler (sertifiserte HSM-moduler CC EAL 4+ eller FIPS 140-2 Level 3 minimum);

• Sertifiseringspolicyer (CP) og erklæringer om sertifiseringspraksis (CPS) publisert av leverandøren;

• Prosedyrer for identitetsverifisering av undertegnere (ansikt-til-ansikt eller fjernidentitetsverifisering i samsvar med norm EN 419 241-1);

• Revokasjonsstyring og tilgjengelighet av OCSP/CRL-tjenester.

Disse kriteriene forklarer hvorfor bare en håndfull aktører oppnår og opprettholder dette sertifiseringsnivået i Frankrike.

---

De kvalifiserte eIDAS-leverandørene som er referert i Frankrike i 2026

Den offisielle listen over kvalifiserte leverandører kan konsulteres når som helst på EU-kommisjonens offisielle portal (eidas.ec.europa.eu/efts), med filtrering på « Frankrike » og tjenesten « QCertESig » (Kvalifisert sertifikat for elektronisk signatur). Her er aktørene som var oppført i registeret da denne artikkelen ble skrevet (juni 2026):

Franske aktører registrert på Trust List

> Advarsel: denne listen er gitt kun som veiledning og informasjon. Kun den offisielle Trust List fra EU-kommisjonen er bindende. Verifiser alltid gjeldende status på ETSI-portalen før enhver kontraktlig forpliktelse.

Utenlandske leverandører som er anerkjent i Frankrike via den europeiske Trust List

I samsvar med prinsippet om gjensidig anerkjennelse fastsatt i artikkel 25 i eIDAS-forordningen, produserer en kvalifisert signatur utstedt av en PSCQ registrert på tillitslisten i et annet medlemsland de samme juridiske virkningene i Frankrike. Blant de ikke-franske aktørene som brukes hyppig:

• Namirial (Italia): sterk innen fjern kvalifisert signatur (QES fjernundertegning);

• SwissSign (Sveits): OBS, Sveits er ikke medlem av EU; anerkjennelsen er delvis;

• Qualified.one / Asseco Data Systems (Polen): europeisk offentlig aktør, hyppig på tverrgranselige markeder.

For å sammenligne disse løsningene i henhold til dine forretningsbehov, se vår sammenligning av elektroniske signeringsløsninger som analyserer pris-, samsvarskriterier og API-integrasjon.

---

Hvordan velger du riktig kvalifisert eIDAS-leverandør for organisasjonen din?

Å være oppført på Trust List er en nødvendig, men ikke tilstrekkelig betingelse. Valget av en PSCQ må baseres på flere supplerende kriterier.

Tekniske og integrasjonskriterier

• REST API eller SDK tilgjengelig: uunnværlig for automatisering av signatur i dine forretningsarbeidsflyter (ERP, SIRH, CRM);

• Signaturformater som støttes: PAdES for PDF, XAdES for XML, CAdES for binære filer — alle normalisert av ETSI EN 319 100;

• Tjenestetilgjengelighet: SLA større enn 99,9% garantert kontraktsmessig, med planlagte vedlikeholds-vindu utenfor arbeidstider;

• Datahostingssted: foretrekk hosting i Frankrike eller EU, ideelt sertifisert SecNumCloud for følsomme data.

Juridiske og samsvarskriterier

• Verifiser at leverandøren gir en oppdatert kvalifiseringsrapport (mindre enn 24 måneder);

• Krev en publisert sertifiseringspolicy (CP) som er offentlig tilgjengelig og revidert;

• Sørg for at generelle betingelser eksplisitt sier at utstedelse av kvalifiserte sertifikater i henhold til vedlegg I til eIDAS-forordningen.

Operasjonelle og supportkriterier

• Innrullingsrprosedyre for undertegnere: ansikt-til-ansikt på kontor, videoverifisering i samsvar med eIDAS eller NFC fra et elektronisk identitetsbevis;

• Support på fransk med kontraktsfestede svartider;

• Opplæring og dokumentasjon tilgjengelig for dine juridiske og IT-team.

Hvis organisasjonen din håndterer store HR-dokumentflyt, detaljerer vår dedikerte side for elektronisk signatur for HR-team spesifikke brukstilfeller (arbeidskontrakter, tillegg, onboarding) og anbefalte signeringsnivåer etter dokumenttype.

---

eIDAS 2.0: hvilke endringer for kvalifiserte leverandører i 2026?

Den reviderte eIDAS 2.0-forordningen (EU-forordning 2024/1183, som ble gradvis iverksatt fra mai 2024) introduserer flere strukturelle endringer som direkte påvirker PSCQ-er og deres klienter.

Den europeiske digitale identitetslommeboken (EUDI Wallet)

Artikkel 6a i den reviderte forordningen pålegger medlemsstatene å tilby, innen september 2026, en digital identitetsportefølje (EUDI Wallet) som er anerkjent i hele EU. For kvalifiserte leverandører betyr dette:

• Forpliktelsen til å akseptere identitetsattributter fra lommeboken som bevis på identitet for innrulling av undertegnere;

• Fremveksten av en ny kvalifisert tjeneste: utstedelse av attestasjoner av kvalifiserte attributter (Qualified Electronic Attestation of Attributes, QEAA).

Nye kvalifiserte tjenester og utvidelse av omfanget

eIDAS 2.0 utvider listen over kvalifiserte tillitssamfunnstjenester til å inkludere:

• Kvalifiserte elektroniske arkiveringtjenester (QPDS, artikkel 45f);

• Tjenester for styring av fjernopprettingsenheter for signaturenheter (QRCD).

Disse utviklingene representerer både en overholdelseskomplikasjon (tette frister for eksisterende leverandører) og en mulighet for differensiering for nye aktører som kan integrere raskt de tekniske spesifikasjonene publisert av ENISA og ETSI.

For bedrifter som vurderer migrering fra en eksisterende plattform til en mer samsvarende løsning, presenterer vår migreringsveiledning fra DocuSign eller YouSign til Certyneo de konkrete trinnene og regulatoriske forsiktighetspoeng.

Rettslig rammeverk som gjelder for kvalifiserte eIDAS-leverandører

eIDAS-forordning og europeisk rett

Det juridiske grunnlaget er Forordning (EU) nr. 910/2014 fra Europaparlamentet og Rådet av 23. juli 2014 om elektronisk identifikasjon og tillitssamfunnstjenester for elektroniske transaksjoner på det indre marked (kalt « eIDAS-forordningen »), som endret ved Forordning (EU) 2024/1183 (eIDAS 2.0). Denne forordningen er direkte gjeldende i alle medlemsstater uten nasjonal gjennomføring.

Dens viktigste bestemmelser for kvalifiserte leverandører:

• Artikkel 17: forpliktelsen for hver medlemsstat til å utpeke en kontrollmyndighet (i Frankrike ANSSI);

• Artikkel 20: prosedyre for tilsyn, revisjon og registrering på tillitslisten;

• Artikkel 25: presumpsjon om likevekt mellom QES og håndskreven signatur, med juridisk virkning garantert i hele EU;

• Vedlegg I: krav til kvalifiserte sertifikater for elektronisk signatur;

• Vedlegg II: krav til enheter for opprettelse av kvalifisert signatur (QSCD).

Fransk rett

I innenlands rett reguleres elektronisk signatur av:

• Sivil kode, artikler 1366 og 1367: artikkel 1366 anerkjenner bevistkraften til elektronisk dokument forutsatt at det garanterer forfatterens identitet og dokumentets integritet. Artikkel 1367 presiserer at elektronisk signatur bestående av en pålitelig identifikasjonsprosess nyter presumpsjon for pålitelighet når den er opprettet i samsvar med implementeringsdekretet;

• Dekret nr. 2017-1416 av 28. september 2017: definerer betingelsene under hvilke kvalifisert elektronisk signatur er antatt å være pålitelig i Frankrike, med eksplisitt henvisning til eIDAS-forordningen;

• Forordning nr. 2005-674 av 16. juni 2005 angående gjennomføring av visse kontraktuelle formaliteter elektronisk.

Personvernbeskyttelse

Innrullings- og signeringsprosesser innebærer behandling av personopplysninger (identitetsdata, biometri for videoverifisering). Den kvalifiserte leverandøren er underlagt Forordning (EU) 2016/679 (GDPR) og må særlig:

• Utpeke en DPO hvis behandlingen er i stor skala;

• Dokumentere behandlinger i CNIL-registeret;

• Regulere overføringer utenfor EU med passende garantier (typiske kontraktsbetingelser, tilstrekkelighetsavgjørelse).

Cybersikkerhet og motstandskraft

Fra oktober 2024 gjelder NIS2-direktivet (2022/2555/EU) for leverandører av kvalifiserte tillitssamfunnstjenester, klassifisert som essensielle enheter. De må implementere tiltak for håndtering av cybersikkerhet, varsle ANSSI om betydelige hendelser innen 24 timer, og gjennomgå regelmessige revisjoner. Manglende overholdelse medfører bøter som kan nå 10 millioner euro eller 2% av årlig verdensomspennende omsetning.

Referanseteknikknormer

• ETSI EN 319 401: generelle krav for leverandører av tillitssamfunnstjenester;

• ETSI EN 319 411-2: profil av policy for kvalifiserte sertifikater;

• ETSI EN 319 132: XAdES-signaturformater;

• ETSI EN 319 122: CAdES-signaturformater;

• ETSI EN 319 162: PAdES-signaturformater (PDF).

Illustrerende bruksscenarier: når er den kvalifiserte eIDAS-signaturen uunnværlig?

Scenario 1 — Et advokatkontor som håndterer høyt verdi privatrettsakta

Disse scenariene er illustrerende: de beskriver typiske situasjoner og rapporterer ikke noe målt resultat hos en kunde. Et forretningsadvokatfirma med rundt tjue medarbeidere håndterer hver måned flere titalls overdragelser av selskapsandeler, intensjonsavtaler og garantiavtaler for aktiva og passiva (GAP). Disse dokumentene omfatter beløp som ofte overstiger flere hundre tusen euro og kan bli bestridt i retten.

Før firmaet går over til en kvalifisert eIDAS-leverandør, bruker det en løsning for avansert signatur (AES), noe som er tilstrekkelig for de fleste ordinære dokumenter. Etter en hendelse der motparten bestrider ektheten av en signatur under en tvist, kan det velge QES for alle dokumenter med høy risiko. Tiden brukt på å fremskaffe bevis for signatur under tvistesaker kan da reduseres, takket være presumsjonen om pålitelighet knyttet til QES. Den ekstra kostnaden per signatur, som varierer etter volum, må veies opp mot unngåtte tvistekostnader. Omfanget av gevinsten må måles på firmaets faktiske omfang, før og etter et pilotprosjekt.

Scenario 2 — Et mellomstort industrielt selskap som håndterer tverrgranselige leverandørkontrakter

En mellomstor virksomhet (ETI) innen industriutstyr, med leverandører etablert i Frankrike, Tyskland, Italia og Polen, må, uten elektronisk signatur, sende sine rammeavtaler per post eller organisere fysiske signeringsmøter, noe som gir betydelige forsinkelser per kontrakt.

Med en løsning tilknyttet en europeisk PSCQ oppført på Trust List kan virksomheten merkbart korte ned signeringssyklusen. Den gjensidige anerkjennelsen mellom medlemsstatene garanterer rettsgyldigheten uten behov for ytterligere legalisering. For en portefølje på 350 leverandørkontrakter årlig må de unngåtte administrative og logistiske kostnadene beregnes på virksomhetens faktiske omfang, før og etter et pilotprosjekt.

Scenario 3 — Et sykehusgruppering underlagt krav i helsesektoren

Et sykehusgruppering med omkring 1 200 senger må signere elektronisk offentlige anskaffelser, avtaler om klinisk forskning og kontrakter for sykehusmedisiner. Disse dokumentene er underlagt Koden for offentlige anskaffelser, som krever en elektronisk signatur i samsvar med RGS (Generell sikkeringsreferanseramme) på nivå ** eller, siden dematrisiseringen av offentlige anskaffelser, til et eIDAS-ekvivalent nivå.

Ved å benytte en PSCQ oppført på den franske Trust List oppfyller sammenslutningen kravene i artikkel R. 2132-7 i den franske loven om offentlige anskaffelser, samtidig som signeringstiden for kontraktene forkortes. API-integrasjonen med sykehusets informasjonssystem (SIH) gjør det mulig å automatisere utsendelse og oppfølging av dokumenter, noe som frigjør tid fra administrative oppgaver knyttet til kontrakter. Omfanget av gevinsten må måles på sammenslutningens faktiske omfang, før og etter et pilotprosjekt.

Ofte stilte spørsmål

Hva er forskjellen mellom en avansert elektronisk signatur og en kvalifisert elektronisk signatur?

En avansert signatur (AES) garanterer identiteten til undertegneren og integriteten til dokumentet, men bevisverdien kan bestrides i retten – det er dommeren som skal vurdere den. En kvalifisert signatur (QES), utstedt av en leverandør som er registrert på en nasjonal tillitsliste, nyter godt av en juridisk formodning om ekvivalens med håndskrevet signatur i hele Den europeiske union, i henhold til artikkel 25 i forordning eIDAS nr. 910/2014.

Er en kvalifisert eIDAS-leverandør etablert i et annet EU-land anerkjent i Norge?

Ja. Forordningen eIDAS pålegger et prinsipp om gjensidig anerkjennelse: en kvalifisert signatur utstedt av en leverandør som er registrert på tillitslisten til en medlemsstat, har samme juridiske virkninger i alle medlemsstater. Det er nok å kontrollere at leverandøren faktisk er oppført på Den europeiske kommisjonens sentraliserte tillitsliste, som er tilgjengelig på portalen eidas.ec.europa.eu/efts.

Hvor kan man kontrollere at en leverandør er kvalifisert eIDAS på tidspunktet for signering av en kontrakt?

Den eneste kilden som har rettsgyldighet, er den sentraliserte europeiske tillitslisten, som kan konsulteres på Den europeiske kommisjonens offisielle portal (eidas.ec.europa.eu/efts). Ved å filtrere etter land og tjenestetype «QCertESig», får du i sanntid statusen for hver leverandør. En tidligere registrering garanterer ikke en gjeldende status: kvalifikasjonen kan suspenderes eller trekkes tilbake etter en revisjon.

Hvor ofte må en kvalifisert eIDAS-leverandør fornye sertifiseringen sin?

Kvalifikasjonen er ikke permanent. Leverandøren må underkaste seg en revideringsrevisjon, utført av et akkreditert evalueringsorgan, vanligvis hvert annet år. Den relevante nasjonale myndigheten kan også iverksette uanmeldte kontroller. Dersom manglende samsvar påvises, kan kvalifikasjonen suspenderes, noe som umiddelbart berøver sertifikatene som er utstedt, deres kvalifiserte verdi for nye signaturer.

Er kvalifisert eIDAS-signatur obligatorisk for alle bedriftskontakter?

Nei. Det signaturniået som kreves, avhenger av den juridiske karakteren til kontrakten og det aktuelle sektorrammeverket. QES er påkrevd i bestemte sammenhenger: enkelte elektroniske notarialakter, offentlige anskaffelser som pålegger dette nivået, eller kontrakter som en sektoriell lov eksplisitt foreskriver det for. For det store flertallet av vanlige handelskontakter, er en avansert signatur tilstrekkelig til å gi tilfredsstillende bevisverdi, forutsatt at det foreligger en robust identifikasjonsmekanisme.

Konklusjon

Valg av en kvalifisert eIDAS-leverandør er ikke bare et enkelt softwarekjøp: det er en strategisk beslutning som engasjerer bevistkraften til dine akta, organisasjonens regulatoriske samsvar og tilliten til dine kommersielle og institusjonelle partnere. I 2026, med den gradvise ikrafttredelsen av eIDAS 2.0 og de nye NIS2-forpliktelsene, øker kravnivået bare.

De essensielle poengene å huske: verifiser alltid registrering på den offisielle Trust List, krev en publisert sertifiseringspolicy, og tilpass signeringsnivået (QES, AES, SES) til det juridiske innsatsen til hvert dokument.

Certyneo ledsager deg i denne prosessen ved å gi deg tilgang til kvalifiserte sertifikater via refererte PSCQ, en robust API-integrasjon og dedikert juridisk støtte. Klar til å gå over til kvalifisert signatur? Be om en demonstrasjon eller opprett kontoen din på Certyneo og sett organisasjonen din i samsvar i dag.