Dostawca TSP eIDAS: zrozumieć rolę usług zaufania

Wprowadzenie

Od wejścia w życie rozporządzenia eIDAS nr 910/2014, prestatarze usług zaufania (TSP, Trust Service Providers) stanowią podstawę zaufania cyfrowego w Europie. Podlegając ścisłemu uregulowaniu, wydają certyfikaty, znaczniki czasu i podpisy kwalifikowane, które nadają moc prawną wymianie elektronicznej. Wraz z przyjęciem rozporządzenia eIDAS 2.0 (rozporządzenie UE 2024/1183) ich obowiązki ewoluowały. Artykuł wyjaśnia, czym jest TSP, jak uzyskuje się jego kwalifikację, jakie usługi może świadczyć i dlaczego wybór kwalifikowanego prestatarza jest decydujący dla Twojego przedsiębiorstwa.

---

Czym jest prestatarz usług zaufania (TSP)?

Definicja i zakres regulacyjny

Zgodnie z artykułem 3 rozporządzenia eIDAS, prestatarz usług zaufania to osoba fizyczna lub prawna świadcząca jedną lub kilka usług zaufania, na zasadzie kwalifikowanej lub niekwalifikowanej. Rozporządzenie wyraźnie rozróżnia te dwie kategorie: tylko prestatarze kwalifikowani korzystają z domniemania zgodności i wzmocnionej wartości prawnej związanej z ich usługami.

Usługi zaufania objęte eIDAS obejmują:

• Tworzenie, weryfikację i walidację podpisów elektronicznych (prostych, zaawansowanych lub kwalifikowanych)
• Tworzenie, weryfikację i walidację pieczęci elektronicznych (dla osób prawnych)
• Tworzenie, weryfikację i walidację kwalifikowanych znaczników czasu elektronicznego
• Usługi przesyłania zaleconego elektronicznego
• Wydawanie i zarządzanie certyfikatami do uwierzytelniania witryn internetowych (QWAC)
• Długoterminową ochronę podpisów i pieczęci kwalifikowanych

Od eIDAS 2.0 lista rozszerzyła się o portfele europejskie tożsamości cyfrowej (EUDIW) i zaświadczenia dotyczące atrybutów elektronicznych kwalifikowanych, jeszcze bardziej rozszerzając zakres działania TSP.

Rozróżnienie między TSP kwalifikowanym a niekwalifikowanym

Nie wszyscy prestatarze usług zaufania mają równą wartość prawną. TSP niekwalifikowany może działać swobodnie, ale jego usługi nie niosą żadnego domniemania prawnego zgodności. TSP kwalifikowany (QTSP, Qualified Trust Service Provider) jest wpisany na krajową listę zaufania (Trusted List) swojego państwa członkowskiego, publikowaną i utrzymywaną zgodnie z artykułem 22 eIDAS i decyzją wykonawczą 2015/1505.

We Francji ANSSI (Agencja Krajowa do spraw Bezpieczeństwa Systemów Informacyjnych) pełni rolę organu nadzoru (artykuł 17 eIDAS). Francuska lista zaufania jest dostępna poprzez scentralizowany portal europejski. Aby dowiedzieć się więcej na temat hierarchii poziomów podpisu i ich uznawania, zapoznaj się z naszym kompleksowym przewodnikiem po rozporządzeniu eIDAS 2.0.

---

Proces kwalifikacji TSP

Audyt zgodności przeprowadzany przez organ oceny zgodności

Aby uzyskać status kwalifikowany, prestatarz musi poddać się audytowi przeprowadzonemu przez organ oceny zgodności (OEC) akredytowany przez COFRAC we Francji (lub jego odpowiednik krajowy w każdym państwie członkowskim). Audit weryfikuje zgodność z wymaganiami Załącznika II eIDAS (dla certyfikatów kwalifikowanych) i mających zastosowanie norm ETSI.

Główne zastosowalne normy techniczne to:

• ETSI EN 319 401: ogólne wymagania dla TSP
• ETSI EN 319 411-1 i -2: polityka i praktyki certyfikacji dla certyfikatów kwalifikowanych
• ETSI EN 319 421: polityka i praktyki dla TSP znaczników czasu
• ETSI EN 319 132: profil XAdES dla podpisów zaawansowanych i kwalifikowanych
• ETSI EN 319 122: profil CAdES

Audit skutkuje raportem oceny przesyłanym do krajowego organu nadzoru, który może przyznać, odmówić lub wycofać kwalifikację. Okres ważności certyfikatu kwalifikacji wynosi zwykle 24 miesiące i podlega odnowieniu.

Europejska lista zaufania: rejestr odniesienia

Europejska lista zaufania (EU Trusted List lub TL) to centralny mechanizm, poprzez który eIDAS gwarantuje interoperacyjność transgraniczną. Każde państwo członkowskie publikuje swoją listę krajową, a Komisja Europejska łączy całość w Liście list zaufania (LOTL). Ta architektura piramidalna pozwala każdemu systemowi weryfikacji doświadczenia do głównego europejskiego źródła zaufania.

Na dzień 1 stycznia 2026 roku LOTL rejestruje ponad 200 kwalifikowanych TSP we wszystkich państwach członkowskich, wspólnie wydających miliony certyfikatów kwalifikowanych rocznie. Dla nabywcy rozwiązania SaaS weryfikacja obecności dostawcy na tej liście jest pierwszym obowiązkiem należytej staranności.

Obowiązki ciągłego nadzoru

Kwalifikacja nie jest nabywaną ostatecznie. Kwalifikowani TSP podlegają:

• Audytom okresowym (przynajmniej co 24 miesiące)
• Powiadomieniu bez opóźnienia o każdym incydencie bezpieczeństwa wpływającym na usługi (artykuł 19 eIDAS)
• Utrzymaniu aktualnej polityki certyfikacji (CP) i publicznego oświadczenia praktyk certyfikacji (CPS)
• Utrzymaniu planu ciągłości biznesu i planu zaprzestania działalności zapewniającego ochronę danych w przypadku wstrzymania

---

Usługi kwalifikowane i ich zakres prawny

Kwalifikowany podpis elektroniczny (SEQ)

Kwalifikowany podpis elektroniczny to najwyższy poziom przewidziany przez eIDAS. Opiera się na certyfikacie kwalifikowanym wydanym przez QTSP i jest tworzony za pomocą kwalifikowanego urządzenia do tworzenia podpisów elektronicznych (QSCD), takiego jak certyfikowana karta chipowa Common Criteria EAL4+ lub HSM (Hardware Security Module) zgodny z profilem ochrony EN 419 221-5.

Artykuł 25§2 eIDAS ustanawia zasadę równoważności z podpisem odręcznym: SEQ wyprodukowany w jednym państwie członkowskim jest uznawany we wszystkich państwach członkowskich bez dodatkowych formalności. To jedyny poziom, do którego to domniemanie prawne stosuje się automatycznie. Aby pogłębić wiedzę na temat wartości prawnej podpisu elektronicznego w różnych kontekstach umownych, przygotowaliśmy dedykowany przewodnik.

Kwalifikowany znacznik czasu elektronicznego

Kwalifikowany znacznik czasu elektroniczny (QTS, Qualified Time Stamp) niepoddaje się podrobienia w sposób potwierdzający, że dokument lub dane istniały w określonym momencie. Zgodnie z artykułem 41 eIDAS, korzysta z domniemania dokładności daty i czasu, a także integralności danych.

Typowe zastosowania to: dowód złożenia patenty, archiwizacja dowodów, rejestrowanie zdarzeń umownych. Kwalifikowany znacznik czasu elektroniczny pełni również kluczową rolę w długoterminowej konserwacji podpisów.

Kwalifikowana usługa przesyłania zaleconego elektronicznego

Kwalifikowany REMS (Qualified Electronic Registered Mail Service) to cyfrowy odpowiednik listu polecanego ze zwrotnym potwierdzeniem odbioru. Gwarantuje identyfikację stron, integralność przesyłanych danych, znacznik czasu wysłania i odbioru. Artykuł 44 eIDAS przyznaje mu domniemanie integralności danych oraz dokładności daty wysłania i odbioru. Usługa ta jest szczególnie przydatna w wezwaniach, rozwiązaniach umów lub powiadomieniach prawnych.

---

Wybór prestatarza TSP: kryteria decydujące

Kwalifikacja, interoperacyjność i zasięg geograficzny

Pierwszym kryterium jest oczywiście obecność na liście zaufania jednego lub więcej państw członkowskich, w których operujesz. Jednak poza formalną kwalifikacją, wiele praktycznych wymiarów wpływa na wybór:

• Interoperacyjność: czy TSP wspiera standardowe formaty ETSI (XAdES, PAdES, CAdES, JAdES)? Czy podpisy będą weryfikowalne przez narzędzia trzecie, takie jak walidator europejski DSS?
• Dostępność usługi: jaki SLA jest gwarantowany? Czy infrastruktury QSCD są nadmiarowo rozprowadzone geograficznie?
• Zasięg geograficzny: jeśli operujesz w kilku krajach europejskich, czy TSP oferuje certyfikaty kwalifikowane uznawane w tych krajach?
• API i integracja: czy API REST/SOAP są dobrze udokumentowane? Czy istnieje SDK lub natywna integracja z Twoim stosem aplikacyjnym?

Przejrzystość cen i model biznesu

Kwalifikowani TSP zwykle fakturują za wydany certyfikat, za wolumen transakcji lub poprzez roczne subskrypcje. Ceny różnią się znacznie: kwalifikowany certyfikat indywidualny kosztuje od 50 do 200 € netto rocznie, podczas gdy rozwiązania podpisów masowych (serwer) mogą przekraczać kilka tysięcy euro rocznie. Porównaj oferty rynkowe z naszym porównaniem rozwiązań podpisów elektronicznych.

Wsparcie, zgodność RODO i lokalizacja danych

TSP przetwarzający dane osobowe (co jest systematycznie przypadkiem przy wydawaniu certyfikatów kwalifikowanych) podlega RODO nr 2016/679. Weryfikuj:

• Lokalizację danych (hosting UE czy poza UE?)
• Politykę przechowywania i usuwania danych
• Istnienie wyznaczonego DPO (Data Protection Officer)
• Potencjalną podwykonawstwo i zastosowalne standardowe klauzule umowne (SCC)

Dla przedsiębiorstw chcących migrować z istniejącego rozwiązania do bardziej zgodnego dostawcy, nasz przewodnik dotyczący migracji od DocuSign czy YouSign do Certyneo szczegółowo opisuje kroki i środki ostrożności.

Ramowe uregulowanie prawne mające zastosowanie do prestatarzy TSP eIDAS

Teksty założycielskie

Ramowe uregulowanie prawne prestatarzy usług zaufania opiera się na kilku warstwach regulacyjnych powiązanych ze sobą.

Rozporządzenie eIDAS nr 910/2014/UE (zmienione rozporządzeniem UE 2024/1183 zwanym „eIDAS 2.0") to tekst odniesienia definiujący usługi zaufania, poziomy kwalifikacji, obowiązki TSP (artykuły 13 do 22 dla obowiązków ogólnych, artykuły 23 do 45 dla konkretnych usług kwalifikowanych) i reżim odpowiedzialności (artykuł 13: odpowiedzialność za wszelkie szkody wyrządzone umyślnie lub przez zaniedbanie, z odwróceniem ciężaru dowodu na rzecz ofiary).

Kodeks cywilny francuski, artykuły 1366 i 1367: artykuł 1366 ustanawia zasadę równoważności pisma elektronicznego do pisma na papierze pod warunkiem identyfikacji autora i integralności. Artykuł 1367 definiuje podpis elektroniczny i jego domniemanie niezawodności, gdy jest kwalifikowany w rozumieniu eIDAS.

Dekret nr 2017-1416 z 28 września 2017 dotyczący podpisu elektronicznego: precyzuje we francuskim prawie warunki techniczne niezawodnego podpisu elektronicznego, wyraźnie odsyłając do wymogów eIDAS.

Obowiązki bezpieczeństwa i powiadomienia

Artykuł 19 eIDAS zobowiązuje TSP do podjęcia odpowiednich środków technicznych i organizacyjnych w celu zarządzania ryzykami grożącymi ich usługom. W przypadku incydentu bezpieczeństwa lub utraty integralności mającego znaczący wpływ na usługę lub dane osobowe, TSP musi powiadomić organ nadzoru bez niepotrzebnej zwłoki i najpóźniej w ciągu 24 godzin po zapoznaniu się z faktami. Obowiązek ten łączy się z obowiązkiem wynikającym z artykułu 33 RODO nr 2016/679 (powiadomienie organu kontrolnego — CNIL we Francji — w ciągu 72 godzin).

Dyrektywa NIS2 (2022/2555/UE), wdrażana we francuskim prawie ustawą nr 2023-703 z 1 sierpnia 2023, zobowiązuje kwalifikowanych TSP do wzmocnionych wymogów zarządzania ryzykiem cybernetycznym i powiadomienia o incydentach, jako jednostki istotne lub ważne w zależności od ich wielkości.

Odpowiedzialność i sankcje

Reżim odpowiedzialności eIDAS (artykuł 13) jest surowy: TSP jest domniemany odpowiedzialny za wszelkie szkody wyrządzone każdej osobie fizycznej lub prawnej poprzez naruszenie jego obowiązków. Na TSP spoczywa ciężar udowodnienia braku winy. Krajowe sankcje za niezgodność mogą obejmować wycofanie kwalifikacji, kary administracyjne (do 10 mln € lub 2% światowego przychodu w ramach RODO) oraz roszczeń z tytułu odpowiedzialności cywilnej. We Francji ANSSI może również wydać nakazy podjęcia działań naprawczych.

Scenariusze zastosowań: TSP eIDAS w praktyce

Kancelaria adwokacka zajmująca się aktami postępowania zdematrializowanego

Kancelaria adwokacka zajmująca się sprawami korporacyjnymi, zatrudniająca około pięćdziesięciu pracowników, codziennie zajmuje się aktami wymagającymi podpisu kwalifikowanego: podsumowania, upoważnienia do reprezentacji, akty cesji funduszy handlowych. Opierając się na QTSP zarejestrowanym na francuskiej liście zaufania, kancelaria generuje podpisy PAdES-LTV (Long-Term Validation) integrujące kwalifikowany znacznik czasu. Rezultat: czas przetwarzania aktu wymagającego podpisu spada z 3 do 4 dni (wymiana papierów) do poniżej 2 godzin. Wartość dowodowa każdego podpisu jest automatycznie weryfikowalna przez drugą stronę i sądy, bez dodatkowej ekspertyzy, zmniejszając sporny postępowania proceduralnego o około 70% zgodnie z informacjami zwrotnymi z porównywalnych kancelarii.

Mała i średnia przedsiębiorstwo przemysłu zabezpieczającego transgranicze umowy dostawcy

Mała i średnia przedsiębiorstwo przemysłu, zatrudniająca około 180 pracowników, zaopatrująca się u dostawców w Niemczech, Polsce i Hiszpanii, musiała wcześniej legalizować lub apostylować niektóre dokumenty umowne w celu zagwarantowania ich uznania transgranicznego. Integrując poprzez API kwalifikowanego TSP wydającego certyfikaty uznawane w całej UE (artykuł 25§2 eIDAS), firma eliminuje te formalności. 300 umów dostawcy rocznie jest teraz podpisywanych elektronicznie z automatycznym uznaniem prawnym w trzech krajach partnerskich. Szacunkowy zysk z tytułu kosztów administracyjnych i czasu sięga 35 do 45% dla całego cyklu umownego, zgodnie z zakresami publikowanymi w badaniach sektorowych Federacji Przemysłu Maszynowego.

Szpitalny zespół ochrony integralności cyfrowych dokumentacji medycznej

Szpitalny zespół o około 1 200 łóżkach musi zagwarantować integralność i autentyczność swoich sprawozdań operacyjnych, zaleceń i świadomych zgód na okresy przechowywania wynoszące do 20 lat (artykuł R. 1112-7 Kodeksu zdrowia publicznego). Uciekając się do usługi kwalifikowanego znacznika czasu dostarczanej przez QTSP, zespół tworzy dowody integralności poddane podrobienia. Wewnętrzne audyty i kontrole HAS (Wysokiego Urzędu Zdrowotnego) mogą teraz automatycznie weryfikować integralność każdego archiwalnego dokumentu, zmniejszając obciążenie pracą zespołów jakości o około 25% zgodnie z benchmarkami sektorowymi zdrowotności.

Pytania często zadawane

Czym jest kwalifikowany prestatarz usług zaufania w rozumieniu eIDAS?

Kwalifikowany prestatarz usług zaufania (QTSP) to organizacja uzyskująca status kwalifikowany od organu nadzoru swojego państwa członkowskiego (ANSSI we Francji) po audycie zgodności przeprowadzonym przez akredytowaną organizację. Figuruje na krajowej liście zaufania publikowanej zgodnie z artykułem 22 eIDAS. Status ten pozwala mu świadczyć usługi z domniemaniem prawnym zgodności: podpisy kwalifikowane, znaczniki czasu kwalifikowane, pieczęcie kwalifikowane, przesyłki zaleconego elektronicznego kwalifikowane.

Jak sprawdzić, czy prestatarz TSP jest rzeczywiście kwalifikowany eIDAS?

Weryfikacja odbywa się poprzez oficjalny portal Komisji Europejskiej „eIDAS Trusted List Browser" (tlbrowser.tsl.website) lub poprzez portal ANSSI dla francuskich prestatarzy. Wystarczy wyszukać nazwę prestatarza lub URL jego usługi. Lista jest aktualizowana w czasie rzeczywistym. Każdy prestatarz twierdzący, że jest kwalifikowany bez figurowania na tej liście, nie korzysta z żadnego domniemania prawnego związanego z kwalifikowanymi usługami eIDAS.

Czy kwalifikowany TSP w jednym kraju europejskim jest uznawany w całej UE?

Tak. To jeden z głównych wkładów eIDAS: zasada wzajemnego uznawania transgranicznego (artykuł 25§2 dla podpisów, artykuł 35§2 dla pieczęci, artykuł 41§2 dla znaczników czasu). Podpis elektroniczny kwalifikowany utworzony za pomocą certyfikatu wydanego przez QTSP francuski jest prawnie uznawany w Niemczech, Hiszpanii, Polsce czy w innym państwie członkowskim bez dodatkowych działań. Ta interoperacyjność jest głównym powodem istnienia rozporządzenia eIDAS na szczeblu europejskim.

Jaka jest różnica między certyfikatem kwalifikowanym a certyfikatem zaawansowanym?

Certyfikat zaawansowany może być wydany przez każdego prestatarza, kwalifikowanego lub nie, zgodnie z minimalnymi wymogami technicznymi. Certyfikat kwalifikowany może być wydany wyłącznie przez QTSP wpisanego na listę zaufania, na podstawie Załącznika I eIDAS (zawartość certyfikatu) i po dokładnej weryfikacji tożsamości wnioskodawcy twarza w twarz lub poprzez proces identyfikacji z dużą ilością kwalifikowanej. Certyfikat kwalifikowany jest warunkiem koniecznym do wydania kwalifikowanego podpisu elektronicznego, jedynego korzystającego z domniemania równoważności z podpisem odręcznym.

Czy TSP może utracić swoją kwalifikację eIDAS? Jakie są konsekwencje?

Tak. Organ nadzoru może wycofać lub zawiesić kwalifikację TSP w przypadku poważnego naruszenia jego obowiązków (negatywny audit, poważny incydent bezpieczeństwa nierozwiązany, fałszywe oświadczenie). Wycofanie jest publikowane na liście zaufania ze statusem „anulowane". Certyfikaty wydane przed cofnięciem pozostają ważne, jeśli ich łańcuch zaufania jest przechowywany w archiwizacji dowodów zgodnej. Natomiast po cofnięciu nie można wydać żadnego nowego certyfikatu kwalifikowanego, a świadczone usługi tracą korzystanie z domniemań prawnych eIDAS.

Podsumowanie

Prestatarze usług zaufania (TSP) to coś więcej niż zwykli dostawcy techniki: stanowią podstawę regulacyjną i prawną, na której opiera się cała wartość dowodowa podpisu elektronicznego w Europie. Zrozumienie ich roli, procesu kwalifikacji i obowiązków jest niezbędne dla każdego przedsiębiorstwa chcącego zabezpieczyć wymianę cyfrową niekwestionowaną wartością prawną. Wybór QTSP wpisanego na europejską listę zaufania nie jest opcjonalny, gdy zmierzasz do podpisu kwalifikowanego lub kwalifikowanego znacznika czasu.

Certyneo opiera się wyłącznie na kwalifikowanych TSP uznawanych eIDAS, aby zagwarantować ci elektroniczne podpisy o pełnej wartości prawnej, interoperacyjne w całej Unii Europejskiej. Gotowy zabezpieczyć swoje przepływy umowne? Utwórz bezpłatnie swoje konto Certyneo lub skontaktuj się z naszym zespołem w celu spersonalizowanej demonstracji.