Prestador de Serviços de Confiança TSP eIDAS: compreender o papel dos serviços de confiança

Introdução

Desde a entrada em vigor do Regulamento eIDAS nº 910/2014, os prestadores de serviços de confiança (TSP, Trust Service Providers) formam a espinha dorsal da confiança digital na Europa. Esses atores, sujeitos a regulamentação rigorosa, emitem certificados, selos de tempo e assinaturas qualificadas que conferem força legal aos intercâmbios eletrônicos. Com a adoção do Regulamento eIDAS 2.0 (Regulamento UE 2024/1183), suas obrigações evoluíram ainda mais. Este artigo explica o que é um TSP, como é acreditado, quais serviços pode oferecer e por que escolher um prestador qualificado é determinante para sua empresa.

---

O que é um prestador de serviços de confiança (TSP)?

Definição e escopo regulamentário

Conforme o artigo 3 do Regulamento eIDAS, um prestador de serviços de confiança é uma pessoa física ou moral que fornece um ou mais serviços de confiança, seja em caráter qualificado, seja em caráter não qualificado. O regulamento distingue claramente essas duas categorias: apenas os prestadores qualificados desfrutam da presunção de conformidade e do valor legal reforçado associado aos seus serviços.

Os serviços de confiança cobertos pelo eIDAS incluem:

• Criação, verificação e validação de assinaturas eletrônicas (simples, avançadas ou qualificadas)
• Criação, verificação e validação de selos eletrônicos (para pessoas morais)
• Criação, verificação e validação de selos de tempo eletrônicos qualificados
• Serviços de correio eletrônico registrado
• Emissão e gerenciamento de certificados para autenticação de sites (QWAC)
• Preservação a longo prazo de assinaturas e selos qualificados

Desde eIDAS 2.0, a lista se expandiu para incluir carteiras de identidade digital europeia (EUDIW) e atestados de atributos eletrônicos qualificados, reforçando ainda mais o escopo de atuação dos TSP.

A distinção entre TSP qualificado e não qualificado

Nem todos os prestadores de serviços de confiança têm o mesmo valor legal. Um TSP não qualificado pode atuar livremente, mas seus serviços não desfrutam de nenhuma presunção legal de conformidade. Um TSP qualificado (QTSP, Qualified Trust Service Provider) está inscrito na lista de confiança nacional de seu Estado membro, publicada e mantida em conformidade com o artigo 22 do eIDAS e a Decisão de Execução 2015/1505.

Na França, é a ANSSI (Agência Nacional para a Segurança dos Sistemas de Informação) que desempenha o papel de organismo supervisor (artigo 17 eIDAS). A lista de confiança francesa é acessível através do portal europeu centralizado. Para aprofundar a hierarquia dos níveis de assinatura e seu reconhecimento, consulte nosso guia completo do Regulamento eIDAS 2.0.

---

O processo de qualificação de um TSP

Auditoria de conformidade por organismo de avaliação da conformidade

Para obter o status qualificado, um prestador deve se submeter a uma auditoria conduzida por um organismo de avaliação da conformidade (OEC) acreditado pelo COFRAC na França (ou equivalente nacional em cada Estado membro). Essa auditoria verifica a conformidade com os requisitos do Anexo II do eIDAS (para certificados qualificados) e com as normas ETSI aplicáveis.

As principais normas técnicas de referência são:

• ETSI EN 319 401: requisitos gerais para TSP
• ETSI EN 319 411-1 e -2: política e práticas de certificação para certificados qualificados
• ETSI EN 319 421: política e práticas para TSP de selos de tempo
• ETSI EN 319 132: perfil XAdES para assinaturas avançadas e qualificadas
• ETSI EN 319 122: perfil CAdES

A auditoria resulta em um relatório de avaliação transmitido ao organismo supervisor nacional, que pode conceder, recusar ou revogar a qualificação. A validade de um certificado de qualificação é geralmente de 24 meses, renovável.

A Lista de Confiança Europeia: o registro de referência

A lista de confiança europeia (EU Trusted List, ou TL) é o mecanismo central por meio do qual o eIDAS garante a interoperabilidade transfronteiriça. Cada Estado membro publica sua lista nacional, e a Comissão Europeia agrega tudo na Lista de Listas de Confiança (LOTL). Essa arquitetura hierárquica permite que qualquer sistema de verificação remonte até a raiz de confiança europeia.

A partir de 1º de janeiro de 2026, a LOTL registra mais de 200 TSP qualificados em todos os Estados membros, emitindo coletivamente milhões de certificados qualificados por ano. Para um comprador de solução SaaS, verificar a presença de um fornecedor nesta lista é a primeira diligência devida a ser realizada.

Obrigações de vigilância contínua

A qualificação não é definitivamente adquirida. Os TSP qualificados estão sujeitos a:

• Auditorias periódicas (pelo menos a cada 24 meses)
• Notificação imediata de qualquer incidente de segurança afetando os serviços (artigo 19 eIDAS)
• Manutenção atualizada de uma política de certificação (CP) e uma declaração de práticas de certificação (CPS) públicas
• Manutenção de um plano de continuidade de negócios e um plano de encerramento de atividades garantindo preservação de dados em caso de interrupção

---

Os serviços qualificados e seu alcance legal

A assinatura eletrônica qualificada (SEQ)

A assinatura eletrônica qualificada é o nível mais elevado previsto pelo eIDAS. Repousa em um certificado qualificado emitido por um QTSP e é criada por meio de um dispositivo de criação de assinatura eletrônica qualificado (QSCD), como um cartão inteligente certificado Common Criteria EAL4+ ou um HSM (Hardware Security Module) em conformidade com o perfil de proteção EN 419 221-5.

O artigo 25§2 do eIDAS estabelece o princípio de equivalência com a assinatura manuscrita: uma SEQ produzida em um Estado membro é reconhecida em todos os Estados membros sem formalidade adicional. Este é o único nível para o qual essa presunção legal se aplica automaticamente. Para aprofundar o valor legal da assinatura eletrônica conforme os contextos contratuais, dediquei um guia específico.

O selo de tempo eletrônico qualificado

O selo de tempo eletrônico qualificado (QTS, Qualified Time Stamp) atesta de forma inviolável que um documento ou dado existia em um momento preciso. Conforme o artigo 41 do eIDAS, desfruita de presunção de exatidão da data e hora, bem como de integridade dos dados.

Os usos típicos incluem: prova de depósito de patente, arquivamento probatório, registro de eventos contratuais. O selo de tempo eletrônico qualificado desempenha também papel central na preservação a longo prazo de assinaturas.

O serviço de correio eletrônico registrado qualificado

O REMS qualificado (Qualified Electronic Registered Mail Service) é o equivalente digital da carta registrada com aviso de entrega. Garante a identificação das partes, a integridade dos dados transmitidos, o selos de tempo do envio e recebimento. O artigo 44 do eIDAS lhe confere presunção de integridade dos dados e exatidão da data de envio e recebimento. Este serviço é particularmente útil para notificações legais, rescisões de contratos ou intimações.

---

Escolher seu prestador TSP: critérios determinantes

Qualificação, interoperabilidade e cobertura geográfica

O primeiro critério é obviamente a presença na Lista de Confiança do ou dos Estados membros onde você opera. Mas além da qualificação formal, várias dimensões práticas entram em jogo:

• Interoperabilidade: o TSP suporta formatos padrão ETSI (XAdES, PAdES, CAdES, JAdES)? As assinaturas produzidas serão verificáveis por ferramentas de terceiros como o validador europeu DSS?
• Disponibilidade de serviço: qual SLA é garantido? As infraestruturas QSCD estão geograficamente redundantes?
• Cobertura geográfica: se você opera em vários países europeus, o TSP oferece certificados qualificados reconhecidos nesses países?
• APIs e integração: as APIs REST/SOAP são bem documentadas? Existe SDK ou integração nativa com sua stack de aplicativos?

Transparência tarifária e modelo comercial

Os TSP qualificados geralmente cobram por certificado emitido, por volume de transações ou via assinaturas anuais. Os preços variam consideravelmente: um certificado qualificado individual custa entre 50 e 200 € HT por ano, enquanto soluções de assinatura em massa (servidor) podem ultrapassar vários milhares de euros anuais. Compare as ofertas do mercado com nosso comparativo das soluções de assinatura eletrônica.

Suporte, conformidade RGPD e localização de dados

Um TSP que trata dados pessoais (o que é sistemático na emissão de certificados qualificados) está sujeito ao RGPD nº 2016/679. Verifique:

• A localização dos dados (hospedagem UE ou fora da UE?)
• A política de retenção e exclusão de dados
• A existência de um DPO (Data Protection Officer) designado
• A possível subcontratação e as cláusulas contratuais padrão (CCT) aplicáveis

Para empresas desejando migrar de uma solução existente para um fornecedor mais conforme, nosso guia sobre migração do DocuSign ou YouSign para Certyneo detalha as etapas e precauções a tomar.

Marco legal aplicável aos prestadores TSP eIDAS

Textos fundamentais

O marco legal dos prestadores de serviços de confiança repousa em várias camadas regulamentárias articuladas entre si.

Regulamento eIDAS nº 910/2014/UE (modificado pelo Regulamento UE 2024/1183 denominado "eIDAS 2.0"): texto de referência que define os serviços de confiança, os níveis de qualificação, as obrigações dos TSP (artigos 13 a 22 para obrigações gerais, artigos 23 a 45 para serviços qualificados específicos) e o regime de responsabilidade (artigo 13: responsabilidade por todo dano causado intencionalmente ou por negligência, com inversão do ônus da prova em favor da vítima).

Código Civil francês, artigos 1366 e 1367: o artigo 1366 estabelece o princípio da equivalência do escrito eletrônico ao escrito em suporte papel, sob a condição de identificação do autor e integridade. O artigo 1367 define a assinatura eletrônica e sua presunção de confiabilidade quando qualificada conforme o eIDAS.

Decreto nº 2017-1416 de 28 de setembro de 2017 relativo à assinatura eletrônica: precisa em direito francês as condições técnicas da assinatura eletrônica confiável, remetendo explicitamente aos requisitos eIDAS.

Obrigações de segurança e notificação

O artigo 19 do eIDAS impõe aos TSP adotar medidas técnicas e organizacionais apropriadas para gerenciar riscos em seus serviços. Em caso de incidente de segurança ou perda de integridade com impacto significativo no serviço ou dados pessoais, o TSP deve notificar o organismo supervisor sem atraso injustificado e, no máximo, em 24 horas após tomar conhecimento. Essa obrigação se acumula com a prevista no artigo 33 do RGPD nº 2016/679 (notificação à autoridade supervisora — CNIL na França — em 72 horas).

A Diretiva NIS2 (2022/2555/UE), transposta para direito francês pela lei nº 2023-703 de 1º de agosto de 2023, submete os TSP qualificados a requisitos reforçados de gestão de riscos cibernéticos e notificação de incidentes, como entidades essenciais ou importantes conforme seu porte.

Responsabilidade e sanções

O regime de responsabilidade do eIDAS (artigo 13) é rigoroso: o TSP é presumivelmente responsável por todo dano causado a qualquer pessoa física ou moral por incumprimento de suas obrigações. Cabe ao TSP provar a ausência de falta. As sanções nacionais por não conformidade podem incluir revogação da qualificação, multas administrativas (até 10 M€ ou 2% da receita mundial conforme RGPD) e ações de responsabilidade civil. Na França, a ANSSI também pode impor medidas corretivas.

Cenários de uso: o TSP eIDAS na prática

Um escritório de advocacia gerenciando procedimentos desmaterializados

Um escritório de advocacia com cerca de cinquenta profissionais trata diariamente de atos que requerem assinatura qualificada: petições, mandatos de representação, atos de cessão de fundo de comércio. Apoiando-se em um QTSP referenciado na Lista de Confiança francesa, o escritório gera assinaturas PAdES-LTV (Validação a Longo Prazo) integrando um selo de tempo qualificado. Resultado: o tempo de processamento de um ato assinável passa de 3 a 4 dias (troca de papéis) para menos de 2 horas. O valor probatório de cada assinatura é automaticamente verificável pela parte contrária e pelos tribunais, sem necessidade de perícia adicional, reduzindo as contestações procedurais em cerca de 70% conforme relatos de escritórios comparáveis.

Uma PME industrial securizando seus contratos com fornecedores transfronteiriços

Uma PME industrial francesa com aproximadamente 180 funcionários, fornecida por prestadores na Alemanha, Polônia e Espanha, antes precisava legalizar ou apostilar certos documentos contratuais para garantir seu reconhecimento transfronteiriço. Ao integrar via API um TSP qualificado emitindo certificados reconhecidos em toda a UE (artigo 25§2 eIDAS), a PME elimina essas formalidades. Os 300 contratos com fornecedores anuais são agora assinados eletronicamente com reconhecimento legal automático nos três países parceiros. O ganho estimado em custos administrativos e prazos atinge 35 a 45% em todo o ciclo contratual, coerente com as faixas publicadas por estudos setoriais da Federação das Indústrias Mecânicas.

Um agrupamento hospitalar preservando integridade de seus dossiês médicos digitais

Um agrupamento hospitalar com aproximadamente 1 200 leitos deve garantir a integridade e autenticidade de seus relatórios cirúrgicos, prescrições e consentimentos informados durante períodos de retenção até 20 anos (artigo R. 1112-7 do Código de Saúde Pública). Ao recorrer a um serviço de selo de tempo eletrônico qualificado fornecido por um QTSP, o agrupamento cria provas de integridade invioláveis desde a produção do documento. Auditorias internas e verificações da HAS (Autoridade Nacional de Saúde) podem agora verificar automaticamente a integridade de cada documento arquivado, reduzindo a carga de trabalho das equipes de qualidade em cerca de 25% conforme benchmarks setoriais de saúde.

Perguntas frequentes

O que é um prestador de serviços de confiança qualificado conforme eIDAS?

Um prestador de serviços de confiança qualificado (QTSP) é um organismo que obteve o status qualificado junto ao organismo supervisor de seu Estado membro (ANSSI na França), após auditoria de conformidade por organismo acreditado. Consta na lista de confiança nacional publicada em conformidade com o artigo 22 do eIDAS. Esse status o permite emitir serviços com presunção legal de conformidade: assinaturas qualificadas, selos de tempo qualificados, selos qualificados, correios eletrônicos registrados qualificados.

Como verificar se um prestador TSP é realmente qualificado eIDAS?

A verificação ocorre via portal oficial da Comissão Europeia "eIDAS Trusted List Browser" (tlbrowser.tsl.website) ou via portal da ANSSI para prestadores franceses. Basta pesquisar o nome do prestador ou a URL do seu serviço. A lista é atualizada em tempo real. Qualquer prestador se dizendo qualificado sem constar nesta lista não desfruta de nenhuma presunção legal ligada aos serviços eIDAS qualificados.

Um TSP qualificado em um país europeu é reconhecido em toda a UE?

Sim. Este é um dos principais benefícios do eIDAS: o princípio de reconhecimento mútuo transfronteiriço (artigo 25§2 para assinaturas, artigo 35§2 para selos, artigo 41§2 para selos de tempo). Uma assinatura eletrônica qualificada criada por meio de certificado emitido por um QTSP francês é legalmente reconhecida na Alemanha, Espanha, Polônia ou qualquer outro Estado membro, sem procedimento adicional. Essa interoperabilidade é a razão de ser principal do Regulamento eIDAS em nível europeu.

Qual é a diferença entre certificado qualificado e certificado avançado?

Um certificado avançado pode ser emitido por qualquer prestador, qualificado ou não, conforme requisitos técnicos mínimos. Um certificado qualificado só pode ser emitido por um QTSP inscrito na Lista de Confiança, com base no Anexo I do eIDAS (conteúdo do certificado) e após verificação rigorosa da identidade do solicitante presencialmente ou via processo de identificação remota qualificado (QES). O certificado qualificado é a condição necessária à emissão de assinatura eletrônica qualificada, única a desfrutar da presunção de equivalência com assinatura manuscrita.

Um TSP pode perder sua qualificação eIDAS? Quais são as consequências?

Sim. O organismo supervisor pode revogar ou suspender a qualificação de um TSP em caso de incumprimento grave de suas obrigações (auditoria negativa, incidente de segurança maior não resolvido, declaração falsa). A revogação é publicada na Lista de Confiança com status "revogado". Os certificados emitidos antes da revogação permanecem válidos se sua cadeia de confiança é preservada em arquivamento probatório conforme. No entanto, nenhum novo certificado qualificado pode ser emitido após revogação, e os serviços fornecidos deixam de desfrutar das presunções legais eIDAS.

Conclusão

Os prestadores de serviços de confiança (TSP) são muito mais que simples fornecedores técnicos: constituem a base regulatória e legal sobre a qual repousa todo o valor probatório da assinatura eletrônica na Europa. Compreender seu papel, processo de qualificação e obrigações é indispensável para qualquer empresa desejando securizar seus intercâmbios digitais com valor legal incontestável. A escolha de um QTSP inscrito na Lista de Confiança europeia não é opcional assim que você visa assinatura qualificada ou selo de tempo qualificado.

Certyneo se apoia exclusivamente em prestadores TSP qualificados reconhecidos eIDAS para lhe garantir assinaturas eletrônicas com pleno valor legal, interoperáveis em toda a União Europeia. Pronto para securizar seus fluxos contratuais? Crie sua conta Certyneo gratuitamente ou entre em contato com nossa equipe para uma demonstração personalizada.