Поставщик услуг доверия eIDAS: понимание роли провайдеров криптографических услуг

Введение

С момента вступления в силу регламента eIDAS № 910/2014 поставщики услуг доверия (TSP, Trust Service Providers) являются основой цифрового доверия в Европе. Эти организации, подчиняющиеся строгому регулированию, выдают сертификаты, временные метки и квалифицированные подписи, которые придают юридическую силу электронному обмену. С принятием регламента eIDAS 2.0 (Регламент ЕС 2024/1183) их обязательства еще больше расширились. В этой статье мы объясним, что такое TSP, как он получает аккредитацию, какие услуги он может предоставлять и почему выбор квалифицированного провайдера является решающим фактором для вашего предприятия.

---

Что такое поставщик услуг доверия (TSP)?

Определение и нормативная база

Согласно статье 3 регламента eIDAS, поставщик услуг доверия — это физическое или юридическое лицо, которое предоставляет одну или несколько услуг доверия в квалифицированной или неквалифицированной форме. Регламент четко различает эти две категории: только квалифицированные провайдеры получают предположение о соответствии и повышенную юридическую силу своих услуг.

Услуги доверия, охватываемые eIDAS, включают:

• Создание, проверку и валидацию электронных подписей (простых, продвинутых или квалифицированных)
• Создание, проверку и валидацию электронных печатей (для юридических лиц)
• Создание, проверку и валидацию квалифицированных электронных временных меток
• Услуги квалифицированного электронного заказного отправления
• Выдачу и управление сертификатами для аутентификации веб-сайтов (QWAC)
• Долгосрочное сохранение квалифицированных подписей и печатей

Начиная с eIDAS 2.0, список расширен включением европейских кошельков цифровых удостоверений личности (EUDIW) и квалифицированных электронных аттестаций атрибутов, что еще больше расширяет сферу деятельности TSP.

Различие между квалифицированным и неквалифицированным TSP

Не все поставщики услуг доверия имеют одинаковую юридическую ценность. Неквалифицированный TSP может работать свободно, но его услуги не дают никакого юридического предположения о соответствии. Квалифицированный TSP (QTSP, Qualified Trust Service Provider) зарегистрирован в списке доверия национального органа надзора (Trusted List) своего государства-члена, опубликованном и поддерживаемом в соответствии со статьей 22 eIDAS и Решением Комиссии 2015/1505.

Во Франции роль органа надзора выполняет ANSSI (Национальное агентство по информационной безопасности систем). Французский список доверия доступен через централизованный европейский портал. Для получения дополнительной информации об иерархии уровней подписей и их признании см. наше полное руководство по регламенту eIDAS 2.0.

---

Процесс квалификации TSP

Аудит соответствия органом оценки соответствия

Для получения квалифицированного статуса провайдер должен пройти аудит, проводимый органом оценки соответствия (OEC), аккредитованным COFRAC во Франции (или эквивалентным национальным органом в каждом государстве-члене). Этот аудит проверяет соответствие требованиям Приложения II eIDAS и применимым стандартам ETSI.

Основные применяемые технические стандарты:

• ETSI EN 319 401: общие требования для TSP
• ETSI EN 319 411-1 и -2: политика и практика сертификации для квалифицированных сертификатов
• ETSI EN 319 421: политика и практика для поставщиков временных меток
• ETSI EN 319 132: профиль XAdES для продвинутых и квалифицированных подписей
• ETSI EN 319 122: профиль CAdES

Аудит приводит к отчету об оценке, передаваемому национальному органу надзора, который может предоставить, отклонить или отозвать квалификацию. Срок действия сертификата квалификации обычно составляет 24 месяца и подлежит возобновлению.

Европейский список доверия: центральный реестр

Европейский список доверия (EU Trusted List, или TL) — это центральный механизм, посредством которого eIDAS обеспечивает трансграничную совместимость. Каждое государство-член публикует свой национальный список, а Европейская комиссия объединяет все списки в Список списков доверия (LOTL). Эта пирамидальная архитектура позволяет любой системе проверки восходить к европейскому корню доверия.

По состоянию на 1 января 2026 г. LOTL включает более 200 квалифицированных TSP во всех государствах-членах, коллективно выдающих ежегодно миллионы квалифицированных сертификатов. Для покупателя решения SaaS проверка наличия поставщика в этом списке является первым шагом должной осмотрительности.

Обязательства по непрерывному надзору

Квалификация не приобретается окончательно. Квалифицированные TSP подчиняются:

• Периодическим аудитам (по крайней мере каждые 24 месяца)
• Уведомлению без задержки о любом инциденте безопасности, затрагивающем услуги (статья 19 eIDAS)
• Ведению обновляемой политики сертификации (CP) и декларации практики сертификации (CPS), открытых для общественности
• Поддержанию плана непрерывности деятельности и плана прекращения деятельности, гарантирующих сохранение данных в случае остановки

---

Квалифицированные услуги и их юридическое значение

Квалифицированная электронная подпись (SEQ)

Квалифицированная электронная подпись — это наивысший уровень, предусмотренный eIDAS. Она основана на квалифицированном сертификате, выданном QTSP, и создается с использованием квалифицированного устройства создания электронной подписи (QSCD), такого как сертифицированная смарт-карта Common Criteria EAL4+ или HSM (Hardware Security Module), соответствующий профилю защиты EN 419 221-5.

Статья 25§2 eIDAS устанавливает принцип эквивалентности рукописной подписи: квалифицированная электронная подпись, созданная в одном государстве-члене, признается во всех государствах-членах без каких-либо дополнительных формальностей. Это единственный уровень, для которого это юридическое предположение применяется автоматически. Для углубленного понимания юридической силы электронной подписи в различных контрактных контекстах мы подготовили специальное руководство.

Квалифицированная электронная временная метка

Квалифицированная электронная временная метка (QTS, Qualified Time Stamp) неоспоримо подтверждает, что документ или данные существовали в определенный момент времени. Согласно статье 41 eIDAS, она получает предположение об точности даты и времени, а также целостности данных.

Типичные применения включают: доказательство подачи патента, документарное архивирование, регистрацию событий контракта. Квалифицированная электронная временная метка также играет центральную роль в долгосрочном сохранении подписей.

Услуга квалифицированного электронного заказного отправления

Квалифицированный REMS (Qualified Electronic Registered Mail Service) является цифровым эквивалентом письма с заказом и уведомлением о вручении. Он гарантирует идентификацию сторон, целостность передаваемых данных, временные метки отправления и получения. Статья 44 eIDAS предоставляет ему предположение о целостности данных и точности даты отправления и получения. Эта услуга особенно полезна для официальных уведомлений, расторжения контрактов или юридических уведомлений.

---

Выбор провайдера TSP: определяющие критерии

Квалификация, совместимость и географический охват

Первый критерий — это, очевидно, наличие в списке доверия государства(-ств)-члена(-ов), в которых вы работаете. Но помимо формальной квалификации, в игру вступают несколько практических аспектов:

• Совместимость: поддерживает ли TSP стандартные форматы ETSI (XAdES, PAdES, CAdES, JAdES)? Будут ли созданные подписи проверяемы сторонними инструментами, такими как европейский валидатор DSS?
• Доступность услуг: какой SLA гарантирован? Имеют ли инфраструктуры QSCD географическую избыточность?
• Географический охват: если вы работаете в нескольких европейских странах, предлагает ли TSP квалифицированные сертификаты, признаваемые в этих странах?
• API и интеграция: хорошо ли документированы REST/SOAP API? Существует ли SDK или встроенная интеграция с вашим технологическим стеком?

Прозрачность цен и коммерческая модель

Квалифицированные TSP обычно выставляют счета за выданный сертификат, объем операций или через годовые подписки. Цены варьируются значительно: квалифицированный индивидуальный сертификат стоит от 50 до 200 евро без НДС в год, тогда как решения для массовой подписи (сервер) могут превышать несколько тысяч евро в год. Сравните предложения на рынке с помощью нашего сравнения решений электронной подписи.

Поддержка, соответствие GDPR и локализация данных

TSP, обрабатывающий персональные данные (что систематически происходит при выдаче квалифицированных сертификатов), подчиняется GDPR № 2016/679. Проверьте:

• Локализацию данных (хостинг в ЕС или за пределами ЕС?)
• Политику сохранения и удаления данных
• Наличие назначенного DPO (Data Protection Officer)
• Возможную субподрядку и применяемые стандартные договорные положения (СДП)

Для предприятий, желающих перейти с существующего решения на более соответствующего провайдера, наше руководство по миграции с DocuSign или YouSign на Certyneo описывает этапы и необходимые меры предосторожности.

Нормативно-правовая база, применимая к провайдерам TSP eIDAS

Основополагающие нормативные акты

Нормативно-правовая база поставщиков услуг доверия строится на нескольких взаимосвязанных нормативных слоях.

Регламент eIDAS № 910/2014/ЕС (измененный Регламентом ЕС 2024/1183, именуемым «eIDAS 2.0»): основополагающий нормативный акт, определяющий услуги доверия, уровни квалификации, обязательства TSP (статьи 13-22 для общих обязательств, статьи 23-45 для конкретных квалифицированных услуг) и режим ответственности (статья 13: ответственность за любой ущерб, причиненный умышленно или по халатности, с перевернутым бременем доказывания в пользу потерпевшей стороны).

Французский Гражданский кодекс, статьи 1366 и 1367: статья 1366 устанавливает принцип эквивалентности электронного письма письму на бумажном носителе при условии идентификации автора и целостности. Статья 1367 определяет электронную подпись и ее предположение о надежности при наличии квалификации по смыслу eIDAS.

Декрет № 2017-1416 от 28 сентября 2017 г. об электронной подписи: уточняет во французском праве технические условия надежной электронной подписи, явно ссылаясь на требования eIDAS.

Обязательства в области безопасности и уведомления

Статья 19 eIDAS обязывает TSP принимать надлежащие технические и организационные меры для управления рисками, затрагивающими их услуги. В случае инцидента безопасности или потери целостности, оказывающих значительное влияние на услугу или персональные данные, TSP должен уведомить орган надзора без неоправданной задержки и самое позднее в течение 24 часов после получения уведомления. Это обязательство накладывается на обязательство согласно статье 33 GDPR № 2016/679 (уведомление органа контроля — CNIL во Франции — в течение 72 часов).

Директива NIS2 (2022/2555/ЕС), трансформированная во французское законодательство законом № 2023-703 от 1 августа 2023 г., подчиняет квалифицированные TSP усиленным требованиям в области управления киберугрозами и уведомления об инцидентах как сущностей, являющихся существенными или важными в зависимости от их размера.

Ответственность и санкции

Режим ответственности eIDAS (статья 13) строг: TSP предполагается ответственным за любой ущерб, причиненный физическому или юридическому лицу в результате нарушения его обязательств. Ему следует доказать отсутствие вины. Национальные санкции за несоответствие могут включать отзыв квалификации, административные штрафы (до 10 млн евро или 2% мирового оборота согласно GDPR) и иски о возмещении гражданского ущерба. Во Франции ANSSI может также принять корректирующие меры.

Сценарии использования: TSP eIDAS на практике

Адвокатское бюро, управляющее процессуальными документами в цифровом виде

Адвокатское бюро по корпоративным вопросам с примерно пятьюдесятью сотрудниками ежедневно работает с документами, требующими квалифицированной подписи: ходатайства, мандаты на представительство, акты уступки деловых репутаций фирм. Опираясь на QTSP, зарегистрированный в списке доверия Франции, бюро генерирует подписи PAdES-LTV (Long-Term Validation) с интегрированной квалифицированной временной меткой. Результат: время обработки документа, готового к подписанию, сокращается с 3-4 дней (обмен бумажными документами) до менее чем 2 часов. Доказательственная ценность каждой подписи автоматически проверяется противной стороной и судами без дополнительной экспертизы, что снижает процессуальные возражения примерно на 70% согласно отзывам компаний на местах.

Малое промышленное предприятие, обеспечивающее безопасность трансграничных контрактов с поставщиками

Малое промышленное предприятие из Франции примерно со 180 сотрудниками, получающее поставки от поставщиков в Германии, Польше и Испании, раньше должно было легализовать или апостилировать некоторые контрактные документы для обеспечения их трансграничного признания. Интегрируя через API квалифицированного TSP, выдающего сертификаты, признаваемые по всему ЕС (статья 25§2 eIDAS), предприятие устраняет эти формальности. 300 контрактов с поставщиками в год подписываются электронно с автоматическим признанием в трех странах-партнерах. Предполагаемая экономия административных расходов и сроков составляет 35-45% на весь цикл контрактации, что соответствует диапазонам, опубликованным отраслевыми исследованиями Федерации механических промышленных предприятий.

Больничный комплекс, обеспечивающий целостность своих цифровых медицинских карт

Больничный комплекс примерно с 1 200 коек должен гарантировать целостность и подлинность своих операционных отчетов, рецептов и информированного согласия на сроки сохранения до 20 лет (статья R. 1112-7 Кодекса общественного здравоохранения). Используя услугу квалифицированной электронной временной метки, предоставляемую QTSP, комплекс создает неоспоримые доказательства целостности при создании документа. Внутренние аудиты и проверки HAS (Высокой органа санитарии) могут теперь автоматически проверять целостность каждого архивированного документа, снижая рабочую нагрузку команд качества примерно на 25% согласно здравоохранительным мониторам.

Часто задаваемые вопросы

Что такое поставщик услуг доверия, квалифицированный по смыслу eIDAS?

Квалифицированный поставщик услуг доверия (QTSP) — это организация, получившая квалифицированный статус от органа надзора своего государства-члена (ANSSI во Франции) после аудита соответствия аккредитованной организацией. Он включен в национальный список доверия, опубликованный в соответствии со статьей 22 eIDAS. Этот статус позволяет ему предоставлять услуги с юридическим предположением о соответствии: квалифицированные подписи, квалифицированные временные метки, квалифицированные печати, квалифицированные электронные заказные отправления.

Как проверить, что провайдер TSP действительно квалифицирован по eIDAS?

Проверка осуществляется через официальный портал Европейской комиссии «eIDAS Trusted List Browser» (tlbrowser.tsl.website) или портал ANSSI для французских поставщиков. Достаточно поискать имя поставщика или URL его услуги. Список обновляется в реальном времени. Любой поставщик, претендующий на квалификацию без включения в этот список, не получает никакого юридического предположения, прикрепленного к квалифицированным услугам eIDAS.

Квалифицированный TSP в одной европейской стране признается ли во всем ЕС?

Да. Это один из ключевых вкладов eIDAS: принцип взаимного трансграничного признания (статья 25§2 для подписей, статья 35§2 для печатей, статья 41§2 для временных меток). Квалифицированная электронная подпись, созданная с использованием сертификата, выданного французским QTSP, законно признается в Германии, Испании, Польше или любом другом государстве-члене без каких-либо дополнительных действий. Эта совместимость является главной причиной существования регламента eIDAS на европейском уровне.

Чем отличается квалифицированный сертификат от продвинутого сертификата?

Продвинутый сертификат может быть выдан любым поставщиком, квалифицированным или нет, в соответствии с минимальными техническими требованиями. Квалифицированный сертификат может быть выдан только QTSP, зарегистрированным в списке доверия, на основе Приложения I eIDAS (содержание сертификата) и после строгой проверки личности заявителя лично или через квалифицированный процесс удаленной идентификации (QES). Квалифицированный сертификат является необходимым условием для выдачи квалифицированной электронной подписи, единственной получающей предположение об эквивалентности рукописной подписи.

Может ли TSP потерять свою квалификацию eIDAS? Каковы последствия?

Да. Орган надзора может отозвать или приостановить квалификацию TSP в случае серьезного нарушения его обязательств (отрицательный аудит, невирешенный крупный инцидент безопасности, ложное заявление). Отзыв публикуется в списке доверия со статусом «отозван». Сертификаты, выданные до отзыва, остаются действительными при условии сохранения их цепи доверия в документарном архивировании. Однако новые квалифицированные сертификаты не могут быть выданы после отзыва, и предоставляемые услуги перестают получать юридические предположения eIDAS.

Заключение

Поставщики услуг доверия (TSP) — это гораздо больше, чем просто технические поставщики: они составляют нормативно-правовую и юридическую основу, на которой зиждется вся доказательственная ценность электронной подписи в Европе. Понимание их роли, процесса квалификации и обязательств необходимо для любого предприятия, стремящегося защитить свой цифровой обмен бесспорной юридической ценностью. Выбор QTSP, зарегистрированного в европейском списке доверия, не является факультативным, если вы нацеливаетесь на квалифицированную подпись или квалифицированную временную метку.

Certyneo опирается исключительно на квалифицированных поставщиков TSP, признанных eIDAS, чтобы гарантировать вам электронные подписи с полной юридической силой, совместимые по всему Европейскому союзу. Готовы ли вы защитить свои контрактные процессы? Создайте учетную запись Certyneo бесплатно или свяжитесь с нашей командой для персональной демонстрации.