Poskytovateľ TSP eIDAS: Pochopenie úlohy služieb dôvery

Úvod

Od vstupu do platnosti nariadenia eIDAS č. 910/2014 sú poskytovatelia služieb dôvery (TSP, Trust Service Providers) chrbtom digitálnej dôvery v Európe. Títo aktéri, ktorí podliehajú prísnej regulácii, vydávajú certifikáty, časové značky a kvalifikované podpisy, ktoré dávajú právnu silu elektronickej výmene. Prijatím nariadenia eIDAS 2.0 (nariadenie EÚ 2024/1183) sa ich povinnosti ďalej vyvinuli. Tento článok vám vysvetľuje, čo je TSP, ako je akreditovaný, aké služby môže ponúkať a prečo je voľba kvalifikovaného poskytovateľa rozhodujúca pre vašu spoločnosť.

---

Čo je poskytovateľ služieb dôvery (TSP)?

Definícia a regulačný rozsah

Podľa článku 3 nariadenia eIDAS je poskytovateľ služieb dôvery fyzická alebo právnická osoba, ktorá poskytuje jednu alebo viac služieb dôvery buď v kvalifikovanej forme, alebo v nekvalifikovanej forme. Nariadenie jasne rozlišuje tieto dve kategórie: iba kvalifikovaní poskytovatelia majú úžitok z predpokladu zhody a posilnenej právnej hodnoty pripojené k ich službám.

Služby dôvery zahrnuté v eIDAS zahŕňajú:

• Vytvorenie, overenie a validáciu elektronických podpisov (jednoduchých, pokročilých alebo kvalifikovaných)
• Vytvorenie, overenie a validáciu elektronických pečatí (pre právnické osoby)
• Vytvorenie, overenie a validáciu kvalifikovaných elektronických časových značiek
• Služby kvalifikovaného elektronického odporúčaného listu
• Vydávanie a správa certifikátov pre overovanie identity webových stránok (QWAC)
• Dlhodobú ochranu kvalifikovaných podpisov a pečatí

Od eIDAS 2.0 sa zoznam rozšíril na európske peňaženky digitálnej identity (EUDIW) a kvalifikované atesty elektronických atribútov, ďalej rozširujúc rozsah pôsobnosti TSP.

Rozdiel medzi kvalifikovaným a nekvalifikovaným TSP

Nie všetci poskytovatelia služieb dôvery majú rovnakú právnu hodnotu. Nekvalifikovaný TSP môže pôsobiť voľne, ale jeho služby nemajú žiadny právny predpoklad zhody. Kvalifikovaný TSP (QTSP, Qualified Trust Service Provider) je zapísaný na zozname dôvery národného dohľadu (Trusted List) svojho členského štátu, publikovaného a vedený v súlade s článkom 22 eIDAS a rozhodnutím komisie 2015/1505.

Vo Francúzsku má úlohu orgánu dohľadu ANSSI (Agence nationale de la sécurité des systèmes d'information). Francúzsky zoznam dôvery je dostupný prostredníctvom centralizovaného európskeho portálu. Ak chcete získať viac informácií o hierarchii úrovní podpisu a ich vznaní, pozrite si náš komplexný sprievodca nariadením eIDAS 2.0.

---

Proces kvalifikácie TSP

Audit zhody organizáciou vyhodnocujúcou zhodu

Aby mohol poskytovateľ získať kvalifikovaný status, musí sa podrobiť auditu vykonanému organizáciou vyhodnocujúcou zhodu (OEC) akreditovanou COFRAC vo Francúzsku (alebo národným ekvivalentom v každom členskom štáte). Tento audit overuje zhodu s požiadavkami Prílohy II eIDAS a s použiteľnými normami ETSI.

Hlavné technické normy sú:

• ETSI EN 319 401: všeobecné požiadavky na TSP
• ETSI EN 319 411-1 a -2: politika a postupy certifikácie pre kvalifikované certifikáty
• ETSI EN 319 421: politika a postupy pre TSP časových značiek
• ETSI EN 319 132: profil XAdES pre pokročilé a kvalifikované podpisy
• ETSI EN 319 122: profil CAdES

Audit vychádza zo správy o hodnotení zaslanej národnému orgánu dohľadu, ktorý môže udeliť, odmietnuť alebo odvolať kvalifikáciu. Doba platnosti certifikátu kvalifikácie je zvyčajne 24 mesiacov, obnoviteľná.

Európsky zoznam dôvery: centrálny register

Európsky zoznam dôvery (EU Trusted List, alebo TL) je centrálny mechanizmus, ktorým eIDAS zaručuje medzioperabilitu. Každý členský štát publikuje svoj národný zoznam a Komisia Európskej únie agreguje celok do Zoznamu zoznamov dôvery (LOTL). Táto pyramidálna architektúra umožňuje akémukoľvek overovacímu systému vrátit sa k európskemu koreňu dôvery.

Od 1. januára 2026 LOTL eviduje viac ako 200 kvalifikovaných TSP vo všetkých členských štátoch, ktoré spolu vydávajú milióny kvalifikovaných certifikátov ročne. Pre kupujúceho riešenie SaaS je overenie prítomnosti dodávateľa na tomto zozname prvou preskúmanou povinnosťou.

Povinnosti nepretržitého dohľadu

Kvalifikácia nie je získaná natrvalo. Kvalifikovaní TSP podliehajú:

• Pravidelným auditom (najmenej každých 24 mesiacov)
• Notifikácii bez meškania akéhokoľvek incidentu bezpečnosti ovplyvňujúceho služby (článok 19 eIDAS)
• Vedeniu aktualizovanej politiky certifikácie (CP) a vyhlásenia o postupoch certifikácie (CPS) verejnosti
• Udržiavaniu plánu pokračovania v činnosti a plánu ukončenia činnosti zaručujúceho ochranu údajov v prípade zastavenia

---

Kvalifikované služby a ich právny rozsah

Kvalifikovaný elektronický podpis (SEQ)

Kvalifikovaný elektronický podpis je najvyšší level stanovený eIDAS. Opiera sa o kvalifikovaný certifikát vydaný QTSP a je vytvorený pomocou zariadenia na vytvorenie kvalifikovaného elektronického podpisu (QSCD), ako napríklad certifikovaná čipová karta Common Criteria EAL4+ alebo HSM (Hardware Security Module) v súlade s ochranným profilom EN 419 221-5.

Článok 25 § 2 eIDAS stanovuje princíp ekvivalencie s rukopísným podpisom: SEQ vytvorená v jednom členskom štáte je uznávaná vo všetkých členských štátoch bez ďalšieho formalít. Je to jediný level, na ktorý sa tento právny predpoklad vzťahuje automaticky. Ak chcete prehĺbiť právnu hodnotu elektronického podpisu v rôznych zmluvných kontextoch, pripravili sme špecializovaného sprievodcu.

Kvalifikovaná elektronická časová značka

Kvalifikovaná elektronická časová značka (QTS, Qualified Time Stamp) nepochybne potvrdzuje, že dokument alebo údaje existovali v presnom momente. Podľa článku 41 eIDAS má úžitok z predpokladu správnosti dátumu a času, ako aj integrity údajov.

Typické použitia zahŕňajú: dôkaz o podaní patentu, archiváciu s dôkaznou hodnotou, záznam zmluvných udalostí. Kvalifikovaná elektronická časová značka tiež zohráva ústredné postavenie v dlhodobej ochrane podpisov.

Služba kvalifikovaného elektronického odporúčaného listu

Kvalifikovaný REMS (Qualified Electronic Registered Mail Service) je digitálny ekvivalent listu na vyzvednutie s potvrdením o doručení. Zaručuje identifikáciu strán, integritu prenášaných údajov, časovú značku odoslania a prijatia. Článok 44 eIDAS mu dáva predpoklad integrity údajov a správnosti dátumu odoslania a prijatia. Táto služba je obzvlášť užitočná na výzvy, zrušenia zmlúv alebo právne hlásenia.

---

Výber svojho poskytovateľa TSP: rozhodujúce kritériá

Kvalifikácia, medzioperabilita a geografické pokrytie

Prvým kritériom je samozrejme prítomnosť na zozname dôvery jedného alebo viacerých členských štátov, v ktorých pôsobíte. Ale nad rámec formálnej kvalifikácie vstupuje do hry niekoľko praktických aspektov:

• Medzioperabilita: podporuje TSP štandardné formáty ETSI (XAdES, PAdES, CAdES, JAdES)? Budú podpisy vytvorené overiteľné nástrojmi tretích strán ako je európsky validátor DSS?
• Dostupnosť služby: aké je zaručené SLA? Sú infraštruktúry QSCD geograficky redundantné?
• Geografické pokrytie: ak pôsobíte v niekoľkých európskych krajinách, ponúka TSP kvalifikované certifikáty uznávané v týchto krajinách?
• API a integrácia: sú API REST/SOAP dobre dokumentované? Existuje SDK alebo natívna integrácia s vašim aplikačným stackom?

Transparentnosť cien a obchodný model

Kvalifikovaní TSP zvyčajne účtujú za vydaný certifikát, za objem transakcií alebo prostredníctvom ročných predplatných. Ceny sa výrazne líšia: jednotlivý kvalifikovaný certifikát stojí medzi 50 a 200 € bez DPH ročne, zatiaľ čo riešenia hromadného podepisovania (server) môžu prekročiť niekoľko tisíc eur ročne. Porovnajte ponuky na trhu s našim porovnaniu riešení elektronického podpisu.

Podpora, GDPR súlad a lokalizácia údajov

TSP spracovávajúci osobné údaje (čo je systematicky prípad pre vydávanie kvalifikovaných certifikátov) podlieha GDPR č. 2016/679. Preverujte:

• Lokalizáciu údajov (hostovanie v EÚ alebo mimo nej?)
• Politiku uchovávania a mazania údajov
• Existenciu určeného DPO (Data Protection Officer)
• Prípadný subdodávateľský výkon a použiteľné štandardné zmluvné doložky (CCT)

Pre podniky, ktoré chcú migrovať z existujúceho riešenia ku konformnejšiemu dodávateľovi, náš sprievodca o migrácii z DocuSign alebo YouSign na Certyneo opisuje kroky a opatrenia na prijatie.

Právny rámec vzťahujúci sa na poskytovateľov TSP eIDAS

Zakladajúce texty

Právny rámec poskytovateľov služieb dôvery spočíva na niekoľkých regulačných vrstvách prepojených navzájom.

Nariadenie eIDAS č. 910/2014/EÚ (zmenené nariadením EÚ 2024/1183 nazývané „eIDAS 2.0"): referenčný text definujúci služby dôvery, úrovne kvalifikácie, povinnosti TSP (články 13 až 22 pre všeobecné povinnosti, články 23 až 45 pre špecifické kvalifikované služby) a režim zodpovednosti (článok 13: zodpovednosť za akúkoľvek škodu spôsobenú zámerne alebo z nedbanlivosti, s obraciou dôkazného bremena v prospech obete).

Francúzsky občiansky zákonník, články 1366 a 1367: článok 1366 stanovuje princíp ekvivalencie elektronického písma k papierovému písmu za predpokladu identifikácie autora a integrity. Článok 1367 definuje elektronický podpis a jeho predpoklad spoľahlivosti, ak je kvalifikovaný v zmysle eIDAS.

Dekrét č. 2017-1416 zo 28. septembra 2017 týkajúci sa elektronického podpisu: objasňuje v francúzskom práve technické podmienky spoľahlivého elektronického podpisu, výslovne odkazujúc na požiadavky eIDAS.

Bezpečnostné povinnosti a oznámenie

Článok 19 eIDAS zavŕta na TSP prijať vhodné technické a organizačné opatrenia na správu rizík týkajúcich sa ich služieb. V prípade incidentu bezpečnosti alebo straty integrity s vplyvom na službu alebo osobné údaje musí TSP oznámiť orgán dohľadu bez neoprávneného meškania a najneskôr do 24 hodín po tom, čo sa o tom dozvie. Táto povinnosť sa kumuluje s tou, ktorá je stanovená v článku 33 GDPR č. 2016/679 (oznámenie orgánu dohľadu — CNIL vo Francúzsku — do 72 hodín).

Smernica NIS2 (2022/2555/EÚ), transponovaná do francúzskeho práva zákonom č. 2023-703 z 1. augusta 2023, podrobuje kvalifikovaných TSP posilneným požiadavkám na správu kybernetických rizík a oznámenie incidentov ako podstatné alebo dôležité subjekty podľa ich veľkosti.

Zodpovednosť a sankcie

Režim zodpovednosti eIDAS (článok 13) je prísny: TSP je presúmovaný byť zodpovedný za akúkoľvek škodu spôsobenú akejkoľvek fyzickej alebo právnej osobe porušením svojich povinností. Je na ňom, aby dokázal absenciu zavinenia. Národné sankcie za nedodržanie môžu zahŕňať odvolanie kvalifikácie, správne pokuty (až 10 miliónov EUR alebo 2 % celosvetového obratu podľa GDPR), a akcie na náhradu škody. Vo Francúzsku môže ANSSI tiež vyhlásiť nútené nápravné opatrenia.

Scenáre použitia: TSP eIDAS v praxi

Kancelária právnikov spravujúca demateriálizované procesné spisy

Kancelária právnikov špecializujúca sa na obchodné záležitosti s približne päťdesiatimi spolupracovníkmi denne riešila spisy vyžadujúce kvalifikovaný podpis: závery, mandáty zastúpenia, akty o prevode obchodných podnikov. Spoliehajúc sa na QTSP uvedený na francúzskom zozname dôvery, kancelária generuje podpisy PAdES-LTV (Long-Term Validation) zahŕňajúce kvalifikovanú časovú značku. Výsledok: čas spracovania podpisovaného spisu sa skrátil z 3 až 4 dní (papierová manipulácia) na menej ako 2 hodiny. Dôkazná hodnota každého podpisu je automaticky overiteľná druhú stranu a súdmi bez dodatočnej znaleckej analýzy, čím sa znižujú procesné spory približne o 70 % podľa spätných väzieb od porovnateľných kancelárií.

Malá a stredná priemyselná podnik zabezpečujúca svoje medzihraniční zmluvné súťaže

Malá a stredná priemyselná podnik francúzskeho pôvodu s približne 180 zamestnancami, zásobovaná od dodávateľov v Nemecku, Poľsku a Španielsku, musela doteraz legalizovať alebo osvedčiť určité zmluvné dokumenty, aby zaručila ich medzihraniční uznaní. Integrujúc prostredníctvom API TSP kvalifikovaný vydávajúci certifikáty uznávané v celej EÚ (článok 25 § 2 eIDAS), podnik eliminuje tieto formalitnosti. Približne 300 ročných zmlúv s dodávateľmi je teraz podpísaných elektronicky s automatickým právnym uznaním v troch partnerských krajinách. Odhadovaný úspora na administratívnych nákladoch a lehôtách dosahuje 35 až 45 % na celom zmluvnom cykle, v súlade s rozsahmi zverejnenými štúdiami v sektore mechanických priemyslov.

Nemocničný zväz chrániacej integritu svojich digitalizovaných medicínskych spisov

Nemocničný zväz s približne 1 200 lôžkami musí zaručiť integritu a autentifikáciu svojich operačných správ, liekov a informovaného súhlasu po doby uchovávania dosahujúce až 20 rokov (článok R. 1112-7 francúzskeho kódexu verejného zdravia). Využívajúc službu kvalifikovanej elektronickej časovej značky poskytnutú QTSP, zväz vytváram nefalšovateľné dôkazy integrity hneď pri produkcii dokumentu. Vnútorné audity a kontroly HAS (Haute Autorité de Santé) môžu teraz automaticky overovať integritu každého archivovaného dokumentu, čím sa znižuje záťaž tímov kvality približne o 25 % podľa sektorových benchmarkov v zdravotníctve.

Časté otázky

Čo je kvalifikovaný poskytovateľ služieb dôvery v zmysle eIDAS?

Kvalifikovaný poskytovateľ služieb dôvery (QTSP) je organizácia, ktorá získala kvalifikovaný status od orgánu dohľadu svojho členského štátu (ANSSI vo Francúzsku) po audite zhody akreditovanou organizáciou. Figuruje na zozname dôvery národného dohľadu publikovanom v súlade s článkom 22 eIDAS. Tento status mu umožňuje poskytovať služby s predpokladom právnej zhody: kvalifikované podpisy, kvalifikované časové značky, kvalifikované pečate, kvalifikované elektronické odporúčané listy.

Ako overiť, že poskytovateľ TSP je skutočne kvalifikovaný eIDAS?

Overenie sa uskutočňuje cez oficiálny portál Komisie Európskej únie „eIDAS Trusted List Browser" (tlbrowser.tsl.website) alebo prostredníctvom portálu ANSSI pre francúzskych poskytovateľov. Stačí vyhľadať názov poskytovateľa alebo URL jeho služby. Zoznam je aktualizovaný v reálnom čase. Akýkoľvek poskytovateľ tvrdiaci, že je kvalifikovaný bez toho, aby figuroval na tomto zozname, nemá úžitok z žiadneho predpokladu pripojeného k kvalifikovaným službám eIDAS.

Je kvalifikovaný TSP z jednej európskej krajiny uznávaný v celej EÚ?

Áno. To je jeden z hlavných prínosov eIDAS: princíp vzájomného medzihraniničného uznaní (článok 25 § 2 pre podpisy, článok 35 § 2 pre pečate, článok 41 § 2 pre časové značky). Kvalifikovaný elektronický podpis vytvorený pomocou certifikátu vydaného francúzskym QTSP je právne uznávaný v Nemecku, Španielsku, Poľsku alebo v akomkoľvek inom členskom štáte bez ďalšieho postupu. Táto medzioperabilita je hlavným dôvodom existencie nariadenia eIDAS na európskej úrovni.

Aký je rozdiel medzi kvalifikovaným a pokročilým certifikátom?

Pokročilý certifikát môže byť vydaný akýmkoľvek poskytovateľom, kvalifikovaným alebo nie, podľa minimálnych technických požiadaviek. Kvalifikovaný certifikát môže byť vydaný iba QTSP zapísaným na zozname dôvery, na základe prílohy I eIDAS (obsah certifikátu) a po prísnej overifikácii identity žiadateľa tvárou v tvár alebo prostredníctvom kvalifikovaného procesu diaľkovej identifikácie (QES). Kvalifikovaný certifikát je nevyhnutnou podmienkou vydania kvalifikovaného elektronického podpisu, jediného s predpokladom ekvivalencie s rukopísnym podpisom.

Môže TSP stratiť svoju kvalifikáciu eIDAS? Aké sú dôsledky?

Áno. Orgán dohľadu môže odvolať alebo pozastaviť kvalifikáciu TSP v prípade vážneho porušenia jeho povinností (negatívny audit, veľký bezpečnostný incident, ktorý nie je vyriešený, nepravdivé vyhlásenie). Odvolanie je zverejnené na zozname dôvery so stavom „zrušené". Certifikáty vydané pred odvolaním ostávajú platné, ak je ich reťazec dôvery zachovaný v archívácii s dôkaznou hodnotou v súlade s predpismi. Žiadny nový kvalifikovaný certifikát nemôže byť vydaný po odvolaní, a služby poskytnuté prestanú úžitkovať predpokladom eIDAS.

Záver

Poskytovatelia služieb dôvery (TSP) sú oveľa viac ako jednoduší technickí dodávatelia: tvoria regulačný a právny základ, na ktorom spočíva všetka dôkazná hodnota elektronického podpisu v Európe. Pochopenie ich úlohy, procesu kvalifikácie a povinností je nevyhnutné pre akúkoľvek spoločnosť, ktorá chce zabezpečiť svoje digitálne výmeny s nepoplaciteľnou právnou hodnotou. Voľba QTSP uvedeného na európskom zozname dôvery nie je voliteľná, ak sa chcete spoľahnúť na kvalifikovaný podpis alebo kvalifikovanú časovú značku.

Certyneo sa spolieha výhradne na kvalifikovaných poskytovateľov TSP uznávaných eIDAS, aby vám zaručil elektronické podpisy s plnou právnou hodnotou, medzioperabilné v celej Európskej únii. Ste pripravení zabezpečiť svoje zmluvné toky? Vytvorte svoj bezplatný účet Certyneo alebo kontaktujte náš tím pre personalizovanú ukážku.