Prestador cualificado de servicios de confianza (QTSP)

¿Qué significa «Prestador cualificado de servicios de confianza»?

Un prestador cualificado de servicios de confianza (QTSP, por sus siglas en inglés) es una organización a la que un organismo supervisor nacional ha concedido la cualificación, conforme al Reglamento eIDAS de la UE, para prestar uno o varios servicios de confianza cualificados. Entre ellos están la expedición de certificados cualificados de firma y sello electrónicos, los sellos de tiempo cualificados, la validación y conservación cualificadas de firmas y la entrega electrónica certificada cualificada. La reforma de 2024 añadió otros servicios cualificados, como las declaraciones electrónicas de atributos y el archivo electrónico.

Obtener la cualificación es exigente. El prestador debe ser auditado por un organismo de evaluación de la conformidad acreditado, cumplir requisitos estrictos de seguridad, personal, responsabilidad y verificación de identidad, y volver a auditarse al menos cada 24 meses. Una vez aprobado, aparece en la lista de confianza de su país, y la UE reúne estas listas nacionales para que cualquier software en Europa pueda comprobar si un certificado procede de un prestador cualificado auténtico. En España, por ejemplo, la supervisión corresponde al Ministerio para la Transformación Digital.

Cuando alguien crea una firma electrónica cualificada, el QTSP es quien ha verificado su identidad y ha expedido el certificado cualificado en el que se basa la firma. Su papel se parece al de una autoridad de certificación en la PKI en general, pero con supervisión regulatoria y consecuencias jurídicas.

Un ejemplo práctico: un despacho de contabilidad de Bélgica necesita que sus socios firmen presentaciones legales con firma cualificada. En lugar de desarrollar nada por su cuenta, contrata a un QTSP, cuyo proceso de alta verifica la identidad de cada socio y expide certificados cualificados. Los documentos del despacho pueden firmarse entonces con la herramienta del propio prestador o con una plataforma de firma integrada con él.

Un error común es pensar que cualquier empresa de firma electrónica es un QTSP. La mayoría no lo son; muchas plataformas ofrecen solo firmas simples, y las que ofrecen firmas cualificadas suelen asociarse con un QTSP independiente. Otro error es creer que la cualificación obtenida en un país limita al prestador a ese país. Los servicios cualificados se reconocen en toda la UE.

Nuestra opinión: si un proveedor dice ofrecer firmas cualificadas, busca tú mismo el prestador que menciona en la lista de confianza de la UE. Se tarda un minuto y desmonta mucho lenguaje de marketing. Los QTSP auténticos son fáciles de verificar, y esa transparencia es una de las mejores cosas del sistema eIDAS.

eSignSimple no es un QTSP y no expide certificados cualificados. Ofrecemos firmas electrónicas simples respaldadas por un registro de auditoría, un certificado de finalización y un hash SHA-256 del documento que puede comprobarse en nuestra página /verify.

¿Cómo se ve «Prestador cualificado de servicios de confianza» en la práctica?

Una notaría francesa necesita certificados cualificados para su personal. Elige un prestador que figura en la lista de confianza nacional de Francia, cada empleado verifica su identidad y el prestador expide certificados guardados en un servicio de firma remota. Como el prestador tiene la cualificación, las firmas hechas así cuentan como cualificadas en toda la UE. eSignSimple no es un prestador de servicios de confianza de ningún tipo.

¿Qué términos están relacionados?

• Firma electrónica avanzada: La firma electrónica avanzada es la que está vinculada de forma única al firmante, permite identificarlo, se crea con datos bajo su control exclusivo y detecta cualquier cambio posterior.
• Firma electrónica cualificada: La firma electrónica cualificada es una firma avanzada creada con un dispositivo cualificado y basada en un certificado cualificado; en la UE equivale legalmente a la firma manuscrita.
• Reglamento eIDAS: El Reglamento eIDAS (UE n.º 910/2014) es la norma europea sobre identificación electrónica y servicios de confianza que define la firma electrónica simple, avanzada y cualificada.
• Infraestructura de clave pública (PKI): La PKI (infraestructura de clave pública) es el sistema de autoridades de certificación, certificados digitales y pares de claves que vincula las claves públicas con identidades reales.