Prestatore di servizi fiduciari qualificato (QTSP)

Cosa significa «Prestatore di servizi fiduciari qualificato»?

Un prestatore di servizi fiduciari qualificato (in inglese QTSP, qualified trust service provider) è un'organizzazione a cui un organismo di vigilanza nazionale ha riconosciuto la qualifica, ai sensi del regolamento europeo eIDAS, per fornire uno o più servizi fiduciari qualificati. Tra questi: il rilascio di certificati qualificati per firme e sigilli elettronici, le marche temporali qualificate, la convalida e la conservazione qualificate delle firme e i servizi qualificati di recapito elettronico certificato. Le modifiche del 2024 hanno aggiunto altri servizi qualificati, come le attestazioni elettroniche di attributi e l'archiviazione elettronica.

Ottenere la qualifica è impegnativo. Il prestatore deve essere sottoposto ad audit da parte di un organismo di valutazione della conformità accreditato, rispettare requisiti rigorosi su sicurezza, personale, responsabilità e verifica dell'identità, ed essere ricontrollato almeno ogni 24 mesi. Una volta approvato, viene pubblicato nell'elenco di fiducia (trusted list) del suo paese; l'UE aggrega questi elenchi nazionali, così i software di tutta Europa possono verificare se un certificato proviene da un vero QTSP. In Italia l'elenco è gestito da AgID.

Quando una persona crea una firma elettronica qualificata, il QTSP è il soggetto che ne ha verificato l'identità e ha rilasciato il certificato qualificato su cui la firma si basa. Il suo ruolo è simile a quello di una autorità di certificazione nella PKI in generale, ma con vigilanza pubblica e conseguenze giuridiche.

Un esempio concreto: uno studio contabile in Belgio ha bisogno che i soci firmino gli adempimenti obbligatori con una firma qualificata. Invece di costruire qualcosa in proprio, lo studio si affida a un QTSP, la cui procedura di attivazione verifica l'identità di ogni socio e rilascia i certificati qualificati. I documenti dello studio si possono poi firmare con lo strumento del prestatore o con una piattaforma di firma integrata con quel prestatore.

Un equivoco comune è che ogni società di firma elettronica sia un QTSP. La maggior parte non lo è: molte piattaforme offrono solo firme semplici, e quelle che offrono firme qualificate di solito collaborano con un QTSP distinto. Altro equivoco: che la qualifica ottenuta in un paese limiti il prestatore a quel paese. I servizi qualificati sono riconosciuti in tutta l'UE.

Il nostro parere: se un fornitore dichiara di offrire firme qualificate, cerca tu stesso il prestatore indicato nell'elenco di fiducia dell'UE. Ci vuole un minuto e taglia corto con molto linguaggio di marketing. I veri QTSP sono facili da verificare, e questa trasparenza è uno dei punti di forza del sistema eIDAS.

eSignSimple non è un QTSP e non rilascia certificati qualificati. Forniamo firme elettroniche semplici, supportate da un audit trail, da un certificato di firma e da un'impronta SHA-256 del documento verificabile sulla nostra pagina /verify.

«Prestatore di servizi fiduciari qualificato»: un esempio concreto

Uno studio notarile francese ha bisogno di certificati qualificati per il personale. Sceglie un prestatore presente nell'elenco di fiducia nazionale francese, ogni dipendente verifica la propria identità e il prestatore rilascia certificati custoditi in un servizio di firma remota. Poiché il prestatore è qualificato, le firme apposte in questo modo valgono come qualificate in tutta l'UE. eSignSimple non è un prestatore di servizi fiduciari di alcun tipo.

Quali sono i termini correlati?

• eIDAS: Regolamento (UE) n. 910/2014 sull'identificazione elettronica e i servizi fiduciari, che disciplina la firma elettronica in tutta l'Unione europea.
• Firma elettronica avanzata (FEA): Livello intermedio di eIDAS: firma connessa unicamente al firmatario, idonea a identificarlo e che rende rilevabile ogni modifica successiva.
• Firma elettronica qualificata (FEQ): Il livello più alto di eIDAS: firma avanzata creata con un dispositivo qualificato e un certificato qualificato, equivalente a una firma autografa.
• Infrastruttura a chiave pubblica (PKI): La PKI (infrastruttura a chiave pubblica) è il sistema di autorità di certificazione, certificati digitali e coppie di chiavi che lega le chiavi pubbliche a identità reali.