適格トラストサービスプロバイダー（QTSP）

「適格トラストサービスプロバイダー（QTSP）」とは？

適格トラストサービスプロバイダー（QTSP）は、EU の eIDAS 規則に基づき、各国の監督機関から適格の地位を認められ、1つ以上の適格トラストサービスを提供する組織です。サービスには、電子署名用・電子シール用の適格証明書の発行、適格タイムスタンプ、署名の適格検証と適格保存、適格電子登録配達などがあります。2024年の改正では、属性の電子証明や電子アーカイブなど、さらに適格サービスが追加されました。

適格の地位を得るのは簡単ではありません。認定された適合性評価機関による監査を受け、セキュリティ、人員、賠償責任、本人確認について厳しい要件を満たし、少なくとも24か月ごとに再監査を受ける必要があります。承認されると自国のトラステッドリストに掲載され、EU は各国のリストを集約しているため、欧州中のソフトウェアが証明書が本物の QTSP から発行されたものかを確認できます。

誰かが適格電子署名を作成するとき、その人の本人確認を行い、署名の土台となる適格証明書を発行するのが QTSP です。一般的な PKI における認証局に近い役割ですが、規制当局の監督と法的な効果が伴います。

実際の例を挙げます。ベルギーの会計事務所で、パートナーが法定の届出書類に QES で署名する必要があるとします。事務所は自前で何かを構築するのではなく QTSP と契約し、QTSP の手続きで各パートナーの本人確認を行い、適格証明書を発行してもらいます。その後、文書は QTSP 自身のツールか、その事業者と連携した署名サービスで署名できます。

よくある誤解は、電子署名サービスの会社はどこも QTSP だというものです。ほとんどはそうではありません。多くのサービスはシンプルな署名だけを提供しており、適格署名を提供しているところも、通常は別の QTSP と提携しています。もう一つの誤解は、ある国で承認された QTSP はその国でしか使えないというものです。適格サービスは EU 全域で認められます。

私たちの見解：適格署名に対応していると主張するベンダーがあれば、名前の挙がった事業者を EU のトラステッドリストで自分で調べてみてください。1分で済み、多くのマーケティング文句を見抜けます。本物の QTSP は簡単に確認でき、この透明性こそ eIDAS の仕組みのいちばん良いところの一つです。

eSignSimple は QTSP ではなく、適格証明書も発行しません。EU の取引先から適格署名を求められた場合は、QTSP やその提携サービスを別途利用してください。私たちが提供するのは、監査証跡、完了証明書、/verify ページで確認できる SHA-256 ハッシュ値に裏付けられたシンプルな電子署名です。

「適格トラストサービスプロバイダー（QTSP）」の具体例

フランスの公証人事務所が、職員のために適格証明書を必要としています。フランスの国内トラステッドリストに掲載された事業者を選び、職員がそれぞれ本人確認を行うと、事業者がリモート署名サービスに保管される証明書を発行します。事業者が適格の地位を持っているため、この方法による署名は EU 全域で適格署名として扱われます。eSignSimple はどのような種類のトラストサービスプロバイダーでもありません。

関連する用語

• eIDAS: EU の電子識別と電子取引のためのトラストサービスに関する規則（EU 規則第910/2014号）。EU 全域の電子署名のルールを定める。
• 高度電子署名（AdES）: eIDAS が定める中間の段階の電子署名。署名者に一意に結びつき、署名者を識別でき、後の変更を検知できるもの。
• 適格電子署名（QES）: eIDAS の最上位の電子署名。適格証明書と適格署名作成装置に基づき、EU 全域で手書きの署名と同等の効力を持つ。
• 公開鍵基盤（PKI）: PKI（公開鍵基盤）とは、認証局、電子証明書、鍵ペアからなり、公開鍵を実在の本人と結び付ける仕組みです。