Nitelikli güven hizmeti sağlayıcı (QTSP)

Nitelikli güven hizmeti sağlayıcı ne demek?

Nitelikli güven hizmeti sağlayıcı (QTSP), AB'nin eIDAS Yönetmeliği kapsamında ulusal bir denetim kurumundan bir veya daha fazla nitelikli güven hizmeti sunmak üzere nitelikli statü almış kuruluştur. Bu hizmetler arasında elektronik imza ve mühürler için nitelikli sertifika vermek, nitelikli zaman damgası, imzaların nitelikli doğrulanması ve korunması ve nitelikli elektronik kayıtlı teslimat bulunur. 2024 değişiklikleri, elektronik nitelik onayları ve elektronik arşivleme gibi yeni nitelikli hizmetler ekledi.

Nitelikli statü almak zorludur. Sağlayıcı akredite bir uygunluk değerlendirme kuruluşu tarafından denetlenmeli, güvenlik, personel, sorumluluk ve kimlik doğrulama konularında sıkı şartları karşılamalı ve en az 24 ayda bir yeniden denetlenmelidir. Onaylandıktan sonra ülkesinin güven listesinde yayımlanır; AB bu ulusal listeleri bir araya getirir, böylece Avrupa'daki yazılımlar bir sertifikanın gerçek bir QTSP'den gelip gelmediğini kontrol edebilir.

Biri nitelikli elektronik imza oluşturduğunda, kimliğini doğrulayan ve imzanın dayandığı nitelikli sertifikayı veren taraf QTSP'dir. Rolü, genel PKI'daki bir sertifika otoritesine benzer; ama düzenleyici denetim ve hukuki sonuçlarla birlikte gelir. Türkiye'de buna en yakın kavram, BTK tarafından yetkilendirilen elektronik sertifika hizmet sağlayıcılarıdır (ESHS).

Pratik bir örnek: Belçika'daki bir muhasebe firması, ortaklarının yasal bildirimleri nitelikli elektronik imzayla imzalamasını istiyor. Firma kendisi bir şey kurmak yerine bir QTSP ile anlaşır; QTSP'nin kayıt süreci her ortağın kimliğini doğrular ve nitelikli sertifikaları verir. Firmanın belgeleri daha sonra QTSP'nin kendi aracıyla ya da o sağlayıcıyla entegre bir imza platformuyla imzalanabilir.

Yaygın bir yanılgı, her e-imza şirketinin bir QTSP olduğudur. Çoğu değildir; birçok platform yalnızca basit imza sunar, nitelikli imza sunanlar da genellikle ayrı bir QTSP ile ortaklık kurar. Bir başka yanılgı, bir ülkede alınan onayın QTSP'yi o ülkeyle sınırladığıdır. Nitelikli hizmetler tüm AB'de tanınır.

Bizim görüşümüz: bir sağlayıcı nitelikli imza sunduğunu söylüyorsa, adı geçen hizmet sağlayıcıyı AB güven listesinde kendiniz arayın. Bir dakikanızı alır ve pazarlama dilinin büyük kısmını ayıklar. Gerçek QTSP'leri doğrulamak kolaydır ve bu şeffaflık eIDAS sisteminin en iyi yanlarından biridir.

eSignSimple bir QTSP değildir ve nitelikli sertifika vermez. Bir denetim kaydı, tamamlanma sertifikası ve /verify sayfamızda kontrol edilebilen SHA-256 belge özetiyle desteklenen basit elektronik imza sunarız.

Nitelikli güven hizmeti sağlayıcı için bir örnek nedir?

Fransa'daki bir noterlik, personeli için nitelikli sertifikaya ihtiyaç duyar. Fransa'nın ulusal güven listesinde yer alan bir sağlayıcıyı seçer, her çalışan kimliğini doğrular ve sağlayıcı sertifikaları uzaktan imza hizmetinde saklanacak şekilde verir. Sağlayıcı nitelikli statüye sahip olduğu için bu yolla atılan imzalar tüm AB'de nitelikli sayılır. eSignSimple hiçbir türde güven hizmeti sağlayıcı değildir.

Hangi terimlerle ilgili?

• Gelişmiş elektronik imza: Gelişmiş elektronik imza (AES), eIDAS'ta tanımlanan; imzalayana özgü olarak bağlı, onu tanımlayabilen, onun tek kontrolündeki verilerle oluşturulan ve sonradan yapılan değişiklikleri gösteren elektronik imzadır.
• Nitelikli elektronik imza: Nitelikli elektronik imza (QES), nitelikli bir imza oluşturma cihazıyla oluşturulan ve nitelikli sertifikaya dayanan gelişmiş imzadır; AB'de el yazısı imzayla eşdeğerdir. Türkiye'deki karşılığı güvenli elektronik imzadır.
• eIDAS: eIDAS, Avrupa Birliği'nde elektronik kimlik ve güven hizmetlerini düzenleyen 910/2014 sayılı Tüzük'tür; basit, gelişmiş ve nitelikli elektronik imzayı tanımlar ve tüm üye devletlerde doğrudan uygulanır.
• Açık anahtar altyapısı (PKI): PKI (açık anahtar altyapısı), açık anahtarları gerçek kimliklere bağlayan sertifika otoriteleri, dijital sertifikalar ve anahtar çiftlerinden oluşan sistemdir.