QTSP – co to jest i na czym polega?

QTSP (Qualified Trust Service Provider) to kwalifikowany dostawca usług zaufania, który może świadczyć usługi cyfrowe spełniające wymagania rozporządzenia eIDAS. Jakie usługi oferuje i jakie przepisy regulują jego działalność? Które firmy w Polsce mają ten status i jak go zweryfikować? Sprawdź, jak działa QTSP i na co zwrócić uwagę przy wyborze dostawcy.

Co to jest QTSP?

QTSP (ang. Qualified Trust Service Provider) to skrót od kwalifikowanego dostawcy usług zaufania, czyli podmiotu posiadającego uprawnienia do świadczenia usług cyfrowych o najwyższym stopniu bezpieczeństwa, takich jak wydawanie kwalifikowanych podpisów elektronicznych, pieczęci czy e-Doręczeń.

Status kwalifikowany oznacza, że dostawca spełnia rygorystyczne wymogi prawne, techniczne i organizacyjne określone w rozporządzeniu eIDAS oraz uzyskał wpis do oficjalnego rejestru krajowego Trusted List. W Polsce nadzór nad listą kwalifikowanych dostawców usług zaufania sprawuje Minister Cyfryzacji i jest ona publikowana i aktualizowana przez Narodowe Centrum Certyfikacji (NCCert). Dla porównania niekwalifikowany dostawca podlega ogólnym przepisom rynkowym i nie ma uprawnień do wydawania certyfikatu kwalifikowanego.

Jakie usługi świadczy QTSP?

Kwalifikowany dostawca usług może oferować różne usługi związane z elektroniczną identyfikacją, podpisywaniem dokumentów i zabezpieczaniem danych. Do najważniejszych usług świadczonych przez QTSP należą:

• weryfikacja tożsamości – potwierdzanie tożsamości osób fizycznych lub prawnych ubiegających się o kwalifikowane certyfikaty, zgodnie z wymaganiami dotyczącymi danej usługi,
• wydawanie kwalifikowanych certyfikatów podpisu elektronicznego – certyfikaty te umożliwiają składanie kwalifikowanych podpisów elektronicznych (QES), które mają skutek prawny równoważny podpisowi własnoręcznemu,

  Sprawdź ofertę podpisów kwalifikowanych

• wydawanie kwalifikowanych certyfikatów pieczęci elektronicznej – pozwalają one podmiotom prawnym korzystać z kwalifikowanych pieczęci elektronicznych, które pomagają potwierdzić pochodzenie i integralność danych,
• wydawanie kwalifikowanych elektronicznych znaczników czasu – pozwalają na powiązanie danych na dokumencie z momentem ich podpisania lub pieczętowania, co zapewnia domniemanie prawidłowości wskazanej daty i czasu oraz integralności powiązanych danych,
• kwalifikowane usługi rejestrowanego doręczenia elektronicznego – w Polsce to e-Doręczenia, czyli cyfrowy odpowiednik tradycyjnego listu poleconego za potwierdzeniem odbioru. QTSP zapewnia bezpieczny kanał przesyłania danych pomiędzy nadawcą a odbiorcą, generując jednocześnie niepodważalne dowody wysłania oraz odebrania wiadomości,
• walidacja podpisów i pieczęci elektronicznych – polega na sprawdzeniu, czy podpis lub pieczęć są prawidłowe i czy spełniają wymagania dla danego rodzaju podpisu lub pieczęci,
• odnawianie kwalifikowanych podpisów elektronicznych i kwalifikowanych pieczęci elektronicznych – dzięki tej usłudze użytkownik zachowuje ciągłość posługiwania się tymi cyfrowymi narzędziami.

WAŻNE: Nie każdy QTSP świadczy wszystkie z wymienionych powyżej usług. Zakres działalności zależy od decyzji biznesowej dostawcy oraz uzyskanych przez niego akredytacji państwowych. Dokładną listę usług oferowanych przez wybrany podmiot można w każdej chwili zweryfikować na oficjalnej liście zaufania.

Ten artykuł może Cię zainteresować:

• Rodzaje usług zaufania i ich zastosowanie w biznesie i administracji

QTSP a eIDAS – jakie przepisy regulują jego działalność?

Status QTSP regulują przepisy unijne oraz krajowe, których kwalifikowany dostawca usług zaufania powinien bezwzględnie przestrzegać. Najważniejsze z tych aktów prawnych to:

• Rozporządzenie eIDAS – unijne rozporządzenie definiujące wymogi dla usług zaufania i nakładające na państwa członkowskie obowiązek wyznaczenia organu nadzoru oraz określające wymagania techniczne i formalne certyfikatów kwalifikowanych, aby te były honorowane na terenie całej Unii Europejskiej.
• Ustawa o usługach zaufania oraz identyfikacji elektronicznej – polski akt prawny określający zakres i zasady prowadzenia kontroli u kwalifikowanych dostawców usług zaufania.

Ten artykuł może Cię zainteresować:

• Co to jest rozporządzenie eIDAS i jakie usługi reguluje?

Jak zostać QTSP w Polsce?

Aby zostać QTSP w Polsce, należy przejść przez rygorystyczną weryfikację prowadzoną przez organ nadzoru, a następnie uzyskać status kwalifikowanego dostawcy oraz status kwalifikowany dla określonej usługi. Poniżej opisano procedurę krok po kroku.

1. Spełnienie wymagań określonych w rozporządzeniu eIDAS oraz we właściwych przepisach krajowych. Najważniejsze z nich to:
   • posiadanie odpowiednich zasobów finansowych lub odpowiedniego ubezpieczenia odpowiedzialności za szkody,
   • pozytywna weryfikacja kompetencji pracowników, w tym specjalistycznej wiedzy i doświadczenia z zakresu kryptografii oraz cyberbezpieczeństwa,
   • potwierdzenie, że pracownicy nie byli karani za przestępstwa przeciwko wiarygodności dokumentów lub mieniu,
   • pozytywna ocena audytu zewnętrznego przeprowadzonego przez akredytowaną jednostkę audytorską,
   • stosowanie odpowiednich systemów i produktów zapewniających bezpieczeństwo techniczne i wiarygodność procesów,
   • przechowywanie danych w sposób uniemożliwiający ich potajemną modyfikację lub kopiowanie,
   • bezpieczne rejestrowanie i przechowywanie wszelkich informacji o wydanych i unieważnionych certyfikatach przez określony prawem czas.
2. Przekazanie organowi nadzoru wymaganych informacji i dokumentacji, w tym raportu z oceny zgodności wykonanej przez zewnętrzną akredytowaną jednostkę audytorską.
3. Uzyskanie statusu kwalifikowanego dostawcy oraz statusu kwalifikowanego dla wybranych usług. Statusy te uzyskuje się po pozytywnej weryfikacji przeprowadzonej przez organ nadzoru.

Zewnętrzny audyt należy przeprowadzać co najmniej raz na 24 miesiące.

Jakie firmy w Polsce mają status Kwalifikowanego Dostawcy Usług Zaufania?

Status Kwalifikowanego Dostawcy Usług Zaufania w Polsce posiada obecnie kilka podmiotów komercyjnych oraz instytucji państwowych. Poniżej znajduje się zestawienie kluczowych firm uprawnionych do świadczenia wybranych kwalifikowanych usług zaufania.

WAŻNE: Aktualny status oraz dokładny rodzaj kwalifikowanych usług świadczonych przez danego dostawcę można w każdej chwili zweryfikować bezpośrednio na oficjalnej liście zaufania.

Ten artykuł może Cię zainteresować:

• Dostawcy podpisu kwalifikowanego w Polsce

Jak sprawdzić, czy firma ma status QTSP?

Aby sprawdzić, czy firma posiada status QTSP, należy zweryfikować jej obecność na oficjalnych listach zaufania, które są prawnie wiążące w Unii Europejskiej oraz w Polsce. Poniżej znajduje się instrukcja, jak krok po kroku dokonać weryfikacji dostawcy oraz konkretnej usługi za pomocą oficjalnych źródeł.

Weryfikacja na Europejskiej Liście Zaufania (EUTL):

1. Wejdź na oficjalną witrynę eIDAS Dashboard (Europejska Lista Zaufania).
2. Skorzystaj z wyszukiwarki QTSP, zaznaczając Polskę.
3. Jeżeli firma znajduje się na liście EUTL, posiada aktywny status kwalifikowany.

Weryfikacja na Polskiej Liście Zaufania:

1. Wejdź na stronę Narodowego Centrum Certyfikacji (nccert.pl).
2. Przejdź do zakładki zawierającej Rejestr Dostawców Usług Zaufania.
3. Sprawdź aktualną listę polskich podmiotów z podziałem na usługi, które mają prawo świadczyć ze statusem kwalifikowanym.

Kup podpis kwalifikowany

Co to jest QTSP? – podsumowanie

QTSP (Qualified Trust Service Provider) to kwalifikowany dostawca usług zaufania, który spełnia wymagania określone w rozporządzeniu eIDAS. Może świadczyć m.in. usługi związane z kwalifikowanymi podpisami i pieczęciami elektronicznymi, znacznikami czasu oraz rejestrowanym doręczeniem elektronicznym. Aby uzyskać status kwalifikowany, dostawca musi przejść ocenę zgodności i spełnić określone wymogi prawne, techniczne oraz organizacyjne. W Polsce jego działalność regulują przepisy unijne i krajowe. Przed wyborem dostawcy warto sprawdzić na oficjalnej liście zaufania, czy ma on aktualny status kwalifikowany i jakie konkretnie usługi może świadczyć.