Vertrouwensdienstverlener (TSP)
Een vertrouwensdienstverlener (TSP) levert eIDAS-vertrouwensdiensten zoals certificaten of tijdstempels - gekwalificeerd of niet. Uitleg en toezicht.
Een vertrouwensdienstverlener (TSP) is de algemene term die eIDAS gebruikt voor elke natuurlijke of rechtspersoon die een of meer vertrouwensdiensten levert. De verordening kent twee smaken: een gekwalificeerde vertrouwensdienstverlener (QTSP) heeft een onafhankelijke audit doorstaan en staat op de EU Trusted List, terwijl een niet-gekwalificeerde TSP hetzelfde soort dienst levert zonder die status - al gelden ook voor haar de basisverplichtingen uit eIDAS, zoals incidentmelding en een zorgplicht, en valt zij onder het lichtere, achteraf uitgeoefende toezicht van de RDI.
In de praktijk is een TSP een of meer van de volgende partijen:
- een certificaatautoriteit, die certificaten uitgeeft voor elektronische handtekeningen, elektronische zegels of website-authenticatie
- een tijdstempelautoriteit, die data koppelt aan een tijdstip
- een aanbieder van aangetekende bezorging, die een elektronische aangetekende bezorgdienst uitvoert
- een archiverings- of ledgeraanbieder, die elektronische data bewaart in een gekwalificeerde elektronische archiveringsdienst of in volgorde vastlegt in een gekwalificeerd elektronisch grootboek
- een attestatieaanbieder, die elektronische attesteringen van attributen of gekwalificeerde elektronische attesteringen van attributen uitgeeft
- een aanbieder van remote ondertekenen, die een gekwalificeerd middel voor het aanmaken van handtekeningen namens een ondertekenaar beheert zodat deze op afstand kan ondertekenen of zegelen
Iedereen mag zich als niet-gekwalificeerde TSP vestigen; gekwalificeerd worden is een formeel traject waarop in Nederland wordt toegezien door de Rijksinspectie Digitale Infrastructuur (RDI), zoals volledig beschreven bij gekwalificeerde vertrouwensdienstverlener.
Let op: de naam alleen zegt niets over de status. Veel commerciele certificaatautoriteiten en aanbieders van e-signing zijn vertrouwensdienstverlener in de zin van eIDAS zonder ooit gekwalificeerd te worden, waardoor hun handtekeningen en zegels op het niveau 'geavanceerd' blijven in plaats van 'gekwalificeerd' - een echt verschil in het juridisch vermoeden dat een rechter eraan toekent.