QSeal
A QSeal, vagyis a minősített elektronikus bélyegző, a QES szervezeti szintű megfelelője. Nem ember, hanem jogi személy hozza létre, és az eIDAS azt a jogi vélelmet fűzi hozzá, hogy a lepecsételt adat változatlan, és valóban az adott szervezettől származik.
Az eIDAS az elektronikus bélyegzőnek három szintjét ismeri. Az egyszerű elektronikus bélyegző bármely olyan adat, amelyet más adathoz csatolnak annak eredete és sértetlensége érdekében. A fokozott biztonságú elektronikus bélyegzőnek egyértelműen ahhoz a szervezethez kell kötődnie, amely létrehozta, azonosítania kell ezt a szervezetet, olyan bélyegzőlétrehozó adattal kell készülnie, amelyet a szervezet saját ellenőrzése alatt tart, és úgy kell a lepecsételt adathoz kapcsolódnia, hogy minden későbbi változás észlelhető legyen. A minősített elektronikus bélyegző olyan fokozott biztonságú bélyegző, amely két dolgot tesz hozzá: minősített elektronikus bélyegzőlétrehozó eszközzel készül, és minősített elektronikus bélyegzőtanúsítványon alapul, amelyet az ETSI profiljai QSealC néven neveznek.
A jogi vélelmet csak a minősített szint kapja meg. Az eIDAS 35. cikke a minősített elektronikus bélyegzőhöz az adat sértetlenségének és az adat eredete helyességének vélelmét fűzi, ami a gyakorlatban megfordítja a bizonyítási terhet: a lepecsételt dokumentumot vitató félnek kell igazolnia, hogy azt megváltoztatták, nem pedig a szervezetnek azt, hogy nem. A minősített szintet el nem érő bélyegző továbbra is elfogadható bizonyíték, de a bíróság szabadon mérlegeli ahelyett, hogy ebből a vélelemből kellene kiindulnia.
A bélyegző mögötti tanúsítvány egy QTSP-től, azaz olyan bizalmi szolgáltatótól származik, amelynek egy tagállami felügyeleti szerv minősített státuszt adott, és amelyet közzétett a nemzeti Trusted List listáján. Mivel a tanúsítvány jogi személyt és nem embert azonosít, személynév helyett szervezetazonosítót hordoz, például VAT vagy LEI alapút, és a vele szemben támasztott követelményeket az eIDAS III. melléklete rögzíti. A létrehozó eszközt külön tanúsítják, ugyanabban a rendszerben, mint a minősített aláírás mögötti eszközt. Ugyanez a tanúsítvány QSealC ETSI néven a dokumentumok világán kívül is felbukkan: a nyílt bankolásban a pénzforgalmi szolgáltató QSealC tanúsítvánnyal pecsételi le az API-üzeneteit, a csatornát pedig QWAC tanúsítvánnyal védi.
A QES-től való gyakorlati különbség az, hogy ki áll mögötte. Az aláírás egy névvel megjelölt természetes személy akaratát fejezi ki, ezért akkor a megfelelő eszköz, amikor valaki személyesen beleegyezik valamibe. A bélyegző egy szervezet által kibocsátott adat eredetét és sértetlenségét fejezi ki, ezért számlákhoz, kivonatokhoz, nyilvántartási kivonatokhoz és minden máshoz megfelelő, amit nagy tömegben bocsátanak ki, és ahol senkitől nem kérnek beleegyezést. A lepecsételt fájlok ugyanazokat a PAdES, XAdES, CAdES és ASiC konténerformátumokat használják, mint az aláírtak, így egyetlen ellenőrzési lánc mindkettőt kezeli.
A digitális igazolványoknál ez azért számít, mert a kibocsátó rendszerint jogi személy. A kibocsátott adat minősített elektronikus bélyegzőtanúsítvánnyal való lepecsételése az a mód, ahogyan az eIDAS vélelme magához a tartalomhoz tapad, azon az aláíráson felül, amelyet az igazolvány formátuma már hordoz. Magának a QEAA-nak is hordoznia kell az azt kibocsátó QTSP minősített aláírását vagy minősített bélyegzőjét, így a QSeal és a QEAA együttműködnek, és nem alternatívák: az attesztáció állít valamit egy alanyról, a bélyegző pedig megállapítja, melyik szervezet bocsátotta ki, és hogy utána senki sem változtatta meg.
Mi a különbség a QES és a QSeal között?
A QES-t természetes személy hozza létre, és azt fejezi ki, hogy ez a személy egyetért a tartalommal. A QSeal-t jogi személy hozza létre, és azt fejezi ki, hogy a szervezet bocsátotta ki az adatot, és hogy az azóta nem változott. Mindkettő minősített bizalmi szolgáltatótól származik, és mindkettő jogi vélelmet hordoz az eIDAS szerint, de különböző kérdésekre válaszolnak, így a bélyegző nem léphet az aláírás helyébe ott, ahol a jog emberi döntést keres.
Elismerik a QSeal-t minden EU-tagállamban?
Igen. Az egyik tagállamban kibocsátott minősített tanúsítványon alapuló minősített elektronikus bélyegzőt minősített elektronikus bélyegzőként kell elismerni az összes többiben. A tanúsítványt a kibocsátó ország Trusted List listájával vetik össze, és az Európai Bizottság közzétesz egy központi listát, amely minden nemzeti Trusted List listára hivatkozik, így egy külföldi ellenőrző külön nemzeti eljárás nélkül erősítheti meg az állapotát.