QSeal

eIDAS opererer med tre nivåer av elektronisk segl. Et vanlig elektronisk segl er data som knyttes til andre data for å sikre opprinnelsen og integriteten deres. Et avansert elektronisk segl må være entydig knyttet til organisasjonen som laget det, identifisere den organisasjonen, lages med seglgenereringsdata som organisasjonen selv har kontroll over, og være knyttet til de forseglede dataene slik at enhver senere endring kan oppdages. Et kvalifisert elektronisk segl er et avansert segl som legger til to ting: det lages med en kvalifisert elektronisk seglgenereringsenhet, og det bygger på et kvalifisert sertifikat for elektroniske segl, kalt QSealC i ETSI-profilene.

Bare det kvalifiserte nivået får den rettslige formodningen. Artikkel 35 i eIDAS gir et kvalifisert elektronisk segl formodning om dataenes integritet og om at opprinnelsen til dataene er korrekt, noe som i praksis snur bevisbyrden: den som bestrider et forseglet dokument, må vise at det er endret, i stedet for at organisasjonen må vise at det ikke er det. Et segl som ikke når det kvalifiserte nivået, er fortsatt tillatt bevis, men en domstol vurderer det fritt i stedet for å være forpliktet til å ta utgangspunkt i den formodningen.

Sertifikatet bak seglet kommer fra en QTSP, en tillitstjenestetilbyder som et tilsynsorgan i en medlemsstat har gitt kvalifisert status og publisert på sin nasjonale Trusted List. Fordi sertifikatet identifiserer en juridisk person og ikke et menneske, bærer det en organisasjonsidentifikator, for eksempel basert på VAT eller LEI, i stedet for et personnavn, og kravene det må oppfylle står i vedlegg III til eIDAS. Genereringsenheten sertifiseres separat, under samme ordning som enheten bak en kvalifisert signatur. Det samme sertifikatet dukker opp under ETSI-navnet QSealC også utenfor dokumentverdenen: i open banking forsegler en betalingstjenestetilbyder API-meldingene sine med et QSealC og sikrer kanalen med et QWAC.

Den praktiske forskjellen fra en QES er hvem som står bak. En signatur uttrykker viljen til en navngitt fysisk person og er derfor riktig instrument når noen personlig samtykker til noe. Et segl uttrykker opprinnelsen og integriteten til data utstedt av en organisasjon og er derfor riktig instrument for fakturaer, kontoutskrifter, registerutskrifter og alt annet som utstedes i stort antall, der ingen blir bedt om å samtykke til noe. Forseglede filer bruker de samme PAdES-, XAdES-, CAdES- og ASiC-containerformatene som signerte, så én verifiseringsstakk håndterer begge deler.

For digitale credentials betyr dette noe fordi en utsteder normalt er en juridisk person. Å forsegle utstedte data med et kvalifisert sertifikat for elektroniske segl er måten eIDAS-formodningen fester seg til selve innholdet på, i tillegg til signaturen credentialformatet allerede bærer. En QEAA må selv bære den kvalifiserte signaturen eller det kvalifiserte seglet fra den QTSP som utsteder den, så et QSeal og en QEAA virker sammen i stedet for å være alternativer: attesteringen sier noe om et subjekt, mens seglet fastslår hvilken organisasjon som utstedte den, og at ingen har endret den etterpå.