QTSP nedir?
Nitelikli Güven Hizmeti Sağlayıcısı (QTSP), eIDAS düzenlemesi kapsamında güven hizmetleri sağlamak üzere ulusal denetim organı tarafından değerlendirilmiş ve sertifikalandırılmış bir kuruluştur. QTSP'ler, niteliksiz sağlayıcılardan çok daha öteye giden sıkı teknik, organizasyonel ve güvenlik gereksinimlerini karşılamalıdır. Hizmetleri, tüm AB üye devletlerinde en yüksek düzeyde yasal karine taşır. Bu statü, AB Güvenilir Listesi'nde herkese açık olarak kaydedilir ve herkes tarafından doğrulanabilir.
Denetim ve sertifikasyon süreci
QTSP olmak için bir sağlayıcı, akredite bir kuruluş tarafından uygunluk değerlendirmesinden geçmelidir. Bu değerlendirme politikaları, fiziksel güvenliği, anahtar yönetimini ve operasyonel prosedürleri inceler. Ayrıca personel güvenlik kontrolünü, felaket kurtarmayı ve iş sürekliliği planlarını da kapsamaktadır. CAB, ulusal denetim organına sunulan bir uygunluk değerlendirme raporu düzenler; onaylanırsa sağlayıcı AB Güvenilir Listesi'ne eklenir.
Teknik standartlar
Zaman damgalama için QTSP'ler ETSI EN 319 421 ve ETSI EN 319 422'ye uymalıdır. UTC'ye izlenebilir zaman kaynakları ve kriptografik bağlama ile en az CC EAL 4+ sertifikalı HSM'ler kullanmalıdır. Bu standartlar, nitelikli zaman damgalarının teknik bütünlüğünü ve tüm AB genelinde birlikte çalışabilirliğini güvence altına alır. Yeni ETSI standartları çıktığında QTSP'lerin güncellemesi gerekir.
Devam eden yükümlülükler
Nitelendirme tek seferlik bir başarı değildir. QTSP'ler düzenli gözetim denetimlerinden geçmeli (tipik olarak her 24 ayda bir), detaylı olay günlükleri tutmalı ve güvenlik ihlallerini 24 saat içinde bildirmelidir. Altyapının gelişen standartlarla uyumlu tutulması da zorunludur; uyumsuzluk nitelikli statünün askıya alınmasına veya iptaline yol açabilir.