QTSP: el acrónimo de eIDAS que tu departamento legal debería verificar
Cuando una empresa contrata un proveedor de firma electrónica, casi siempre pregunta por el precio, la facilidad de integración y el soporte. Rara vez hace la pregunta que más importa: si ese proveedor está reconocido oficialmente para emitir lo que dice que emite. Esa pregunta tiene respuesta verificable en cuatro letras: QTSP.
Table of Contents
Qué es eIDAS y por qué define el nivel de garantía de tu firma
eIDAS (el Reglamento (UE) 910/2014, en vigor desde 2016 y reforzado por eIDAS 2.0 en 2024) es el marco europeo que establece los niveles de garantía jurídica para los servicios de identidad digital: firma electrónica, sello electrónico, sello de tiempo, entrega certificada y autenticación de sitios web.
Dentro de ese marco, el Reglamento europeo de identificación digital define tres niveles de firma:
| Tipo de Firma | Descripción y Garantías |
| Firma electrónica simple | La de menor garantía. Cualquier indicación de intención de firmar, como un nombre al final de un email. |
| Firma electrónica avanzada | Vinculada de forma única al firmante, permite su identificación y puede detectar cualquier alteración posterior del documento (artículo 26 del Reglamento). |
| Firma electrónica cualificada | Equivalente jurídica a la firma manuscrita en toda la UE (artículo 25). Solo puede emitirla un QTSP reconocido, utilizando un dispositivo cualificado de creación de firma. |
La diferencia entre los tres niveles no es de marketing ni de precio: es la diferencia entre una herramienta útil, una herramienta con respaldo técnico sólido, y una herramienta con plena equivalencia jurídica ante cualquier tribunal de la Unión Europea.
Qué es exactamente un QTSP
Es un Prestador Cualificado de Servicios de Confianza, no es una empresa que dice cumplir con la normativa de forma genérica. Es una entidad que ha superado una auditoría independiente conforme a los estándares europeos, ha sido designada por la autoridad competente de su Estado miembro, en España, el Ministerio de Economía, Comercio y Empresa, y está incluida en la lista de confianza oficial de la Unión Europea.
Esa designación implica:
- Auditorías independientes periódicas para mantener el estatus.
- Supervisión continua por la autoridad nacional designada.
- Responsabilidad legal ante el regulador por los servicios prestados.
- Reconocimiento automático de sus firmas cualificadas en los 27 países de la UE sin necesidad de acuerdos adicionales.
Lo que esto significa para tu empresa: si contratas firma cualificada con un proveedor que no es un prestador cualificado para ese servicio concreto, técnicamente no estás obteniendo el nivel de garantía jurídica que crees estar comprando. Puede funcionar perfectamente para la mayoría de usos cotidianos, pero en el momento en que un contrato se impugne en un tribunal o una auditoría pida la documentación de tu cadena de confianza, esa diferencia puede ser relevante.
Cómo verificar si tu proveedor es QTSP en menos de dos minutos
La Comisión Europea mantiene el EU Trust Services Dashboard, también conocido como Trusted List Browser, accesible de forma pública y gratuita
La consulta es sencilla: selecciona el país (España — ES) y verás el listado de prestadores reconocidos con los servicios específicos para los que cada uno tiene la designación. Un prestador puede ser cualificado para firma cualificada pero no para entrega certificada, o viceversa. Por eso conviene verificar no solo si el proveedor aparece en la lista, sino si aparece para el servicio concreto que te está ofreciendo.
Si tu proveedor actual no figura en esa lista para el servicio que te vende como «cualificado», lo procedente es preguntarle directamente qué nivel de garantía real estás contratando.
Qué cambia con eIDAS 2.0 para los QTSP
El Reglamento (UE) 2024/1183 (eIDAS 2.0, en vigor desde mayo de 2024) no solo amplía el catálogo de servicios de confianza. También refuerza las exigencias para los proveedores cualificados:
- Requisitos de auditoría más estrictos y supervisión más continua.
- Nuevos servicios cualificados: gestión remota de dispositivos de firma, atestación electrónica de atributos —la pieza que conecta a los QTSP con la futura EUDI Wallet.
- Mayor transparencia obligatoria ante los usuarios sobre qué nivel de servicio se presta en cada caso.
- Responsabilidades ampliadas en la cadena de confianza del ecosistema de identidad digital europeo.
Esto significa que la designación QTSP va a ser cada vez más relevante, no menos. La Directiva NIS2 exige identidad robusta y trazabilidad en los procesos críticos; los proveedores cualificados son la forma en que esa exigencia se traduce en servicios de firma con respaldo legal real. Y la factura electrónica B2B necesita certificados digitales gestionados correctamente para funcionar con continuidad.
Tres preguntas que tu departamento legal debería responder ya
¿Nuestro proveedor de firma figura como QTSP en el EU Trust Services Dashboard para el servicio concreto que nos vende como cualificado? No basta con que la empresa diga «cumplimos con eIDAS». Hay que verificar la designación exacta para el servicio exacto en la lista oficial.
¿Qué nivel de firma usamos realmente en cada tipo de documento? No todos los contratos necesitan firma cualificada. Pero los que sí la necesitan (por su valor económico, su riesgo legal o el sector regulado donde opera la empresa) merecen la garantía de un prestador cualificado reconocido.
¿Tenemos documentado en nuestra política interna de gestión documental qué proveedor usamos para cada nivel de servicio, con su estado en la lista oficial? Ante una auditoría o un litigio, poder demostrar esta diligencia debida tiene valor por sí mismo, independientemente del resultado.
El detalle que marca la diferencia
En identidad digital, lo que parece un matiz técnico suele ser la diferencia entre una garantía jurídica real y una promesa comercial sin respaldo formal. QTSP es exactamente ese tipo de detalle: tres letras que cualquier proveedor puede mencionar en su web, pero que solo unos pocos pueden demostrar con una designación pública, auditada y verificable.
La próxima vez que evalúes o renueves contrato con un proveedor de servicios de identidad digital, firma o entrega certificada, la pregunta correcta no es «¿es seguro?» ni «¿cumple con eIDAS?». Es: «¿está en la lista?»
Preguntas frecuentes sobre QTSP y eIDAS
¿Qué es un QTSP?
Es un Prestador Cualificado de Servicios de Confianza: la designación legal más alta bajo el Reglamento eIDAS (UE 910/2014) para prestar servicios de identidad digital —firma cualificada, sello de tiempo, entrega certificada— con plena validez jurídica en toda la UE.
¿Qué diferencia hay entre firma avanzada y firma cualificada bajo eIDAS?
La firma avanzada (art. 26 del Reglamento eIDAS) está vinculada de forma única al firmante y puede detectar alteraciones del documento, pero no equivale jurídicamente a la firma manuscrita. La firma cualificada (art. 25) sí tiene esa equivalencia en toda la UE, pero solo puede emitirla un QTSP reconocido usando un dispositivo cualificado de creación de firma.
¿Cómo sé si mi proveedor de firma es un QTSP?
Consultando el EU Trust Services Dashboard de la Comisión Europea (webgate.ec.europa.eu/tl-browser/), donde se puede buscar por país qué entidades están reconocidas como TSP o QTSP y para qué servicios concretos.
¿Es obligatorio que mi proveedor sea un QTSP?
Depende del nivel de firma que necesites. Para firma cualificada —la equivalente a la manuscrita en toda la UE— sí es obligatorio que el proveedor sea QTSP para ese servicio. Para firma simple o avanzada no es un requisito legal, aunque aporta garantías adicionales.
¿Qué relación tiene el QTSP con la EUDI Wallet?
Los QTSP son pieza clave del ecosistema de la futura EUDI Wallet: serán los responsables de emitir y verificar las credenciales electrónicas con el nivel máximo de garantía dentro del marco eIDAS 2.0.
