QEAA vs EAA necalificată: Un cadru de decizie pentru emitenți

eIDAS 2.0 definește două niveluri de Atestări Electronice ale Atributelor, iar alegerea între ele este prima decizie pe care trebuie să o ia orice organizație care planifică să emită credențiale în ecosistemul Portofelului EUDI. Dacă greșești, fie plătești în plus pentru o greutate juridică de care nimeni nu are nevoie, fie livrezi o credențială în care părțile utilizatoare nu vor avea încredere pentru cazul de utilizare vizat.

Ce anume distinge cele două niveluri

Formatul tehnic este adesea identic — ambele pot fi SD-JWT VC sau mdoc, ambele circulă prin OpenID4VCI și OpenID4VP, ambele sunt verificate la fel de o parte utilizatoare. Diferența este juridică și organizațională, nu criptografică.

• Efect juridic: o QEAA beneficiază de o prezumție legală de exactitate a atributelor atestate și a identității entității la care se referă atributul — comparabilă cu statutul unei semnături electronice calificate. O EAA necalificată are valoare probatorie deplină conform Regulamentului, dar fără această prezumție; dacă este contestată, exactitatea trebuie demonstrată, nu presupusă.
• Statutul emitentului: o QEAA poate fi emisă doar de un Prestator Calificat de Servicii de Încredere (QTSP), supravegheat și listat de o autoritate națională de supraveghere și inclus pe Lista de Încredere a UE. O EAA necalificată poate fi emisă de orice organizație capabilă să îndeplinească cerințele tehnice de interoperabilitate.
• Supravegherea: QTSP-urile trec printr-o evaluare obligatorie de conformitate realizată de un organism acreditat, urmată de audituri periodice, cu reguli de răspundere legate de atestări false. Emitenții necalificați se înregistrează în cadrul de încredere național, dar nu sunt supuși aceluiași ritm de audit.
• Portabilitatea încrederii: părțile utilizatoare din întreaga UE sunt obligate să aibă încredere automat într-o QEAA odată ce emitentul ei figurează pe Lista de Încredere. Încrederea într-o EAA necalificată depinde de politica proprie a părții utilizatoare față de acel emitent specific.

Cerințele pentru emitent, în practică

Devenirea QTSP este un proces de mai multe luni, intensiv în capital: o evaluare de conformitate acreditată care acoperă declarația de practică a serviciului de încredere, managementul cheilor (de regulă un lanț de autoritate de certificare susținut de HSM), controale de securitate fizică și organizațională, și planuri de continuitate a afacerii, urmate de aprobarea autorității de supraveghere și includerea pe Lista de Încredere. Obligațiile continue includ audituri anuale, raportarea incidentelor și expunere la răspundere pentru atestări incorecte.

Emiterea de EAA-uri necalificate nu necesită nimic din toate acestea. Organizația se înregistrează ca emitent în cadrul schemei naționale de atestare aplicabile, implementează un punct de emitere conform OpenID4VCI, își gestionează propriile chei de semnare la un standard de securitate rezonabil și își publică schemele de credențiale. Nu există un organism extern de evaluare a conformității implicat și niciun regim legal de răspundere dincolo de dreptul contractual și delictual general.

Comparație de costuri

1. Înființare QTSP: de regulă o investiție cu șase cifre, dacă se numără taxele de evaluare a conformității, infrastructura HSM, certificarea de securitate, redactarea juridică a declarației de practică și personalul pentru conformitatea continuă la audit.
2. Costul de funcționare QTSP: audituri anuale, taxe către autoritatea de supraveghere și o funcție de conformitate care nu se reduce nici măcar dacă volumul de emitere este mic.
3. Emitere necalificată prin infrastructură proprie: cost de intrare mai mic, dar necesită totuși construirea și menținerea unui emitent OpenID4VCI, gestionarea cheilor, un serviciu de status de revocare și testarea compatibilității cu portofelele din diverse ecosisteme.
4. Emitere necalificată printr-o platformă intermediară: cel mai mic cost de intrare — o platformă precum Arkadiz operează infrastructura de emitere și înregistrarea în schema națională, iar organizația emitentă se integrează printr-un singur API.

Când este suficientă EAA necalificată

Pentru majoritatea cazurilor de utilizare B2B, o EAA necalificată este răspunsul corect, nu un compromis.

• Partea utilizatoare are deja o relație independentă cu emitentul și îi poate evalua direct credibilitatea — de exemplu un retailer care își verifică propria atestare de nivel de loialitate.
• Atributul are miză scăzută dacă este greșit: un indicator de eligibilitate pentru reducere, statutul abonamentului la newsletter, un drept de bilet la conferință.
• Viteza de lansare pe piață contează mai mult decât certitudinea juridică maximă, iar organizația vrea să piloteze înainte de a aloca capital pentru un QTSP.
• Atributul se schimbă suficient de des încât un proces greoi de emitere calificată ar fi disproporționat operațional.

Întreabă-te ce se întâmplă dacă atestarea este greșită și nimeni nu observă timp de o lună. Dacă răspunsul este un inconvenient minor, aproape sigur nu ai nevoie de greutatea juridică a unei QEAA.

Când merită investiția în calificare

O QEAA își justifică costul atunci când atributul are consecințe legale sau financiare pe care o instanță sau un reglementator le-ar putea examina ulterior: dovada calificării profesionale necesară pentru o activitate reglementată, atestări folosite în achiziții publice transfrontaliere, sau afirmații în care emitentul are nevoie ca atestarea în sine, nu doar faptul de bază, să fie prezumată exactă. În aceste cazuri, prezumția legală mută sarcina probei în favoarea emitentului, ceea ce este exact protecția pentru care merită plătit.

Un cadru de decizie

1. Identifică consecința dacă atributul este greșit sau contestat — financiară, juridică, de reputație, sau neglijabilă.
2. Verifică dacă părțile utilizatoare din sectorul tău țintă au deja o relație de încredere cu tine, independentă de ecosistemul portofelului.
3. Estimează volumul de emitere și cât de des se schimbă faptul de bază — atributele cu schimbări frecvente favorizează emiterea ușoară, necalificată.
4. Modelează costul de construire a unui QTSP față de volumul proiectat și valoarea deblocată de fiecare atestare; dacă economia unitară nu justifică investiția QTSP, începe necalificat.
5. Revizuiește decizia pe măsură ce volumul sau expunerea juridică cresc — nimic nu împiedică un emitent să înceapă necalificat și să obțină ulterior statut QTSP pentru o linie specifică de credențiale.

Majoritatea organizațiilor care explorează pentru prima dată emiterea de EAA ajung la atestări necalificate emise printr-o platformă, pentru că le permite să valideze cererea și costul de integrare înainte de orice investiție în statut calificat. Arkadiz este construit exact pentru acest punct de intrare: emitere de EAA necalificate fără a opera infrastructură de servicii de încredere, cu o cale clară de upgrade dacă un caz de utilizare viitor are nevoie cu adevărat de statut calificat.