Verificare lo stato dei QTSP: guida alla EU Trusted List per marcature temporali critiche

Ogni marca temporale qualificata viaggia attraverso un'infrastruttura che, in teoria, non si ferma mai. Nella pratica, un Qualified Trust Service Provider (QTSP) è comunque un'azienda con data center, catene di certificazione e finestre di manutenzione. Quando un ufficio compliance deve sigillare un atto ad alto valore alle 18:00 di venerdì e la TSA non risponde, la marcatura fallisce: il contratto slitta, la prova perde la finestra utile, l'operazione critica si blocca. Verificare lo status eIDAS di un provider prima dell'operazione non è più un dettaglio tecnico: è parte del processo di compliance.

La risposta non è un monitoring centralizzato stile "status page" tipica dei SaaS. La fiducia nei QTSP si misura prima sulla EU Trusted List pubblicata dalla Commissione europea, e sull'elenco nazionale di fiducia AgID per i provider italiani. Sono le uniche fonti autoritative che certificano quali QTSP sono operativi e quali servizi qualificati (marca temporale, sigillo elettronico, firma digitale) sono ufficialmente coperti dallo stato di "granted". Su questa base, un'impresa che gestisce processi time-sensitive costruisce il proprio livello di disponibilità con monitoraggio tecnico degli endpoint TSA e una strategia multi-QTSP che elimini il single point of failure.

Questo approfondimento fa parte della guida: Timestamp digitale: guida completa alla certificazione temporale con valore legale

Dove leggere lo stato ufficiale dei QTSP in Unione europea

La domanda "il QTSP è down?" ha una risposta formale e una operativa. Quella formale arriva dalle trusted list, che hanno valore costitutivo: un provider e un servizio sono qualificati solo se compaiono nella lista nazionale con status "granted". Quella operativa richiede strumenti diversi, che affrontiamo nel capitolo successivo. Per il significato giuridico del token emesso dalla TSA rimandiamo alla guida alla marca temporale qualificata con valore legale: qui ci concentriamo esclusivamente sulla verifica dell'operatività.

EU Trusted List Browser: la fonte autoritativa della Commissione europea

Il servizio EU/EEA Trusted List Browser aggrega e pubblica le trusted list di tutti gli Stati membri dell'Unione europea e del SEE. Per ogni QTSP mostra: identità legale, elenco dei servizi qualificati erogati, stato corrente ("granted", "withdrawn", "recognised at national level"), eventuale data di sospensione e motivazione, storia degli stati precedenti. La Commissione aggiorna la vista su base mensile e più frequentemente per modifiche rilevanti comunicate dagli organismi di vigilanza nazionali.

Un ufficio compliance che valuta un nuovo provider dovrebbe sempre partire da qui per una verifica pre-contrattuale. Prima di affidare marcature temporali critiche, occorre controllare che il servizio specifico ("Qualified time stamp", "Qualified electronic seal", "Qualified certificate for electronic signature") sia presente nella lista, che lo stato sia "granted" e che non ci siano annotazioni di audit in scadenza. I QTSP devono completare un audit di conformità almeno ogni due anni: una finestra di audit aperta non implica instabilità, ma segnala una verifica imminente.

Elenco nazionale di fiducia AgID per i QTSP italiani

L'Agenzia per l'Italia Digitale è l'organismo di vigilanza notificato alla Commissione europea ai sensi dell'articolo 17 del Regolamento eIDAS. Pubblica l'elenco nazionale di fiducia italiano, che confluisce nella EU Trusted List. Rispetto al browser europeo, l'elenco AgID fornisce documentazione aggiuntiva in italiano: provvedimenti di iscrizione, cessazione o sospensione, piani di cessazione approvati, specifiche tecniche richiamate, contatti degli organismi di audit.

Due dettagli fanno la differenza in fase di due diligence. Il primo: AgID esercita sia supervisione ex ante (prima che un provider inizi a erogare servizi) sia ex post (audit, controlli su segnalazione, verifiche tecniche). Il secondo: ogni QTSP italiano è obbligato a depositare un termination plan aggiornato che garantisca la continuità di servizio o una migrazione ordinata verso un altro QTSP in caso di cessazione. Per il cliente aziendale significa che, anche nello scenario peggiore, il provider ha un piano documentato per preservare le marche temporali già emesse e le chiavi di verifica.

Come costruire un monitoraggio operativo dei QTSP

Le trusted list dicono se un provider è qualificato, non se la sua TSA sta rispondendo in questo istante. Il monitoraggio operativo si costruisce a due livelli: sulla singola TSA, per accorgersi del disservizio nel momento in cui avviene; sulla strategia di fornitura, per non essere mai dipendenti da un singolo endpoint.

Monitoraggio tecnico degli endpoint TSA

Le TSA qualificate espongono endpoint conformi a RFC 3161, tipicamente raggiungibili via HTTP o HTTPS su URL pubblicati nella documentazione del provider. Un monitoraggio efficace combina tre sonde.

• Probe di disponibilità: richiesta HEAD o GET ogni 60 secondi per verificare che l'endpoint risponda con un codice 2xx o con una risposta PKI valida. Una sonda synthetic è sufficiente a rilevare outage infrastrutturali.
• Probe di marcatura reale: invio di un Timestamp Request effettivo ogni 5-15 minuti, con hash di un payload costante, verificando che il token restituito sia firmato e temporalmente coerente. Questa sonda intercetta malfunzionamenti che un semplice ping non vedrebbe (certificato scaduto, sorgente temporale disallineata, firma invalida).
• Probe di latenza: misura del tempo di risposta per identificare degradi prima che diventino outage. Soglia tipica: allarme sopra i 3 secondi, errore sopra i 10 secondi.

Chi non vuole costruire l'infrastruttura internamente può appoggiarsi a servizi di synthetic monitoring (Datadog, Checkly, UptimeRobot) configurati per interrogare l'endpoint TSA. L'investimento è minimo rispetto al costo di una marcatura fallita su un atto notarile o su una prova processuale.

Strategia multi-QTSP e fallback qualificato

Il principio è lo stesso dei database distribuiti: nessun servizio critico dovrebbe dipendere da un singolo fornitore. Una strategia multi-QTSP prevede un provider primario e almeno un secondario, entrambi iscritti con stato "granted" nella EU Trusted List e con servizi qualificati equivalenti.

Nella pratica aziendale la progettazione segue quattro passaggi. Primo: classificare i flussi di marcatura per criticità e volume, perché i costi per marca variano significativamente tra provider. Secondo: definire la logica di failover, che può essere active-active (entrambi i provider riescono in parallelo) oppure active-passive (il secondario entra in gioco solo quando il primario fallisce). Terzo: normalizzare la verifica, perché ogni QTSP usa certificati di firma diversi e la catena di validazione deve riconoscerli tutti. Quarto: documentare il processo in un piano di business continuity che sia auditabile, sia internamente sia in caso di contenzioso.

Il Regolamento eIDAS 2.0 (Regolamento UE 2024/1183) rafforza questo schema richiedendo ai QTSP un termination plan sempre aggiornato e verificato dall'organismo di vigilanza. Per il cliente significa che scegliere un provider accreditato da più di due anni, con piano di cessazione ispezionato, riduce strutturalmente il rischio di interruzione non pianificata.

Continuità operativa: come TrueScreen protegge la certificazione dei contenuti

TrueScreen applica una metodologia forense che copre l'intero ciclo di vita del dato: acquisizione all'origine, verifica e certificazione con sigillo digitale e marca temporale ufficiali, riconosciuti a livello internazionale e incontestabili in sede legale. Questa struttura, distribuita su più fasi e più standard, riduce l'esposizione a un singolo punto di fallimento e mantiene la continuità della certificazione anche quando lo scenario dei fornitori di servizi fiduciari qualificati cambia nel tempo.

Il modello di esercizio è pensato per flussi time-sensitive, dove il momento dell'acquisizione conta quanto il contenuto acquisito: contratti ad alto valore, verbali di consegna, atti digitali, comunicazioni certificate MiFID II. Per l'articolo 41 del Regolamento eIDAS la marca temporale qualificata gode della presunzione di accuratezza sulla data e sull'ora indicate, e dell'integrità dei dati a cui è associata.

Per chi gestisce internamente i propri processi documentali, l'integrazione avviene via piattaforma e flussi automatizzati, senza richiedere infrastruttura lato cliente. Ogni certificazione resta verificabile in modo indipendente, da chiunque la riceva, attraverso il verificatore pubblico, senza bisogno di credenziali e senza che i file lascino il dispositivo di chi controlla.