CA、TSP 与 QTSP：信任服务生态系统

这些角色经常重叠——同一家机构可能同时是 CA、TSP 和 QTSP。

证书颁发机构（CA）：核实身份并签发数字证书，负责身份证明、证书签发、密钥管理与吊销处理。

信任服务提供商（TSP）：提供电子信任服务，包括签名创建、验证、时间戳、挂号投递与证书管理。许多 CA 同时也是 TSP。

合格 TSP（QTSP）：QTSP 是经 eIDAS 下国家监管机构认可的 TSP。只有 QTSP 才能签发使 QES 和 QSeal 具备法律推定的合格证书。

不同国家有不同的信任服务生态。

欧盟信任列表：欧盟委员会维护「欧盟可信列表」——一个收录各成员国全部经认可 QTSP 的公开登记库。可通过该列表核实某家 TSP 是否在 eIDAS 下具备合格资格。

中国 CA 体系：中国的 CA 体系由工信部（MIIT）和国家密码管理局（SCA）监管。持牌 CA 包括 eSign 等。根据 T/CQAE 11034-2025，CA 必须直接负责身份核验与密钥管理。

新加坡 IMDA：IMDA 依据《电子交易法》（ETA）对 CA 进行认可。Netrust 是知名的持牌 CA。IMDA 负责监督新加坡数字签名的信任框架。

跨境认可：eIDAS 允许欧盟成员国在符合同等标准的前提下认可第三国的 QTSP。大多数亚太 CA 并未获得 eIDAS 认可。

用于评估和选择 TSP 的实用资料。

欧盟可信列表统计（2026）：欧盟可信列表是核实某服务商及其某项信任服务是否具备合格资格的权威来源。服务数量会随着服务的新增、暂停、撤销或续期而变化，因此采购团队应核实实时列表，而不是依赖某个静态总数。

亚太 TSP 的对应机制：亚太各市场采用各自的法律与监管模式。新加坡在 ETA 下维持自愿性的 CA 认可框架；香港依据《电子交易条例》（ETO）认可认证机构与证书；马来西亚依据《数字签名法》对 CA 发放许可；中国对电子认证服务与商用密码进行监管；印度尼西亚维持注册的 PSrE 框架。这些本地身份并不等同于 eIDAS 下的合格资格，必须向相应的监管机构核实。

两份文件界定了 CA 的承诺。

证书策略（CP）面向依赖方：它说明证书的用途以及适用的安全等级。认证业务声明（CPS）面向审计方：它描述 CA 实际如何生成密钥、如何授权人员、如何管理机房设施。许多 CA 只发布 CPS；而一份清晰的 CP，才能让依赖方判断某张证书是否匹配某一交易的风险。