Доставчици на удостоверителни услуги в България: доверителният списък накратко

Доставчиците на удостоверителни услуги в България, които могат да издават квалифициран електронен подпис (КЕП), се виждат в един официален документ: националният доверителен списък. Води го Комисията за регулиране на съобщенията (КРС), а всяка банка, съд или община, която пише „приемаме КЕП от доставчик, вписан от КРС“, има предвид точно него. Тук обясняваме какво съдържа списъкът, как се чете и кои доставчици имат активна квалифицирана услуга към 28.10.2026.

esign.bg е независим наръчник. Не сме доставчик и не издаваме удостоверения; цените и начините на издаване са в сравнението на доставчиците.

Какво е доверителният списък

Регламент (ЕС) № 910/2014 (eIDAS) задължава всяка държава в ЕС да създава, поддържа и публикува доверителни списъци с информация за доставчиците на квалифицирани удостоверителни услуги и за самите услуги (чл. 22, пар. 1). Списъкът се подписва електронно и се публикува във форма, която програмите могат да четат автоматично (чл. 22, пар. 2).

В България това е работа на КРС. Законът за електронния документ и електронните удостоверителни услуги (ЗЕДЕУУ) я определя за национален надзорен орган по регламента (чл. 32, ал. 1). КРС предоставя квалифициран статут на доставчиците (чл. 32, ал. 2) и води доверителните списъци (чл. 32, ал. 4).

Списъкът има две версии на сайта на КРС: XML за програмите и PDF за хората. Версията, от която сме взели данните, е с пореден номер 64, издадена на 1.06.2026, а следващото ѝ обновяване е обявено за 1.12.2026. Европейската комисия събира списъците на всички държави в EU/EEA Trusted List Browser, където може да се търси по име на доставчик, по вид услуга или по подписан файл.

Как се чете списъкът

Всеки запис в списъка е услуга, а не фирма. Един доставчик обикновено има няколко услуги: удостоверяващ орган за подписи, отделен за печати, OCSP за проверка на статуса, орган за времеви печат. За всяка услуга списъкът дава три неща.

1. Вид на услугата. Най-често ще срещнете:

• QC – издаване на квалифицирани удостоверения. До всяка такава услуга има отметка за какво са удостоверенията: за електронни подписи (ForeSignatures), за електронни печати (ForeSeals) или за автентичност на уебсайт. КЕП ви трябва от услуга QC с отметка за подписи.
• QTST – квалифицирани електронни времеви печати. Те доказват кога точно е подписан документът.
• Квалифицирано валидиране на подписи и печати.
• Квалифицирано съхраняване – услуга, която поддържа надеждността на подписа и след изтичането на технологичната му валидност (чл. 34 от eIDAS).
• Квалифицирана електронна препоръчана поща (registered delivery).

2. Статус. „Granted“ означава, че услугата е квалифицирана и действа. „Withdrawn“ означава, че квалифицираният статус е оттеглен. За услуги, признати само на национално ниво (например видеоидентификация), се срещат и други статуси.

3. Начало на статуса и история. До статуса стои датата, от която той важи. Списъкът пази и историята на всяка услуга (в XML версията на брой 64 има 206 исторически записа). Затова оттеглена услуга не изчезва от списъка: тя остава с датата на оттегляне, за да могат подписите отпреди тази дата да се проверяват.

Датата на сегашния статус не винаги е датата на първото вписване. Ако една услуга е била пререгистрирана или обновена, списъкът показва датата на последната промяна.

Петимата доставчици с активна услуга за КЕП

Към списък № 64 пет дружества имат поне една услуга QC за подписи със статус „granted“. Подредени са по азбучен ред на марката.

Няколко подробности, които се виждат само в XML версията:

• При InfoNotary услугите за личен подпис и за печат на юридическо лице са отбелязани и с „QCQSCDManagedOnBehalf“. Това означава, че ключът може да е в устройство, което доставчикът управлява от името на титуляря, тоест облачен подпис, освен подписа на карта.
• При Evrotrust първоначалният оперативен удостоверяващ орган е оттеглен на 1.06.2026. Новите удостоверения се издават от два по-нови органа, вписани съответно на 13.03.2025 и 17.07.2025. Ако имате по-старо удостоверение от този доставчик, попитайте него какво значи промяната за вас.
• B-Trust, eDocs, Evrotrust и InfoNotary имат и признати на национално ниво услуги за идентификация, включително дистанционна видеоидентификация.

Кой от тях предлага подпис на карта, кой облачен и на каква цена, е в сравнението на доставчиците. Какво значат думите „квалифициран“ и „усъвършенстван“, обяснява какво е КЕП.

Оттеглени услуги

В списъка има и оттеглени записи. Те са два вида:

1. Стари услуги на действащи доставчици. Всеки от петте има по-стари удостоверяващи органи или органи за време, които са заменени с нови. Това е нормално при смяна на ключове и софтуер.
2. Доставчици без нито една активна услуга. В списък № 64 има три дружества, на които всички квалифицирани услуги са оттеглени. Подпис, издаден днес от тях, не би бил квалифициран.

Затова списъците на институциите, които изброяват „доставчици на КЕП“, понякога са остарели: в тях може да липсва новият доставчик (eDocs е вписан на 31.10.2024) или да присъства дружество, което вече не издава удостоверения. Меродавен е списъкът на КРС.

Как да проверите кой е издал един подпис

1. Отворете подписания файл или сертификата в нашата проверка на подпис. Тя чете издателя, търси го в списък № 64 и показва дали услугата му е активна или прекратена. Файлът не напуска браузъра.
2. За подпис от друга държава или за пълна проверка на статуса използвайте DSS на Европейската комисия. Комисията сама пише, че това е демонстрация, предназначена за тестове, затова не качвайте там чувствителни документи.
3. Ако искате да видите самия запис, потърсете името на издателя в EU/EEA Trusted List Browser. Там има и търсене по подписан файл.

Какво става с документи, подписани преди оттеглянето

Тук отговаряме само с това, което пише в правилата.

• Валидността се преценява към момента на подписване. По чл. 32, пар. 1 от eIDAS квалифицираният подпис се потвърждава, ако удостоверението към момента на подписването е било квалифицирано и валидно и е издадено от доставчик на квалифицирани услуги. Оттегляне след подписа само по себе си не променя това условие. Затова доверителният списък пази датите.
• Данните се пазят 10 години. Регламентът задължава доставчика да пази информацията за издадените и получените данни и след като спре дейността си, за доказателство в съдебни производства (чл. 24, пар. 2, буква „з“). ЗЕДЕУУ определя срок от 10 години, включително след преустановяване на дейността (чл. 21, ал. 3).
• При прекратяване има план. Всеки доставчик трябва да има план за непрекъснатост при прекратяване (чл. 24, пар. 2, буква „и“ от eIDAS). Наредбата на Министерския съвет за прекратяването урежда два основни случая. Ако дейността се прехвърли, архивът отива при новия доставчик и той го пази 10 години; той поддържа издадените удостоверения до края на срока им (чл. 9, ал. 1 и чл. 10). Ако не се прехвърли, доставчикът прекратява всички издадени удостоверения и сам пази документацията 10 години (чл. 9, ал. 2).

Какво означава това за конкретен документ, зависи от подписа: има ли квалифициран времеви печат, вградени ли са данните за проверка, кога точно е подписан. Отговорът не идва от общо правило, а от валидиране. Проверете файла в DSS с ниво „Signatures with Long-Term Validation Data“ или „Signatures with Archival Data“ и вижте към коя дата отчетът оценява подписа. За документ, който ще ви трябва години наред, помислете за квалифицирана услуга за съхраняване; кои доставчици я имат, е в таблицата по-горе.

Свързани теми

• Документи на доставчика: практика, политика, PDS и договор
• Колко струва електронният подпис
• Подновяване на КЕП