eIDAS kräver ingen gemensam signeringsmyndighet för hela EU. I stället utövar varje medlemsland tillsyn över sina egna betrodda tjänsteleverantörer och publicerar dem i ett gemensamt register: EU:s lista över betrodda listor. En validerare var som helst i EU kontrollerar certifikatets ursprung mot det registret, och det är det som gör att en signatur utfärdad i ett land automatiskt erkänns i alla de andra.
Före ett gemensamt ramverk kunde ett bolag med verksamhet i flera EU-länder mötas av en egen signaturstandard i varje land — och av olika uppfattningar om vad som räknas som rättsligt bindande. eIDAS (förordning (EU) nr 910/2014) byggdes uttryckligen för att ta bort den fragmenteringen för kvalificerade betrodda tjänster: en kvalificerad signatur eller ett kvalificerat sigill som utfärdats under ett medlemslands tillsyn måste erkännas som kvalificerat i alla andra medlemsländer. Enligt lag, inte enligt bilaterala avtal.
Varje medlemsland för en nationell lista över de betrodda tjänsteleverantörer det utövar tillsyn över — i Sverige är det Post- och telestyrelsen som ansvarar. De nationella listorna samlas i EU:s lista över betrodda listor (LOTL), som publiceras av Europeiska kommissionen.
En validerare som kontrollerar en signatur behöver inte veta i förväg vilket land som utfärdat certifikatet. Den följer certifikatets kedja till den nationella lista det hör hemma på, bekräftar att listan ingår i LOTL, och erkännandet följer automatiskt. Det är en registerslagning, inte en förhandling mellan länder.
Det gränsöverskridande erkännandet i eIDAS gäller kvalificerade signaturer och sigill — certifikat utfärdade av leverantörer under tillsyn enligt förordningen. Det sträcker sig inte till icke-kvalificerade (avancerade eller enkla) signaturer, som saknar rättslig presumtion i hela EU oavsett var de skapats. Och det omfattar inte tillitsramverk utanför EU: Adobes AATL fungerar självständigt från LOTL och besvarar en annan fråga — om Acrobat litar på certifikatet, inte om det är EU-kvalificerat. Se Adobe AATL eller EU LOTL för skillnaden.
Det praktiska missförståndet är vanligt i svenska upphandlingar: ett krav på "svensk leverantör" träffar inte samma sak som ett krav på kvalificerad nivå. Kvalificerad status är EU-gemensam, och en leverantör i ett annat medlemsland uppfyller den lika fullt.
Ett bolag som verkar på flera EU-marknader, eller tar emot signerade dokument från motparter i hela regionen, behöver inte lära sig varje lands nationella signaturregler var för sig för att kunna lita på kvalificerad nivå. Det de behöver är en validerare som faktiskt kontrollerar mot LOTL, i stället för att anta att en signatur är giltig för att den ser korrekt formaterad ut. Ett välformat certifikat som inte leder till en nationell lista under tillsyn är inte gränsöverskridande erkänt, hur prydligt det än ser ut.