EU:s lista över betrodda listor (LOTL) är kommissionens huvudregister över varje medlemslands betrodda leverantörer. Det är den, och inte signeringsplattformen, som avgör om en signatur eller ett sigill räknas som kvalificerat enligt eIDAS.
Varje EU-land för sin egen nationella betrodda lista: en publicerad, maskinläsbar förteckning över alla betrodda tjänsteleverantörer (QTSP) i landet, och exakt vilka kvalificerade tjänster var och en får tillhandahålla — utfärda kvalificerade certifikat, tillhandahålla kvalificerade tidsstämplar, och så vidare. LOTL, som förvaltas av Europeiska kommissionen, är pekaren som indexerar alla dessa nationella listor på ett ställe. Den som ska förlita sig på en signatur behöver alltså inte veta i förväg i vilket land leverantören sitter för att kunna hitta och kontrollera den.
Den svenska listan förs av Post- och telestyrelsen (PTS), som är tillsynsmyndighet för betrodda tjänster i Sverige. Att en leverantör marknadsför sig i Sverige säger ingenting i sig — det som räknas är om den står på en nationell lista som LOTL pekar på.
En kvalificerad elektronisk signatur eller ett kvalificerat elektroniskt sigill får sin presumtion enligt eIDAS bara om certifikatet bakom det utfärdats av en leverantör som faktiskt stod på en nationell betrodd lista vid signeringstillfället. En signeringsplattform kan påstå att en signatur är kvalificerad. LOTL är det som gör att påståendet går att kontrollera oberoende, i stället för att tas på plattformens ord.
Tillitsstatus förändras: leverantörer får eller förlorar kvalificerad status, certifikat spärras, nya QTSP tillkommer. LOTL och de nationella listorna under den uppdateras löpande, och en valideringsmotor som kontrollerar mot dem måste hålla sin lokala kopia synkroniserad i stället för att arbeta mot en stillbild som hinner bli inaktuell.
Det spelar roll för gamla handlingar: frågan är inte om leverantören står på listan i dag, utan om den gjorde det när dokumentet signerades. Ett korrekt utfört betyg mäter status vid signeringstillfället.
LOTL är specifikt ett rättsligt tillitsinstrument inom EU. Den har ingen koppling till tillitsprogram utanför EU som viss signeringsprogramvara också kontrollerar mot — främst Adobes AATL. En leverantör kan stå på den ena listan, båda eller ingen, och det får verkliga konsekvenser för vilken rättslig tyngd en signatur faktiskt bär.