Un certificato qualificato può essere emesso unicamente Certification Authority che operano sotto il diretto controllo di un'autorità nazionale di vigilanza (in Italia AgID, Agenzia per l’Italia Digitale).
Per l'emissione del certificato, la Certification Authority segue un rigido protocollo che prevede l'identificazione del soggetto che, a proprio nome, sta richiedendo l’emissione del certificato qualificato.