Niveaux de signature électronique de l'UE (eIDAS) : quelle est la différence entre une signature ordinaire, avancée et qualifiée ?

Le règlement eIDAS de l'UE définit trois niveaux de signature électronique : simple (SES), avancée (AES) et qualifiée (QES). Dans cet article, nous expliquons en termes simples ce que signifie chaque niveau, quand chacun est suffisant et comment une petite entreprise peut les utiliser dans sa vie quotidienne.

L'idée de base du règlement eIDAS

eIDAS (electronic IDentification, Authentication and trust Services) est un règlement de l'UE entré en vigueur en 2016. Il établit des règles communes pour l'identification électronique et les signatures électroniques dans tous les pays de l'UE.\n\nEn pratique, eIDAS signifie ceci : une signature électronique ne peut être rejetée devant un tribunal simplement parce qu'elle est sous forme électronique. Ceci est valable dans toute l'UE.\n\nLe règlement a été mis à jour en 2024 (eIDAS 2.0), introduisant entre autres le portefeuille européen d'identité numérique (EUDI Wallet) et des exigences plus strictes pour les services de confiance.

SES – signature électronique simple

La SES est le niveau de signature le plus simple. Il peut s'agir par exemple :

• D'un nom écrit dans un e-mail
• D'une coche sur « J'accepte les conditions » dans un formulaire web
• D'une signature dessinée sur un écran tactile

La SES ne nécessite pas de vérification d'identité distincte. Elle est suffisante pour les situations à faible risque et où il existe déjà une relation de confiance entre les parties. Ce que cela signifie en pratique : si vous vendez un service de 500 euros à un petit client régulier et qu'il confirme la commande par e-mail, il s'agit d'une signature de niveau SES. Elle est valide, mais en cas de litige, la valeur probante est la plus faible.

AES – signature électronique avancée

L'AES exige que le signataire soit identifié de manière fiable et que la signature lui soit liée de manière à ne pas pouvoir être modifiée rétroactivement. En pratique, l'AES signifie que le signataire s'authentifie, par exemple, avec des identifiants bancaires, un certificat mobile ou une méthode similaire avant de signer. L'AES remplit quatre exigences :

1. La signature est uniquement liée au signataire
2. Le signataire est identifiable
3. Le signataire a le contrôle exclusif des données utilisées pour créer la signature
4. Les modifications apportées au document après la signature sont détectables

Ce que cela signifie en pratique : lorsque vous envoyez un contrat client pour signature via EpicSign et que le client s'authentifie avec des identifiants bancaires, il s'agit d'une signature de niveau AES. Cela est amplement suffisant pour la plupart des contrats commerciaux.

QES – Signature électronique qualifiée (acceptée)

QES est le niveau le plus élevé. Dans la législation de l'UE, elle est directement assimilée à une signature manuscrite.\n\nQES nécessite deux éléments\:

1. Un certificat délivré par un prestataire de services de confiance qualifié (Certificat Qualifié)
2. Un appareil qualifié de création de signature (Qualified Signature Creation Device, QSCD)

Les créateurs de signatures QES se trouvent sur la Liste de Confiance de l'UE – une liste officielle où sont enregistrés les prestataires de services de confiance qualifiés. Chaque pays de l'UE maintient sa propre liste.\n\nCe que cela signifie en pratique : QES est principalement nécessaire lorsque la loi exige explicitement une forme écrite (par exemple, certaines transactions immobilières, démarches administratives) ou lorsque la valeur et le risque du contrat sont particulièrement élevés.

Quand chaque niveau est-il suffisant ?

Pour une petite entreprise, le choix du bon niveau dépend du risque et de la valeur du document\:

Journal d'audit et preuves

Chaque signature électronique laisse une trace numérique, un journal d'audit. Il constitue une preuve électronique de qui a signé, quand et d'où.\n\nUn journal d'audit bien implémenté contient :

• Informations d'identification du signataire (nom, e-mail, méthode d'authentification)
• Horodatage (quand la signature a été effectuée)
• Adresse IP et informations sur l'appareil
• Condensat du document (hash) qui prouve que le document n'a pas été modifié après la signature

Exemple pratique : une société de conseil et la gestion des contrats

Une société de conseil de trois personnes basée à Tampere signe 10 à 15 contrats clients par mois. Auparavant, les contrats étaient imprimés, signés et scannés. Ce processus prenait 30 à 45 minutes par contrat. Le passage à la signature électronique de niveau AES avec EpicSign a transformé le processus :

1. Le contrat est téléchargé sur EpicSign (1 min)
2. Les signataires sont ajoutés et la demande de signature est envoyée (1 min)
3. Le client s'authentifie avec ses identifiants bancaires et signe (2 min)
4. Le contrat signé est automatiquement archivé (0 min)

Gain de temps : environ 2 heures par semaine. De plus, chaque contrat est traçable grâce au journal d'audit.

Questions fréquemment posées

Sources

1. Règlement eIDAS (UE) n° 910/2014 – sur l'identification électronique et les services de confiance
2. Agence des services numériques et des données démographiques (DVV) – Identification électronique et services de confiance
3. Traficom – Services de confiance et signatures électroniques
4. Listes de confiance de l'UE – liste des prestataires de services de confiance qualifiés

Cet article est de nature générale et ne constitue pas un conseil juridique.