Signature électronique qualifiée

Le règlement eIDAS définit une échelle. Une signature électronique simple est toute donnée sous forme électronique jointe à d'autres données et utilisée pour signer: un nom tapé, un gribouillis dessiné, une case cochée. Une signature électronique avancée ajoute des exigences: elle est liée au signataire de manière univoque, créée à l'aide de données que le signataire peut utiliser sous son contrôle exclusif, et liée aux données signées de telle sorte que toute modification ultérieure est détectable. Une signature électronique qualifiée est une signature avancée créée à l'aide d'un dispositif qualifié de création de signature et fondée sur un certificat qualifié de signature électronique.

Le niveau qualifié est celui qui a une conséquence juridique, puisque eIDAS lui donne un effet juridique équivalent à celui d'une signature manuscrite. Les deux autres ne sont pas sans valeur: pour la plupart des contrats, le droit allemand ne prescrit aucune forme, et un accord donné par un clic engage. Le niveau devient décisif précisément là où la loi exige un écrit. C'est pourquoi une décision d'achat d'un logiciel de signature est en réalité une décision sur les documents que traite votre entreprise.

La signature est un membre d'une famille. Un cachet électronique fait pour une personne morale ce qu'une signature fait pour une personne, si bien qu'un assureur qui émet des milliers de documents par jour n'a pas besoin qu'un salarié signe chacun d'eux. Un horodatage électronique lie des données à un moment donné, et c'est ce qui permet de prouver plus tard qu'un document existait avant une échéance. L'envoi recommandé électronique atteste qu'un élément a été envoyé et reçu. Un certificat d'authentification de site internet garantit l'identité derrière un domaine.

Chacun de ces services existe en version simple et en version qualifiée, la version qualifiée apportant des présomptions juridiques plus fortes. L'explication de DigiCert sur les prestataires de services de confiance parcourt la même famille. Pour un établissement financier, le point pratique est que le problème de l'archivage et celui de la signature sont liés: une signature dont le certificat a expiré est plus facile à défendre des années plus tard si un horodatage qualifié fixe le moment où elle a été apposée.

Le statut qualifié n'est pas une affirmation qu'un prestataire fait sur lui-même. Chaque État membre tient une liste de confiance des prestataires et des services auxquels son organe de contrôle a accordé le statut qualifié, et la Commission européenne publie la liste des listes de confiance, la LOTL, qui renvoie à toutes. Le navigateur des listes de confiance de la Commission est l'endroit où vous recherchez un prestataire.

Cela donne à un processus de vérification une chose qu'il a rarement: une réponse unique qui fait autorité. Si une contrepartie envoie une signature qualifiée, la chaîne de confiance aboutit à un service inscrit sur la liste d'un État membre, et si elle n'y aboutit pas, la signature n'est pas qualifiée, quoi que le fichier dise de lui-même. La présentation du certificat qualifié par Cryptomathic expose ce que le certificat doit contenir et le rôle de l'organe de contrôle dans l'octroi du statut.

L'organe de contrôle allemand est la Bundesnetzagentur, qui supervise les services de confiance électroniques au titre d'eIDAS pour les signatures électroniques, les cachets électroniques, les horodatages électroniques et l'envoi recommandé électronique, ses missions étant fixées dans la loi allemande sur les services de confiance en complément du règlement. La Bundesnetzagentur publie la liste de confiance allemande, l'entrée nationale vers laquelle renvoie la liste européenne des listes.

Les exigences techniques viennent d'ailleurs: le BSI rédige les lignes directrices techniques que suivent les formats de signature, la conservation à long terme et les mécanismes cryptographiques. Pour une banque, cette répartition compte lorsqu'un fournisseur se dit conforme: la supervision indique si le prestataire est qualifié, et les lignes directrices techniques indiquent si ce qu'il produit pourra encore être vérifié dans dix ans.

Selon l'article 126a du code civil, une déclaration sous forme électronique doit porter le nom de son auteur et sa signature électronique qualifiée. Pour un contrat, chaque partie signe un document au libellé identique. Les parties peuvent signer des exemplaires séparés si le libellé est le même.

Une signature qualifiée ne remplace pas toutes les exigences de forme. L'authentification notariale et les documents pour lesquels la loi exclut la forme électronique exigent un examen distinct. La règle générale pour une déclaration de cautionnement est l'exclusion prévue à l'article 766.

Une signature appartient à un être humain; un cachet appartient à une personne morale. Cette différence est opérationnelle avant d'être juridique. Une banque qui envoie des relevés de compte, des confirmations ou des déclarations réglementaires ne veut pas que chacun dépende d'un salarié nommé qui peut partir, et un cachet permet à l'établissement lui-même d'être le signataire.

Un cachet électronique qualifié emporte ses propres présomptions juridiques sur l'intégrité des données et leur origine auprès de cette personne morale. La conception habituelle associe les deux: un cachet pour la production en volume de l'établissement, une signature qualifiée là où la déclaration d'une personne est l'objet même, par exemple un client qui accepte un prêt. Des flux documentaires de ce type apparaissent aussi du côté de l'émission, que traitent les pages émettre des titres tokenisés en Allemagne et distribution de titres tokenisés.

Les services de confiance décrits ici sont antérieurs au portefeuille et continuent à côté de lui. La révision d'eIDAS ajoute un portefeuille européen d'identité numérique et change la manière dont une personne prouve son identité et présente des attributs, et elle laisse en place les niveaux de signature et le dispositif des services de confiance qualifiés. La possibilité pour un détenteur de portefeuille de signer est un ajout à ce système, pas un remplacement.

La page eIDAS 2 et la finance traite la révision et le portefeuille. Ce qui a sa place ici, c'est la limite: si votre question porte sur l'effet juridique d'une signature sur un document, elle trouve sa réponse dans les niveaux ci-dessus, quel que soit le dispositif où se trouvait la clé.

Le dispositif et le certificat, et avec eux l'effet juridique. Une signature avancée doit être liée au signataire de manière univoque, placée sous son contrôle exclusif et révéler toute altération. Une signature qualifiée est une signature avancée créée à l'aide d'un dispositif qualifié de création de signature sur la base d'un certificat qualifié, et eIDAS lui donne un effet juridique équivalent à celui d'une signature manuscrite.

La signature électronique dépend de l'exigence légale d'une forme écrite pour ce contrat, et la réponse diffère entre un crédit à la consommation, une facilité de crédit aux entreprises et un cautionnement. Lorsque l'écrit est prescrit et que la forme électronique peut le remplacer, l'article 126a du BGB exige une signature électronique qualifiée de chaque partie sur un document identique. Lorsque la loi n'autorise aucun remplacement électronique, aucun niveau de signature n'aide.

Recherchez-le sur la liste de confiance de l'État membre via le navigateur des listes de confiance de la Commission européenne, qui passe par la liste des listes de confiance. Un prestataire inscrit sur une liste nationale pour le service concerné est qualifié pour ce service; le langage marketing d'un site internet n'en tient pas lieu. Pour les prestataires allemands, la liste est publiée par la Bundesnetzagentur en tant qu'organe de contrôle.

Qui signe. Une signature est apposée par une personne physique et exprime la déclaration de cette personne. Un cachet est apposé par une personne morale et atteste l'origine et l'intégrité des données de cette organisation. Un établissement qui produit des documents en volume utilise des cachets pour que la production ne dépende pas d'un salarié nommé.