Signature électronique avancée reposant sur un certificat qualifié

La signature électronique avancée reposant sur un certificat qualifié permet d'identifier le signataire et de vérifier l'intégrité d'un document électronique. Elle répond aux exigences du règlement européen eIDAS et constitue le niveau minimal de signature prévu par l'arrêté du 22 mars 2019 lorsque la signature électronique d'un document contractuel est exigée dans la commande publique.

Elle combine une signature électronique avancée, conforme à l'article 26 du règlement (UE) n° 910/2014, et un certificat qualifié de signature électronique répondant aux exigences de l'article 28 et de l'annexe I de ce règlement, modifié notamment par le règlement (UE) 2024/1183 du 11 avril 2024.

Qu'est-ce qu'une signature électronique avancée reposant sur un certificat qualifié ?

Ce type de signature réunit deux conditions cumulatives.

• La signature doit satisfaire aux quatre exigences de l'article 26 du règlement eIDAS.
• Elle doit reposer sur un certificat qualifié de signature électronique conforme à l'article 28 du règlement eIDAS et à son annexe I.

Le certificat qualifié est délivré par un prestataire de services de confiance qualifié. Il permet de rattacher les données de validation de la signature à l'identité du signataire.

Quelles sont les quatre exigences d'une signature électronique avancée ?

L'article 26 du règlement eIDAS impose les conditions suivantes.

1. La signature est liée au signataire de manière univoque.
2. Elle permet d'identifier le signataire.
3. Elle est créée à l'aide de données que le signataire peut utiliser sous son contrôle exclusif, avec un niveau de confiance élevé.
4. Elle est liée aux données signées de manière à rendre détectable toute modification ultérieure.

Ces exigences assurent le lien entre la personne qui signe et le document électronique. Le certificat qualifié apporte des garanties supplémentaires sur l'identification du signataire et la délivrance du certificat.

Quelle différence avec une signature électronique qualifiée ?

Le règlement eIDAS distingue plusieurs catégories de signatures électroniques.

La signature avancée reposant sur un certificat qualifié correspond au troisième niveau dans la classification pédagogique à quatre niveaux présentée par l'ANSSI.

Le niveau qualifié exige en supplément un dispositif qualifié de création de signature électronique. Cette exigence figure à l'article 3, point 12, du règlement eIDAS.

Quelle signature électronique utiliser dans les marchés publics ?

Lorsque la signature électronique est exigée pour un document d'un contrat de la commande publique, elle doit respecter l'arrêté du 22 mars 2019 relatif à la signature électronique des contrats de la commande publique.

L'article 2 impose une signature conforme aux exigences relatives à la signature avancée reposant sur un certificat qualifié. Une signature électronique qualifiée répond également à ce niveau d'exigence.

L'arrêté prévoit aussi la possibilité d'utiliser certains certificats délivrés par des autorités de certification répondant à des exigences équivalentes à celles de l'annexe I du règlement eIDAS.

La signature est-elle obligatoire lors du dépôt de l'offre ?

La signature électronique n'est pas systématiquement imposée au moment du dépôt d'une offre. Le candidat doit vérifier le règlement de la consultation (RC) et les modalités de la procédure.

Lorsque la signature est requise, le candidat doit respecter le niveau et les formats applicables. Le marché sera signé selon les conditions fixées par l'acheteur et les textes.

Quels formats de signature sont admis ?

L'article 3 de l'arrêté du 22 mars 2019 prévoit les formats suivants.

• PAdES, notamment pour les documents PDF.
• XAdES, format de signature fondé sur XML.
• CAdES, format de signature fondé sur CMS.

Le signataire doit utiliser un format conforme aux prescriptions de l'arrêté et permettre la vérification de la signature.

Comment vérifier une signature électronique ?

L'article 5 de l'arrêté du 22 mars 2019 prévoit notamment les contrôles suivants.

• Vérifier l'identité du signataire.
• Vérifier la catégorie de certificat utilisée.
• Contrôler le format de signature.
• Vérifier que le certificat n'était ni expiré ni révoqué à la date de signature.
• Contrôler l'intégrité du document signé.

L'article 6 prévoit la mise à disposition gratuite du mode d'emploi permettant de vérifier la signature, avec une dispense dans le cas qu'il définit pour l'utilisation de l'outil du profil d'acheteur.

Exemples pratiques dans les marchés publics

Une entreprise signe un acte d'engagement au format PDF

Une entreprise retenue pour un marché public doit signer son acte d'engagement. Elle utilise un certificat qualifié et un outil produisant une signature PAdES conforme à l'arrêté du 22 mars 2019.

L'acheteur peut vérifier l'identité du signataire, le certificat, la validité de la signature et l'intégrité du document.

Une entreprise dispose d'un certificat qualifié

La possession d'un certificat qualifié ne suffit pas, à elle seule, à établir qu'un document a été signé conformément aux exigences réglementaires.

Le procédé de signature doit également respecter les conditions de l'article 26 du règlement eIDAS et les exigences applicables au document signé.

Une entreprise utilise une signature électronique simple

Si un marché impose une signature conforme à l'arrêté du 22 mars 2019, une signature électronique simple ne satisfait pas au niveau réglementaire exigé.

Le candidat doit utiliser une solution compatible avec les prescriptions applicables avant de signer le document concerné.

Tableau récapitulatif

Sources officielles

• Article 26 du règlement eIDAS.
• Article 28 du règlement eIDAS.
• Règlement (UE) 2024/1183 du 11 avril 2024.
• Arrêté du 22 mars 2019 relatif à la signature électronique des contrats de la commande publique.
• ANSSI - Guide de sélection des niveaux de signature électronique.

Voir également

Signature électronique, signature électronique avancée, certificat qualifié, niveaux de signature électronique, prestataire de services de confiance, profil d'acheteur.

Textes applicables

Arrêté du 22 mars 2019, NOR ECOM1830224A, constituant l'annexe 12 du Code de la commande publique.

Règlement (UE) n° 910/2014 du 23 juillet 2014, modifié notamment par le règlement (UE) 2024/1183 du 11 avril 2024.

Signature électronique avancée reposant sur un certificat qualifié

Une signature électronique avancée reposant sur un certificat qualifié est définie à l'article 26 du règlement (UE) n° 910/2014 et à l'article 28 du règlement (UE) n° 910/2014, elle doit répondre aux deux conditions suivantes :

• être une signature électronique avancée, c'est à dire satisfaire aux exigences énoncées à l’article 26 du règlement (UE) n° 910/2014 du parlement européen  et du conseil du 23 juillet 2014 (Règlement eIDAS) ;
• reposer sur un certificat qualifié, un certificat de signature électronique, qui est délivré par un prestataire de services de confiance qualifié et qui satisfait aux exigences fixées à l’annexe I du règlement eIDAS.

La signature électronique avec certificat qualifié correspond au niveau 3 des niveaux de sécurité de signature électronique au sens du règlement eIDAS. C'est une signature électronique avancée reposant sur un certificat qualifié.

Signature électronique avancée au sens du règlement (UE) n° 910/2014

Une signature électronique avancée est une signature électronique qui satisfait aux exigences énoncées à l’article 26 à savoir :

a) être liée au signataire de manière univoque;

b) permettre d’identifier le signataire;

c) avoir été créée à l’aide  de données de création de signature électronique que le signataire peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif; et

d) être liée aux données associées à cette signature de telle sorte que toute modification ultérieure des données soit détectable.

Source : Règlement (UE) n° 910/2014 du parlement européen  et du conseil du 23 juillet 2014 (Règlement eIDAS)

Actualités

Publication de l’arrêté du 12 avril 2018 relatif aux modalités de signature électronique dans la commande publique. - 2 mai 2018

Voir également

certificat électronique,
certificat électronique qualifié,
prestataire de services de certification électronique,
profil d'acheteur
signature électronique,
signature électronique sécurisée,
signataire,

prestataire de services de confiance, RGS (Référentiel général de sécurité),

Textes

Arrêté du 22 mars 2019 relatif à la signature électronique des contrats de la commande publique - NOR: ECOM1830224A. Annexe 12 du code de la commande publique.

Arrêté du 28 août 2006 pris en application du I de l’article 48 et de l’article 56 du code des marchés publics et relatif à la dématérialisation des procédures de passation des marchés publics formalisés [abrogé par l'arrêté du 14 décembre 2009 relatif à la dématérialisation des procédures de passation des marchés publics à l’exception des articles 5 à 7]

Art. 40 du Code des Marchés Publics 2004 [abrogé], Art. 56 du Code des Marchés Publics 2004 [abrogé]

Décret 2002-535 du 18 avril 2002 relatif à l’évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l’information

Décret n° 2001-272 du 30 mars 2001 (Journal Officiel du 31 mars 2001) pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique

Loi 2000-230 du 13 mars 2000 portant adaptation du droit de la preuve aux technologies de l’information et relative à la signature électronique

Directive 1999/93/CE du Parlement européen et du Conseil, du 13 décembre 1999, sur un cadre communautaire pour les signatures électroniques