Signature électronique avancée

La signature électronique avancée permet de signer un document numérique en apportant des garanties sur l'identité de la personne qui signe et sur l'intégrité du document. Elle répond aux quatre exigences de l'article 26 du règlement européen eIDAS.

Pour une entreprise qui répond à un marché public, il faut distinguer le niveau de sécurité de la signature et le moment où elle doit signer. Une signature avancée ordinaire peut être valable dans de nombreuses situations, mais elle ne suffit pas lorsque la réglementation de la commande publique impose une signature d'un niveau supérieur.

Qu'est-ce qu'une signature électronique avancée ?

La signature électronique avancée est définie par le article 26 du règlement (UE) n° 910/2014, appelé règlement eIDAS. Ce texte, modifié notamment par le règlement (UE) 2024/1183 du 11 avril 2024, fixe quatre conditions.

1. Un lien propre à chaque signataire. La signature est associée de manière univoque à la personne qui signe.
2. L'identification du signataire. Le procédé permet de savoir qui a signé le document.
3. Le contrôle des moyens de signature. La signature est créée à l'aide de données que le signataire peut utiliser sous son contrôle exclusif, avec un niveau de confiance élevé.
4. La détection des modifications. Si les données signées sont modifiées après la signature, cette modification doit pouvoir être détectée.

Par exemple, une entreprise signe un document PDF, puis quelqu'un en modifie une clause. Un dispositif de vérification adapté doit permettre de détecter que le fichier ne correspond plus au document signé. La signature ne rend pas le fichier impossible à modifier, mais elle permet de déceler une modification ultérieure des données signées.

Une signature avancée nécessite-t-elle un certificat qualifié ?

Non. L'article 26 n'impose pas de certificat qualifié. Une signature peut être avancée si son procédé respecte les quatre conditions précédentes, même sans certificat qualifié.

Il existe néanmoins plusieurs catégories de signatures, dont les garanties et les conditions diffèrent.

On présente souvent ces catégories comme quatre niveaux de signature électronique. Cette présentation aide à les comparer. Elle ne signifie pas que tous les documents doivent être signés avec le niveau le plus élevé.

Valeur juridique d'une signature avancée

Une signature avancée peut servir à prouver qu'une personne a signé un document. L'article 25, paragraphe 1, du règlement eIDAS interdit de refuser à une signature ses effets juridiques ou sa recevabilité comme preuve au seul motif qu'elle est électronique ou qu'elle n'est pas qualifiée.

En cas de contestation, il faut pouvoir démontrer que la signature répond aux conditions requises et qu'elle est bien liée au signataire et au document. La force probante dépend des éléments produits.

En droit français, l'article 1367 du Code civil prévoit une présomption de fiabilité dans les conditions fixées par décret. Selon l'article 1 du décret n°2017-1416 du 28 septembre 2017, cette présomption concerne le procédé mettant en oeuvre une signature électronique qualifiée. L'article 25, paragraphe 2, du règlement eIDAS donne à la signature qualifiée un effet juridique équivalent à celui d'une signature manuscrite.

Une signature avancée suffit-elle pour un marché public ?

Une signature avancée ordinaire ne suffit pas si la signature électronique est exigée selon l'arrêté du 22 mars 2019. L'article 2 de cet arrêté impose le niveau de la signature avancée reposant sur un certificat qualifié. Il admet aussi les certificats délivrés par des autorités de certification répondant aux exigences équivalentes qu'il définit. Une signature électronique qualifiée satisfait également au niveau demandé.

Faut-il signer dès le dépôt de l'offre ?

Pas systématiquement. La réglementation n'impose pas de signer toutes les candidatures et toutes les offres lors de leur dépôt. L'acheteur peut demander une signature dès ce stade dans les documents de la consultation. L'entreprise doit donc vérifier le règlement de la consultation (RC) avant de déposer sa réponse sur le profil d'acheteur.

Lorsque l'offre n'a pas à être signée au dépôt, l'acheteur demande au candidat retenu de signer le marché avant sa notification. Le marché peut être signé électroniquement selon l'article R2182-3 du Code de la commande publique. Le recours à la signature électronique doit alors respecter l'arrêté du 22 mars 2019.

formats de signature utilisables

L'article 3 de l'arrêté prévoit trois formats, PAdES, XAdES et CAdES. PAdES est notamment adapté aux documents PDF. L'outil de signature doit produire un format conforme et permettre la vérification de la signature. Le signataire choisit son dispositif de création de signature, dans les conditions de l'article 4.

Le règlement d'exécution (UE) 2026/248 du 2 février 2026 a remplacé la décision européenne de 2015 citée par l'arrêté. Il prévoit de nouvelles spécifications techniques dont l'application, pour son article 1, paragraphe 1, commence le 23 février 2027. Les entreprises doivent donc vérifier les exigences techniques applicables à la date de leur signature.

Exemple pour une entreprise qui répond à un appel d'offres

Une entreprise de travaux dépose son offre. Le RC n'exige aucune signature au dépôt. Elle peut donc transmettre son dossier sans le signer électroniquement à ce stade.

Si elle obtient le marché et que l'acheteur demande une signature électronique, la personne habilitée à engager l'entreprise signe l'acte d'engagement avec un procédé conforme à l'arrêté de 2019. Elle vérifie également que le document signé est bien celui attendu.

Une signature manuscrite scannée et insérée dans un PDF ne remplace pas une signature électronique réglementaire. De même, signer un fichier ZIP ne signifie pas que chaque document contenu dans ce fichier est signé.

Comment vérifier une signature électronique ?

Lorsque l'arrêté du 22 mars 2019 s'applique, son article 5 prévoit cinq contrôles minimum.

1. Vérifier l'identité du signataire.
2. Vérifier que son certificat appartient à une catégorie admise par l'article 2.
3. Contrôler le format de la signature.
4. Vérifier que le certificat n'était ni expiré ni révoqué à la date de la signature.
5. S'assurer que le document signé n'a pas été modifié.

Ces contrôles peuvent être automatisés, sauf la vérification de l'identité du signataire. Le résultat de la validation doit permettre de repérer les problèmes de sécurité. Par ailleurs, identifier une personne ne suffit pas à établir qu'elle dispose du pouvoir de signer pour l'entreprise. Cette habilitation doit être vérifiée séparément.

L'article 6 prévoit la mise à disposition gratuite des instructions permettant de vérifier la signature lors du dépôt du document signé. Le signataire en est dispensé lorsqu'il utilise à la fois un certificat qualifié répondant au 1° du II de l'article 2 et l'outil de signature proposé par le profil d'acheteur.

Textes

Règlement (UE) n° 910/2014 (eIDAS), articles 3, 25, 26 et 28, modifié notamment par le règlement (UE) 2024/1183.

Arrêté du 22 mars 2019 relatif à la signature électronique des contrats de la commande publique, articles 1 à 6, annexe 12 du Code de la commande publique.

Règlement d'exécution (UE) 2026/248 du 2 février 2026, articles 1, 5 et 6, relatif aux formats de signatures électroniques avancées.

Article R2182-3 du Code de la commande publique.

Article 1367 du Code civil et décret n°2017-1416 du 28 septembre 2017.

Voir également

signature électronique, niveaux de signature électronique, signature avancée avec certificat qualifié, signature électronique qualifiée, certificat qualifié, signataire.

Texte historique

La directive 1999/93/CE du 13 décembre 1999 définissait auparavant la signature électronique avancée. Elle a été abrogée par le règlement eIDAS.