Signature électronique : plusieurs niveaux de sécurité pour les documents engageants

Le 16/10/2020 (Mis à jour le 24/01/2024 ) Fabien Carré

supplement-signature-electronique-archimag-securite.jpg

Archimag a récemment publié un supplément gratuit consacré à la signature électronique, sa valeur légale, ses usages et les solutions disponibles sur le marché. (Pixabay/szmiki95)

Loin de n’être qu’une version plus pratique de son homologue manuscrite, la signature électronique vient véritablement garantir l’intégrité d’un document au moment de son apposition, soit l’état dans lequel il se trouve au moment de sa validation par les différentes parties, et l’engagement définitif du signataire. Cependant, toutes les signatures électroniques ne se valent pas, selon la nature et la portée de l’acte concerné.

Plusieurs niveaux de signatures sont définis par deux référentiels faisant foi en France : le franco-français Référentiel général de sécurité (RGS), prévu par l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives, et le Règlement eIDAS, adopté par le Parlement européen et le Conseil de l’UE le 23 juillet 2014, portant sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur. Deux cadres donc, mais des niveaux de signature finalement assez similaires.

Le Référentiel général de sécurité

Le RGS, tout d’abord, fixe les règles de sécurité que les systèmes d’information doivent respecter pour assurer la disponibilité, l’intégrité, la confidentialité, l’authentification et la traçabilité des informations des usagers. En s’appuyant sur quatre grandes fonctions de sécurité (authentification, signature électronique, confidentialité et horodatage), le RGS distingue trois types de certificats : RGS * (niveau élémentaire), RGS ** (niveau standard) et RGS *** (niveau renforcé). Chacun d’entre eux répond à des exigences de sécurité plus ou moins élevées décrites dans le RGS. Il est admis que les niveaux RGS ** et RGS *** correspondent respectivement aux signatures avancée et qualifiée établies par le Règlement eIDAS.

Le Règlement eIDAS

Le référentiel européen, de son côté, vise à faciliter les transactions électroniques entre les pays de l’UE, sans nécessiter de transposition de la loi dans chacun d’eux. Même si trois types de signature électronique sont traditionnellement retenus, en réalité, le règlement (UE) n° 910/2104 en définit quatre :

la signature électronique simple, « constituée des données sous forme électronique, qui sont jointes ou associées logiquement à d’autres données sous forme électronique et que le signataire utilise pour signer » ;
la signature électronique avancée, satisfaisant à plusieurs exigences (« être liée au signataire de manière univoque », « permettre d’identifier le signataire », « avoir été créée à l’aide de données de création de signature électronique que le signataire peut (…) utiliser sous son contrôle exclusif » et « être liée aux données associées à cette signature de telle sorte que toute modification ultérieure des données soit détectable ») ;
la signature électronique avec certificat qualifié, « délivré par un prestataire de services de confiance qualifié » ;
la signature électronique qualifiée, « créé à l’aide d’un dispositif de création de signature électronique qualifié, et qui repose sur un certificat qualifié de signature électronique ».

Les principales différences entre ces niveaux portent à la fois sur la sécurité, mais également sur la facilité de mise en place et d’utilisation de la signature électronique. Avant de se lancer dans une telle démarche, mieux vaut donc se renseigner sur les documents et actes nécessitant bel et bien une signature électronique, et ceux pour lesquels elle n’est pas obligatoire.

Pour tout savoir de la signature électronique, aussi bien sur le plan juridique que technique, téléchargez ce supplément Archimag gratuit entièrement consacré à cette thématique.