Dans les différents services de confiance eIDAS, celui qui concerne l’archivage des signatures reste un mystère pour de nombreuses entités. De quoi s’agit-il vraiment ?

Définition eIDAS (Art.34)

En France, « un service de conservation qualifié des signatures électroniques qualifiées ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques qualifiées au-delà de leur période de validité technologiques ».

Certificat qualifié de cachet électronique

Votre entreprise est en mesure de signer électroniquement des documents en utilisant un certificat qualifié de cachet électronique obtenu via un prestataire de délivrance de certificats qualifiés de signatures et de cachets électroniques. Un tel certificat permet d’attester de l’identité d’une personne moral (votre entreprise).

Certificat qualifié de signature électronique

Vous pouvez également retenir la possibilité d’utiliser un certificat qualifié de signature électronique pour signer vos documents. Dans ce cas, la signature atteste de l’identité d’une personne physique et non d’une personne morale.

Validité technologique d’une signature ou d’un cachet électronique qualifié.

Le certificat de cachet ou de signature électronique qualifié que vous utilisez pour signer vos documents est valable sur une durée limitée. Il est d’usage de permettre d’utiliser un certificat pendant 3 ans à partir de sa délivrance. Dans l’absolu, la durée est liée à la taille de clé conformément aux règles de la clause 9.3 du standard TS_119_312.

Que se passe-t-il pour un document signé si le certificat utilisé pour le signer n’est plus valide ?

Les documents signés sont très souvent à conserver bien au-delà de la durée de validité du certificat. C’est pour cette raison que eIDAS a mis en place un service de confiance de conservation qualifiée des signatures et des cachets électroniques qualifiés. Ce service permet d’étendre la fiabilité des signatures au-delà de leur période de validité technologique liée au certificat utilisé au moment de la signature.

Les deux approches autorisées par l’ANSSI

L’ANSSI a décidé qu’un prestataire de conservation pouvait traiter la conservation de deux manières différentes :

• Via une méthode utilisant l'archivage du fichier original dans un Système d'Archivage Electronique (SAE) et via la journalisation NF Z42-013 permettant la conservation de l'intégrité associée.
• Via un principe de renouvellement régulier de l’horodatage associé à la signature (Ex. PAdES LTV).

Belgique : un bon exemple pour la France

Comme le précise Didier GOBERT dans son analyse de la loi Belge du 21 juillet 2016, La réglementation en Belgique a été adaptée pour permettre le développement des services qualifiés de conservation des signatures qualifiées. « Le cadre juridique relatif à l’archivage électronique est envisagé comme une boîte à outils juridique permettant aux utilisateurs de recourir à ce service en vue de gérer leurs risques par rapport principalement aux données ou documents présentant une valeur juridique ». Par contre, les travaux parlementaires précisent que « ce cadre n’est pas particulièrement destiné à s’appliquer aux systèmes informatiques que les organisations utilisent, dans un but de fonctionnement optimal de ces dernières, pour stocker des données de tous types n’ayant pas de valeur juridique particulière ». Didier GOBERT précise que « l’objectif du législateur n’est manifestement pas de vouloir réglementer de manière contraignante tous les formes de conservations de données électroniques mais plutôt d’offrir un cadre juridique ad hoc afin d’offrir de la sécurité juridique aux utilisateurs qui décideraient librement d’y recourir pour la conservation essentiellement de données électroniques ayant une certaine utilité juridique ». « Le législateur a consacré des présomptions au profit des services qui sont conformes aux exigences légales et réglementaires relatives aux services d’archivage électronique qualifiés ». Ces présomptions « concernent non seulement les documents ou les données électroniques archivés par le biais des services prestés par un prestataire tiers, mais également les documents ou les données électroniques archivés par le biais de services exploités par un organisme du secteur public ou une personne physique ou morale pour son propre compte, en interne. » « Cette distinction (archivage par un prestataire tiers ou en interne) est justifiée par la volonté d’offrir la souplesse et une réduction des coûts, et ainsi permettre particulièrement aux grosses organisations de mettre en place directement en interne leur propre système d’archivage électronique qualifié, tout en leur évitant de devoir passer par un prestataire extérieur, dont l’activité principale consiste à offrir un service d’archivage électronique qualifié (qui pourrait présenter un coût supérieur, même si aucune analyse économique permettant de confirmer ce présupposé n’existe à ce jour) ».

Disponibilité des Services d’archivage qualifiés eIDAS en France

Plus d’un an après l’application du règlement eIDAS en France (juillet 2016), aucune offre de service de conservation qualifiée des signatures électroniques qualifiées n’est encore disponible sur le marché Français. Faut-il que la réglementation évolue sur le modèle de la Belgique pour permettre le développement de ce type de service ?

Christian Dubourg

Responsable du GT eIDAS eFutura
Directeur Marketing Produit Spark Archives

Nous contacter : 

Sources

« La loi Belge du 21 juillet 2016 mettant en oeuvre  le règlement européen eIDAS et le complétant avec des règles sur l’archivage électronique : analyse approfondie » par Didier GOBERT en octobre 2016 sur www.droit-technoqlogie.org.