En début 2017, l’ANSSI a publié sur son site Internet la version 1.0 des critères d’évaluation français de la conformité au règlement eIDAS pour les services de validation qualifiés des signatures électroniques qualifiées et des cachets électroniques qualifiés. Ces critères s’appliquent aux prestataires qui souhaitent proposer ce type de service et qui s’engagent à respecter le cahier des charges de l’ANSSI.

Obligations du PSCo

En France, la prestation rendue liée à la validation de la signature ou du cachet électronique consiste pour le PSCo, à vérifier la signature électronique ou le cachet électronique utilisé pour signer un document et à produire et conserver un rapport de validation fiable et dûment signé par le prestataire de service qualifié qui a opéré la validation. Le processus de validation doit prévoir de vérifier que :

• le certificat sur lequel repose la signature était, au moment de la signature, un certificat qualifié de signature électronique ;
• Le certificat qualifié a été délivré par un prestataire de services de confiance qualifié et était valide au moment de la signature ;
• Les données de validation de la signature correspondent aux données communiquées à la partie utilisatrice ;
• L’ensemble unique de données représentant le signataire dans le certificat est correctement fourni à la partie utilisatrice ;
• L’utilisation d’un pseudonyme est clairement indiquée à la partie utilisatrice, si un pseudonyme a été utilisé au moment de la signature ;
• La signature électronique a été créée par un dispositif de création de signature électronique qualifié ;
• L’intégrité des données signées n’a pas été compromise ;
• Les exigences relatives à la signature électronique avancée ont été satisfaites au moment de la signature ;

Les parties utilisatrices du service de validation doivent recevoir le résultat du processus de validation de manière automatisée, fiable, efficace et portant la signature électronique avancée ou le cachet électronique avancé du prestataire fournissant le service de validation qualifié.

Conserver les éléments liés au procesus de validation

Le PSCo doit permettre l’accès au service de validation de signature ou de cachet, et la mise à disposition des parties utilisatrices de ce rapport de validation, de manière automatisée. Il doit conserver pendant sept ans, toutes les informations pertinentes, transmises par le demandeur ou recueillies électroniquement pour la validation de la signature électronique ou du cachet électronique.

Archivage ou non ?

Pour permettre de faire valider un document signé par un PSCo et si la signature est intégrée dans le document (cas des signatures PAdES par exemple dans un fichier PDF), il est nécessaire de transmettre le fichier pdf signé pour validation au PSCo. Bien entendu, ce dernier n’est pas tenu de fournir un service de conservation et n’est pas censé conserver le document signé après validation à moins qu’il puisse proposer également un service de conservation qualifié des signatures et cachets électroniques et que les parties utilisatrices souhaitent utiliser ce service. 

L’application de l’exigence liée à la conservation pendant 7 ans des informations pertinentes transmises par le demandeur pourrait-être dans certains cas d’application délicate selon le contenu des documents transmis !!! Pour traiter ce point, l’ANSSI précise sur l’exigence de conservation des données à conserver que le pPSCo doit conserver : « Les données fournies par le demandeur pour la validation de signature ou de cachet (valeur de la signature électronique ou du cachet électronique si celle-ci est séparable du document signé ou représentation unique du document signé dans le cas contraire) ainsi que l’identité du demandeur si celui-ci a fait l’objet d’une identification pour l’accès au service »

Christian Dubourg
Directeur Marketing Produit Spark Archives