eIDAS : "pas une révolution pour la signature électronique, mais du bon sens"

Sommaire du dossier :

• Visa pour la signature électronique
• Signature électronique : du mouvement chez les éditeurs
• La signature électronique, comment ça marche ?
• eIDAS : "pas une révolution pour la signature électronique, mais du bon sens"
• Signature électronique : je loue mon appart en un clic
• Le parapheur électronique, bien plus qu'une signature

Dimitri Mouton est consultant, fondateur du cabinet Demaeter et auteur de l'ouvrage "Sécurité de la dématérialisation" (Eyrolles, 2012).

Quel sera l'impact du nouveau règlement européen eIDAS sur les pratiques de la signature électronique ? 

Le règlement eIDAS, qui vient d'entrer en application simultanément dans les 28 pays de l’Union, fixe un cadre commun pour tous ces pays, au travers de définitions d’abord (signature électronique, signature électronique avancée, signature électronique qualifiée), de normes à respecter ensuite et, enfin, d’obligations de mise en œuvre pour tous les services dématérialisés, sauf ceux qui concernent un ensemble fermé d’utilisateurs. Ainsi, il va simplifier la façon d’aborder la signature électronique pour les projets d’ampleur européenne.

Toutefois, la définition de la signature électronique donnée par eIDAS est complètement tautologique : « des données que le signataire utilise pour signer » ! On peut mettre un peu tout derrière cela, et ce sera la jurisprudence qui permettra d’identifier les bonnes pratiques. En attendant, il convient d’être prudent et de ne pas foncer tête baissée vers la facilité apparente.

Pour le secteur public, la frontière entre eIDAS et le Référentiel général de sécurité (RGS) n’est pas claire. Il semble que les autorités administratives doivent toujours se conformer au RGS pour ce qui est de leur obligation d’homologation, mais en appliquant les niveaux de sécurité définis par eIDAS. Toutefois, aucun texte ne confirme encore cette approche.

En résumé : eIDAS offre de nouvelles définitions, souvent très proches de celles des textes déjà en vigueur, et ne représente pas une révolution pour la mise en œuvre de la signature électronique, juste une occasion de plus de mettre en œuvre son bon sens.

Le marché des éditeurs sera-t-il impacté par eIDAS ? 

De ce point de vue, eIDAS offre une véritable évolution, en homogénéisant les modalités de qualification des prestataires de services de confiance au niveau européen. La France a, de ce point de vue, avec l’Allemagne, toujours été parmi les pays les plus exigeants en termes de sécurité : la qualification RGS impose aux prestataires français un niveau de sécurité très élevé.

L’homogénéisation des niveaux via eIDAS va nécessairement créer une ouverture concurrentielle au niveau européen, avec un nivellement vers le bas des pratiques. En effet, jusqu’ici, les exigences de respect du RGS franco-français ont plutôt rebuté les prestataires étrangers, et fait éclore de nombreux prestataires français de bonne qualité, mais peu concurrentiels à l’export du fait des coûts plus importants pesant sur eux.

Les mois à venir vont être révélateurs de la tendance : le marché européen de la confiance existe-t-il réellement, ou les prestataires nationaux vont-ils conserver chacun la prépondérance dans leur pays ? Il semble que de nombreux prestataires soient dans les starting-blocks.

Quelles étapes une entreprises doit-elle respecter avant de mettre en place un dispositif de signature électronique ? 

La signature électronique n’est jamais une fin en soi : elle est un moyen permettant de conclure des contrats. Et elle n’est pas le seul moyen de le faire ! Il convient donc de commencer par exprimer son besoin de manière fonctionnelle. Ne dites pas « je veux déployer la signature électronique », mais « je veux que mes clients puissent passer des commandes sans se déplacer » ou « je ne veux plus avoir à stocker des dossiers papier »…

Il convient ensuite de procéder à une étude de sécurité juridique et technique. Menée de concert par un avocat et un ingénieur experts en dématérialisation, cette étude part du contexte du service (type d’utilisateurs, type de documents, contraintes juridiques spécifiques…) pour identifier les niveaux de sécurité nécessaires et suffisants et déterminer les bonnes pratiques applicables.

Notons par exemple qu’il y aura des différences majeures dans les résultats de l’étude selon que l’on est dans le secteur public ou le secteur privé, selon que l’on travaille entre professionnels ou vis-à-vis du grand public, selon les contraintes sectorielles auxquelles on est soumis (banque, données médicales, immobilier…).

Comment choisir une solution de signature électronique ? 

Le choix résultera de l’étude de sécurité, qui permet de rédiger le cahier des charges de mise en œuvre de la signature électronique et, plus globalement, de la sécurité applicative. En effet, la signature électronique passe en règle générale par plusieurs étapes : identifier les signataires (phase d’enregistrement), leur présenter les documents à signer et les obligations qui en découlent (information précontractuelle), les authentifier et recueillir leur consentement (phase de signature), tracer les actions réalisées (constitution du faisceau de preuve), conserver les documents signés (archivage électronique)…

Sur la base de ce cahier des charges, il convient de mettre en concurrence les prestataires du marché, car les solutions existantes sont très diverses aussi bien en termes d’ergonomie que de sécurité et de coût.

Là encore, face au discours commercial parfois peu lisible des prestataires, l’aide d’un consultant expert en signature électronique permet souvent d’effectuer le choix le plus judicieux.

Peut-on mesurer les gains générés par un dispositif de signature électronique ? 

Les gains sont de plusieurs natures. Tout d’abord, les économies de papier et d’affranchissement : c’est la partie émergée de l’iceberg. Ensuite, les gains de productivité : en évitant les erreurs de saisie, en permettant d’automatiser le traitement des dossiers, en accélérant la conclusion des contrats, en augmentant le taux d’aboutissement des démarches commerciales, en créant de nouveaux produits, la dématérialisation permet une optimisation humaine et financière pour l’entreprise.

Il existe bien entendu également un gain d’image : modernisme et écologie, certes, mais surtout qualité du service client, réactivité, meilleur suivi, proximité, horaires étendus…

Enfin, il y a un gain de sécurité, au travers de la capacité à désarmer ou à traiter plus efficacement les contentieux : pour cela, il faut mettre en œuvre, en parallèle du projet technique, les éléments juridiques qui le complètent : convention de preuve, politiques de sécurité, chemin de preuve et dossier de preuve. Là encore, l’avocat et l’ingénieur forment une équipe incontournable.