En bref
Un service de confiance est un service électronique, normalement payant, qui sert par exemple à signer, cacheter, horodater, envoyer un recommandé ou archiver Art. 3 §16. Une signature, un cachet ou un horodatage ne peut pas être privé d’effet juridique au seul motif qu’il est électronique ou non qualifié Art. 25 §1 Art. 35 §1 Art. 41 §1. La version qualifiée apporte en plus un effet défini par le règlement : équivalence avec la signature manuscrite, ou présomption d’intégrité, d’origine ou d’exactitude Art. 25 §2 Art. 35 §2 Art. 41 §2. Elle est reconnue dans tous les États membres Art. 24 bis.
Les prestataires de services de confiance, qualifiés ou non, et la façon dont le statut qualifié s’obtient sont présentés à l’étape 2. Cette page décrit les services eux-mêmes ; la page suivante traite des attestations, de l’archivage, des registres et de la gestion à distance des dispositifs de signature.
Qu’est-ce qu’un service de confiance ?
Le règlement définit le service de confiance comme :
un service électronique normalement fourni contre rémunération qui consiste en l’une des
activités suivantes:
Suivent quatorze activités, que l’on peut regrouper par famille :
| Famille | Activités énumérées par le règlement | Source |
|---|---|---|
| Certificats | délivrer et valider des certificats de signature, de cachet, d’authentification de site internet ou pour d’autres services de confiance | Art. 3 §16, a) Art. 3 §16, b) |
| Signatures et cachets | les créer, les valider, les conserver ; gérer à distance les dispositifs qui servent à les créer | Art. 3 §16, c) Art. 3 §16, d) Art. 3 §16, e) Art. 3 §16, f) |
| Attestations d’attributs | les délivrer et les valider | Art. 3 §16, g) Art. 3 §16, h) |
| Horodatage | créer et valider des horodatages | Art. 3 §16, i) Art. 3 §16, j) |
| Envoi recommandé | fournir le service, et valider les données transmises et leurs preuves | Art. 3 §16, k) Art. 3 §16, l) |
| Archivage | archiver des données et des documents électroniques | Art. 3 §16, m) |
| Registres | enregistrer des données dans un registre électronique | Art. 3 §16, n) |
Un service de confiance qualifié est un service qui satisfait aux exigences du règlement Art. 3 §17. Il est fourni par un prestataire qui a obtenu de l’organe de contrôle le statut qualifié Art. 3 §20.
Ce que « qualifié » change : la logique commune
Pour la plupart des services, le règlement suit le même schéma en deux temps.
- Pas de discrimination. L’effet juridique et la recevabilité comme preuve en justice ne peuvent être refusés au seul motif que la signature, le cachet, l’horodatage ou les données d’envoi recommandé se présentent sous forme électronique, ou ne satisfont pas aux exigences de la version qualifiée Art. 25 §1 Art. 35 §1 Art. 41 §1 Art. 43 §1.
- Un effet renforcé pour le qualifié. Le règlement attache à la version qualifiée un effet précis : équivalence avec la signature manuscrite pour la signature, présomptions pour les autres services Art. 25 §2 Art. 35 §2 Art. 41 §2 Art. 43 §2.
S’y ajoute la reconnaissance mutuelle : une signature qualifiée reposant sur un certificat qualifié délivré dans un État membre est reconnue comme telle dans tous les autres, et il en va de même pour chaque service qualifié Art. 24 bis §1 Art. 24 bis.
La signature électronique
Une signature électronique est faite de données électroniques jointes ou associées à d’autres données, que le signataire utilise pour signer Art. 3 §10. Le signataire est toujours une personne physique Art. 3 §9. Le règlement distingue trois niveaux.
Le schéma se lit de bas en haut. La signature électronique avancée satisfait à quatre exigences : être liée au signataire de manière univoque, permettre de l’identifier, avoir été créée avec des données de création de signature qu’il peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif, et être liée aux données signées de sorte que toute modification ultérieure soit détectable Art. 26, a) Art. 26, b) Art. 26, c) Art. 26, d). La signature électronique qualifiée est une signature avancée créée à l’aide d’un dispositif de création de signature électronique qualifié (en anglais QSCD) et qui repose sur un certificat qualifié de signature électronique Art. 3 §12. Le dispositif est le logiciel ou le matériel qui crée la signature ; il est qualifié s’il satisfait aux exigences de l’annexe II Art. 3 §22 Art. 3 §23. Le certificat relie les données de validation de la signature à une personne physique et confirme au moins son nom ou son pseudonyme ; il est qualifié s’il est délivré par un prestataire qualifié et satisfait à l’annexe I Art. 3 §14 Art. 3 §15.
L’effet de la signature qualifiée est posé en une phrase :
L’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une
signature manuscrite.
Le certificat qualifié. Il ne fait l’objet d’aucune exigence obligatoire allant au-delà de l’annexe I, mais peut comprendre des attributs supplémentaires non obligatoires Art. 28 §2 Art. 28 §3. Révoqué après sa première activation, il perd sa validité à compter du moment de sa révocation et ne peut en aucun cas recouvrer son statut antérieur Art. 28 §4. Les États membres peuvent prévoir des règles nationales de suspension temporaire, à deux conditions : le certificat perd sa validité pendant la suspension ; la période de suspension est clairement indiquée dans la base de données relative aux certificats, et le statut de suspension est visible, pendant cette période, auprès du service qui informe sur le statut du certificat Art. 28 §5. Les normes de référence de ce certificat figurent dans le règlement d’exécution 2025/1943 Art. 1 §1 ; un certificat qui les respecte est présumé conforme à l’annexe I Art. 28 §6.
Le dispositif qualifié. Il respecte l’annexe II Art. 29 §1, et sa conformité est certifiée par des organismes désignés par les États membres Art. 30 §1. Cette certification est détaillée à l’étape 5.
La validation. Valider une signature qualifiée, c’est vérifier notamment que le certificat était qualifié et valide au moment de la signature, que la signature a été créée par un dispositif qualifié et que les données signées n’ont pas été altérées Art. 32 §1. Le système de validation doit donner à la partie utilisatrice le résultat correct et lui permettre de détecter tout problème de sécurité pertinent Art. 32 §2. Un service de validation qualifié ne peut être fourni que par un prestataire qualifié, qui transmet le résultat de manière automatisée, fiable et efficace, revêtu de sa signature ou de son cachet avancé Art. 33 §1. Les normes de référence figurent dans les règlements d’exécution 2025/1945 (validation) et 2025/1942 (service de validation qualifié) Art. 1 §1 Art. 1.
La conservation. Un service de conservation qualifié utilise des procédures et des technologies qui étendent la fiabilité des signatures qualifiées au-delà de leur période de validité technologique Art. 34 §1 ; ses normes figurent dans le règlement d’exécution 2025/1946 Art. 1.
Dans les services publics. Un État membre qui exige une signature avancée pour un service public en ligne reconnaît les signatures avancées, les signatures avancées reposant sur un certificat qualifié et les signatures qualifiées, au moins dans les formats ou selon les méthodes définis par actes d’exécution Art. 27 §1. Le règlement d’exécution 2026/248 fixe ces formats ; ceux de son annexe II ne sont reconnus que pour les signatures créées avant le 23 février 2028 Art. 1 §1 Art. 1 §2. Il admet aussi d’autres formats, lorsque l’État membre du prestataire du signataire propose des méthodes de validation qui remplissent les conditions qu’il fixe Art. 2. Pour une utilisation transfrontalière dans un service en ligne offert par un organisme du secteur public, un État membre ne peut pas exiger un niveau de sécurité supérieur à celui de la signature qualifiée Art. 27 §3.
Le cachet électronique
Le cachet électronique concerne les personnes morales : le créateur de cachet est une personne morale Art. 3 §24, et le cachet sert à garantir l’origine et l’intégrité des données auxquelles il est joint Art. 3 §25. Les niveaux sont les mêmes : le cachet avancé répond à quatre exigences, le cachet qualifié est un cachet avancé créé avec un dispositif qualifié et reposant sur un certificat qualifié de cachet Art. 36 Art. 3 §27. Une nuance : pour le cachet avancé, les données de création sont utilisées « sous son contrôle » par le créateur, là où la signature avancée exige un « contrôle exclusif » Art. 36, c) Art. 26, c).
L’effet du cachet qualifié n’est pas une équivalence mais une présomption :
Un cachet électronique qualifié bénéficie d’une présomption d’intégrité des données et
d’exactitude de l’origine des données auxquelles le cachet électronique qualifié est lié.
Les certificats qualifiés de cachet satisfont à l’annexe III Art. 38 §1. Pour les dispositifs, leur certification, la validation et la conservation, les règles de la signature s’appliquent avec les adaptations nécessaires (mutatis mutandis) Art. 39 Art. 40. Les normes des certificats qualifiés de cachet figurent à l’annexe II du règlement d’exécution 2025/1943 Art. 1 §2.
L’horodatage électronique
Un horodatage électronique associe des données à un instant et prouve qu’elles existaient à cet instant Art. 3 §33.
Un horodatage électronique qualifié bénéficie d’une présomption d’exactitude de la date et
de l’heure qu’il indique et d’intégrité des données auxquelles se rapportent cette date et
cette heure.
Pour être qualifié, l’horodatage lie la date et l’heure aux données de manière à exclure raisonnablement toute modification indétectable, repose sur une horloge exacte liée au temps universel coordonné, et est signé ou cacheté par le prestataire qualifié au moyen d’une signature ou d’un cachet avancé, ou par une méthode équivalente Art. 42 §1. Le respect des normes de référence fait présumer la conformité du lien entre date, heure et données et de l’exactitude de l’horloge Art. 42 §1 bis ; ces normes figurent dans le règlement d’exécution 2025/1929 Art. 1.
L’envoi recommandé électronique
Un service d’envoi recommandé électronique transmet des données entre des tiers, fournit des preuves de leur traitement (dont l’envoi et la réception) et les protège contre la perte, le vol, l’altération ou toute modification non autorisée Art. 3 §36. Dans sa version qualifiée, les données envoyées et reçues bénéficient d’une présomption :
Les données envoyées et reçues au moyen d’un service d’envoi recommandé électronique
qualifié bénéficient d’une présomption quant à l’intégrité des données, à l’envoi de ces
données par l’expéditeur identifié et à leur réception par le destinataire identifié, et
à l’exactitude de la date et de l’heure de l’envoi et de la réception indiquées par le
service d’envoi recommandé électronique qualifié.
Le service qualifié est fourni par un ou plusieurs prestataires qualifiés ; il identifie l’expéditeur avec un degré de confiance élevé et le destinataire avant de lui remettre les données ; l’envoi et la réception sont sécurisés par une signature ou un cachet avancé du prestataire ; toute modification nécessaire à l’envoi est signalée ; date et heure sont indiquées par un horodatage qualifié. Quand plusieurs prestataires qualifiés se transmettent les données, ces exigences s’appliquent à chacun Art. 44 §1. Les prestataires peuvent convenir de rendre leurs services interopérables ; un organisme d’évaluation de la conformité confirme alors que ce cadre respecte les mêmes exigences Art. 44 §2 bis. Le règlement d’exécution 2025/1944 fixe les normes du service et celles de l’interopérabilité Art. 1 Art. 2.
L’authentification de site internet
Un certificat d’authentification de site internet permet d’authentifier un site et le relie à la personne physique ou morale à qui il est délivré Art. 3 §38. Le certificat qualifié (en anglais QWAC, qualified website authentication certificate) est délivré par un prestataire qualifié et satisfait à l’annexe IV Art. 3 §39.
Ici, l’article consacré au certificat qualifié ne parle pas d’effet juridique : il organise sa reconnaissance par les navigateurs internet. Ceux-ci reconnaissent les certificats qualifiés et affichent de manière conviviale les données d’identité et les attributs qu’ils attestent. Ils garantissent aussi la compatibilité et l’interopérabilité avec ces certificats, à l’exception des micro ou petites entreprises pendant leurs cinq premières années d’activité comme fournisseurs de navigateurs Art. 45 §1 bis. Un navigateur ne peut prendre de mesures conservatoires contre un certificat qu’en cas de préoccupations étayées concernant une atteinte à la sécurité ou une perte d’intégrité ; il doit alors les notifier, notamment à la Commission et à l’organe de contrôle, qui enquête Art. 45 bis §2 Art. 45 bis §3 Art. 45 bis §4. Comme les autres services qualifiés, le certificat qualifié délivré dans un État membre est reconnu dans tous les autres Art. 24 bis §7.
L’évaluation du respect de l’annexe IV est effectuée conformément aux normes de référence fixées par acte d’exécution Art. 45 §1. C’est le règlement d’exécution 2025/2527, applicable à partir du 6 janvier 2027 Art. 1 Art. 2. Son annexe distingue deux cas. Pour les certificats délivrés en vue d’une utilisation dans « l’authentification de sécurité de la couche « transport » en dehors du cadre d’un navigateur web », il cite soit la norme ETSI EN 319 411-2 V2.6.1, les certificats étant alors délivrés selon l’une des politiques de certification QNCP-w-gen, QEVCP-w ou QNCP-w qu’elle définit, soit la spécification ETSI TS 119 495 V1.7.1. Pour les autres certificats, y compris dans un navigateur, la spécification ETSI TS 119 411-5 V2.1.1 Liste des normes de référence applicables aux certificats qualifiés d’authentification de site internet ETSI EN 319 411-2 V2.6.1 ETSI TS 119 495 V1.7.1 ETSI TS 119 411-5 V2.1.1.
Version citée
Le règlement d’exécution 2025/2527 vise la version V1.7.1 de la spécification ETSI TS 119 495 Liste des normes de référence applicables aux certificats qualifiés d’authentification de site internet. La dernière version publiée de cette spécification est la V1.8.1 ETSI TS 119 495 V1.7.1.
Tableau récapitulatif
| Service | Effet de la version qualifiée | Exigences principales du qualifié | Normes de référence |
|---|---|---|---|
| Signature électronique | équivalente à la signature manuscrite Art. 25 §2 | signature avancée + dispositif qualifié + certificat qualifié Art. 3 §12 | certificats : 2025/1943 Art. 1 §1 ; validation : 2025/1945 Art. 1 §1 |
| Cachet électronique | présomption d’intégrité et d’exactitude de l’origine Art. 35 §2 | cachet avancé + dispositif qualifié + certificat qualifié de cachet Art. 3 §27 | certificats : 2025/1943 Art. 1 §2 |
| Horodatage | présomption d’exactitude de la date et de l’heure et d’intégrité des données Art. 41 §2 | lien qui exclut raisonnablement toute modification indétectable, horloge exacte liée au temps universel coordonné, signature ou cachet du prestataire Art. 42 §1 | 2025/1929 Art. 1 |
| Envoi recommandé | présomption d’intégrité, d’envoi, de réception et d’exactitude des date et heure Art. 43 §2 | identification de l’expéditeur et du destinataire, envoi sécurisé, horodatage qualifié Art. 44 §1 | 2025/1944 Art. 1 |
| Certificat d’authentification de site internet | reconnaissance par les navigateurs et affichage convivial ; compatibilité garantie, sauf par les micro et petites entreprises pendant leurs cinq premières années Art. 45 §1 bis | exigences de l’annexe IV Art. 45 §1 | 2025/2527, applicable à partir du 6 janvier 2027 Art. 2 |
Pour chaque service, le règlement d’exécution indiqué contient la liste des normes ; la façon dont ces normes s’imposent ou font présumer la conformité varie d’un article à l’autre. L’étape 5 le détaille.
Consolidation sans valeur officielle
Cette page cite la version consolidée, publiée sur EUR-Lex, du règlement 910/2014 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024. Cette consolidation est un outil de documentation : seuls les textes publiés au Journal officiel de l’Union européenne font foi.
À retenir
- Quatorze activités forment les services de confiance, de la délivrance de certificats à l’enregistrement dans un registre électronique Art. 3 §16.
- Un service non qualifié ne peut pas être privé d’effet juridique au seul motif qu’il n’est pas qualifié Art. 25 §1 Art. 43 §1.
- La signature qualifiée équivaut à la signature manuscrite ; cachet, horodatage et envoi recommandé qualifiés bénéficient de présomptions Art. 25 §2 Art. 35 §2 Art. 41 §2 Art. 43 §2.
- Les services qualifiés sont reconnus dans tous les États membres Art. 24 bis.
- Les navigateurs doivent reconnaître les certificats qualifiés d’authentification de site internet Art. 45 §1 bis.
Rédaction Asphalia.