Comment s’y retrouver ? Quel certificat de signature choisir et vers qui se tourner ? Je me suis penchée sur la question après avoir lu un supplément d’un magasine consacré à cette question. Je n’ai rien compris 😅 et comme je suis un peu têtue, j’ai cherché à comprendre. Voici le résultat !
Les caractéristiques requises d’un certificat de signature électronique adapté à la signature des marchés publics
2 conditions cumulatives : des références techniques minimales émanant de prestataires certifiés et identifiés.
Références techniques minimales requises …
Dans la commande publique en France sont autorisées les signatures électroniques correspondant à des niveaux de sécurité de type 3 ou 4 :
- soit la signature électronique avancée avec certificat qualifié (niveau 3),
- soit la signature électronique qualifiée (niveau 4).
Quelle est la différence entre les 2 ?
La réponse se trouve dans la réglementation européenne sur l’identification électronique et les services de confiance pour les transactions électroniques (dite réglementation eIDAS) du 23 juillet 2014.
Elle définit 3 niveaux de signature électronique :
- la signature simple
- la signature avancée
- la signature qualifiée
👉 ZOOM sur les 2 dernières catégories de signature, la première n’étant pas valable pour signer un marché.
La signature électronique avancée avec certificat qualifié : niveau suffisant pour signer des marchés publics
La signature avancée est requise dans le cadre de transactions financières conséquentes ou de signature de documents pouvant présenter des enjeux juridiques importants comme :
- la réponse aux appels d’offres en marchés publics,
- la signature électronique des factures sur Chorus pro au format pdf avant de les déposer sur la plateforme Chorus pro facture.
La signature électronique avancée doit :
- Être liée à son signataire de manière unique et claire
- Permettre d’identifier formellement le signataire
- Être créée par des moyens sous le contrôle exclusif du signataire comme son téléphone ou son ordinateur personnel
- Garantir que l’acte auquel elle s’attache ne pourra pas être modifié
Avec un certificat qualifié (obligatoire pour les marchés publics), cela ajoute une condition :
Inclure une vérification en face à face de l’identité du signataire au cours de laquelle le certificat sera délivré sur un support USB (le plus courant).
La signature électronique qualifiée : la rolls de la signature électronique
La signature électronique qualifiée est le stade le plus poussé de sécurité en matière de signature électronique.
Elle reprend les mêmes critères de sécurité que la signature avancée mais repose sur un certificat qualifié de signature électronique.
Parmi les exigences relatives à la mise en œuvre de la signature électronique qualifiée, la plus notable et la plus impactante est l’obligation d’identifier le signataire en face à face préalablement à toute opération de signature.
La différence vient ensuite du support cryptographique sur lequel est installé le certificat numérique. La clé privée dudit certificat doit être, selon la réglementation eIDAS, protégée dans un dispositif qualifié QSCD. Ce support doit obtenir une qualification de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). On est sur des contraintes ++ pour le prestataire qu’il va nécessairement répercuter sur ses clients.
Autre différence, son effet juridique est équivalent à celui d’une signature manuscrite, là où les autres niveaux de signature électronique disposent d’une valeur probatoire. Le procédé d’identification est présumé fiable, ce qui entraîne un renversement de la charge de la preuve. La personne mettant en cause l’identification devra alors prouver que celle-ci est erronée.
Il s’agit du plus haut niveau, le plus sécurisé mais aussi le plus compliqué à mettre en œuvre (nombreux audits à prévoir). Son utilisation peut être réservée à des cas obligatoires en vertu de la loi ou pour les cas où les risques de contentieux sont importants et peuvent avoir des conséquences très sérieuses pour l’entreprise.
- Actes officiels envoyés à l’administration,
- Acquisition d’un bien immobilier,
- Contrat d’assurance vie,
- Opération bancaires importantes
Très clairement, la signature électronique avancée avec certificat qualifié est amplement suffisante pour tout ce qui touche les marchés publics (signature contrat comme facturation).
… émanant de Prestataires“habilités”
Il faut désormais choisir son prestataire.
L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) a établi une liste des prestataires de services de confiance qualifiés.
Très sincèrement, la liste n’est pas des plus lisibles…
Pour notre santé mentale à tous 🥳, le Ministère de l’Economie et des Finances a mis à jour son « guide [très pratique] de la dématérialisation des marchés publics » et communique à titre d’exemple :
“les prestataires de service de confiance qualifiés eIDAS qui commercialisent des certificats utilisables dans la commande publique :
- CertEurope
- Certigna
- Certinomis
- ChamberSign France
- Docusign France
- Universign”
Après recherches, les solutions de niveau 3 (signature électronique avancée avec certificat qualifié) de ces prestataires sont les suivantes :
- Solution CertEurope : Certificat RGS**
- Solution Certigna : certificat Certigna RGS**/EiDAS
- Solution Certinomis (attention a priori c’est du niveau 4) : Certinomis Décideur ou Certinomis Dirigeant
- Solution Chambersign : Eiducio double usage
- Solution Docusign : K.Sign Qualified
- Solution Universign : je n’ai pas trouvé sur le site les noms des solutions proposées. Un contact est obligatoire pour connaitre l’offre de ce prestataire.
Quel prestataire de signature éléctronique choisir ?
Bienvenue, dans la jungle des prestataires de certificat électronique de signature !
La difficulté va être de choisir et de connaitre les tarifs.
A part quelques prestataires qui affichent les prix, les prérequis et le déroulement des opérations, le sites des prestataires sont un peu nébuleux.
La démarche de choix n’est pas vraiment facilité.
Par conséquent, tu as 2 solutions :
1- Tu prends une solution qui a fait l’effort de la clarté et de la transparence, sans garantie d’avoir le meilleur service au meilleur prix,
2 -Tu contactes tous les prestataires pour avoir une vision globale du sujet et choisir en toute connaissance de cause la solution qui te convient le mieux.
Pour avoir le choix, il faut que tu anticipes, sinon c’est le critère de délai de délivrabilité qui va l’emporter sur tout le reste.
Pourtant, les réponses aux points suivants ont toutes leur importance :
✅ Délai d’obtention de la solution à compter de la signature du contrat,
✅ Modalités d’accompagnement et d’assistance à la mise en place (hotline – personne physique – document papier uniquement…)
✅ Coût (bien sûr) et choix de la durée d’achat (annule ou pluriannuel)
✅ Localisation du face à face (remise en mains propres du support de signature)
La signature électronique des marchés publics…passage à l’action concrètement.
Une mise en place en 5 étapes
Tu as choisi ton prestataire et ensuite ?
J’ai essayé de rassembler un max d’informations pratiques sur le sujet. N’étant pas utilisatrice personnellement, je cite mes sources parce qu’il faut toujours “rendre à César ce qui est à César !” 🤗
Etape 1 : La commande se fait sur le site du prestataire
C’est le plus simple ! C’est toujours très bien expliqué.
Etape 2 : Il faudra joindre des documents originaux …
…par courrier le plus souvent !! Si, si 😂
L’objectif est double :
- Valider l’identité du demandeur et du futur titulaire du certificat
- Formulaire d’abonnement signé en original par le représentant légal de l’entreprise ou le délégataire et le demandeur.
- Conditions Générales d’Utilisation du prestataire paraphées par le demandeur du certificat.
- Copie d’une pièce d’identité du représentant légal et du délégataire (en cours de validité).
- Copie d’une pièce d’identité du titulaire du certificat (en cours de validité), certifiée conforme à l’original par lui-même.
- En cas de délégataire : une délégation de signature.
- Valider également l’identité de l’organisation professionnelle
- Entreprise inscrite au RCS ou association : extrait du registre du Commerce et des Sociétés original à jour et de moins de 3 mois du siège (KBIS) ou document assimilé.
- Entreprise non inscrite au RCS : copie de l’attestation d’immatriculation en cours de validité certifiée par le représentant légal.
ATTENTION : un certificat de signature électronique vaut pour une personne et est lié à l’identité d’une personne physique.
Le certificat d’un salarié ou d’un dirigeant qui quitte l’entreprise doit être révoqué auprès du prestataire et un nouvel certificat est nécessaire pour son remplaçant
Etape 3 : La remise du certificat
Le plus souvent, une remise en mains propres est proposée. Ce dispositif permet de sécuriser la délivrance du certificat à la bonne personne.
L’objectif est de vérifier l’identité de la personne qui va réceptionner la clé ou la carte à puce. Il s’agit d’un rapprochement entre la carte d’identité originale, la copie certifiée conforme de la carte d’identité et la personne elle-même « facialement ».
Cela signifie que le futur signataire doit se déplacer personnellement. Ce lieu de rendez-vous est variable selon les prestataires. Il peut avoir lieu chez le prestataire (siège social), au sein de son réseau ou auprès d’une personne assermentée ou mandatée.
Etape 4 : Préparer son poste de travail
Pour rendre utilisable le certificat de signature, il te faut :
- Installer le pilote de périphérique de la clef USB ou du lecteur de carte à puce, fourni par ton prestataire en même temps que le support ;
- Publier le certificat sur le poste de travail (action automatique sous Internet Explorer). Avec certains navigateurs, il faudra installer le module cryptographique correspondant au Support (dans le menu du navigateur, aller dans « Edit » > « Préférences » > « Privacy & Security » > « Certificats ») Source achatpublic.com
Etape 5 : y’a plus qu’à
Qu’est ce que je dois signer et quand ?
Lors de la remise des plis, la réglementation n’ impose pas la signature électronique. Elle laisse libre l’acheteur public de la prévoir dans les pièces de la consultation : avis de publicité (AAPC) et/ou Règlement de consultation (RC).
Par conséquent, une des premiers choses à faire si tu ne possèdes pas de certificat électronique est de vérifier si l’acheteur public exige cette signature dès le dépôt de l’offre.
Si tu réponds sans signer ton offre électroniquement alors que c’est expressément demandé par l’acheteur public, ton offre sera déclarée irrégulière et ne sera pas analysée. Tu n’auras aucun recours en justice possible.
Par conséquent, histoire de ne pas travailler à blanc, vérifie bien ce point avant de mettre toute ton énergie dans la rédaction de ta réponse.
En principe, les documents suivants n’ont pas à être signés électroniquement au stade de la candidature :
- Les documents de la candidature: DC1 – DC2 ou DUME
- L’acte d’engagement
- Déclaration de sous traitance
- La convention de groupement momentanée d’entreprise (GME)
- L’habilitation du mandataire,
- Les autres pièces du marché : CCAP-CCTP – pièces financières – mémoire technique
L’attributaire pressenti devra en revanche signer ces documents, électroniquement ou manuscritement, selon ce qui a été prévu par l’acheteur public dans le RC.
En cas de silence dans le RC, l’acheteur ne pourra exiger après coup une signature électronique de l’offre. Tu pourras donc la signer manuscritement.
En revanche, s’il est prévu que la signature sera électronique, le certificat électronique est obligatoire.
Si tu as déjà regardé un peu avant ce que les prestataires de certificat électronique proposent, à quel prix et avec quelles modalités d’accompagnement, de délivrance et de délais, ça peut passer …
Un des critères majeurs d’achat, si tu ne l’as pas déjà, sera la rapidité du prestataire à organiser un face à face pour te donner le fameux sésame !
Autre précision, ne pas signer un fichier compressé, autrement dit un .zip.
Cela a l’air plus simple mais en fait pas du tout. Le fait de signer électroniquement un zip équivaut à signer la pochette et non les documents contenus dedans.
Si tu souhaites envoyer un dossier compressé, ce n’est pas un problème. Mais ce sont les documents qui requirent une signature électronique qui devront être signés individuellement avant d’être zippés au dossier.
Comment ça fonctionne en pratique ?
Pour signer électroniquement un marché, tu as besoin de 2 choses :
- Un stylo ➡️ton support de certificat électronique (ce que tu as acheté),
- Un tableau blanc ➡️ un outil de signature te permettant d’apposer ta signature avec ton certificat sur le document souhaité
Sur ce dernier point, tu n’as pas besoin d’acheter un outil spécifique. Tu peux utiliser l’outil de signature mis à disposition sur les plateformes de dématérialisation de l’acheteur public.
Je repars sur mon exemple d’AWS.
Je ne suis toujours pas sponsorisée 🤣. C’est le plus gros donc je prends un exemple représentatif.
Bien évidemment tous les profils acheteurs fournissent gratuitement cet outil de signature.
Tu dois télécharger AWS signature sur ton poste de travail. Il nécessite Java 1,7+. Cela impose pour l’instant Firefox ou Internet Explorer.
A noter qu’AWS est en train de tester une nouvelle version appelée AWS crypto qui ne rendrait plus nécessaire la mise en place de java. Affaire à suivre donc car tout ce qui est de nature à simplifier est bon à prendre.
La marche à suivre, donnée par AWS, est la suivante :
1 – Pour signer l’ensemble de son pli en une seule opération, faire un « glisser – déposer » du dossier global, y compris s’il contient des sous-dossiers, depuis l’explorateur de fichiers Windows dans la fenêtre d’AWS-Signature.
2 – Sélectionnez les pièces à signer
3 – En bas de la zone grise, faire « Signer la sélection »
4 – Le «magasin de certificats» va s’ouvrir, cliquer sur son certificat, donner son code PIN.
Attention les certificats RGS** doivent être connectés sur un port USB de votre PC.
La signature des fichiers se lance, et les fichiers seront signés directement dans leur dossier Explorateur Windows.
✨ MA-G-I-QUE ! ✨
La signature électronique ? Alors ? Irais-je, n’irais-je pas, aurais-je le choix ?
Si tu souhaites remporter des marchés publics, tu dois te préparer à sauter le pas. Pour l’instant de nombreux acheteurs publics jouent le jeu. Ils ne demandent pas de signature électronique lors du dépôt de l ’offre.
Néanmoins, cela ne va pas durer. Pour lutter contre la paperasse et « sauver les arbres »🌳, les acheteurs publics vont montrer l’exemple et l’archivage électronique a déjà commencé dans de nombreuses collectivités.
Par conséquent, si l’acheteur public archive électroniquement, il parait inéluctable qu’il ne va pas interrompre la chaîne de dématérialisation en rematérialisant un acte d’engagement pour y apposer des signatures manuelles.
Tu dois anticiper, regarder les prix, les contraintes et le service fourni pour avoir une bonne vision du marché et pouvoir sauter rapidement le pas quand tu n’auras plus le choix.
La matière évolue. N’hésite pas à m’envoyer un message si tu notes des modifications sur le sujet. Je ferais une mise à jour.
Un groupe Facebook est également a ta disposition pour échanger, poser tes questions et rencontrer d’autres entrepreneurs qui sont dans la même dynamique que toi ! Nous pourrons échanger de manière plus directe sur les thématiques qui t’intéressent
