شهادة QSCD eIDAS: كل ما تحتاج لمعرفته للحصول عليها في فرنسا في 2026

يفرض الانتشار المتنامي للرقمنة على الشركات والإدارات إتقان مفاهيم تقنية دقيقة. من بين هذه المفاهيم، يحتل شهادة QSCD (Qualified Signature Creation Device) موقعاً مركزياً في آلية eIDAS. بدونها، لا يمكن إصدار أي توقيع إلكتروني مؤهل — وهو الوحيد الذي يتمتع بافتراض قانوني بقيمة معادلة للتوقيع اليدوي. ومع ذلك، فإن الغالبية العظمى من المؤسسات الفرنسية لا تزال تجهل ما هي شهادة QSCD، وكيف تختلف عن شهادة رقمية بسيطة وما الإجراءات التي تسمح بالحصول عليها. يقدم هذا المقال إجابة شاملة: التعريف التقني والأساس التنظيمي وقائمة الجهات المعتمدة في فرنسا وعملية الحصول خطوة بخطوة.

ما هي شهادة QSCD؟ التعريف والنطاق التنظيمي

QSCD هو اختصار إنجليزي يعني Qualified Signature Creation Device، والذي يترجم إلى الفرنسية بـ جهاز إنشاء التوقيع المؤهل. يشير إلى أداة مادية أو برمجية تولد وتخزن المفاتيح التشفيرية المستخدمة للتوقيع إلكترونياً، مع ضمان مستوى أمان أقصى محدد بواسطة لائحة eIDAS رقم 910/2014.

التمييز بين الشهادة المؤهلة و QSCD

من الضروري التمييز بين مفهومين غالباً ما يتم الخلط بينهما:

• الشهادة المؤهلة (Qualified Certificate for Electronic Signature، QCert) هي شهادة رقمية تصدرها جهة خدمات الثقة المؤهلة (PSCQ). تثبت هوية الموقِّع وتحتوي على مفتاحه العام.
• QSCD هو الـ دعم الآمن الذي يتم فيه إنشاء والاحتفاظ بالمفتاح الخاص المرتبط بالشهادة. قد يكون رمزاً USB تشفيرياً أو بطاقة ذكية أو HSM (وحدة أمان الأجهزة) أو QSCD بعيد المدى (remote QSCD) مستضاف لدى مزود الخدمة.

لكي يكون التوقيع مؤهلاً بموجب eIDAS، يجب أن يكون العنصران موجودين: شهادة مؤهلة و QSCD. تحدد الملحق الثاني من اللائحة المتطلبات التي يجب أن يستوفيها الجهاز (تفرد بيانات الإنشاء، استحالة استنتاج المفتاح الخاص، الحماية من التزييف، إلخ).

مستويات التوقيع الإلكتروني وموقع QSCD

تحدد لائحة eIDAS ثلاثة مستويات من التوقيع:

1. التوقيع الإلكتروني البسيط (SES): لا توجد متطلبات تقنية معينة.
2. التوقيع الإلكتروني المتقدم (AdES): مرتبط بشكل فريد بالموقِّع، تم إنشاؤه من بيانات تحت سيطرته الحصرية، ولكن بدون الحاجة الإلزامية لـ QSCD.
3. التوقيع الإلكتروني المؤهل (QES): يتطلب بشكل إلزامي شهادة مؤهلة مخزنة على QSCD. وهو المستوى الوحيد الذي يتمتع بـ افتراض قانوني بالمعادلة مع التوقيع اليدوي في جميع الدول الأعضاء.

لتعميق الاختلافات بين هذه المستويات الثلاثة، يقدم المقارنة بين حلول التوقيع الإلكتروني من Certyneo تحليلاً مفصلاً.

مزودو الخدمات المؤهلون (QTSP) في فرنسا: من يمكنه إصدار QSCD؟

في فرنسا، يقتصر إصدار الشهادات المؤهلة وتوفير QSCD على جهات خدمات الثقة المؤهلة (QTSP) المسجلة في قائمة الثقة الوطنية (Trust Service List، TSL)، التي تنشرها وتحتفظ بها ANSSI (الوكالة الوطنية لأمان أنظمة المعلومات).

ANSSI، سلطة الإشراف الفرنسية

تلعب ANSSI في فرنسا دور جهاز الإشراف (supervisory body) المنصوص عليه في المادة 17 من eIDAS. تدقق في مرشحي QTSP وفقاً لمعايير صارمة تتوافق مع المعايير ETSI EN 319 401 (المتطلبات العامة لمزودي الخدمات) و ETSI EN 319 411 (الشهادات المؤهلة). لا يمكن لمزود الخدمة أن يدعي أنه "مؤهل" دون أن يظهر في قائمة الثقة الفرنسية المنشورة بصيغة XML موقعة.

من بين مزودي الخدمات المؤهلين الفرنسيين المعتمدين يوجد جهات فاعلة مثل Certigna و CertEurope و Docaposte و Keynectis و Thales (سابقاً Gemalto). يقدم كل منهم عروض شهادات مؤهلة مخزنة على QSCD مادية (بطاقات ذكية وعصي USB) أو QSCD بعيد المدى، حيث يشهد الأخير نمواً قوياً منذ 2022.

QSCD بعيد المدى (remote QSCD): المعيار الجديد في المؤسسات

يمثل QSCD البعيد تطوراً رئيسياً: لم يتم تخزين المفتاح الخاص للموقِّع على دعم مادي يسلم للمستخدم، بل في HSM معتمد، مستضاف في البنية التحتية الآمنة لـ QTSP. يصل الموقِّع إلى جهازه من خلال مصادقة قوية (OTP وبيومتريا وتطبيق جوال). يتم تنظيم هذا النهج بموجب المعيار ETSI EN 319 432 والتحقق من صحته بواسطة ANSSI، وهو الآن مدمج في معظم منصات التوقيع المؤهل على أساس SaaS، بما في ذلك Certyneo.

لا تعتمد القيمة القانونية للتوقيع الإلكتروني على الطابع المادي أو البعيد لـ QSCD، طالما أن امتثال eIDAS يتم التصديق عليه من خلال تأهيل ANSSI.

كيفية الحصول على شهادة QSCD في فرنسا: العملية خطوة بخطوة

يتبع الحصول على شهادة مؤهلة على QSCD عملية رسمية، أكثر صرامة من عملية الحصول على شهادة بسيطة أو متقدمة. إليك الخطوات الأساسية.

الخطوة 1: اختيار QTSP الخاص بك ونوع QSCD

يتعلق القرار الأول بـ نوع QSCD المطلوب:

• QSCD مادي (بطاقة ذكية أو عصا USB): مناسب للاستخدام العرضي أو المهنيين الأحرار أو المديرين. يتضمن توصيل مادي للدعم.
• QSCD بعيد المدى: مثالي للمؤسسات الموقعة برحم عالية أو في وضع 100٪ رقمي. لا توجد دعامات مادية للإدارة.

يعتمد اختيار مزود الخدمة أيضاً على التكاملات المتاحة (REST API وwebhooks والمقابس) ومستوى الدعم. من المستحسن استشارة القائمة الرسمية لمزودي الخدمات المؤهلين على بوابة ANSSI قبل أي قرار.

الخطوة 2: عملية التحقق من الهوية (KYC)

تفرض لائحة eIDAS التحقق الصارم من الهوية قبل إصدار شهادة مؤهلة. يتم قبول طريقتين:

• وجهاً لوجه فعلياً (in-person): يتقدم المتقدم في نقطة تسجيل QTSP أو لدى عامل تحقق مفوض، مع وثائق هويته الرسمية.
• عن بعد عبر الفيديو (remote identity proofing): منذ 2021، يقدم بعض مزودي الخدمات التحقق من خلال مؤتمر فيديو حي مع وكيل، يتم تنظيمه بموجب متطلبات ETSI EN 319 461. التحقق الآلي بالذكاء الاصطناعي (eKYC) لم يتم قبوله بعد للشهادات المؤهلة في فرنسا في منتصف 2026، حيث تطلب ANSSI دائماً تدخل بشري.

تتضمن المستندات المطلوبة عموماً: وثيقة هوية صالحة (بطاقة هوية وطنية أو جواز سفر) وإثبات الارتباط بالكيان المهني (Kbis أو مقتطف RCS) وأحياناً خطاب تكليف للموقعين الذين يعملون باسم شخص اعتباري.

الخطوة 3: إنشاء المفاتيح وتسليم QSCD

بعد التحقق من الهوية، يقوم QTSP بـ إنشاء زوج المفاتيح التشفيرية في البيئة الآمنة لـ QSCD. بالنسبة إلى QSCD مادي، يتم تهيئة الدعم ثم تسليمه أو إرساله إلى المالك برمز PIN آمن. بالنسبة إلى QSCD بعيد المدى، يقوم المالك بتفعيل جهازه من خلال تطبيق الجوال الخاص بمزود الخدمة وتكوين آلية مصادقة قوية.

تُربط الشهادة المؤهلة بعد ذلك بالمفتاح العام وتُنشر في دليل QTSP. تكون مدة صلاحيتها عادة من 1 إلى 3 سنوات، حسب العرض المشترى. يجب التخطيط لتجديد قبل انتهاء الصلاحية للحفاظ على استمرارية القدرة على التوقيع.

التكلفة والمواعيد والتجديد: ما يجب الاستعداد له

جدول أسعار إرشادي في 2026

تختلف أسعار الشهادات المؤهلة على QSCD بشكل كبير حسب مزود الخدمة ونوع الجهاز:

• QSCD مادي (عصا USB أو بطاقة): بين 80 يورو و 250 يورو باستثناء الضريبة للإصدار الأول (يشمل الدعم المادي)، ثم 50 يورو إلى 150 يورو باستثناء الضريبة للتجديد السنوي.
• QSCD بعيد المدى: غالباً ما يتم دمجه في عروض SaaS الاشتراكية بدءاً من 15 يورو إلى 40 يورو باستثناء الضريبة لكل مستخدم وشهرياً، أو في حزم لكل عملية للأحجام الصغيرة.

يجب وضع هذه التكاليف في مقابل توفير الوقت وتقليل المخاطر القانونية. يسمح حاسبة العائد على الاستثمار من Certyneo بتقدير دقيق للعائد على الاستثمار وفقاً لحجم المستندات الموقعة.

آجال الحصول

المدة بين الطلب والتوفر الفعلي للشهادة المؤهلة تكون عموماً من 3 إلى 10 أيام عمل للحلول المادية (بما في ذلك البريد) و من بضع ساعات إلى 48 ساعة لـ QSCD البعيد، شريطة اكتمال ملف KYC. يجب على المؤسسات التي تتوقع ذروات في النشاط (تجديدات العقد في نهاية السنة المالية والعطاءات والإغلاقات المحاسبية) التخطيط وفقاً لذلك.

إلغاء دورة حياة الشهادة

يمكن إلغاء شهادة مؤهلة قبل انتهاء مدتها في حالة اختراق المفتاح الخاص أو مغادرة المالك أو تغيير المعلومات المعتمدة. يتم نشر الإلغاء في قائمة إلغاء الشهادات (Certificate Revocation List، CRL) أو عبر بروتوكول OCSP (Online Certificate Status Protocol) من QTSP. يُفترض أن أي توقيع يتم إرجاؤه بعد الإلغاء غير صالح؛ تلك الموضوعة قبل الإلغاء تحتفظ بقيمتها، بشرط أن تكون مزودة بطابع زمني. يلعب الطابع الزمني الإلكتروني المؤهل دوراً حاسماً هنا في إثبات أسبقية التوقيع.

الإطار القانوني المعمول به على شهادة QSCD

التنظيم الذي ينظم أجهزة إنشاء التوقيع المؤهلة كثيف ويمتد إلى عدة نصوص أوروبية ووطنية.

لائحة eIDAS رقم 910/2014 (EU) — يشكل هذا النص التأسيسي حجر الزاوية في الآلية. تحدد المادة 3(12) جهاز إنشاء التوقيع المؤهل. تضع المادة 26 متطلبات التوقيع المتقدم، بينما تفصل المادة 29 والملحق الثاني المتطلبات التقنية المطبقة على QSCD (تفرد بيانات الإنشاء وسرية المفتاح الخاص وعدم قابلية التزييف). تمنح المادة 25(2) التوقيع المؤهل افتراض معادلة مع التوقيع اليدوي. تعزز لائحة eIDAS 2.0 (لائحة 2024/1183، التي دخلت حيز التطبيق بشكل تدريجي منذ 2024) هذه المتطلبات وتوسع النطاق ليشمل محافظ الهوية الرقمية الأوروبية (EUDIW).

القانون المدني الفرنسي، المواد 1366 و 1367 — تنص المادة 1366 على أن الوثيقة الإلكترونية لها نفس قوة الإثبات مثل الوثيقة الورقية بشرط التعرف الموثوق به على المؤلف وسلامة الوثيقة. توضح المادة 1367 أن التوقيع الإلكتروني يتكون من استخدام إجراء موثوق للتعرف يضمن الربط مع الوثيقة الموقعة. يؤسس المرسوم رقم 2017-1416 الصادر في 28 سبتمبر 2017 الافتراض بالموثوقية للتوقيعات المؤهلة وفقاً لـ eIDAS.

معايير ETSI — تشكل معايير ETSI EN 319 132 (تنسيق XAdES للتوقيع XML) و ETSI EN 319 122 (CAdES) و ETSI EN 319 162 (ASiC) و ETSI EN 319 401/411 (متطلبات مزودي خدمات الثقة والشهادات المؤهلة) المرجع التقني الذي ملزم لمزودي الخدمات. قد يؤدي عدم الامتثال لهذه المعايير إلى وقف تأهيل QTSP من قبل ANSSI.

GDPR رقم 2016/679 — تتضمن عملية التحقق من الهوية (KYC) معالجة البيانات البيومترية والبيانات ذات الطابع الشخصي. يجب على المسؤول عن المعالجة (QTSP والشركة العميلة إن وجدت) الامتثال لمبادئ التقليل والغرض المحدود والنص على مدة احتفاظ متناسبة. يُنصح بإجراء تقييم تأثير حماية البيانات (AIPD) للنشرات على نطاق واسع.

المسؤولية في حالة عدم الامتثال — استخدام شهادة غير مؤهلة للتوقيع على الأعمال التي تتطلب توقيعاً مؤهلاً (بعض العطاءات العامة والأعمال الموثقة إلكترونياً والإقرارات الضريبية المرقمنة) يعرض المؤسسة لطعن في القيمة الإثباتية للوثيقة، بل وإلى بطلانها. تنص المادة 13 من eIDAS على نظام مسؤولية لمزودي الخدمات المؤهلين في حالة عدم الامتثال لالتزاماتهم، لكن هذا النظام لا يعفي المؤسسات المستخدمة من واجب العناية الكافية في اختيار والحفاظ على جهازها.

سيناريوهات الاستخدام لشهادة QSCD في المؤسسة

السيناريو 1: مكتب محاماة يقوم برقمنة أعماله الإجرائية

يتعامل مكتب محاماة يضم حوالي خمسة عشر متعاوناً كل عام مع عدة مئات من أعمال الإجراءات والتوكيلات واتفاقيات الأتعاب. قبل نشر حل قائم على QSCD البعيد، كان كل مستند يتطلب طباعة وتوقيعاً يدوياً وإرسالاً بريدياً أو مسحاً ضوئياً. اختار المكتب شهادات مؤهلة بعيدة المدى مدمجة في منصة SaaS، مما يسمح لكل شريك بالتوقيع من محطة عمله أو جواله برحم مؤهل. النتيجة المحققة: تقليل حوالي 70٪ من وقت توقيع الاتفاقيات (من 4 أيام إلى أقل من 24 ساعة في المتوسط) وإلغاء تكاليف البريد والأرشفة التلقائية للأعمال الموقعة في نظام إدارة المستندات بالمكتب.

السيناريو 2: شركة صغيرة ومتوسطة في القطاع الصناعي تدير عقودها مع الموردين

كانت شركة صغيرة ومتوسطة في قطاع التصنيع تتعامل مع حوالي 300 عقد موردين سنوياً تواجه مخاطر قانونية متكررة تتعلق بتوقيعات بسيطة أو ممسوحة ضوئياً، يسهل الطعن فيها. بعد التدقيق، اتضح أن عدة عقود تتعلق بمبالغ تزيد عن 100000 يورو تم توقيعها بدون إجراء تعرف موثوق. سمحت الهجرة إلى التوقيعات المؤهلة على QSCD البعيد للعقود ذات المخاطر العالية (الموردون الاستراتيجيون واتفاقيات السرية والطلبات الإطار) بتأمين الممتلكات التعاقدية. انخفضت آجال التحقق من الصحة في العقود بحوالي 60٪، وقدّرت نظرائهم الأجانب الاعتراف التبادلي فوري الذي توفره eIDAS.

السيناريو 3: مجموعة مستشفيات تنشر التوقيع المؤهل لعطاءاتها العامة

قامت مجموعة مستشفيات بحوالي 900 سرير بالامتثال لالتزام يعود إلى المرسوم رقم 2016-360 المتعلق بالعطاءات العامة، قضت بالتوقيع الإلكتروني على أعمال الالتزام فوق حدود معينة. نشرت قسم تكنولوجيا المعلومات عصا USB معتمدة QSCD للمديرين المخولين بالالتزام بالمؤسسة. تم توثيق تدريب المستخدمين والتكامل في منصة رقمنة العطاءات والإجراء السنوي للتجديد في سياسة توقيع داخلية (Signature Policy). يُقدر الكسب التشغيلي بحوالي 3 إلى 4 أيام لكل إجراء عطاء، بفضل إلغاء البريد المضمون والتعاملات المادية بين الموافقين.

الأسئلة الشائعة

ما الذي يميز QSCD عن HSM العادي؟

HSM (Hardware Security Module) هو وحدة أمان أجهزة عامة تُستخدم لتخزين وإدارة المفاتيح التشفيرية. QSCD هو HSM — أو أي جهاز آمن آخر — تم تقييمه والتحقق من توافقه مع متطلبات الملحق الثاني من لائحة eIDAS بواسطة مختبر معتمد ومعترف به من قبل سلطة إشراف وطنية. يثبت تأهيل QSCD أن الجهاز يفي بمعايير صارمة لتفرد المفتاح وعدم قابلية التصدير والمقاومة للهجمات المادية والمنطقية.

هل الشهادة المؤهلة التي تم الحصول عليها في فرنسا صالحة في جميع الاتحاد الأوروبي؟

نعم. تضع المادة 25(2) من eIDAS الاعتراف المتبادل الإلزامي للتوقيعات المؤهلة بين جميع الدول الأعضاء. تحقق شهادة مؤهلة صادرة عن QTSP فرنسي مدرج في قائمة الثقة الوطنية نفس الآثار القانونية في ألمانيا وإسبانيا أو إيطاليا كما هو الحال في دولة إصدارها. الاعتراف التلقائي هذا هو أحد المزايا الرئيسية للآلية بالنسبة للمؤسسات ذات الأنشطة التعاقدية عبر الحدود.

ما مدة صلاحية شهادة QSCD وهل يمكن تجديدها عن بعد؟

تُحدد مدة صلاحية الشهادة المؤهلة عموماً بـ 1 أو 2 أو 3 سنوات حسب عرض QTSP. يمكن تجديد الشهادة عن بعد بالنسبة إلى Q