Сертификат QSCD eIDAS: всичко, което трябва да знаете, за да го получите във Франция през 2026 г.

Разширяването на дигитализацията принуждава предприятия и администрации да овладеят точни технически понятия. Сред тях сертификатът QSCD (Qualified Signature Creation Device) заема централно място в dispositiva eIDAS. Без него не може да бъде издадена никаква квалифицирана електронна подпис — единственото ниво, което разполага със законна презумпция за стойност, еквивалентна на ръчния подпис. И все пак, голямото мнозинство на французите организации все още не знаят какво е QSCD, как се отличава от обикновен цифров сертификат и какви процедури позволяват да го получат. Тази статия ви предоставя пълен отговор: техническо определение, нормативни основи, список на акредитираните действащи лица във Франция и пошагов процес на получаване.

Какво е сертификат QSCD? Определение и нормативен обхват

Термин QSCD е английския акроним на Qualified Signature Creation Device, който се преводи на французки като dispositif qualifié de création de signature. Той обозначава инструмент, който е хардуер или софтуер и генерира и съхранява криптографски ключове, използвани за електронен подпис, като гарантира максимално ниво на сигурност, определено от Регламент eIDAS № 910/2014.

Разлика между квалифициран сертификат и QSCD

Необходимо е да се разграничат две часто бъркани понятия:

• Квалифицираният сертификат (Qualified Certificate for Electronic Signature, QCert) е цифров сертификат, издаден от квалифициран доставчик на услуги за доверие (PSCQ). Той удостоверява идентичността на подписващия и съдържа неговия публичен ключ.
• QSCD е защитеният носител, на който се генерира и съхранява частния ключ, свързан със сертификата. Може да бъде USB криптографски токен, смарт карта, HSM (Hardware Security Module) или дистанционен QSCD (remote QSCD), който е разположен при доставчика.

За да бъде подписът квалифициран в смисъла на eIDAS, и двата елемента трябва да бъдат налице: квалифициран сертификат И QSCD. Приложение II на Регламента определя изискванията, на които устройството трябва да отговори (уникалност на данните за създаване, невъзможност за дедукция на частния ключ, защита срещу фалшификация и т.н.).

Нива на електронния подпис и място на QSCD

Регламентът eIDAS определя три нива на подпис:

1. Обикновен електронен подпис (SES): никакви специални технически изисквания.
2. Усъвършенстван електронен подпис (AdES): свързан уникално със подписващия, създаден на базата на данни под неговия изключителен контрол, но без задължение за QSCD.
3. Квалифициран електронен подпис (QES): незабежно изисква квалифициран сертификат, съхранен на QSCD. Това е единственото ниво, което се ползва със законна презумпция за еквивалентност със ръчния подпис във всички държави-членки.

За да задълбочите разликите между тези три нива, сравнение на решенията за електронен подпис на Certyneo предлага подробен анализ.

Квалифицираните доставчици (QTSP) във Франция: кой може да издаде QSCD?

Във Франция издаването на квалифицирани сертификати и предоставянето на QSCD е отговорност изключително на квалифицирани доставчици на услуги за доверие (QTSP), вписани в списъка на доверие на национално ниво (Trust Service List, TSL), публикуван и поддържан от ANSSI (Агенция на национална сигурност на информационните системи).

ANSSI, орган за надзор във Франция

ANSSI играе във Франция ролята на орган за контрол (supervisory body), предвиден в член 17 на eIDAS. Тя одитира кандидати QTSP според строги критерии, съответстващи на норми ETSI EN 319 401 (общи изисквания към услугите за доверие) и ETSI EN 319 411 (квалифицирани сертификати). Доставчик не може да твърди, че е "квалифициран", без да фигурира в списъка на францускотрудния доверие, публикуван в подписан XML формат.

Сред акредитираните френски QTSP фигурират действащи лица като Certigna, CertEurope, Docaposte, Keynectis или Thales (бивше Gemalto). Всеки предлага пакети с квалифицирани сертификати, съхранени на хардуерни QSCD (смарт карти, USB токени) или дистанционни QSCD, тези последни в силна прогресия от 2022 г.

Дистанционен QSCD (remote QSCD): новия стандарт в предприятиях

Дистанционният QSCD представлява голямо развитие: частният ключ на подписващия вече не е съхранен на физически носител, предаден на потребителя, а в сертифициран HSM, който е разположен в защитена инфраструктура на QTSP. Подписващия получава достъп до своето устройство чрез силна аутентификация (OTP, биометрия, мобилно приложение). Този подход, уредена в стандарт ETSI EN 319 432 и валидиран от ANSSI, е вече интегриран в повечето облачни платформи за квалифициран подпис, включително Certyneo.

Правната стойност на електронния подпис не зависи от физическия или дистанционен характер на QSCD, доколкото е документирана conformitate eIDAS чрез квалификация ANSSI.

Как да получите сертификат QSCD във Франция: пошаговият процес

Получаването на квалифициран сертификат на QSCD следва формализиран процес, по-строг, отколкото при обикновен или усъвършенстван сертификат. Ето незаобходимите етапи.

Етап 1: изберете своя QTSP и тип QSCD

Първото решение се отнася до тип желаният QSCD:

• Физически QSCD (смарт карта или USB токен): подходящ за събиранията употреби, за свободни професионалисти или за управители. Имплицира физическа передаване на носителя.
• Дистанционен QSCD: идеален за организации със висок обем подписващи или в 100% цифров режим. Никой физически носител, който трябва да се управлява.

Изборът на доставчика зависи също от налични интеграции (REST API, webhooks, HRIS съединители) и от ниво поддържката. Препоръчва се да се консултира официалния списък на QTSP на портала на ANSSI преди да се вземе решение.

Етап 2: процес за проверка на идентичност (KYC)

Регламентът eIDAS налага строга проверка на идентичност преди издаването на квалифициран сертификат. Са приети две модалности:

• Физически личен контакт (in-person): заявителят се явява в пункт за регистрация на QTSP или при проверител мандатиран, със своите официални документи за самоличност.
• Дистанционно чрез видео (remote identity proofing): от 2021 г., някои QTSP предлагат проверка чрез видеоконферентност в реално време със служител, уредена от изисквания ETSI EN 319 461. Автоматизираната проверка чрез ИИ (eKYC) все още не е допустима за квалифицирани сертификати във Франция към средата на 2026 г., ANSSI постоянно искайки участие на човек.

Документите, които обикновено се изискват, включват: документ за самоличност с валидност (CNI, паспорт), доказателство за свързаност с професионално образувание (Kbis, ересис на търговския регистър) и понякога писмо за мандат за подписващи, действащи от името на юридическо лице.

Етап 3: генериране на ключове и предаване на QSCD

След като идентичността е проверена, QTSP процедира с генериране на парата от криптографски ключове в защитена среда на QSCD. За физически QSCD носителят е инициализиран и после предаден или изпратен на титуляря със защитен PIN код. За дистанционен QSCD титулярът активира своето устройство чрез мобилно приложение на доставчика и конфигурира своя механизъм за силна аутентификация.

Квалифицираният сертификат е свързан със публичния ключ и публикуван в справочника на QTSP. Периодът на валидност му е обикновено 1 до 3 години, в зависимост от предлаганото решение. Обновяването трябва да се предвидя преди изтичане на периода, за да се запази непрекъсната способност за подпис.

Цена, сроки и обновяване: какво трябва да предвидите

Указателна тарифна карта през 2026 г.

Цените на квалифицирани сертификати на QSCD варират значително според доставчика и вида на устройството:

• Физически QSCD (USB токен или карта): между 80 € и 250 € без ДДС при първо издаване (включително хардуерния носител), след това 50 € до 150 € без ДДС при годишно обновяване.
• Дистанционен QSCD: често интегриран в облачни пакети от 15 € до 40 € без ДДС на потребител и месец, или в по-нисък пакет за малки обеми.

Тези разходи трябва да се преглеждат спрямо спестяванията на време и намаляване на правни рискове. Калкулатор ROI на Certyneo позволява точно да се преценката възвращаемостта, в зависимост от обема подписани документи.

Сроки на получаване

Периодът между подаването на молба и действителната наличност на квалифицирания сертификат е обикновено 3 до 10 работни дни за физически решения (включително пощенски изпращане) и няколко часа до 48 часа за дистанционни QSCD, при условие че KYC документацията е пълна. Организациите, които предвиждат върхови дейности (договорни обновявания в края на финансовата година, конкурси, затварянията на счетоводството) трябва да планира съответно.

Отмяна и жизнен цикъл на сертификата

Квалифициран сертификат може да бъде отменен преди крайния период в случай на компрометиране на частния ключ, напускане на титуляря или промяна на удостоверени информации. Отмяната е публикувана в Certificate Revocation List (CRL) или чрез protokol OCSP (Online Certificate Status Protocol) на QTSP. Всеки подпис сложен след отмяната е намерен за невалиден; тези поставени преди това запазват своята стойност, при условие че са снабдени със времева марка. Квалифицираната временна марка играе тук решаваща роля за доказване на приоритета на подпис.

Применим правен кадър към QSCD сертификата

Нормативността, регулираща квалифицираните устройства за създаване на подпис, е гъста и артикулирана между няколко европейски и национални текста.

Регламент eIDAS № 910/2014 (ЕС) — Този основен текст представлява крайъгълния камък на dispositiva. Член 3(12) дефинира квалифицираното устройство за създаване на подпис. Член 26 излага изисквания за усъвършенстван подпис, докато член 29 и приложение II детайлизират технически изисквания, приложими към QSCD (уникалност на данните за създаване, поверителност на частния ключ, невъзможност за фалшификация). Член 25(2) дарява квалифицирания подпис със презумпция за еквивалентност със ръчния подпис. Регламент eIDAS 2.0 (Регламент 2024/1183, влизащ в сила прогресивно от 2024 г.) засилва тези изисквания и разширява обхвата към европейските портфейли на цифрови самоличности (EUDIW).

Френски гражданския кодекс, членове 1366 и 1367 — Член 1366 установява, че електронното писане има същата доказателствена сила като писмото на хартия при условие на надеждна идентификация на автора и целостност на документа. Член 1367 уточнява, че електронният подпис се състои от използването на надежден процес на идентификация, гарантиращ връзката с подписания акт. Декретът № 2017-1416 от 28 септември 2017 г. установява презумпция за надежност за квалифицирани подписи в съответствие с eIDAS.

Норми ETSI — Нормите ETSI EN 319 132 (XAdES формат за подпис на XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) и ETSI EN 319 401/411 (изисквания към TSP и квалифицирани сертификати) представляват технически справочник, еквивалентен на доставчиците. Неспазването на тези норми може да доведе до суспендиране на квалификацията QTSP от ANSSI.

GDPR № 2016/679 — Процесът за проверка на идентичност (KYC) предполага обработка на биометрични данни и лични данни. Отговорния за обработката (QTSP и, ако е приложимо, клиентската организация) трябва да спазват принципите за минимизиране, за ограничена цел и да предвидят период на съхранение, пропорционален. DPIA (Анализ на въздействието за защита на данните) се препоръчва за развертане в голям мащаб.

Отговорност в случай на неспазване — Използването на некваліфціран сертификат за подписване на акти, изискващи квалифициран подпис (някои публични договори, електронни нотариални акти, дематериализирани данъчни декларации), изложи организацията на оспорване на доказателствената стойност на акта, дори на неговата нищожност. Член 13 на eIDAS предвижда режим на отговорност за QTSP в случай на неспазване на техните задължения, но този режим не освобождава потребителските организации от тяхния дълг на надлежност при избора и поддържането на своето устройство.

Сценарии на употреба на QSCD сертификата в предприятието

Сценарий 1: адвокатски кабинет, дематериализиращ своите процесуални акти

Адвокатски кабинет, включващ около петнадесет сътрудници, обработва всяка година няколкостотин процесуални акти, мандати и конвенции за хонорари. Преди развертане на решение, основано на дистанционен QSCD, всеки документ изискваше печат, ръчен подпис и пощенско изпращане или сканиране. Кабинетът е избрал дистанционни квалифицирани сертификати, интегрирани в облачна платформа, позволяваща на всеки партньор да подписва от своя работен станция или мобилен телефон на квалифицирано ниво. Констатиран резултат: намаляване с около 70% на периода за подписване на съглашения за възлична разтвор (от 4 дни до по-малко от 24 часа средно), елиминиране на разходите за марки и автоматично архивиране на подписани акти в DMS на кабинета.

Сценарий 2: малко промишлено предприятие, управляващо своите договори с доставчици

Малко промишлено предприятие от производствения сектор обработва около 300 договора с доставчици годишно е сблъскано с повтарящи се правни рискове, свързани с прости или сканирани подписи, лесно оспоримо. След одит е станало ясно, че няколко договора надвишаващи 100 000 € бяха подписани без надежден процес на идентификация. Преходът към квалифицирани подписи на дистанционен QSCD за договори с висока цена (стратегически доставчици, конфиденциалност договори, рамкови поръчки) позволи защитата на договорното наследство. Периодите на валидиране на договори намалят с около 60%, чужди контрапарти оценявайки незабавната трансгранична признание, предлагана от eIDAS.

Сценарий 3: болничен комплекс, развертащ квалифициран подпис за своите публични договори

Болничен комплекс, включващ около 900 легла трябваше да спазва задължението, произтичащо от декрет № 2016-360, относно публични договори, да подписват електронно акти за ангажиране над определени граници. ИТ отделението развърта USB токени, сертифицирани QSCD за директори, упълномощени да ангажират заведението. Обучението на потребители, интеграция в платформата за дематериализирането на договори и процедура за годишно обновяване бяха документирани в вътрешна политика за подпис (Signature Policy). Оперативното спестяване е оценено на около 3 до 4 дни за всяка процедура на договор, благодарение на елиминиране на препоръчани писма и съответствия с физически паraphers.

Често задавани въпроси

Какво разграничава QSCD от обичайния HSM?

HSM (Hardware Security Module) е универсален модул за сигурност, използван за съхранение и управление на криптографски ключове. QSCD е HSM — или всеки друг защитен механизъм — който е оценен и сертифициран като съответен на изисквания на приложение II на регламент eIDAS от акредитирана лаборатория и признат от национален надзорен орган. Квалификацията QSCD потвърждава, че устройството отговаря на строги критерии за уникалност на ключ, неексортируемост и съпротива срещу физически и логически атаки.

Квалифициран сертификат QSCD, получен във Франция, валиден ли е по цяла Европейска намеса?

Да. Член 25(2) на eIDAS установява задължително взаимна признание на квалифицирани подписи между всички държави-членки. Квалифициран сертификат, издаден от QTSP във Франция, вписан в списъка на национално ниво доверие, произвежда същите правни ефекти в Германия, Испания или Италия, както в страната на издаване. Това автоматична признание е един от главните предимства на dispositiva за организации със договорни дейности, пресичащи граници.

Каква е периодът на валидност на QSCD сертификата и възможно ли е да се обнови дистанционно?

Периодът на валидност на квалифициран сертификат е обикновено 1, 2 или 3 години, според решението на QTSP. Обновяването може да се извърши дистанционно за дистанционни QSCD, при условие че идентичност на титуляря е вече проверена по време на първоначално издаване. Повечето QTSP изпращат предупреждения за изтичане 60 и 30 дни преди крайната дата. Игнорирането на тези предупреждения подложи организацията на прекъсване на способност за квалифициран подпис.

Задължително ли е сертификатът QSCD за всички електронни подписи?

Не. Ниво подписът, който е задължителен, зависи от характера на акта и приложимия нормативен кадър. Квалифицираният подпис на QSCD е задължителен за определени специфични акти (електронни нотариални акти, някои публични договори, дематериализирани данъчни декларации). За по-голямото мнозинство на обикновени търговски договори, усъвършенстван подпис е достатъчен. Препоръчва се да се консултира речника на електронния подпис или да се потърси правен съвет, за да се определи необходимото ниво акт по акт.

Как да проверите, че подпис е основан на валиден квалифициран сертификат QSCD?

Проверката се извършва чрез консултиране на метаданни на подписаното документ чрез инструмент за валидиране, съответен на спецификации ETSI, като например услуга DSS (Digital Signature Service) на Европейската комисия, достъпна безплатно. Този инструмент проверява верига на доверие на сертификата, неговия статус (не е отменен), съответствие с квалифицирания профил и наличие на квалифицирана временна марка. Някои облачни платформи, като Certyneo, интегрират този валиден отчет директно в интерфейса за управление на документи.

Заключение

Сертификатът QSCD е далеч повече от техническа фormalност: той е правния и криптографски фундамент на квалифицирания електронен подпис, единственото ниво, предоставящо законна презумпция за еквивалентност със ръчния подпис по цяла Европейската намеса. Във Франция получаването му преминава чрез QTSP, акредитирана от ANSSI, строг процес на проверка на идентичност и информиран избор между физически QSCD и дистанционен QSCD — последният налагащ се като норма за организации, търсещи agilitate и мащабируемост.

Certyneo интегрира дистанционни сертифицирани QSCD в своята облачна платформа, позволяваща на вашите екипи да подписват на квалифицирано ниво без всеки физически носител, който трябва да се управлява. Независимо дали отново започвате или мигрирате от друго решение, нашите експерти ви придружават във всяко ниво. Откройте тарифите Certyneo или свържете се с нашия екип за одит на вашите нужди по отношение на квалифициран подпис.