Obligazioak elektroniko sinadura-hornitzailearentzat Frantzian

Sarrera

Elektroniko sinadura-soluzio bat Frantzian paratzea ez da zentzugabea besterik ezin dena. Sinadura kalifikatuaren edo aurreratuaren atzean daude belaunaldi bateko obligazio legalak fiducia-zerbitzuen hornitzailearentzat (PSCo). eIDAS erregulumendua, RGPD, seguritate-erreferentzia generala, ETSI arauak... arautzean-agintean dentsoa zein bizia da. Enpresa erabiltzaileentzat, obligazio legalak elektroniko sinadura-hornitzailearentzat ultzea Frantzian eIDAS RGPD beharrezkoa da bateragarri dagoen zerbitzari bat hautatzeko eta edozein arrisku judizial saihesteko. Artikulu honek, atala atala, PSCo-en eskaera bat den Frantzian zerbitzuak ematen dituzten eskariak detailean hartzen ditu.

---

Fiducia-zerbitzuen hornitzaileen kualifikatuaren egoera

Zein da PSCo eIDASen zentzuaren arabera?

910/2014 eIDAS erregulumenduak bi kategoriak bereizten ditu hornitzaileen artean: ez-kalifikatuak eta kalifikatuak fiducia-zerbitzuen hornitzaileak (PSCQ). Lehenak sinadura elektronikoa sinplea edo aurreratua eskaintzea ahal dute auditoritza txantiloia gabe. Bigarrenak — soilik kalifikatuak sinadura eIDASen 3(15) artikuluaren arabera eman ahal dituztenak — denbora honetan askoz estriktuagoa diren eskariak bete behar dituzte.

Frantzian, Sistemak Informatikoaren Zintzo Estatalaren Agentzia (ANSSI) bete du eIDASen 17. artikuluan ikusten den nolakotasunaren buerke (egintza superbisoreak). Argitaratzen du eta mantentzen du Frantziako fiducia-zerrenda (TSL — Trust Service List), bere gune ofizialean atzitzekoa, kalifikatuak hornitzaileak eta euren zerbitzuak aipatzen dituzten.

Kualifikazioko prozedura: auditoritza eta bateragarritasuna

PSCo-k kualifikatuaren egoera lortzeko beharrezkoa da:

• Euren zerbitzuak auditoritzatzea COFRAC-en akreditatuak diren bateragarritasun-neurtze organoak (CAB — Conformity Assessment Body) EN ISO/IEC 17065 arauan arabera.

• Auditoritza txostena ANSSIari bidaltzea, epaia dute kualifikatuaren egoerak emateko. Egoera honen reberifakazioa gaitzaren 24 hilabete bakoitzean egiten da (20. artikulua §1 eIDAS).

• ANSSIari jakinaraztzea bere zerbitzuetan edozein aldaketa sakonaren batean aurretik beharrezkoa 3 hilabete (21. artikulua eIDAS).

Urrats horien eza betetzeak hornitzailea TSL-etik erradiazioan eta sinadura kalifikatuari lotutako presumizioak galtzean jartzeak kalteotu dezake. Enpresa-bezeroarentzat, ez-zerrenda TSL-a ez dagoen PSCo-a erabiltzearekin berdina da fiabilitate-presuntzioaren aukerik ez jasotzea.

> eIDAS 2.0 erregulumenduko sinadura-mailen ezberdintasunari eta haien efektu judizialei buruzko gehigarri sartzeko, eIDAS erregulumendua osoki kontsultatu.

---

Tekniko eta seguritate-obligazioak PSCo-entzat inposituak

ETSI arauen beteagarritasuna

Kalifikatuak hornitzaileak Europaren Telekomunikazio-Estandardoen Institutua (ETSI) argitaratutako europako arauen multzoari jarraitu behar diote. Garrantzitsuenak hauek dira:

• ETSI EN 319 401: PSCo guztiei aplikagarria den seguritate-eskaera orokorrak.

• ETSI EN 319 411-1 eta 411-2: kalifikatuaren sinadura-ziurtagirien ematen dituzten ziurtagirien autoritateen politikak eta praktikak.

• ETSI EN 319 132: sinadura elektroniko aurreratuaren formaduak (XAdES XMLrentzat, PAdES PDFrentzat, CAdES CMSrentzat).

• ETSI EN 319 122: CAdES formaduak kalifikatuaren sinaderentzat.

• ETSI TS 119 431: urruneko sinadura-sortzeko zerbitzuetan eskariak (QSCD urruneko).

Arau hauek ez dira hautaezak: eIDAS erregulumenduak (II., III. eta IV. Eranskina) esplizituki dituzte kalifikatuaren ziurtagirien eta sinadura-sortzeko gailuen eskaera minimoak definitzeko.

Sinadura sortzeko gailuak segurua (QSCD) arautzea

Sinadura kalifikatuaren zutabearen bat eIDASen II. Eranskini dagoen sinadura sortzeko gailua segura (QSCD — Qualified Signature Creation Device) balioa dela bermatzea da. Hornitzaileak bermatzen du:

• Aitortzailea gako pribatua ezin daiteke QSCD-tik kanpora generatu, bildu edo kopiatu.

• Gakoa generatzea soilik ziurtaturiko inguru batean gertatzen da (Common Criteria EAL 4+ ziurtaketa edo berdina).

• Sinatazdunaren autentifikazio edozein sinaduraren aurretik aldaketa-faktore bik baino gehiagoan oinarritzen da.

Urruneko sinadura testuinguruan — gero eta zabalduagoa SaaS inguruetan — eskaera hauek HSM zerbitzariari (Hardware Security Module) seinaltzea zertifikatua erabiltzen duten gakoak egiten diote. ANSSIak argitaratzen du seguritate-irizpide espezifikoak (PP-0075, PP-0076) lortzeko hartzekoetan.

Jarraipena eta gertaeren jakinarazpen-politika

eIDASen 19. artikulua inposatzen du edozein fiducia-zerbitzuen hornitzailearentzat (kualifikatuak ez dena ere) behar duten:

• Argintzan autoritatera (ANSSI) eta, aukeran, datuen babesaren autoritatera (CNIL) jakinaraztzea, seguritate-hausturaren detestapenean 24 orduetan ondoren zerbitzua fiabilitate zenbait izan dezakeen.

• Jarraitu etengabeko agertutasun-planak dokumentuak eta badago asko altxatuak.

• Eduki argintzo-seguritate-politika formalizatua, kontsiderando batez ere arriskuaren kudeaketa, gertaeran araubidea eta gordetzeko politika.

Eskariak NIS2 direktibaren (2022/2555/UE) partzialki gurutzatzen dira, Frantziako legean 2023ko abuztuaren 1ean 1383-703 legearen bidez, PSCo esanguratsuak sailkatzen ditu garrantzitsuak edo beharrezkoa entitate bidez gorpuztu aharmen-eskaera handituekin.

> Ikertu nola sinadura elektronikoa abokatuen kabinetarentzat hau integratu behar du haien dokumentuaren fluxuetan.

---

RGPD-ren obligazioak PSCo-entzat ezagunak

PSCo, tratamendu-ardura edo azpikontratista?

PSCo-ren RGPD kualifikazioa ematen zaion zerbitzuaren izaeran dago:

• PSCo-k zuzena kalifikatuak ziurtagiriak deitzen du sinatazdunaren izenean eta determinatzen du tratamenduaren xedea (identitatea, datuen autentifikazio biometrikoa), ekintza arduraren ordez tratamenduaren (4(7) artikulua RGPD).

• Bere APIa integratu digu-ek B2B-ko bezeroaren gunea zerbitzuaren datu pertsonalak soilik tratatu, azpikontratista kualitatea (4(8) artikulua RGPD) eta obligatorioki itxi DPA (Datuen Prozesatze Akordioa) 28 artikuluarekiko orekaka.

Praktikari, PSCo SaaS gehienak bi kualitateetan bateratzen dira: ardurarenak beren ziurtagirita-azpiegituraren kudeaketa-lenaren oneretzean, azpikontratista signatarioen dokumentuaren tratamendua eta metadatuak.

Obligazioak biometriko datuekin eta identitatean konektatuak

Sinaduredunaren identifikazioa eta autentifikazio — kalifikatuak ziurtagiria ematen duen pausoa obligatorioa — sartzen dute askotan seguritate-datu sentiberrak: identifikazioak skaneatzea, selfie bideoa, aurpegia onespena biometrikoa. Datoak dira datu pertsonalak RGPD pean, baita biometrikoak datuak 9 artikuluan aipatzen dira RGPD (sailkapen-kategoriak berezia).

PSCo-ren obligazioak dira:

• Legalaren oinarria: esplizitua baimena (9§2a artikulua) edo, zeintzu kasuetan, legal obligazioa (9§2b artikulua) biometriken tratamendua.

• Gordetzeko nolakotasuna mugaturik: CNILen zuzendariaren arabera, identifikazioak datuak gorde zitezen behar duten denbora, ohiko batean ziurtagiriaren baliogarritasunak + legezko prueba-nolakotasuna (askotan 10 urte pribatuaren artikulu seinuaren, 2224 Zibil Kodexaren arabera).

• Analysi-eragina (AIPD) obligatorioa (35 artikulua RGPD) baldintza batetik tratamendua errazerantzean arriskua handia zela — zein biometrikarentzat sistemakinkan dago.

• Tratamenduen erregistroa (30 artikulua RGPD) eguneratua eta dokumentatua egiten tratamendu-kategoria bakoitza.

Datuen nazioarteko transferentziak

Asko dira PSCo eta guztian beren azpiegituraren parte Europar Ekonomia Eremutik (EEE) kanpora kokatzen dute. Kasu honetan, egokiak diren bermeduak V. kapituluak RGPD eskatzen dituena: adekuatze-erabakia, Europako Komisioak klausula kontraktualak (SCCs) edo gobernutz-bezero arauen arazo bezeroaren (BCR). Schrems II aburutzena (BULE, C-311/18, 16 uztailaren 2020) oroitzarazi zuen transferentziak Estatu Batuetara beharrezkoa da aurretik analisia:

> Ikusi organisazioan sarttzea, ikusi elektroniko sinadura enpresian kalean.

---

Gardentasun- eta edukitzeko obligazioak erabiltzaileekiko

Ziurtagirite-politika (PC) eta ziurtagirite-praktiken deklarazioa (DPC)

Kalifikatuak ziurtagiria ematen du PSCo guztiek obligatorioa dira argitaratzea Ziurtagirite-Politika (PC) eta Ziurtagirite-Praktiken Deklarazioa (DPC), ETSI EN 319 411 arauren arabera. Dokumentuak, osoki atzitzekoak diren, aurrerago hartzen dituzte:

• Signatarioen identifikazioa eta enbolia-egintza prozedura.

• Azpiegitura-neurri segur fisikoak eta gaitasun logikoak indartuak.

• Ziurtagirien ebakitzearen baldintzak eta lotutako hitzarman.

• PSCo-ren ardura eta bermatzeko mugen aukerak.

Dokumentuen aurrenean edo osotzearen, non-konpletutzea da bederik-konpletu susmagarri, auditoritza berraraubideari eta organisazio akreditatua da.

Etxean aurrea kontratuz eta kontratuaz bezeroek jakinarazten dituzten

RGPD-en artikulu 13ak baino gehiago, PSCo hornitzailea hartu behar diozu datu pertsonala argitu-informazioa pertsona bakoitza bidez bildu:

• Arduraren nolakotasuna eta eska baten DPO-ren kokaduak (obligatorioa PSCo batek euren bildu batean datuen bikomun gainean, 37. artikulua RGPD).

• Tratamendua finkotzaren eta legalaren oinarria.

• Pertsonen eskaera (sarrera, zuzenketa, ezabatzea, portalena, eztabaidatzea).

• Edozein hartzaileak datuaren (azpikontratista, autoritateak).

Informazioak hartu gintzen eskarira pribatutasun-politika zerbitzua, CGU zintzo eta, aukeran, DPA betako enpresa-bezeroaren arabera itxiduak.

Denbora-marka kalifikatuak eta adieraztearen bizia

Saioaren balioaren barruan garantitzeko luzaroan sinadenak, PSCo serioak sistematikoki batzen dute denbora-markak elektroniko kalifikatuak (42 artikulua eIDAS) sinataurearen aktarenaren. Denbora-marka honek dagoen datua diren legalki presuntzio sakrosantoen dagoen. Atzealdi-bizia gordea (identifikazioaren log, dokumentuaren aurkezten, sinadenak datuak) fatearen berriketa judizialaren ondotik ahalmenduak emateko obligazioa da.

> Merkatu soluzioek konparatu irizpideak konparatiboa elektroniko sinaduren soluzioak arabera.

---

eIDAS 2.0: obligazioak etorkizunean 2026-2027

eIDAS 2.0 erregulumendua (EU) 2024/1183

Europar Batasunaren Aldizkarian argitaratua 2024ko apirilaren 30ean, erregulumendua (EU) 2024/1183 deituak « eIDAS 2.0 » estutzea PSCo-en obligazioak hiru ardatzetan:

• Europako Identitate Digitalen Portofolia (EUDI Wallet): estatuen mailan emakumea dute prest identitate-portofolioa zintzo bertifikatuaren bitartez 2026ko azaroaren 2aren aurretik. PSCo-enek integratu beharko dute euren zerbitzua portofolioa jasotzearekin honen bidez sinadenak kalifikatuak ematearekin eIDAS 2.0 identitatearen dagoela.

• Atributuentzako sertifikatu-araubidea: eIDAS 2.0ak sartzea kalifikatuak atributu-sertifikatuak (QEAAs), hornitzaile-kalitateak dituzte. Auditoritza eta kualifikazioko prozedura berriak aplikatu beharko dira.

• Nolakotasunari atxikitasuna: nolakotasunaren eskuetako autoritateak (ANSSI Frantziaren arabera) ikusi dituzte haien boterede handitua, berez kalean egitearen ahala auditoritza sorpresak eta buratu neurri zuzentzaileen arazo baldintza batean.

Hornitzaileen gaur eguneko praktikaren adieraz

PSCo-enak kualifikatuak eIDAS 1.0tik aurretik aurreratuak duten behar duten progresiboki bateragarritzea Komisio europarraren exekuzioen aurretik finkatua (argitaratua edo argitaratzean). Nolakotasun garrantzitsuenak sartzen dira:

• Infrastukturaren ahauleztamendua euren buru-argiera eIDAS Wallet onartzea bezala autentifikazioa-buru.

• PC/DPC-aren eguneratua kalifikatuak zertifikatu zein attester berri sorrera integratzeko.

• QSCD seguritate-eskaera handia urruneko, profila barruko berriak hortxe.

Enpresa-bezeroarentzat, horrek esan nahi du egiaztatu aurretik eguna PSCo-a duen eIDAS 2.0 bateragarritze-roadmap dokumentatua eta begirtagarria.

Araubide legala hornitzaileen obligazioen elektroniko sinaduren araberako aplikagarri

Normenortzaren kate elektroniko sinadura-hornitzaileen arduren hornitzaileen arduren Frantzian sailkaketa honetan jasotzen dituzten maila ordenetako ebakitzearen gena.

Frantziako Zibil Kodexaren— 1366 eta 1367 artikuluak

1366 artikulua Code Civila du onartzen duten elektroniko idatzia modan edukia gakoen egiaztapen ber parean, baldintzaren « identifikatu ahal ezin dezagun pertsona dagozkio eman eta ordutxuko eta mantendua baldintzaran zailtasun integritatea ». 1367 artikulua zehazten du sinadura elektronikoa « dakarkio prozedura fidagarri identikazioak bermatzen duten lotuaren aktara, zein buruari lotzen zaio ». Presuntzio fiabilitate aitortzea kalifikatuak sinadenak eIDASen zentzuan, bulego karguaren legez guztia sinadunaren aldean.

eIDAS erregulumendua zb. 910/2014/UE

Erregulumendua, aplikazio zuzena direkuan estatu-kideak, eta zerbitzuak trusteko eskaera legalaren ardatza. Artikulua 26 definitzen sinadura elektroniko aurreratuaren baldintzak; artikulua 28 ziurtagiri kalifikatuen eskariak; euren III. eta IV. Eranskina horien objeituak aipatzen du dituzte kalifikatuak ziurtagiriak eta sinadura-sortzeko gailuak. Kalifikatuak PSCo-enek aitortzea presuntzio bateragarritasun erregulumenduko eskaera teknikoak eta judizialak (19§2 artikulua), zein auzi gehiegia dago atalgain babes zabaltzea hobeketa.

eIDAS 2.0 erregulumendua — (EU) 2024/1183

Europar Aldizkaria batean argitaratua 2024ko apirilaren 30ean, erregulumendua aldatzailea sartzea kategoria berrien fiducia-zerbitzuak (atributu kalifikatuak sertifikatuak, zerbitzuak gordetze kalifikatuak) eta pizten obligazioak nolakotasuna. Aldatzen eta ordezkatzen dituzte zatiz-zatika erregulumendua 910/2014, aplikagarritasun progresibo arabera Europar Komisioak exekuzioak.

RGPD — Erregulumendua (EU) 2016/679

RGPD aplikagarria da guztia-datu pertsonalaren tratamendua egitea elektroniko sinadura zerbitzua esparruaren barruan. Artikuluak 5 (legalite oinarriak), 6 (oinarri legala), 9 (datuak sentigarri), 13-14 (informazioa), 28 (azpikontratua), 32 (seguritatea), 33-34 (ebakia ebakitzea), 35 (AIPD) eta 37 (DPO) jartzen dira garrantzitsuenak duten artikuluak odol-aplikazio. CNIL da egiaztatu-autoriatea konpetente Frantzian eta alergia ditzakete 20 milioi euroak edo 4% urte-saldoaren mundialaren salaketa (83§5 artikulua RGPD).

NIS2 Direktiba — (EU) 2022/2555

Frantziako legean asalduaren bidez 2023ko abuztuaren 1ean zg 2023-703 dirge-zuzena, NIS2 sailkatu PSCo signifikatiboa atzelegi esanguratsuenak edo beharrezkotan entitate somet-askatasun horrela-arrisku kudeaketa eta gertaeran argintza ANSSIra zintzo handienaren barruan 24 ordua (adierazle lehenago) gero 72 ordu (argintza osoago).

ETSI Arauak

Guztiak arau 319 EN 401, 319 EN 411-1/2, 319 EN 132, 319 EN 122 eta TS 119 431 joskatzen da teknikoa-erreferentzia obligatorioa kualifikazioren auditoritza. Hauek aukeran ukatzearen ez betetzeak deritzela ez ahal lortu biltzen edo mantendu kualifikatuaren egoera.

**Arrisku judizialak bete-ez egitean

PSCo bateragarri ez batek agortu dira: TSL frantziaren erradiazio, ardura kontraktualak eta kontratua-ezikoa, santuak administratiboak CNIL, NIS2 agariak ahal dituzkeena iritsi 10 milioi euroak edo 2% mundi saldoaren entitate esanguratsuarentzat eta 20 milioi edo 4% saldoaren esanguratsuentzat, baita ere bezeroaren edozein judizialeko eskaera entzuta kalteen kalte hau duten zergatik sinadenak ez dira baliozko judizialak.

Erabilerako scenazioak: nola enpresek egiaztatu PSCo bateragarritasuna

Szenario 1 — Enpresa industriala 3 000 hornitzaileen kontratua urtean kudeatzen

Enpresa industriala intermedarioa (ETI), fabrikazio makina-ekipamenduan gauden, dematerializa ordea euren kontratua osoa hornitzaileen bidez elektroniko sinadura SaaS platforma bat. Auditoritza barne-horiek argita legezko eboluzio baten ondotik, judizialaren agentzia dago nabaritu hornitzaile aukeratuta — aurrenez aukeratuta prezioaren kriterio arabera — ez da erreferentziatua ez TSL frantziaren ez edozein TSL europar. Sinadenak emitituak dira « sinplea » motakoak mekanismo identifikazioa segur sinatazdunaren gabe.

Arriskua judizialaren aurean — kontratua osoa batera sinadenak ahal zela balioagarri ahal bere berritzean galtzea judizial — enpresa entzun migrazioa PSCo kalifikatuari ANSSI. Soluzio berriak integratu sinadura aurreratua ziurtagiri kalifikatuarekin, denbora-markak kalifikatuarekin eta bizia-pista atzitzekoarekin. Chanterra migrazioa, egiten izandako astean 8en baino gutxiagoan, baimena seguritzea azaldatzen aktaak berriak eta ezarri dokumentua-politika osoaren balorekin. Judizialaren ekipoak dago estimazio arriskua argitxo litigio lotuak zaharren kontratua kontuan hartuz haien exekuzioa baina ez gintzakeelako, baina sinadura-berri guztia orain den betea.

Irabaziak atzeman: 60% murrizketa litigio potentzialen zeharkatik autentizitatearen sinaduraren lotuak, eta irabazian 3,5 egunaren zeharkatik sinadurarenean kontratura batean-denbora auditor automatizazioaren hitzarman baliogarri neurrenematea.

Szenario 2 — Abokatuen kabineta 25 lagunarekin nolabanako zuzenbide-gaian

Abokatuen kabineta zortzean digitaliza sinaduraean mandatuak, kontsultuak eta prozesua aktaak ebaluatu beren hornitzailea. Euren analisia-sarburupean integratu irizpideak: presentzia TSL, argitaratu PC/DPC atzitzekoa, existentzia DPA beteagarri RGPD, DPO abailen disponibilitatea eta sertifikazio QSCD urrunekoen.

Bostetan hornitzaile ebaluatuetan, bi soilik bete dituzte osoki irizpideak. Kabineta hautatu aurtengo PSCo proposatuz natiboaren sinadura kalifikatua QSCD urruneko, bermatzen duen presuntzio fiabilitate 1367 artikuluaren Zibil Kodexaren. Ezarrenean hartuak dira 3 astean, prestakuntza sartua. Emaitza: 75% mandatua da dago sinadura baino 24 orduetan kontra 5 7 urte aurretik (ontziragarria), eta kabineta ahal dute justifikatzen euren bezeroari seguritate-judizialaren maila zerbitzua — argumentua desberdina euren proposamen komertzialetan.

Szenario 3 — Osasun-bilgunea 1 200 ohean gutxi-gehienez

Osasun-bilgunea publikoa nahi dute dematerializa kontratua enplegu, baimenduak stagaire eta akordiak bilgun partenariako osasunarekin. Sentikortasunaren datuen kasuta (datuen osasunaren langileak sanitzaileak, datuen RH) inposatu ordain partziala obligazioan RGPD PSCo.

DSI eta DPO erakundea exijituen: osuaren datuen ehunekoa Frantziako osasunaren datuen ziurtagiria akreditatua (HDS — Datuen Osasunaren Ziurtagiri, sertifikazio aurreikusia artikulua L.1111-8 Osasunaren Kodexaren), ez transferentzia kanpora EEE, AIPD dokumentatua sinaduren identifikatzearentzat, eta DPA sinaduak aurretik edozein enpresa-produkziorako.

Kaleari hautaketa PSCo-ak erantzunak irizpideetan, enpleguaren baimena sailkatzen azentu kontratua RH (1 800 aktaean gutxi-gehienez urtean). Denbora hedatua sinaduren kontratua motibatua DI Iraupen batera gutxi-gehienez 2 orduta, libratzen dute gaitasun esanguratsuaren enpresentzean RH-aren taldeak. Erakundea dute aurrera-guztia osoa ahal zela konsentimentu mailan, auditoritza urtean euren DPO.

Ondorioa

Obligazioak legalak hornitzaileetan fiducia-zerbitzuen elektroniko sinaduren Frantzian osatzen normen corpus exigintza: kualifikazioa eIDAS, beteagarritasuna RGPD, ETSI arauak betetzea, NIS2 obligazioak eta egokitzea eIDAS 2.0 denboran. Enpresaren erabiltzailearentzat, PSCo-a beteagarritasun ziurtatzea ez dago opzionalen prozesuetan — da baldintzaren balioaren prueba-zuen aktaen eta datuen protektzioa signatarioen pertsonalaren.

Certyneo elektroniko sinadura-hornitzailea diseinatua da erantzuna osoki obligazioetan: beteagarritasuna eIDAS, RGPD kontsumorza, gaztalaneko osuaren eta roadmap eIDAS 2.0 dokumentatua. Prest zuzendu sinadura guztian beteagarritasunean? Demandez une démonstration ou créez votre compte sur CertyneoEskatu erakustaldia edo sortu zure