گواهینامه ISO برای امضای الکترونیکی: راهنمای 2026

امضای الکترونیکی به عنوان یک استاندارد در مدیریت اسناد شرکت‌های فرانسوی و اروپایی تحمیل شده است. اما در پشت سادگی ظاهری یک کلیک تایید، اکوسیستمی فنی و نظارتی بسیار پیچیده نهفته است. در 2026، سؤال دیگر «آیا باید امضای الکترونیکی را اتخاذ کنیم؟» نیست بلکه «کدام ارائه‌دهنده گارانتی‌های امنیتی و انطباق کافی برای زمینه کسب‌وکار من ارائه می‌دهد؟» است. گواهینامه‌های ISO — به‌خصوص ISO 27001 — یکی از پاسخ‌های قابل اعتماد به این سؤال را تشکیل می‌دهند. این مقاله شما را از طریق گواهینامه‌های اصلی قابل اعمال برای ارائه‌دهندگان امضای الکترونیکی، محدوده واقعی آن‌ها و معیارهایی برای مقایسه دقیق راهنمایی می‌کند.

چرا گواهینامه‌های ISO برای امضای الکترونیکی تصمیم‌گیری کننده هستند

امضای الکترونیکی فقط یک قابلیت نرم‌افزاری نیست. این مسئولیت حقوقی شرکت امضاکننده، محرمانگی داده‌های پردازش‌شده و تمامیت مدت‌درازمدت اسناد آرشیو‌شده را در برمی‌گیرد. به همین دلیل، گواهینامه‌های به‌دست‌آمده توسط ارائه‌دهنده صرفاً برچسب‌های بازاریابی نیستند: آن‌ها میزان بلوغ امنیتی را تأیید می‌کنند که توسط شخص ثالث مستقل بازرسی‌شده است.

ISO 27001: بنیاد محتوم امنیت اطلاعات

ISO/IEC 27001 استاندارد بین‌المللی مرجع برای سیستم‌های مدیریت امنیت اطلاعات (SMSI) است. این استاندارد محرمانگی، تمامیت و دسترس‌پذیری داده‌ها را پوشش می‌دهد. برای ارائه‌دهنده امضای الکترونیکی، این گواهینامه بدان معنی است که کل فرآیندهای آن — از ایجاد حساب امضاکننده تا آرشیو‌کردن سند امضا‌شده — تحت کنترل‌های مستند‌شده‌ای است که به‌طور منظم توسط سازمان معتبرشده (نوع LSTI، Bureau Veritas، BSI و غیره) بازرسی می‌شود.

بر عملی، ISO 27001 ارائه‌دهنده را ملزم می‌کند:

• موجودی جامع از دارایی‌های اطلاعاتی و ریسک‌های مرتبط با آن‌ها
• سیاست‌های کنترل دسترسی سخت‌گیرانه (احراز هویت قوی، مدیریت امتیازات)
• روش‌های مدیریت حوادث و تداوم فعالیت
• بازرسی‌های داخلی منظم و بررسی مدیریت سالانه
• نظارت مستمر بر آسیب‌پذیری‌ها

نسخه در حال اجرا از 2022 (ISO/IEC 27001:2022) 93 اقدام امنیتی را در چهار مضمون متحد می‌کند: سازمانی، انسانی، فیزیکی و فناوری. ارائه‌دهنده‌ای که بر این نسخه گواهی‌شده است، نگرش امنیتی‌ای به‌روز در برابر تهدیدات معاصر، به‌خصوص حملات باج‌افزار و سوءاستفاده زنجیره تأمین را نشان می‌دهد.

ISO 27017 و ISO 27018: افزودن‌های ابری ضروری

تقریباً تمام راه‌حل‌های SaaS امضای الکترونیکی بر زیرساخت‌های ابری تکیه می‌کنند. در این بافت، دو افزونه از خانواده ISO 27000 شایسته توجه ویژه هستند:

ISO/IEC 27017 راهنمایی‌های خاصی برای خدمات ابری فراهم می‌کند، به‌خصوص مسئولیت اشتراکی بین ارائه‌دهنده و زیرمقاول‌های آن (هاست‌کننده‌ها، طرف‌های ثالث معتمد). برای خریدار B2B، تأیید اینکه ارائه‌دهنده این گواهینامه را دارد یا مطابق آن است، اجازه می‌دهد که تأیید کنید داده‌های ذخیره‌شده در ابر تحت همان الزامات امنیتی محیط‌های on-premise قرار دارند.

ISO/IEC 27018 به‌طور خاص بر حفاظت از داده‌های شخصی در ابر تمرکز دارد. این استاندارد RGPD را با تعریف شیوه‌های عملیاتی کامل می‌کند: ممنوعیت استفاده از داده‌ها برای اهداف تبلیغاتی بدون رضایت صریح، شفافیت در زیرمقاول‌ها، حق قابلیت حمل. برای DPOها و مسئولان انطباق، این گواهینامه تضمین اضافی برای جدی‌گرفتن در پردازش داده‌های امضاکنندگان است.

برای عمیق‌تر شدن در ارزش حقوقی فراهم‌شده توسط این استانداردها در ارتباط با حقوق اروپایی، راهنمای ارزش حقوقی امضای الکترونیکی را مراجعه کنید.

گواهینامه eIDAS و استانداردهای ETSI: معنی «واجد‌شرایط» بودن

فراتر از استانداردهای ISO، چارچوب نظارتی اروپایی الزامات انطباق خود را برای ارائه‌دهندگان خدمات اعتماد (PSCo) تحمیل می‌کند. قانون eIDAS شماره 910/2014، که بازنگری eIDAS 2.0 آن در حال انتقال است، سه سطح امضای الکترونیکی را تمایز می‌دهد: ساده، پیشرفته و واجد‌شرایط.

وضعیت ارائه‌دهنده خدمات اعتماد واجد‌شرایط (PSCO)

برای ارائه امضاهای الکترونیکی واجد‌شرایط — تنها سطحی که از نظر حقوقی معادل امضای دستی در تمام ایالات اعضای EU است — ارائه‌دهنده باید در فهرست اعتماد ایالت عضو خود (در فرانسه، فهرست مدیریت‌شده توسط ANSSI) ثبت شود. این واجد‌شرایط بر بازرسی اولیه توسط سازمان ارزیابی انطباق معتبر (CAB)، سپس بازرسی‌های نظارتی منظم متکی است.

استانداردهای فنی زیربنایی عمدتاً توسط ETSI (موسسه استانداردهای ارتباطات الکترونیکی اروپایی) منتشر می‌شود:

• ETSI EN 319 401: الزامات عمومی برای PSCo
• ETSI EN 319 411: خط‌مشی و شیوه‌های تصدیق برای مراکز تصدیق
• ETSI EN 319 132: نمایه‌های XAdES برای امضای XML پیشرفته
• ETSI EN 319 122: نمایه‌های CAdES برای امضای CMS پیشرفته
• ETSI EN 319 162: خدمات تحویل الکترونیکی ثبت‌شده

ارائه‌دهنده‌ای که بر اساس این استانداردهای ETSI گواهی‌شده است، تعاملی‌پذیری فنی امضاهای خود را با تمام راه‌حل‌های شناخته‌شده در فضای اروپایی تضمین می‌کند، که برای شرکت‌های فعال در چندین کشور حیاتی است. راهنمای جامع قانون eIDAS الزامات مرتبط با هر سطح واجد‌شرایط را تفصیل می‌دهد.

SOC 2 نوع II: افزودنی شمالی‌آمریکایی قابل نظارت

اگرچه در فضای اروپایی کمتر شایع است، گزارش SOC 2 نوع II (کنترل سازمان خدمات) صادرشده بر اساس استانداردهای AICPA اغلب توسط شرکت‌های بزرگ مورد تقاضا قرار می‌گیرد، به‌خصوص کسانی که فروع در ایالات متحده یا شریکان آمریکایی دارند. بر خلاف ISO 27001 (گواهینامه)، SOC 2 گزارش‌ی از بازرسی است که رعایت معیارهای خدمات اعتماد (امنیت، دسترس‌پذیری، تمامیت پردازش، محرمانگی، حریم خصوصی) را در دوره مشاهده عمومی شش تا دوازده ماه تأیید می‌کند. برای مقایسه جامع، تأیید اینکه آیا ارائه‌دهنده SOC 2 نوع II اخیر (کمتر از دوازده ماه) دارد علامت قوی بلوغ عملیاتی است.

مقایسه گواهینامه‌های ارائه‌دهندگان: روش و معیارها

با توجه به تنوع گواهینامه‌های موجود، خریداران B2B باید به جای تکیه بر ادعاهای بازاریابی، یک شبکه تحلیل ساختارشده را اتخاذ کنند. مقایسه راه‌حل‌های امضای الکترونیکی راه‌حل‌های اصلی موجود در فرانسه را برشمرده است؛ نحوه ارزیابی سطح گواهینامه آن‌ها را اینجا بیان می‌کنیم.

چهار سؤالی که سیستماتیک باید پرسیده شود

1. تاریخ و محدوده دقیق گواهینامه چیست؟ گواهینامه ISO 27001 به‌دست‌آمده سه سال پیش و تجدید‌نشده، تضمین‌های یکسانی را نمی‌دهد که گواهینامه معتبر داشته باشد. به‌طور سیستماتیک گواهینامه رسمی را درخواست کنید و محدوده محیط بازرسی‌شده را تأیید کنید: برخی از ارائه‌دهندگان فقط دفتر مرکزی خود را گواهی می‌دهند و داده‌مرکزها یا تیم‌های توسعه offshore را استثنا می‌کنند.

2. کدام سازمان بازرسی گواهینامه را انجام داده است؟ سازمان گواهی‌دهنده خود باید توسط یکی از اعضای IAF (انجمن بین‌المللی معتبرشدگی) معتبرشده باشد. در فرانسه، COFRAC (کمیته فرانسوی معتبرشدگی) سازمان صلاحیت‌دار است. گواهینامه صادرشده توسط سازمانی غیرمعتبر هیچ ارزش قراردادی یا نظارتی ندارد.

3. آیا ارائه‌دهنده گزارش تست نفوذ سالانه خود را منتشر می‌کند؟ گواهینامه ISO 27001 بازرسی‌های منظم آسیب‌پذیری‌ها را الزامی می‌کند، اما استاندارد استانداردی برای تست نفوذ تعریف نمی‌کند. ارائه‌دهنده بالغ خلاصه اجرایی pentest سالانه خود را توسط شخص ثالث منتشر می‌کند. ANSSI توصیه می‌کند برای این نوع تمرین از ارائه‌دهندگان واجد‌شرایط PASSI (ارائه‌دهنده بازرسی امنیت سیستم‌های اطلاعات) استفاده کنید.

4. زیرمقاول‌ها و گواهینامه‌های مرتبط کدام‌اند؟ ارائه‌دهنده امضای الکترونیکی عمومی بر هاست‌کننده ابری (AWS، Azure، OVHcloud و غیره) و گاهی بر مراکز تصدیق شخص ثالث تکیه می‌کند. تأیید کنید که این زیرمقاول‌ها خود دارای گواهینامه‌های معادل (ISO 27001، HDS برای داده‌های سلامت، SecNumCloud برای داده‌های حساس) هستند. زنجیره اعتماد تنها در صورتی قیمت دارد که هر یک از حلقه‌های آن بازرسی‌شده باشد.

مورد خاص قانونی HDS برای داده‌های سلامت

برای مؤسسات بهداشتی، خانه سالمندان، متقابل‌ها یا بیمه‌گران مدیریت داده‌های پزشکی، گواهینامه HDS (هاست‌کننده داده‌های سلامت) با الزامات ISO اضافه می‌شود. از فرمان 26 ژانویه 2018، هر هاست‌کننده داده‌های سلامت با مشخصات شخصی باید توسط سازمانی معتبر توسط HDS گواهی‌شده باشد. برای ارائه‌دهنده امضای الکترونیکی در زمینه پزشکی استفاده‌شده — رضایت برای درمان، نسخه دیجیتالی، گزارش بستری — این گواهینامه شرط لازم است. تخصصیات امضای الکترونیکی در بخش بهداشت را برای ارزیابی الزامات خود کشف کنید.

تأثیر گواهینامه‌ها بر مذاکره قراردادی و بررسی دقیق بدهی

گواهینامه‌های به‌دست‌آمده توسط ارائه‌دهنده صرفاً استدلال‌های تجاری نیستند: آن‌ها ارتباط قراردادی و توزیع مسئولیت‌ها را بین طرف‌ها ساختار می‌دهند.

بند‌های قراردادی برای یکپارچه‌سازی سیستماتیک

هنگام مذاکره قرارداد با ارائه‌دهنده امضای الکترونیکی، چندین بند مستقیماً مرتبط با گواهینامه‌ها شایسته توجه ویژه هستند:

• بند حفظ گواهینامه: ارائه‌دهنده متعهد می‌شود گواهینامه‌های خود را در تمام دوران قرارداد حفظ کند و هرگونه کناره‌گیری یا تعلیق را فوری اطلاع دهد.
• بند بازرسی: مشتری حق انجام یا انجام بازرسی امنیتی در ارائه‌دهنده را حفظ می‌کند، در شرایط تعریف‌شده (اطلاع قبلی، محیط، محرمانگی نتایج).
• بند زیرمقاول‌سازی: هرگونه تغییر در زنجیره زیرمقاول‌ها باید با اطلاع قبلی انجام شود، با احتمال فسخ اگر زیرمقاول جدید الزامات گواهینامه تعریف‌شده را برآورده نکند.
• SLA دسترس‌پذیری: برای ارائه‌دهندگان گواهی‌شده ISO 27001، تعهد دسترس‌پذیری (SLA) حداقل 99.9% بر اساس ماهانه انتظار معقول است، با جریمه‌های مالی در صورت تجاوز از آستانه‌های عدم‌دسترس‌پذیری.

این جنبه‌های قراردادی در رویکرد گسترده‌تری از حکمرانی امضای الکترونیکی در شرکت قرار می‌گیرند، که ما در راهنمای اختصاصی خود تفصیل می‌دهیم.

سهم گواهینامه‌ها در بافت بازرسی RGPD یا NIS2

از زمان اعمال دستورالعمل NIS2 (منتقل شده به حقوق فرانسوی توسط قانون 15 آوریل 2025)، نهادهای ضروری و مهم باید نشان دهند ارائه‌دهندگان حیاتی آن‌ها — از جمله ارائه‌دهندگان امضای الکترونیکی — الزامات حداقل سایبر‌امنیتی را برآورده می‌کنند. گواهینامه ISO 27001 ارائه‌دهنده شواهد مستند‌شده‌ای است که می‌توان در بازرسی NIS2 یا بررسی CNIL استفاده کرد. این به‌خصوص اجرای ماده 32 RGPD را نشان می‌دهد، که اقدامات فنی و سازمانی مناسب برای تضمین سطح امنیتی متناسب با ریسک را الزامی می‌کند.

برای شرکت‌هایی که می‌خواهند از حل‌‌ راه‌حل کمتر گواهی‌شده به پلتفرمی با تضمین‌های انطباق بالاتر مهاجرت کنند، راهنمای مهاجرت به Certyneo مراحل و احتیاطات قابل‌رعایت را تفصیل می‌دهد.

چارچوب حقوقی قابل اعمال برای گواهینامه‌های ارائه‌دهندگان امضای الکترونیکی

اعتبار حقوقی امضای الکترونیکی بر انباشتی از متون نظارتی اروپایی و ملی متکی است، که تسلط بر آن برای ارزیابی صحیح گواهینامه‌های ارائه‌دهنده ضروری است.

قانون مدنی، مواد 1366 و 1367: این مواد بنیاد حقوق فرانسوی امضای الکترونیکی را تشکیل می‌دهند. ماده 1366 تصریح می‌کند که «نوشتاری الکترونیکی قوه اثبات یکسانی با نوشتاری بر پایه کاغذ دارد، مشروط بر اینکه شخص صادرکننده درست تشخیص داده شود و در شرایطی تدوین و حفظ شود که تمامیت آن را تضمین کند». ماده 1367 روشن می‌کند که «امضای ضروری برای تکمیل عمل حقوقی صادرکننده را شناسایی می‌کند» و که، وقتی الکترونیکی است، «درگیر استفاده از روش معتبری برای شناسایی که ارتباط آن با عملی که به آن بستخورده است را تضمین می‌کند» است. گواهینامه‌های ISO 27001 و واجد‌شرایط eIDAS مستقیماً به تأسیس این فرض قابلیت‌اعتماد کمک می‌کنند.

قانون eIDAS شماره 910/2014: این قانون اروپایی، مستقیماً قابل اجرا در تمام ایالات اعضای، سه سطح امضای الکترونیکی (ساده، پیشرفته، واجد‌شرایط) را تعریف می‌کند و ارائه‌دهندگان خدمات اعتماد را ملزم می‌کند تا تحت بازرسی انطباق بر اساس استانداردهای ETSI تابع شوند. ماده 24 آن الزامات قابل اعمال برای ارائه‌دهندگان واجد‌شرایط را تعریف می‌کند، به‌خصوص الزام استخدام کادر واجد‌شرایط و حفظ منابع مالی کافی. نسخه نظرخواهی eIDAS 2.0 (قانون اتحادیه 2024/1183، در 20 مه 2024 اعمال شده) این الزامات را تقویت می‌کند با معرفی کیف پول هویت دیجیتالی اروپایی (EUDIW) و گسترش محیط خدمات اعتماد شناخته‌شده.

RGPD شماره 2016/679: مواد 28 (پردازنده)، 32 (امنیت پردازش) و 35 (تجزیه‌تحلیل تأثیر) مستقیماً در زمانی درگیر هستند که ارائه‌دهنده امضای الکترونیکی داده‌های شخصی را برای حساب مسئول پردازش پردازش می‌کند. ماده 32 به‌خصوص شبه‌نام‌سازی و رمزگذاری داده‌های شخصی، توانایی تضمین محرمانگی، تمامیت و تاب‌آوری سیستم‌ها را الزامی می‌کند. گواهینامه ISO 27001 پوشش‌دهنده این جنبه‌ها امکان برآورده کردن جزئی این الزام برای نشان‌دادن را فراهم می‌کند.

دستورالعمل NIS2 (UE 2022/2555، منتقل شده توسط قانون فرانسوی 15 آوریل 2025): آن ملزم می‌سازد نهادهای ضروری و مهم ریسک‌های مرتبط با زنجیره تأمین دیجیتالی خود را مدیریت کنند، از جمله ارائه‌دهندگان امضای الکترونیکی. ماده 21 NIS2 اقدامات حداقل سایبر‌امنیتی را فهرست می‌کند که بسیاری از آن‌ها مستقیماً با الزامات ISO 27001 مطابقت دارند.

استانداردهای ETSI: استانداردهای EN 319 401، EN 319 411-1، EN 319 411-2، EN 319 132 (XAdES)، EN 319 122 (CAdES) و EN 319 162 الزامات فنی برای ارائه‌دهندگان خدمات اعتماد واجد‌شرایط را تعریف می‌کنند. رعایت آن‌ها توسط سازمان‌های ارزیابی معتبرشده قبل از ثبت نام در فهرست‌های اعتماد ملی بازرسی می‌شود.

مسئولیت در صورت کمبود گواهینامه: ارائه‌دهنده غیرگواهی‌شده‌ای که دچار نقض داده شود و منج