انطباق eIDAS برای SME ها: چک لیست کامل 2026

مقررات اروپایی eIDAS (EU n°910/2014، به زودی توسط eIDAS 2.0 اصلاح خواهد شد) امضای الکترونیکی را در سراسر اتحادیه اروپا تنظیم می کند. برای یک SME، مطابقت با آن فقط یک جعبه برای بررسی نیست: این تضمینی است که قراردادهایش قابل اجرا هستند، اطلاعات امضای آن محافظت می شود، و از خود در برابر خطرات قانونی که می تواند پرهزینه باشد محافظت می کند. در اینجا چک لیست 2026 در 12 نکته مشخص است تا بررسی کنید که SME شما کاملاً مطابق با eIDAS است.

نکته 1: سطح امضای مناسب را انتخاب کنید

اولین بازتاب: انواع قرارداد خود را ترسیم کنید و سطح هدف را مرتبط کنید. قراردادهای تجاری استاندارد (منظور، سفارشات خرید، NDAهای ساده): SES کافی است. قراردادهای کاری، اجاره نامه ها، NDA های حساس، قراردادهای استراتژیک: حداقل AES، ترجیحاً با پیامک OTP. اعمال تنظیم شده (وکیل، سردفتر، قراردادهای عمومی بالاتر از یک آستانه): QES اجباری. بدون این نقشه برداری، شما در معرض خطر کوچک کردن (قرارداد رد شده) یا بزرگ کردن (هزینه بیش از حد) هستید.

نکته 2: صلاحیت ارائه‌دهنده خدمات را بررسی کنید

ارائه‌دهنده خدمات شما باید یک ارائه‌دهنده خدمات قابل اعتماد (QTSP) باشد یا برای سطوح AES/QES به QTSP تکیه کند. به فهرست خدمات اعتماد منتشر شده توسط ANSSI (eidas.ssi.gouv.fr) و فهرست اعتماد اروپا (webgate.ec.europa.eu/tl-browser) مراجعه کنید. QTSPهای مرجع فرانسوی: Certigna، Docaposte، Certinomis، Universign. برای SES/AES از طریق پلتفرم (Certyneo، Yousign، و غیره)، انطباق صریح مستند eIDAS آنها را بررسی کنید.

نکته 3: مسیر حسابرسی را آزمایش کنید

پاکت آزمایشی را امضا کنید و مسیر حسابرسی را جمع آوری کنید (معمولاً یک PDF جداگانه). باید حاوی: هویت و ایمیل امضاکننده، مهر زمانی هر مرحله (ارسال، باز کردن، اعتبارسنجی، امضا)، آدرس IP، عامل کاربر، هش سند، اعتبارسنجی OTP در صورت AES باشد. اگر یکی از این عناصر وجود نداشته باشد، ارزش اثباتی ضعیف می شود. Certyneo مسیر حسابرسی کامل را حتی در یک طرح رایگان فراهم می کند.

نکته 4: مُهر زمانی را کنترل کنید

مهر زمانی باید توسط یک اداره تمبر زمان (TSA) مطابق با RFC 3161 صادر شود. یک مهر زمانی صرفاً از سرور NTP شرکت کافی نیست. PDF امضا شده را در Adobe Reader باز کنید: برگه امضاها → جزئیات → مهر زمانی. شما باید یک گواهی معتبر TSA و یک ساعت تایید شده را در آنجا ببینید. اگر PDF دارای مهر زمانی تایید شده نیست، از انتخاب ارائه‌دهنده خدمات خودداری کنید.

نکته 5: بایگانی حداقل به مدت 10 سال

قانون تجارت (ماده L. 123-22) به 10 سال ذخیره برای اسناد تجاری نیاز دارد. قانون کار برای قراردادهای کار پس از پایان کار 5 سال تعیین کرده است. آرشیو باید یکپارچگی (هش، مهر و موم) و دسترسی را حفظ کند. ایده آل: فرمت PDF/A (ISO 19005)، فضای ذخیره سازی دوگانه (اولیه + پشتیبان گیری خارج از سایت)، گاوصندوق الکترونیکی واجد شرایط (CFE) برای حداکثر اثبات. Certyneo به طور پیش فرض 10 سال بایگانی می کند و صادرات را به شرکای CFE ارائه می دهد.

نکته 6: بررسی محلی سازی داده ها

داده های امضای شما در کجا میزبانی می شوند؟ برای یک SME فرانسوی که با قراردادهای حساس سر و کار دارد، میزبانی فرانسوی یا اتحادیه اروپا را انتخاب کنید. لیست پیمانکاران فرعی و مکان آنها را از ارائه دهنده خدمات خود بخواهید (ماده 28 GDPR). از راه حل های مشمول قانون ابر ایالات متحده برای قراردادهای استراتژیک اجتناب کنید. Certyneo بدون وابستگی به Cloud Act در فرانسه میزبانی می شود. به مقاله ما در /blog/cloud-act-signature-electronique مراجعه کنید.

نکته 7: با GDPR بیان کنید

امضا و GDPR ارتباط نزدیکی دارند: هر پاکت حاوی اطلاعات شخصی (نام، ایمیل، IP، تلفن) است. اطمینان حاصل کنید که ثبت پردازش شما (ماده 30 GDPR) دارای امضای الکترونیکی است، دوره های نگهداری ثابت است (10 سال)، و حقوق افراد قابل اجرا است (دسترسی، اصلاح، قابل حمل). اگر درخواست امضای زیادی دارید، DPO توصیه می شود. مقاله /blog/signature-electronique-rgpd ما را ببینید.

نکته 8: شناسایی امضاکنندگان بالادست

برای AES جامد، شناسایی با امضا شروع نمی‌شود: با جمع‌آوری داده‌ها شروع می‌شود. ایمیل ها (بدون نام مستعار، بدون لیست پستی)، شماره تلفن (بدون خط مشترک)، و ردیابی منبع شناسایی (شناسه برای قراردادهای سنگین، KYC مشتری فعلی برای قراردادهای در حال انجام) را بررسی کنید. این دقت نظر، شواهد را در صورت بروز اختلاف، محکم می کند.

نکته 9: تیم ها را آموزش دهید

تیم های فروش، منابع انسانی و حقوقی شما باید قوانین را درک کنند: هرگز امضاکننده را مجبور به استفاده از دستگاه شخص ثالث نکنید، هرگز یک PDF امضا شده اصلاح شده را برنگردانید، هرگز یک تصویر امضای اسکن شده را به جای یک امضای واقعی قرار ندهید. یک ساعت تمرین برای هر تیم برای القای رفلکس های خوب کافی است. Certyneo یک راهنمای کامل برای اشتراک گذاری داخلی (/منابع) ارائه می دهد.

نکته 10: قراردادهای ارائه دهندگان خدمات را بررسی کنید

CGU/CGV ارائه‌دهنده خدمات امضاء باید: انطباق eIDAS را آغاز کند، دوره‌های بایگانی را مشخص کند، قرارداد پیمانکاری فرعی GDPR را شامل شود (ماده 28)، رویداد قابلیت تبدیل مجدد پیمانکاران را مستند کند. همچنین در صورت پردازش حجم زیاد، SOC 2 Type II یا معادل آن را درخواست کنید. برای Certyneo، این اسناد در /legal و /security در دسترس هستند.

نکته 11: eIDAS 2.0 و کیف پول EUDI را آماده کنید

مقررات eIDAS 2.0 (EU 2024/1183) به تدریج لازم‌الاجرا می‌شود و کشورهای عضو را ملزم می‌کند تا قبل از پایان سال 2026 یک کیف پول EUDI را مستقر کنند. این کیف پول هویت دیجیتال بدون دسترسی مجدد به QES امکان دسترسی مجدد به کیف‌پول‌های هویتی دیجیتالی را نخواهد داشت. SME خود را آماده کنید: بررسی کنید که ارائه دهنده خدمات شما نقشه راه EUDI Wallet دارد، ارتباطات ANSSI و کمیسیون اروپا را دنبال کنید. به /blog/eidas-2-nouveau-reglement-2026 مراجعه کنید.

نکته 12: حسابرسی سالانه

انطباق یک وضعیت اکتسابی نیست: این یک فرآیند مداوم است. یک ممیزی سالانه (داخلی یا خارجی) برای بررسی: تغییرات نظارتی، تحولات ارائه‌دهنده خدمات، نقشه‌برداری به‌روز انواع قرارداد، حفظ مؤثر، آموزش نیروهای جدید برنامه‌ریزی کنید. یک حسابرسی سبک برای یک SME نیم روز طول می کشد و از بسیاری از شگفتی ها جلوگیری می کند. با ایجاد یک حساب رایگان Certyneo در certyneo.com/signup برای آزمایش انطباق با دنیای واقعی شروع کنید، سپس راهنمای eIDAS ما را بررسی کنید تا عمیق‌تر بگردید (/guide/eidas).