eIDAS 2 در مقابل eIDAS 1: تغییرات کلیدی برای شرکت‌های کوچک و متوسط

مقدمه: چرا eIDAS 2 برای شرکت‌های کوچک و متوسط بازی را تغییر می‌دهد

از ۲۰ مه ۲۰۲۴، مقررات (EU) 2024/1183 — معمولاً eIDAS 2 نامیده می‌شود — به مرحله اجرا درآمد و مقررات (EU) شماره 910/2014 (eIDAS 1) را لغو و تدریجاً جایگزین می‌کند. برای شرکت‌های کوچک و متوسط فرانسوی، این تغییر صرفاً یک به‌روزرسانی اداری نیست: این مقررات سطوح اعتماد دیجیتال را مجدداً تعریف می‌کند، کیف پول هویت اروپایی (EUDIW) را معرفی می‌کند، نیازمندی‌های صادرکنندگان خدمات اعتماد را تقویت می‌کند و دامنه خدمات شناخته‌شده را گسترش می‌دهد. این مقاله نقطه به نقطه eIDAS 1 و eIDAS 2 را مقایسه می‌کند، تأثیرات عملیاتی واقعی بر شرکت‌های کوچک و متوسط را شناسایی می‌کند و یک برنامه اقدام برای ماندن متطابق با قوانین در سال ۲۰۲۶ ارائه می‌دهد.

---

1. یادآوری: آنچه eIDAS 1 ایجاد کرد (2014-2024)

1.1 بنیاد مقررات اولیه

eIDAS 1، در جولای ۲۰۱۴ تصویب شد و از سپتامبر ۲۰۱۶ قابل اجرا شد، اولین پایه‌های یک فضای اعتماد دیجیتالی اروپایی را ریخت. این مقررات سه دسته بزرگ از امضای الکترونیکی — ساده (SES)، پیشرفته (AdES) و واجد اعتبار (QES) — را معرفی کرد و فهرست اعتماد صادرکنندگان واجد اعتبار (Trusted List) را ایجاد کرد که در پورتال کمیسیون اروپا قابل مراجعه است.

برای شرکت‌های کوچک و متوسط، اپریدیسی اصلی eIDAS 1 پذیرش میان‌مرزی امضای واجد اعتبار بود: قرارداد امضا‌شده با QES فرانسوی به لحاظ قانونی در آلمان، اسپانیا یا ایتالیا بدون اپوستیل یا فرمالیته اضافی شناخته می‌شد. این اصل — به نام «عدم تبعیض» — بنیاد بود که بر آن پیشنهادهای SaaS مانند Certyneo خدمات خود را ساختند.

1.2 محدودیت‌های شناسایی‌شده

علیرغم پیشرفت‌های آن، eIDAS 1 از چندین کمبود رنج می‌برد که توسط کمیسیون اروپا در گزارش ارزیابی خود در ۲۰۲۱ مستند شد:

• تکه‌تکه‌شدگی طرح‌های هویت: تنها کشورهای عضو که طرح ملی خود را اطلاع دادند (مانند FranceConnect+ سطح موضوعی) از اعتراف متقابل بهره‌مند می‌شدند. در ۲۰۲۳، تنها 14 کشور از 27 یک طرح متطابق را اطلاع داده بودند.
• فقدان پشتیبانی موبایل بومی: دستگاه واجد اعتبار ایجاد امضا (QSCD) اغلب به کارت هوشمند یا توکن سخت‌افزاری نیاز داشت، که پذیرش موبایل را کند می‌کرد.
• خدمات اعتماد محدود: eIDAS 1 نه نوع خدمات واجد اعتبار را فهرست می‌کرد؛ کاربردهای جدید (بایگانی الکترونیکی واجد اعتبار، مدیریت صفات) در چهارچوب قوانین نبودند.
• عدم وجود کیف پول هویت یکپارچه: هر شهروند یا شرکت اطلاعات شناسایی خود را به طور جدا مدیریت می‌کرد، بدون تعاملی‌پذیری تضمین‌شده.

این محدودیت‌ها کمیسیون را به بررسی از سال ۲۰۲۰ سوق داد، که منجر به مقررات eIDAS 2 شد پس از سه سال مذاکرات سه‌جانبه.

---

2. پنج نوآوری بزرگ eIDAS 2 برای شرکت‌های کوچک و متوسط

2.1 کیف پول هویت دیجیتالی اروپایی (EU Digital Identity Wallet — EUDIW)

این نوآوری بیشترین قابل‌مشاهده مقررات است. تا ماه نوامبر ۲۰۲۶ (مهلت انتقال تعیین‌شده توسط ماده 5a)، هر کشور عضو باید حداقل یک کیف پول هویت دیجیتالی گواهی‌شده را به شهروندان و ساکنین خود ارائه دهد. برای شرکت‌های کوچک و متوسط، این تکامل دو پیامد مستقیم دارد:

1. احراز هویت مشتریان و شرکای تجاری ساده‌شده: کیف پول اجازه می‌دهد صفات تأیید‌شده (سن، شماره TVA درون‌اتحادی، گواهی ثبت، اطلاعات بانکی تأیید‌شده) را بدون اصطکاک به اشتراک گذارد. یک توافق اطار با شریک آلمانی می‌تواند پس از تأیید فوری صفات حرفه‌ای آن از EUDIW خود امضا شود.
2. تعهد پذیرش برای بخش‌های خاص: خدمات آنلاین پلتفرم‌های بزرگ (ماده 45bis) و برخی خدمات عمومی باید EUDIW را به عنوان وسیله احراز هویت بپذیرند. شرکت‌های کوچک و متوسطی که درگاه‌های B2B را تأمین می‌کنند باید API احراز هویت خود را سازگار کنند.

2.2 گسترش فهرست خدمات اعتماد واجد اعتبار

eIDAS 2 کاتالوگ خدمات اعتماد واجد اعتبار را از 9 به 14 دسته گسترش می‌دهد. ورودی‌های جدید که مستقیماً شرکت‌های کوچک و متوسط را تحت تأثیر قرار می‌دهند:

• بایگانی الکترونیکی واجد اعتبار (ماده 45septies): حفاظت طولانی‌مدت با ارزش ثابت‌کنندگی تقویت‌شده. تاکنون، بایگانی با ارزش ثابت‌کنندگی بر طرح‌های ملی (در فرانسه، طرح SIAF/ANSSI) متکی بود؛ eIDAS 2 چهارچوب اروپایی را هماهنگ می‌کند.
• مدیریت از راه دور دستگاه‌های واجد اعتبار ایجاد امضا (RQSCD): اکنون به طور واضح در چهارچوب قرار داده‌شده است، ابهامات‌های ناشی از حل‌های ابری امضای واجد اعتبار را برطرف می‌کند. برای یک شرکت کوچک و متوسط 50 نفری، این بدان معنی است که بدون توکن فیزیکی، از هر دستگاهی امضای واجد اعتبار دسترسی یابد.
• خدمات دفتر الکترونیکی واجد اعتبار: دفتر‌هایی بر اساس بلاک‌چین یا فناوری‌های دفتر توزیع‌شده حالا می‌توانند وضعیت واجد اعتبار را بدست آورند، راه را برای مدل‌های جدید مدیریت قرارداد باز می‌کند.

برای اطلاعات بیشتر درباره سطوح امضا و ارزش قانونی آن‌ها، راهنمای کامل امضای الکترونیکی ما را مطالعه کنید.

2.3 تقویت نیازمندی‌های امنیتی برای صادرکنندگان واجد اعتبار (QTSP)

eIDAS 2 تعهدات صادرکنندگان خدمات اعتماد واجد اعتبار (QTSP) را سخت می‌گیرد. ماده 24 اصلاح‌شده به خصوص الزام می‌کند:

• گواهینامه سایبری در تطابق با چهارچوب اروپایی (EU Cybersecurity Act، مقررات 2019/881)، با طرح‌های بخش‌ای در حال توسعه توسط ENISA.
• نیازمندی‌های تقویت‌شده در کشش عملیاتی: QTSP اکنون باید برنامه تداوم کسب و کار خود را مستند کند و آن را به سازمان نظارتی ملی خود ارائه دهد (در فرانسه، ANSSI برای صادرکنندگان واجد اعتبار).
• تعهد اطلاع رسانی حوادث امنیتی در مدت 24 ساعت (تطابق با NIS 2).

برای شرکت‌های کوچک و متوسط کاربر، این بدان معنی است که احتیاط افزایش یافته در انتخاب صادرکننده: تأیید اینکه حل خود در فهرست اعتماد اروپایی به‌روزرسانی‌شده است اکنون یک مرحله بحرانی در فرآیند خریداری شما است. مقایسه حل‌های امضای الکترونیکی ما می‌تواند در این تجزیه و تحلیل کمکتان کند.

2.4 قابل‌تعاملی اجباری طرح‌های هویت

جایی که eIDAS 1 آزادی اطلاع‌رسانی (یا عدم آن) را برای کشورهای عضو باقی گذاشت، eIDAS 2 اطلاع‌رسانی و قابل‌تعاملی را برای طرح‌های هویت استفاده‌شده در خدمات عمومی آنلاین (ماده 5) اجباری می‌کند. France Identité — طرح ملی توسط وزارت داخلی — در حال انطباق‌دهی با مشخصات فنی EUDIW است، منتشرشده توسط کمیسیون در مقررات اجرایی (EU) 2024/2977.

برای شرکتی کوچک و متوسط که به‌طور منظم با ادارات دولتی تعامل دارد (مناقصات، تلفیقات مالیاتی، رویه‌های گمرکی)، این تکامل بدان معنی است که رویه‌های آنلاین تدریجاً در اطراف شناسه دیجیتالی واحد و شناخته‌شده در کل اتحادیه یکپارچه خواهند شد.

2.5 قوانین جدید مسئولیت و نظارت

eIDAS 2 رژیم‌های مسئولیت صادرکنندگان را روشن و گسترش می‌دهد (ماده 13 اصلاح‌شده). QTSP اکنون به‌طور مفروض مسئول هرگونه خسارتی است که توسط نقض تعهدات خود به شخص فیزیکی یا حقوقی وارد شود، مگر اینکه عدم تقصیر را ثابت کند. این فرض مسئولیت، نسبت به eIDAS 1 تقویت‌شده، باید شرکت‌های کوچک و متوسط را تشویق کند که:

• تعهدات صادرکننده خود را به قرارداد رسمی درآورند (SLA، تضمین دسترسی، جبران خسارت).
• پوشش بیمه مسئولیت حرفه‌ای مدنی QTSP را تأیید کنند.
• اثبات حسابرسی تراکنش‌های امضا‌شده را حفظ کنند (سیاق‌های زمان‌بندی، گزارش‌های تأیید امضا).

تیم‌های ما راهنمای تفصیلی درباره امضای الکترونیکی در شرکت نوشتند که این جنبه‌های قرارداد را پوشش می‌دهد.

---

3. جدول مقایسه eIDAS 1 در مقابل eIDAS 2: آنچه عملاً تغییر می‌کند

3.1 خلاصه تکامل‌های بزرگ

| معیار | eIDAS 1 (2016-2024) | eIDAS 2 (2024-2026+) | |---|---|---| | کیف پول هویت | عدم وجود | EUDIW اجباری (کشورهای عضو) | | خدمات واجد اعتبار | 9 دسته | 14 دسته (بایگانی، RQSCD، دفتر…) | | اطلاع‌رسانی طرح‌ها | اختیاری | اجباری برای خدمات عمومی | | امنیت QTSP | معیارهای Common Criteria | Cybersecurity Act + ENISA schemes | | مسئولیت QTSP | جزئی | فرض مسئولیت تقویت‌شده | | مهلت اطلاع رسانی حادثه | تعیین نشده | 24 ساعت (تطابق NIS 2) | | QSCD موبایل | ابهام قانونی | RQSCD صریحاً قطع‌بندی‌شده |

3.2 مهلت‌های کلیدی برای یادآوری برای ۲۰۲۶

• مه ۲۰۲۴: ورود مقررات (EU) 2024/1183 به مرحله اجرا.
• نوامبر ۲۰۲۶: سررسید نهایی برای اینکه هر کشور عضو حداقل یک حل EUDIW گواهی‌شده را ارائه دهد.
• ۲۰۲۷: تعهد برای پلتفرم‌های بزرگ (ماده 45bis) قبول EUDIW به عنوان وسیله احراز هویت.
• ۲۰۲۸: بررسی برنامه‌ریزی‌شده اقدامات اجرایی فنی (مقررات مفوض درباره مشخصات EUDIW).

اگر شرکت کوچک و متوسط شما قصد مهاجرت به حل متطابق‌تری را دارد، کیف مهاجرت ما به Certyneo شامل حسابرسی متطابق eIDAS 2 بخشش است.

---

4. برنامه اقدام عملی برای قرارگیری شرکت کوچک و متوسط خود در تطابق eIDAS 2

4.1 حسابرسی جریان‌های سند موجود شما

با نقشه‌برداری تمام فرآیندی شروع کنید که در حال حاضر امضای الکترونیکی یا هویت دیجیتال را استفاده می‌کنند: قرارداد تأمین‌کننده، تک‌تک حقوق دستمزدی، ماندات SEPA، توافق‌های محرمانگی، اقدامات منابع انسانی. برای هر جریان، شناسایی کنید:

• سطح امضای استفاده‌شده (SES، AdES، QES).
• صادرکننده فعلی و وضعیت آن در فهرست اعتماد.
• سطح خطر قانونی در مورد مناقشه.

این حسابرسی نقطه شروع توصیه‌شده توسط ANSSI در راهنمای تطابق منتشرشده در مارس ۲۰۲۵ است.

4.2 ارتقای حل امضای خود

اگر صادرکننده فعلی شما در فهرست اعتماد eIDAS 2 نیست یا هنوز RQSCD را ارائه نمی‌دهد، زمان مقایسه پیشنهادهای بازار است. Certyneo یک QTSP گواهی‌شده است که سه سطح امضا (SES، AdES، QES) را پشتیبانی می‌کند و بومی‌طور نیازمندی‌های جدید eIDAS 2، به ویژه بایگانی الکترونیکی واجد اعتبار و مدیریت دور دستگاه‌ها را یکپارچه می‌کند.

4.3 آموزش تیم‌های خود و به‌روزرسانی قرارداد

eIDAS 2 ارزش ثابت‌کنندگی امضای واجد اعتبار را تقویت می‌کند اما همچنین بهترین‌های عملی مستند را اجباری می‌کند. اطمینان دهید که تیم‌های حقوقی و اداری شما:

• می‌دانند تفریق سه سطح امضا و ارزش قانونی نسبی آن‌ها.
• در قرارداد تأمین‌کننده یک بند حسابرسی تطابق eIDAS را یکپارچه می‌کنند.
• اثبات تأیید امضا (گزارش تأیید، زمان‌بندی واجد اعتبار) را برای مدت حفاظت قانونی قابل‌اجرا (3 تا 10 سال بر اساس ماهیت عمل) حفظ می‌کنند.

برای ساختار دادن این رویه، ماشین‌حساب بازگشت سرمایه‌گذاری امضای الکترونیکی ما به شما امکان می‌دهد سود عملیاتی مرتبط با ارتقای خود را کمیت‌ی کنید.

چهارچوب قانونی قابل‌اجرا

متون مرجع

تطابق eIDAS 2 برای یک شرکت کوچک و متوسط فرانسوی در یک انبار نرمال که درک آن ضروری است قرار می‌گیرد.

مقررات (EU) 2024/1183 پارلمان اروپا و شورای اتحادیه (نام‌گذاری شده «eIDAS 2»): این متن تأسیس‌کننده است، منتشرشده در JOUE در 30 آوریل 2024. این مقررات (EU) شماره 910/2014 را بر اساس برنامه زمانی استقرار تدریجی تا 2027 لغو و جایگزین می‌کند. این مقررات مستقیماً در تمام کشورهای عضو قابل اجرا است، بدون نیاز به انتقال قانونی ملی برای حکم اصلی خود.

مقررات (EU) شماره 910/2014 (eIDAS 1): برخی از احکام آن در طول دوره‌های انتقالی تعیین‌شده توسط eIDAS 2 قابل اجرا باقی می‌ماند، به ویژه برای صادرکنندگانی که قبل از مه ۲۰۲۴ واجد اعتبار شده‌اند و دارای مهلت برای تجدید گواهینامه‌اند.

کد مدنی فرانسوی، مواد 1366 و 1367: ماده 1366 اصل تعادل بین نوشتار الکترونیکی و نوشتار کاغذی را در نظر می‌گیرد، تحت شرط که «فردی که از آن صادر شده‌است می‌تواند به‌درستی شناسایی شود و آن در شرایطی ایجاد و نگهداری شود که طبیعت آن تمامیت آن را تضمین کند». ماده 1367 امضای الکترونیکی را به عنوان روش اثبات می‌شناسد و به شرایط تعیین‌شده توسط فرمان در شورای دولت (فرمان شماره 2017-1416 مورخ 28 سپتامبر 2017، کدشده در مواد R. 1369-1 تا R. 1369-10 کد مدنی) اشاره می‌کند.

مقررات (EU) 2016/679 (RGPD): استقرار EUDIW و پردازش صفات هویت در جریان امضای الکترونیکی تشکیل پردازش داده‌های شخصی در مفهوم RGPD است. شرکت‌های کوچک و متوسط باید اطمینان دهند که QTSP خود در کیفیت کارگر زیر نظر (Data Processing Agreement) متطابق با ماده 28 RGPD عمل می‌کند. CNIL در ژانویه ۲۰۲۶ توصیه خاصی درباره یکپارچگی EUDIW-RGPD منتشر کرد.

دستورالعمل (EU) 2022/2555 (NIS 2): eIDAS 2 صریحاً برای تعهدات اطلاع رسانی حوادث (ماده 24، §2 eIDAS 2 ارجاع به احکام NIS 2) بر NIS 2 تطابق دارد. QTSP بر اساس اندازه خود به عنوان جانب «ضروری» یا «مهم» در NIS 2 در نظر گرفته می‌شود و در نتیجه تابع حسابرسی امنیتی منظم است.

استانداردهای ETSI: امضای الکترونیکی واجد اعتبار باید استانداردهای ETSI EN 319 132-1 (XAdES)، ETSI EN 319 122-1 (CAdES)، ETSI EN 319 162-1 (ASiC) و ETSI EN 319 102-1 (رویه تأیید) را رعایت کنند. استاندارد ETSI TS 119 461 تأیید هویت از راه دور (IDV) را قطع‌بندی می‌کند، به ویژه مرتبط برای RQSCD.

خطرات قانونی در مورد عدم‌تطابق

استفاده از حل امضای الکترونیکی غیر‌متطابق با eIDAS 2 شرکت کوچک و متوسط را در معرض چندین خطر قرار می‌دهد:

• عدم‌پذیرش در دادگاه: یک قاضی می‌تواند امضای الکترونیکی را که سطح آن با عمل امضا‌شده مطابقت ندارد رد کند (به عنوان مثال: امضای ساده برای عملی که سطح پیشرفته یا واجد اعتبار را نیاز می‌دارد).
• مسئولیت قرارداد: اگر قرارداد توسط شریک با دلیل باطل‌بودن امضا مناقشه شود، شرکت کوچک و متوسط در معرض درخ