Certificat QSCD eIDAS : tout savoir pour l'obtenir en France en 2026

La montée en puissance de la dématérialisation contraint entreprises et administrations à maîtriser des notions techniques précises. Parmi elles, le certificat QSCD (Qualified Signature Creation Device) occupe une place centrale dans le dispositif eIDAS. Sans lui, aucune signature électronique qualifiée — la seule disposant d'une présomption légale de valeur équivalente à la signature manuscrite — ne peut être émise. Pourtant, la grande majorité des organisations françaises ignorent encore ce qu'est un QSCD, comment il se distingue d'un simple certificat numérique et quelles démarches permettent de l'obtenir. Cet article vous apporte une réponse complète : définition technique, fondements réglementaires, liste des acteurs accrédités en France et processus d'obtention pas à pas.

Qu'est-ce qu'un certificat QSCD ? Définition et périmètre réglementaire

Le terme QSCD est l'acronyme anglais de Qualified Signature Creation Device, que l'on traduit en français par dispositif qualifié de création de signature. Il désigne un outil matériel ou logiciel qui génère et stocke les clés cryptographiques utilisées pour signer électroniquement, tout en garantissant un niveau de sécurité maximal défini par le règlement eIDAS n°910/2014.

Distinction entre certificat qualifié et QSCD

Il convient de distinguer deux notions souvent confondues :

• Le certificat qualifié (Qualified Certificate for Electronic Signature, QCert) est un certificat numérique délivré par un prestataire de services de confiance qualifié (PSCQ). Il atteste de l'identité du signataire et contient sa clé publique.
• Le QSCD est le support sécurisé sur lequel la clé privée associée au certificat est générée et conservée. Il peut s'agir d'un token USB cryptographique, d'une carte à puce, d'un HSM (Hardware Security Module) ou d'un QSCD à distance (remote QSCD) hébergé chez le prestataire.

Pour qu'une signature soit qualifiée au sens d'eIDAS, les deux éléments doivent être présents : un certificat qualifié ET un QSCD. L'annexe II du règlement fixe les exigences auxquelles le dispositif doit répondre (unicité des données de création, impossibilité de déduire la clé privée, protection contre la falsification, etc.).

Niveaux de signature électronique et place du QSCD

Le règlement eIDAS définit trois niveaux de signature :

1. Signature électronique simple (SES) : aucune exigence technique particulière.
2. Signature électronique avancée (AdES) : liée de façon unique au signataire, créée à partir de données sous son contrôle exclusif, mais sans obligation de QSCD.
3. Signature électronique qualifiée (QES) : exige impérativement un certificat qualifié stocké sur un QSCD. C'est le seul niveau bénéficiant d'une présomption légale d'équivalence à la signature manuscrite dans tous les États membres.

Pour approfondir les différences entre ces trois niveaux, le comparatif des solutions de signature électronique de Certyneo offre une analyse détaillée.

Les prestataires qualifiés (QTSP) en France : qui peut délivrer un QSCD ?

En France, la délivrance de certificats qualifiés et la mise à disposition de QSCD relèvent exclusivement de prestataires de services de confiance qualifiés (QTSP) inscrits sur la liste de confiance nationale (Trust Service List, TSL), publiée et maintenue par l'ANSSI (Agence nationale de la sécurité des systèmes d'information).

L'ANSSI, autorité de supervision française

L'ANSSI joue en France le rôle d'organe de contrôle (supervisory body) prévu à l'article 17 d'eIDAS. Elle audite les candidats QTSP selon des critères stricts alignés sur les normes ETSI EN 319 401 (exigences générales pour les TSP) et ETSI EN 319 411 (certificats qualifiés). Un prestataire ne peut se réclamer « qualifié » sans figurer sur la liste de confiance française publiée au format XML signé.

Parmi les QTSP français accrédités figurent notamment des acteurs comme Certigna, CertEurope, Docaposte, Keynectis ou encore Thales (ex-Gemalto). Chacun propose des offres de certificats qualifiés stockés sur des QSCD matériels (cartes à puce, tokens USB) ou des QSCD distants, ces derniers étant en forte progression depuis 2022.

QSCD distant (remote QSCD) : la nouvelle norme en entreprise

Le QSCD distant représente une évolution majeure : la clé privée du signataire n'est plus stockée sur un support physique remis à l'utilisateur, mais dans un HSM certifié, hébergé dans l'infrastructure sécurisée du QTSP. Le signataire accède à son dispositif via une authentification forte (OTP, biométrie, application mobile). Cette approche, encadrée par le standard ETSI EN 319 432 et validée par l'ANSSI, est désormais intégrée dans la plupart des plateformes SaaS de signature qualifiée, dont Certyneo.

La valeur juridique de la signature électronique ne dépend pas du caractère physique ou distant du QSCD, dès lors que la conformité eIDAS est attestée par une qualification ANSSI.

Comment obtenir un certificat QSCD en France : le processus étape par étape

L'obtention d'un certificat qualifié sur QSCD suit un processus formalisé, plus exigeant que celui d'un certificat simple ou avancé. Voici les étapes incontournables.

Étape 1 : choisir son QTSP et son type de QSCD

La première décision porte sur le type de QSCD souhaité :

• QSCD physique (carte à puce ou token USB) : adapté aux usages ponctuels, aux professions libérales ou aux dirigeants. Implique une remise physique du support.
• QSCD distant : idéal pour les organisations signataires à volume élevé ou en mode 100 % numérique. Aucun support physique à gérer.

Le choix du prestataire dépend aussi des intégrations disponibles (API REST, webhooks, connecteurs SIRH) et du niveau de support. Il est conseillé de consulter la liste officielle des QTSP sur le portail de l'ANSSI avant toute décision.

Étape 2 : le processus de vérification d'identité (KYC)

Le règlement eIDAS impose une vérification d'identité rigoureuse avant la délivrance d'un certificat qualifié. Deux modalités sont acceptées :

• En face-à-face physique (in-person) : le demandeur se présente dans un point d'enregistrement du QTSP ou auprès d'un opérateur de vérification mandaté, avec ses pièces d'identité officielles.
• À distance via vidéo (remote identity proofing) : depuis 2021, certains QTSP proposent une vérification par visioconférence en temps réel avec un agent, encadrée par les exigences ETSI EN 319 461. La vérification automatisée par IA (eKYC) n'est pas encore admise pour les certificats qualifiés en France à mi-2026, l'ANSSI exigeant toujours une intervention humaine.

Les documents requis comprennent généralement : pièce d'identité en cours de validité (CNI, passeport), justificatif de rattachement à l'entité professionnelle (Kbis, extrait RCS), et parfois une lettre de mission pour les signataires agissant au nom d'une personne morale.

Étape 3 : génération des clés et remise du QSCD

Une fois l'identité vérifiée, le QTSP procède à la génération de la paire de clés cryptographiques dans l'environnement sécurisé du QSCD. Pour un QSCD physique, le support est initialisé puis remis ou expédié au titulaire avec un code PIN sécurisé. Pour un QSCD distant, le titulaire active son dispositif via l'application mobile du prestataire et configure son mécanisme d'authentification forte.

Le certificat qualifié est ensuite associé à la clé publique et publié dans l'annuaire du QTSP. Sa durée de validité est généralement de 1 à 3 ans, selon l'offre souscrite. Un renouvellement doit être anticipé avant expiration pour maintenir la continuité de la capacité de signature.

Coût, délais et renouvellement : ce qu'il faut anticiper

Grille tarifaire indicative en 2026

Les prix des certificats qualifiés sur QSCD varient sensiblement selon le prestataire et le type de dispositif :

• QSCD physique (token USB ou carte) : entre 80 € et 250 € HT pour la première émission (incluant le support matériel), puis 50 € à 150 € HT pour le renouvellement annuel.
• QSCD distant : souvent intégré dans des offres d'abonnement SaaS à partir de 15 € à 40 € HT par utilisateur et par mois, ou dans des packs à l'acte pour les volumes faibles.

Ces coûts doivent être mis en regard du gain de temps et de la réduction des risques juridiques. Le calculateur ROI de Certyneo permet d'estimer précisément le retour sur investissement selon le volume de documents signés.

Délais d'obtention

Le délai entre la demande et la disponibilité effective du certificat qualifié est en général de 3 à 10 jours ouvrés pour les solutions physiques (envoi postal inclus) et de quelques heures à 48 heures pour les QSCD distants, sous réserve de la complétude du dossier KYC. Les organisations anticipant des pics d'activité (renouvellements contractuels en fin d'exercice, appels d'offres, clôtures comptables) doivent planifier en conséquence.

Révocation et cycle de vie du certificat

Un certificat qualifié peut être révoqué avant son terme en cas de compromission de la clé privée, de départ du titulaire ou de changement d'informations certifiées. La révocation est publiée dans la Certificate Revocation List (CRL) ou via le protocole OCSP (Online Certificate Status Protocol) du QTSP. Toute signature apposée après la révocation est réputée invalide ; celles apposées avant conservent leur valeur, à condition d'être horodatées. L'horodatage électronique qualifié joue ici un rôle crucial pour prouver l'antériorité d'une signature.

Cadre légal applicable au certificat QSCD

La réglementation encadrant les dispositifs qualifiés de création de signature est dense et articulée entre plusieurs textes européens et nationaux.

Règlement eIDAS n°910/2014 (UE) — Ce texte fondateur constitue la pierre angulaire du dispositif. L'article 3(12) définit le dispositif qualifié de création de signature. L'article 26 pose les exigences de la signature avancée, tandis que l'article 29 et l'annexe II détaillent les exigences techniques applicables aux QSCD (unicité des données de création, confidentialité de la clé privée, non-falsifiabilité). L'article 25(2) confère à la signature qualifiée une présomption d'équivalence avec la signature manuscrite. Le règlement eIDAS 2.0 (Règlement 2024/1183, entré en application progressive depuis 2024) renforce ces exigences et élargit le périmètre aux portefeuilles d'identité numérique européens (EUDIW).

Code civil français, articles 1366 et 1367 — L'article 1366 pose que l'écrit électronique a la même force probante que l'écrit papier sous réserve d'identification fiable de l'auteur et d'intégrité du document. L'article 1367 précise que la signature électronique consiste en l'usage d'un procédé fiable d'identification garantissant le lien avec l'acte signé. Le décret n°2017-1416 du 28 septembre 2017 établit la présomption de fiabilité pour les signatures qualifiées conformes à eIDAS.

Normes ETSI — Les normes ETSI EN 319 132 (format XAdES pour la signature XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) et ETSI EN 319 401/411 (exigences pour les TSP et les certificats qualifiés) constituent le référentiel technique opposable aux prestataires. Le non-respect de ces normes peut entraîner la suspension de la qualification QTSP par l'ANSSI.

RGPD n°2016/679 — Le processus de vérification d'identité (KYC) implique le traitement de données biométriques et de données à caractère personnel. Le responsable de traitement (QTSP et, le cas échéant, l'entreprise cliente) doit respecter les principes de minimisation, de finalité limitée et prévoir une durée de conservation proportionnée. Une AIPD (Analyse d'Impact relative à la Protection des Données) est recommandée pour les déploiements à grande échelle.

Responsabilité en cas de non-conformité — L'utilisation d'un certificat non qualifié pour signer des actes exigeant une signature qualifiée (certains marchés publics, actes notariés électroniques, déclarations fiscales dématérialisées) expose l'organisation à une contestation de la valeur probante de l'acte, voire à sa nullité. L'article 13 d'eIDAS prévoit un régime de responsabilité pour les QTSP en cas de manquement à leurs obligations, mais ce régime ne décharge pas les entreprises utilisatrices de leur devoir de diligence dans le choix et le maintien de leur dispositif.

Scénarios d'usage du certificat QSCD en entreprise

Scénario 1 : un cabinet d'avocats dématérialisant ses actes de procédure

Un cabinet d'avocats comptant une quinzaine de collaborateurs traite chaque année plusieurs centaines d'actes de procédure, de mandats et de conventions d'honoraires. Avant le déploiement d'une solution à base de QSCD distant, chaque document nécessitait une impression, une signature manuscrite et un envoi postal ou une numérisation. Le cabinet a opté pour des certificats qualifiés distants intégrés à une plateforme SaaS, permettant à chaque associé de signer depuis son poste ou son mobile avec un niveau qualifié. Résultat constaté : réduction d'environ 70 % du délai de signature des conventions de rupture amiable (de 4 jours à moins de 24 heures en moyenne), suppression des coûts d'affranchissement et archivage automatique des actes signés dans le DMS du cabinet.

Scénario 2 : une PME industrielle gérant ses contrats fournisseurs

Une PME du secteur manufacturier traitant environ 300 contrats fournisseurs par an faisait face à des risques juridiques récurrents liés à des signatures simples ou scannées, facilement contestables. Après audit, il est apparu que plusieurs contrats portant sur des montants supérieurs à 100 000 € avaient été signés sans procédé d'identification fiable. La migration vers des signatures qualifiées sur QSCD distant pour les contrats à fort enjeu (fournisseurs stratégiques, accords de confidentialité, commandes-cadres) a permis de sécuriser le patrimoine contractuel. Les délais de validation des contrats ont diminué d'environ 60 %, les contreparties étrangères appréciant la reconnaissance transfrontalière immédiate offerte par eIDAS.

Scénario 3 : un groupement hospitalier déployant la signature qualifiée pour ses marchés publics

Un groupement hospitalier d'environ 900 lits devait répondre à l'obligation, issue du décret n°2016-360 relatif aux marchés publics, de signer électroniquement les actes d'engagement au-dessus de certains seuils. La DSI a déployé des tokens USB certifiés QSCD pour les directeurs habilités à engager l'établissement. La formation des utilisateurs, l'intégration dans la plateforme de dématérialisation des marchés et la procédure de renouvellement annuel ont été documentées dans une politique de signature interne (Signature Policy). Le gain opérationnel estimé est de l'ordre de 3 à 4 jours par procédure de marché, grâce à l'élimination des envois recommandés et des navettes de parapheurs physiques.

Questions fréquentes

Qu'est-ce qui différencie un QSCD d'un HSM classique ?

Un HSM (Hardware Security Module) est un module matériel de sécurité générique utilisé pour stocker et gérer des clés cryptographiques. Un QSCD est un HSM — ou tout autre dispositif sécurisé — qui a été évalué et certifié conforme aux exigences de l'annexe II du règlement eIDAS par un laboratoire accrédité et reconnu par une autorité de supervision nationale. La qualification QSCD atteste que le dispositif répond à des critères stricts d'unicité de clé, de non-exportabilité et de résistance aux attaques physiques et logiques.

Un certificat QSCD obtenu en France est-il valable dans toute l'Union européenne ?

Oui. L'article 25(2) d'eIDAS établit une reconnaissance mutuelle obligatoire des signatures qualifiées entre tous les États membres. Un certificat qualifié délivré par un QTSP français inscrit sur la liste de confiance nationale produit les mêmes effets juridiques en Allemagne, en Espagne ou en Italie que dans son pays d'émission. Cette reconnaissance automatique est l'un des atouts majeurs du dispositif pour les entreprises ayant des activités contractuelles transfrontalières.

Quelle est la durée de validité d'un certificat QSCD et peut-on le renouveler à distance ?

La durée de validité d'un certificat qualifié est généralement fixée à 1, 2 ou 3 ans selon l'offre du QTSP. Le renouvellement peut s'effectuer à distance pour les QSCD distants, à condition que l'identité du titulaire ait déjà été vérifiée en face-à-face ou par vidéo lors de l'émission initiale. La plupart des QTSP envoient des alertes d'expiration 60 et 30 jours avant l'échéance. Ignorer ces alertes expose à une interruption de la capacité de signature qualifiée.

Le certificat QSCD est-il obligatoire pour tous les actes signés électroniquement ?

Non. Le niveau de signature requis dépend de la nature de l'acte et du cadre réglementaire applicable. La signature qualifiée sur QSCD est obligatoire pour certains actes spécifiques (actes notariés électroniques, certains marchés publics, déclarations fiscales dématérialisées). Pour la majorité des contrats commerciaux courants, une signature avancée suffit. Il est recommandé de consulter le glossaire de la signature électronique ou un conseil juridique pour déterminer le niveau requis acte par acte.

Comment vérifier qu'une signature repose bien sur un certificat QSCD valide ?

La vérification s'effectue en consultant les métadonnées du document signé via un outil de validation conforme aux spécifications ETSI, tel que le service DSS (Digital Signature Service) de la Commission européenne, accessible gratuitement. Cet outil vérifie la chaîne de confiance du certificat, son statut (non révoqué), sa conformité au profil qualifié et la présence d'un horodatage qualifié. Certaines plateformes SaaS comme Certyneo intègrent ce rapport de validation directement dans l'interface de gestion des documents.

Conclusion

Le certificat QSCD est bien plus qu'une formalité technique : il est le fondement juridique et cryptographique de la signature électronique qualifiée, le seul niveau offrant une présomption légale d'équivalence à la signature manuscrite dans toute l'Union européenne. En France, son obtention passe par un QTSP accrédité par l'ANSSI, un processus de vérification d'identité rigoureux et un choix éclairé entre QSCD physique et QSCD distant — ce dernier s'imposant comme la norme pour les organisations cherchant agilité et scalabilité.

Certyneo intègre nativement des QSCD distants certifiés dans sa plateforme SaaS, permettant à vos équipes de signer avec le niveau qualifié sans aucun support physique à gérer. Que vous partiez de zéro ou que vous migriez depuis une autre solution, nos experts vous accompagnent à chaque étape. Découvrez les tarifs Certyneo ou contactez notre équipe pour un audit de vos besoins en signature qualifiée.