Prestataire TSP eIDAS : comprendre le rôle des services de confiance

Introduction

Depuis l'entrée en vigueur du règlement eIDAS n°910/2014, les prestataires de services de confiance (TSP, Trust Service Providers) constituent l'épine dorsale de la confiance numérique en Europe. Ces acteurs, soumis à une réglementation stricte, délivrent les certificats, horodatages et signatures qualifiées qui donnent leur force juridique aux échanges électroniques. Avec l'adoption du règlement eIDAS 2.0 (règlement UE 2024/1183), leurs obligations ont encore évolué. Cet article vous explique ce qu'est un TSP, comment il est accrédité, quels services il peut proposer, et pourquoi le choix d'un prestataire qualifié est déterminant pour votre entreprise.

---

Qu'est-ce qu'un prestataire de services de confiance (TSP) ?

Définition et périmètre réglementaire

Selon l'article 3 du règlement eIDAS, un prestataire de services de confiance est une personne physique ou morale qui fournit un ou plusieurs services de confiance, soit à titre qualifié, soit à titre non qualifié. Le règlement distingue clairement ces deux catégories : seuls les prestataires qualifiés bénéficient de la présomption de conformité et de la valeur juridique renforcée attachée à leurs services.

Les services de confiance couverts par eIDAS comprennent :

• La création, vérification et validation de signatures électroniques (simples, avancées ou qualifiées)
• La création, vérification et validation de cachets électroniques (pour les personnes morales)
• La création, vérification et validation d'horodatages électroniques qualifiés
• Les services d'envoi recommandé électronique
• La délivrance et gestion de certificats pour l'authentification de sites web (QWAC)
• La préservation à long terme de signatures et cachets qualifiés

Depuis eIDAS 2.0, la liste s'est étendue aux portefeuilles européens d'identité numérique (EUDIW) et aux attestations d'attributs électroniques qualifiés, renforçant encore le périmètre d'intervention des TSP.

La distinction TSP qualifié vs non qualifié

Tous les prestataires de services de confiance ne se valent pas juridiquement. Un TSP non qualifié peut exercer librement, mais ses services n'emportent aucune présomption légale de conformité. Un TSP qualifié (QTSP, Qualified Trust Service Provider) est inscrit sur la liste de confiance nationale supervisée (Trusted List) de son État membre, publiée et maintenue conformément à l'article 22 eIDAS et à la décision d'exécution 2015/1505.

En France, c'est l'ANSSI (Agence nationale de la sécurité des systèmes d'information) qui joue le rôle d'organisme de supervision (article 17 eIDAS). La liste de confiance française est accessible via le portail européen centralisé. Pour aller plus loin sur la hiérarchie des niveaux de signature et leur reconnaissance, consultez notre guide complet du règlement eIDAS 2.0.

---

Le processus de qualification d'un TSP

L'audit de conformité par un organisme d'évaluation de la conformité

Pour obtenir le statut qualifié, un prestataire doit se soumettre à un audit conduit par un organisme d'évaluation de la conformité (OEC) accrédité par le COFRAC en France (ou l'équivalent national dans chaque État membre). Cet audit vérifie la conformité aux exigences de l'Annexe II d'eIDAS (pour les certificats qualifiés) et aux normes ETSI applicables.

Les principales normes techniques de référence sont :

• ETSI EN 319 401 : exigences générales pour les TSP
• ETSI EN 319 411-1 et -2 : politique et pratiques de certification pour les certificats qualifiés
• ETSI EN 319 421 : politique et pratiques pour les TSP d'horodatage
• ETSI EN 319 132 : profil XAdES pour les signatures avancées et qualifiées
• ETSI EN 319 122 : profil CAdES

L'audit aboutit à un rapport d'évaluation transmis à l'organisme de supervision national, qui peut accorder, refuser ou retirer la qualification. La durée de validité d'un certificat de qualification est généralement de 24 mois, renouvelable.

La Trusted List européenne : le registre de référence

La liste de confiance européenne (EU Trusted List, ou TL) est le mécanisme central par lequel eIDAS garantit l'interopérabilité transfrontalière. Chaque État membre publie sa liste nationale, et la Commission européenne agrège l'ensemble dans la List of Trusted Lists (LOTL). Cette architecture pyramidale permet à n'importe quel système de vérification de remonter jusqu'à la racine de confiance européenne.

Au 1er janvier 2026, la LOTL recense plus de 200 TSP qualifiés dans l'ensemble des États membres, délivrant collectivement des millions de certificats qualifiés par an. Pour un acheteur de solution SaaS, la vérification de la présence d'un fournisseur sur cette liste est la première due diligence à effectuer.

Obligations de surveillance continue

La qualification n'est pas acquise définitivement. Les TSP qualifiés sont soumis à :

• Des audits périodiques (au moins tous les 24 mois)
• La notification sans délai de tout incident de sécurité affectant les services (article 19 eIDAS)
• La tenue à jour d'une politique de certification (CP) et d'une déclaration des pratiques de certification (CPS) publiques
• Le maintien d'un plan de continuité d'activité et d'un plan de cessation d'activité garantissant la préservation des données en cas d'arrêt

---

Les services qualifiés et leur portée juridique

La signature électronique qualifiée (SEQ)

La signature électronique qualifiée est le niveau le plus élevé prévu par eIDAS. Elle repose sur un certificat qualifié délivré par un QTSP et est créée au moyen d'un dispositif de création de signature électronique qualifié (QSCD), tel qu'une carte à puce certifiée Common Criteria EAL4+ ou un HSM (Hardware Security Module) conforme à la protection profile EN 419 221-5.

L'article 25§2 d'eIDAS pose le principe d'équivalence avec la signature manuscrite : une SEQ produite dans un État membre est reconnue dans tous les États membres sans formalité supplémentaire. C'est le seul niveau pour lequel cette présomption légale s'applique automatiquement. Pour approfondir la valeur juridique de la signature électronique selon les contextes contractuels, nous avons consacré un guide dédié.

L'horodatage électronique qualifié

L'horodatage électronique qualifié (QTS, Qualified Time Stamp) atteste de manière infalsifiable qu'un document ou une donnée existait à un instant précis. Selon l'article 41 eIDAS, il bénéficie d'une présomption d'exactitude de la date et de l'heure, ainsi que d'intégrité des données.

Les usages typiques incluent : preuve de dépôt de brevet, archivage probatoire, journalisation des événements contractuels. L'horodatage électronique qualifié joue également un rôle central dans la conservation à long terme des signatures.

Le service d'envoi recommandé électronique qualifié

Le REMS qualifié (Qualified Electronic Registered Mail Service) est l'équivalent numérique de la lettre recommandée avec accusé de réception. Il garantit l'identification des parties, l'intégrité des données transmises, l'horodatage de l'envoi et de la réception. L'article 44 eIDAS lui confère une présomption d'intégrité des données et d'exactitude de la date d'envoi et de réception. Ce service est particulièrement utile pour les mises en demeure, résiliations de contrats ou notifications légales.

---

Choisir son prestataire TSP : critères déterminants

Qualification, interopérabilité et couverture géographique

Le premier critère est évidemment la présence sur la Trusted List du ou des États membres dans lesquels vous opérez. Mais au-delà de la qualification formelle, plusieurs dimensions pratiques entrent en jeu :

• Interopérabilité : le TSP supporte-t-il les formats standards ETSI (XAdES, PAdES, CAdES, JAdES) ? Les signatures produites seront-elles vérifiables par des outils tiers comme le validateur européen DSS ?
• Disponibilité de service : quel est le SLA garanti ? Les infrastructures QSCD sont-elles redondées géographiquement ?
• Couverture géographique : si vous opérez dans plusieurs pays européens, le TSP propose-t-il des certificats qualifiés reconnus dans ces pays ?
• APIs et intégration : les APIs REST/SOAP sont-elles bien documentées ? Existe-t-il un SDK ou une intégration native avec votre stack applicatif ?

Transparence tarifaire et modèle commercial

Les TSP qualifiés facturent généralement au certificat émis, au volume de transactions ou via des abonnements annuels. Les tarifs varient considérablement : un certificat qualifié individuel coûte entre 50 et 200 € HT par an, tandis que des solutions de signature en masse (serveur) peuvent dépasser plusieurs milliers d'euros annuels. Comparez les offres du marché avec notre comparatif des solutions de signature électronique.

Support, conformité RGPD et localisation des données

Un TSP traitant des données personnelles (ce qui est systématiquement le cas pour l'émission de certificats qualifiés) est soumis au RGPD n°2016/679. Vérifiez :

• La localisation des données (hébergement UE ou hors UE ?)
• La politique de conservation et de suppression des données
• L'existence d'un DPO (Data Protection Officer) désigné
• La sous-traitance éventuelle et les clauses contractuelles types (CCT) applicables

Pour les entreprises souhaitant migrer depuis une solution existante vers un fournisseur plus conforme, notre guide sur la migration depuis DocuSign ou YouSign vers Certyneo détaille les étapes et précautions à prendre.

Cadre légal applicable aux prestataires TSP eIDAS

Textes fondateurs

Le cadre juridique des prestataires de services de confiance repose sur plusieurs couches réglementaires articulées entre elles.

Règlement eIDAS n°910/2014/UE (modifié par le règlement UE 2024/1183 dit « eIDAS 2.0 ») : texte de référence définissant les services de confiance, les niveaux de qualification, les obligations des TSP (articles 13 à 22 pour les obligations générales, articles 23 à 45 pour les services qualifiés spécifiques) et le régime de responsabilité (article 13 : responsabilité pour tout dommage causé intentionnellement ou par négligence, avec renversement de la charge de la preuve en faveur de la victime).

Code civil français, articles 1366 et 1367 : l'article 1366 pose le principe de l'équivalence de l'écrit électronique à l'écrit sur support papier sous réserve d'identification de l'auteur et d'intégrité. L'article 1367 définit la signature électronique et sa présomption de fiabilité lorsqu'elle est qualifiée au sens d'eIDAS.

Décret n°2017-1416 du 28 septembre 2017 relatif à la signature électronique : précise en droit français les conditions techniques de la signature électronique fiable, renvoyant explicitement aux exigences eIDAS.

Obligations de sécurité et de notification

L'article 19 d'eIDAS impose aux TSP de prendre des mesures techniques et organisationnelles appropriées pour gérer les risques pesant sur leurs services. En cas d'incident de sécurité ou de perte d'intégrité ayant un impact significatif sur le service ou les données personnelles, le TSP doit notifier l'organisme de supervision sans retard injustifié et, au plus tard, dans les 24 heures après en avoir eu connaissance. Cette obligation se cumule avec celle prévue à l'article 33 du RGPD n°2016/679 (notification à l'autorité de contrôle — CNIL en France — dans les 72 heures).

La directive NIS2 (2022/2555/UE), transposée en droit français par la loi n°2023-703 du 1er août 2023, soumet les TSP qualifiés à des exigences renforcées de gestion des risques cyber et de notification d'incidents, en tant qu'entités essentielles ou importantes selon leur taille.

Responsabilité et sanctions

Le régime de responsabilité eIDAS (article 13) est sévère : le TSP est présumé responsable de tout dommage causé à toute personne physique ou morale par un manquement à ses obligations. Il lui appartient de prouver l'absence de faute. Les sanctions nationales pour non-conformité peuvent inclure le retrait de la qualification, des amendes administratives (jusqu'à 10 M€ ou 2 % du CA mondial sous RGPD), et des actions en responsabilité civile. En France, l'ANSSI peut également prononcer des mesures correctives imposées.

Scénarios d'usage : le TSP eIDAS dans la pratique

Un cabinet d'avocats gérant des actes de procédure dématérialisés

Un cabinet d'avocats d'affaires d'une cinquantaine de collaborateurs traite quotidiennement des actes nécessitant une signature qualifiée : conclusions, mandats de représentation, actes de cession de fonds de commerce. En s'appuyant sur un QTSP référencé sur la Trusted List française, le cabinet génère des signatures PAdES-LTV (Long-Term Validation) intégrant un horodatage qualifié. Résultat : le délai de traitement d'un acte signable passe de 3 à 4 jours (navette papier) à moins de 2 heures. La valeur probatoire de chaque signature est automatiquement vérifiable par la partie adverse et par les juridictions, sans expertise complémentaire, réduisant les contestations procédurales de l'ordre de 70 % selon les retours terrain de cabinets comparables.

Une PME industrielle sécurisant ses contrats fournisseurs transfrontaliers

Une PME industrielle française d'environ 180 salariés, approvisionnée auprès de fournisseurs en Allemagne, en Pologne et en Espagne, devait auparavant faire légaliser ou apostiller certains documents contractuels pour garantir leur reconnaissance transfrontalière. En intégrant via API un TSP qualifié délivrant des certificats reconnus dans toute l'UE (article 25§2 eIDAS), la PME élimine ces formalités. Les 300 contrats fournisseurs annuels sont désormais signés électroniquement avec une reconnaissance juridique automatique dans les trois pays partenaires. Le gain estimé en coûts administratifs et délais atteint 35 à 45 % sur l'ensemble du cycle contractuel, cohérent avec les fourchettes publiées par les études sectorielles de la Fédération des industries mécaniques.

Un groupement hospitalier préservant l'intégrité de ses dossiers médicaux numériques

Un groupement hospitalier d'environ 1 200 lits doit garantir l'intégrité et l'authenticité de ses comptes rendus opératoires, prescriptions et consentements éclairés sur des durées de conservation allant jusqu'à 20 ans (article R. 1112-7 du Code de la santé publique). En recourant à un service d'horodatage électronique qualifié fourni par un QTSP, le groupement crée des preuves d'intégrité infalsifiables dès la production du document. Les audits internes et les contrôles de l'HAS (Haute Autorité de Santé) peuvent désormais vérifier automatiquement l'intégrité de chaque document archivé, réduisant la charge de travail des équipes qualité de 25 % environ selon des benchmarks sectoriels santé.

Questions fréquentes

Qu'est-ce qu'un prestataire de services de confiance qualifié au sens d'eIDAS ?

Un prestataire de services de confiance qualifié (QTSP) est un organisme ayant obtenu le statut qualifié auprès de l'organisme de supervision de son État membre (l'ANSSI en France), après audit de conformité par un organisme accrédité. Il figure sur la liste de confiance nationale publiée conformément à l'article 22 d'eIDAS. Ce statut lui permet de délivrer des services à présomption légale de conformité : signatures qualifiées, horodatages qualifiés, cachets qualifiés, envois recommandés électroniques qualifiés.

Comment vérifier qu'un prestataire TSP est bien qualifié eIDAS ?

La vérification s'effectue via le portail officiel de la Commission européenne « eIDAS Trusted List Browser » (tlbrowser.tsl.website) ou via le portail de l'ANSSI pour les prestataires français. Il suffit de rechercher le nom du prestataire ou l'URL de son service. La liste est mise à jour en temps réel. Tout prestataire se réclamant qualifié sans figurer sur cette liste ne bénéficie d'aucune présomption légale attachée aux services eIDAS qualifiés.

Un TSP qualifié dans un pays européen est-il reconnu dans toute l'UE ?

Oui. C'est l'un des apports fondamentaux d'eIDAS : le principe de reconnaissance mutuelle transfrontalière (article 25§2 pour les signatures, article 35§2 pour les cachets, article 41§2 pour les horodatages). Une signature électronique qualifiée créée au moyen d'un certificat délivré par un QTSP français est légalement reconnue en Allemagne, en Espagne, en Pologne ou dans tout autre État membre, sans démarche supplémentaire. Cette interopérabilité est la raison d'être principale du règlement eIDAS au niveau européen.

Quelle est la différence entre un certificat qualifié et un certificat avancé ?

Un certificat avancé peut être délivré par n'importe quel prestataire, qualifié ou non, selon des exigences techniques minimales. Un certificat qualifié ne peut être émis que par un QTSP inscrit sur la Trusted List, sur la base de l'Annexe I d'eIDAS (contenu du certificat) et après vérification rigoureuse de l'identité du demandeur en face à face ou via un processus d'identification à distance qualifié (QES). Le certificat qualifié est la condition nécessaire à l'émission d'une signature électronique qualifiée, seule à bénéficier de la présomption d'équivalence avec la signature manuscrite.

Un TSP peut-il perdre sa qualification eIDAS ? Quelles sont les conséquences ?

Oui. L'organisme de supervision peut retirer ou suspendre la qualification d'un TSP en cas de manquement grave à ses obligations (audit négatif, incident de sécurité majeur non résolu, fausse déclaration). Le retrait est publié sur la Trusted List avec un statut « révoqué ». Les certificats émis avant la révocation restent valides si leur chaîne de confiance est préservée dans un archivage probatoire conforme. En revanche, aucun nouveau certificat qualifié ne peut être émis après révocation, et les services fournis cessent de bénéficier des présomptions légales eIDAS.

Conclusion

Les prestataires de services de confiance (TSP) sont bien plus que de simples fournisseurs techniques : ils constituent le socle réglementaire et juridique sur lequel repose toute la valeur probatoire de la signature électronique en Europe. Comprendre leur rôle, leur processus de qualification et leurs obligations est indispensable pour toute entreprise souhaitant sécuriser ses échanges numériques avec une valeur juridique incontestable. Le choix d'un QTSP inscrit sur la Trusted List européenne n'est pas optionnel dès lors que vous visez la signature qualifiée ou l'horodatage qualifié.

Certyneo s'appuie exclusivement sur des prestataires TSP qualifiés reconnus eIDAS pour vous garantir des signatures électroniques à pleine valeur juridique, interopérables dans toute l'Union européenne. Prêt à sécuriser vos flux contractuels ? Créez votre compte Certyneo gratuitement ou contactez notre équipe pour une démonstration personnalisée.