QES, AES et SES : comprendre les trois niveaux de signature eIDAS en 2026

Le règlement eIDAS (n° 910/2014) constitue la pierre angulaire du droit européen de la signature électronique. Depuis son entrée en vigueur, il structure trois niveaux de signature — SES, AES et QES — dont les exigences techniques et la valeur probatoire diffèrent radicalement. En 2026, avec l'entrée en vigueur progressive du règlement eIDAS 2.0 (règlement UE 2024/1183), ces distinctions gagnent en importance pour toute organisation souhaitant dématérialiser ses actes juridiques en toute conformité. Cet article décrypte les différences fondamentales entre ces trois niveaux, les obligations qu'ils impliquent et les critères à retenir pour choisir le bon format selon la nature de vos documents.

SES : la signature électronique simple, souple mais limitée

Définition et caractéristiques techniques

La signature électronique simple (SES, ou Simple Electronic Signature) est définie à l'article 3(10) du règlement eIDAS comme « des données sous forme électronique jointes ou associées logiquement à d'autres données sous forme électronique, et que le signataire utilise pour signer ». Cette définition est volontairement large : un simple clic sur « J'accepte », une signature dessinée au doigt sur tablette, ou encore une case cochée dans un formulaire en ligne entrent dans cette catégorie.

La SES ne requiert aucune vérification d'identité préalable du signataire, ni aucun certificat cryptographique. Sa robustesse repose uniquement sur le contexte contractuel et les preuves périphériques (adresse IP, horodatage serveur, email de confirmation). Le glossaire de la signature électronique recense l'ensemble des termes techniques associés à ces mécanismes.

Valeur juridique et cas d'acceptation

La SES bénéficie du principe de non-discrimination posé à l'article 25(1) eIDAS : elle ne peut être rejetée comme preuve au seul motif qu'elle est électronique. Cependant, elle n'emporte aucune présomption de fiabilité. En cas de contestation, la charge de la preuve pèse entièrement sur la partie qui l'invoque. La valeur juridique de la signature électronique dépend donc fortement du niveau choisi.

La SES convient aux actes à faible risque : acceptation de CGU, formulaires internes, commandes en ligne de faible valeur, ou encore sondages de satisfaction. Elle est inadaptée à tout document susceptible d'être contesté en justice.

AES : la signature avancée, l'équilibre entre sécurité et praticité

Les quatre critères cumulatifs de l'article 26 eIDAS

La signature électronique avancée (AES, Advanced Electronic Signature) est définie à l'article 3(11) eIDAS et doit satisfaire quatre conditions énumérées à l'article 26 :

1. Être liée au signataire de manière univoque : un identifiant unique relie la signature à une personne physique déterminée.
2. Permettre d'identifier le signataire : une vérification d'identité est réalisée (email, numéro de téléphone, pièce d'identité selon le prestataire).
3. Avoir été créée à partir de données que le signataire peut utiliser avec un niveau de confiance élevé sous son contrôle exclusif : typiquement un code OTP envoyé sur son téléphone ou un certificat logiciel.
4. Être liée aux données signées de telle sorte que toute modification ultérieure soit détectable : la signature repose sur un hash cryptographique du document.

Technologies utilisées et niveaux d'assurance

En pratique, l'AES est mise en œuvre via des certificats numériques de niveau substantiel (au sens du règlement eIDAS), des mécanismes d'authentification multi-facteurs, ou des solutions d'identité documentaire (scan de pièce d'identité, comparaison biométrique). Les prestataires de services de confiance qualifiés tels que Certyneo proposent des parcours de signature AES intégrant la vérification d'identité à distance, conformes aux référentiels ANSSI et aux normes ETSI EN 319 401.

L'AES offre un excellent compromis entre sécurité et fluidité d'expérience utilisateur. Elle est recommandée pour les contrats commerciaux courants, les actes RH, les conventions de partenariat ou les contrats de prestation de services. Consultez notre guide complet sur la signature électronique en entreprise pour approfondir les usages en contexte professionnel.

Limites de l'AES face à certains actes

L'AES reste insuffisante pour les actes authentiques ou ceux pour lesquels la loi exige expressément la signature qualifiée. En France, l'article 1367 du Code civil réserve la présomption de fiabilité maximale aux seules signatures qualifiées au sens eIDAS. L'AES peut être écartée par un juge si la partie adverse démontre une insuffisance dans le processus de vérification d'identité.

QES : la signature qualifiée, équivalent légal du manuscrit

Définition réglementaire et exigences techniques

La signature électronique qualifiée (QES, Qualified Electronic Signature) est définie à l'article 3(12) eIDAS comme une signature avancée créée par un dispositif de création de signature qualifié (QSCD) et reposant sur un certificat qualifié de signature électronique. Ces deux composantes sont indissociables.

Le certificat qualifié est émis par un prestataire de services de confiance qualifié (QTSP) inscrit sur la liste de confiance nationale (Trusted List) publiée par chaque État membre. En France, cette liste est administrée par l'ANSSI. Le QTSP doit avoir été audité et accrédité selon les exigences de l'annexe I du règlement eIDAS et les normes ETSI EN 319 411-2.

Le QSCD (dispositif de création de signature qualifié) est un support matériel ou logiciel sécurisé — typiquement une carte à puce, un token USB cryptographique ou un HSM (Hardware Security Module) distant — garantissant que la clé privée du signataire ne peut être extraite ou copiée. Les exigences des QSCD sont précisées à l'annexe II du règlement eIDAS.

La présomption légale irréfragable de l'article 25(2)

L'article 25(2) du règlement eIDAS confère à la QES un effet juridique équivalent à la signature manuscrite dans tous les États membres de l'Union européenne. Cette présomption est automatique : contrairement à l'AES, la partie qui produit une QES n'a pas à démontrer la fiabilité du procédé. C'est à l'adversaire de renverser cette présomption, ce qui est en pratique très difficile dès lors que le QTSP et le QSCD sont dûment qualifiés.

En France, l'article 1367 alinéa 2 du Code civil transpose cette exigence en droit interne : la fiabilité du procédé de signature électronique est présumée jusqu'à preuve contraire lorsque la signature électronique qualifiée eIDAS est utilisée. Cette présomption couvre également l'intégrité du document signé.

Processus d'obtention d'un certificat qualifié

L'obtention d'un certificat qualifié exige une vérification d'identité en face-à-face ou par équivalent à distance avec le même niveau d'assurance (par exemple, une vidéo-identification conforme à la norme EN ISO/IEC 18013 ou aux spécifications du règlement d'exécution 2015/1502). Le processus implique :

• La collecte de documents d'identité officiels
• La vérification de leur authenticité (détection de falsification)
• L'enregistrement biométrique du signataire
• L'émission du certificat par le QTSP après validation

Ce niveau d'exigence explique que la QES est réservée aux actes à risque élevé : actes sous seing privé à fort enjeu financier, documents notariés électroniques, marchés publics, actes médicaux sensibles, ou encore dans les domaines où la réglementation sectorielle l'impose explicitement. Pour comparer les solutions disponibles sur le marché, notre comparatif des solutions de signature électronique vous guidera dans votre choix.

Tableau comparatif et critères de choix en 2026

Récapitulatif des différences structurantes

Trois axes permettent de distinguer rapidement les trois niveaux :

Vérification d'identité : nulle pour la SES, documentaire ou OTP pour l'AES, face-à-face ou équivalent pour la QES. Support cryptographique : inexistant pour la SES, certificat logiciel pour l'AES, QSCD certifié pour la QES. Présomption juridique : absente pour la SES, partielle pour l'AES, totale et automatique pour la QES.

En termes de friction utilisateur, l'équation est inverse : la SES est quasi-transparente, l'AES nécessite quelques minutes de vérification, la QES suppose une démarche d'enregistrement préalable pouvant prendre de quelques minutes (vidéo-identification) à quelques jours.

Impact d'eIDAS 2.0 sur ces distinctions en 2026

Le règlement eIDAS 2.0 (UE 2024/1183), dont les actes d'exécution sont progressivement publiés depuis 2024, renforce plusieurs points clés. Il introduit le Portefeuille Européen d'Identité Numérique (EUDI Wallet), qui permettra à terme aux citoyens européens de stocker leur certificat qualifié directement dans leur smartphone, réduisant considérablement la friction associée à la QES. Il clarifie également les exigences applicables aux QTSP et renforce la gouvernance des listes de confiance nationales.

Par ailleurs, eIDAS 2.0 étend le périmètre de la reconnaissance mutuelle des signatures qualifiées entre États membres, ce qui est particulièrement structurant pour les entreprises opérant dans plusieurs pays de l'Union. Le guide complet du règlement eIDAS 2.0 détaille l'ensemble de ces évolutions réglementaires. Enfin, la question de l'horodatage électronique qualifié — complémentaire à la QES pour conserver la valeur probatoire des documents dans le temps — mérite également attention lors de la conception de votre architecture documentaire.

Cadre légal applicable aux signatures SES, AES et QES

La hiérarchie des signatures électroniques repose sur un corpus réglementaire dense, articulant droit européen et droit interne français.

Règlement eIDAS n° 910/2014 : ce texte fondateur définit aux articles 3(10), 3(11) et 3(12) les trois niveaux de signature. L'article 25 pose le principe de non-discrimination (§1) et la présomption d'équivalence manuscrite pour la QES (§2). L'article 26 énumère les quatre conditions cumulatives de la signature avancée. Les annexes I et II précisent respectivement les exigences applicables aux certificats qualifiés et aux dispositifs de création de signature qualifiés (QSCD).

Règlement eIDAS 2.0 — UE 2024/1183 : entré en vigueur le 20 mai 2024, il amende substantiellement le règlement de 2014, notamment par l'introduction du Portefeuille Européen d'Identité Numérique (EUDI Wallet), l'extension des services de confiance qualifiés et le renforcement de la gouvernance des QTSP. Les actes d'exécution continuent d'être publiés en 2026.

Code civil français, articles 1366 et 1367 : l'article 1366 reconnaît l'écrit électronique comme preuve au même titre que l'écrit papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. L'article 1367 alinéa 2 pose la présomption de fiabilité pour la signature qualifiée eIDAS, en transposition directe de l'article 25(2) du règlement.

Décret n° 2017-1416 du 28 septembre 2017 : précise en droit français les conditions permettant de bénéficier de la présomption de fiabilité, renvoyant explicitement aux exigences du règlement eIDAS pour les signatures qualifiées.

Normes ETSI : les normes ETSI EN 319 102-1 (procédures de création et de validation de signature), ETSI EN 319 132 (format XAdES), ETSI EN 319 122 (format CAdES) et ETSI EN 319 142 (format PAdES) encadrent techniquement la création de signatures électroniques conformes. Les prestataires qualifiés doivent implémenter ces formats pour garantir l'interopérabilité européenne.

RGPD — Règlement UE 2016/679 : la collecte de données biométriques dans le cadre de la vérification d'identité pour l'émission de certificats qualifiés constitue un traitement de données sensibles au sens de l'article 9. Le QTSP doit disposer d'une base légale explicite, informer les personnes et mettre en œuvre les garanties techniques appropriées. Une analyse d'impact (AIPD) est généralement requise.

Directive NIS2 — UE 2022/2555 : applicable aux opérateurs de services essentiels et aux prestataires de services numériques, elle impose des exigences de cybersécurité renforcées qui s'appliquent indirectement aux QTSP opérant des infrastructures critiques de signature électronique.

Les organisations qui déploient des solutions de signature électronique sans respecter le niveau requis par la nature juridique de l'acte s'exposent à la nullité ou à l'inopposabilité des documents signés, ainsi qu'à des risques de contentieux pouvant entraîner des préjudices financiers significatifs.

Scénarios d'usage : choisir le bon niveau selon le contexte

Cas 1 — PME industrielle gérant des centaines de commandes fournisseurs

Une PME industrielle traitant environ 400 bons de commande et contrats fournisseurs par an a déployé la signature AES pour l'ensemble de ses documents commerciaux courants. Le parcours de signature s'appuie sur une vérification par lien email sécurisé et code OTP SMS, avec génération d'un rapport d'audit horodaté pour chaque acte. Le délai moyen de signature est passé de 4,5 jours (courrier recommandé) à moins de 3 heures. Le taux de contestation contractuelle est resté nul sur 18 mois d'exploitation, la piste d'audit fournissant une preuve suffisante en cas de différend commercial. La réduction des coûts d'impression, d'affranchissement et de gestion documentaire atteint environ 60 % selon les estimations internes, cohérentes avec les fourchettes publiées par des études sectorielles européennes (Billentis Report, 2025).

Cas 2 — Cabinet d'avocats spécialisé en droit des affaires

Un cabinet d'avocats d'affaires d'une quinzaine de collaborateurs a mis en place une infrastructure à deux niveaux : signature AES pour les correspondances internes, mandats de représentation et conventions honoraires ; signature QES pour les actes sous seing privé à fort enjeu (cessions de parts sociales, protocoles d'accord, garanties financières). L'obtention des certificats qualifiés pour les associés a été réalisée via une session de vidéo-identification conforme eIDAS, sans déplacement physique, en moins de 20 minutes par personne. La présomption légale attachée à la QES permet au cabinet de présenter ses actes devant toute juridiction européenne sans avoir à démontrer la fiabilité du procédé, réduisant le risque processuel de manière significative.

Cas 3 — Groupement hospitalier dématérialisant ses actes RH et médicaux

Un groupement hospitalier d'environ 1 200 lits a choisi une approche différenciée selon la nature des documents. Les contrats de travail, avenants et fiches de poste sont signés en AES, permettant aux 800 agents concernés de signer depuis leur smartphone sans infrastructure lourde. Pour les conventions médicales spécifiques et les documents exigeant une authentification forte imposée par la réglementation sanitaire (HDS), la QES est déployée pour les praticiens signataires désignés. Ce modèle hybride réduit de 75 % le délai de constitution des dossiers RH lors des recrutements, un gain particulièrement critique en période de tension sur les ressources médicales. Il assure par ailleurs la conformité avec les obligations de la CNIL relatives aux traitements de données de santé.

Questions fréquentes

Quelle est la différence principale entre QES et AES dans eIDAS ?

La différence fondamentale tient à deux éléments : le certificat et le dispositif de signature. La QES repose obligatoirement sur un certificat qualifié émis par un prestataire accrédité (QTSP) et sur un dispositif de création de signature qualifié (QSCD) matériellement sécurisé. L'AES peut utiliser un certificat logiciel et une vérification d'identité moins stricte. Conséquence directe : la QES bénéficie d'une présomption légale d'équivalence à la signature manuscrite dans toute l'Union européenne, ce que l'AES ne garantit pas automatiquement.

Dans quels cas est-il obligatoire d'utiliser une signature QES ?

Aucun texte européen n'impose la QES de manière générale, mais plusieurs réglementations sectorielles ou nationales l'exigent implicitement ou explicitement. C'est le cas pour certains actes authentiques électroniques, des marchés publics spécifiques, des actes notariés dématérialisés, ou encore dans des secteurs réglementés comme la banque (DSP2, KYC renforcé) ou la santé. La règle générale est la suivante : plus l'enjeu juridique ou financier de l'acte est élevé, plus le recours à la QES est recommandé pour écarter tout risque de contestation.

La signature SES a-t-elle une valeur juridique en France en 2026 ?

Oui, la signature SES est juridiquement recevable en France en vertu du principe de non-discrimination posé par l'article 25(1) du règlement eIDAS et de l'article 1366 du Code civil. Elle ne peut être écartée comme preuve au seul motif qu'elle est électronique. En revanche, elle ne bénéficie d'aucune présomption de fiabilité : en cas de contestation, la partie qui l'invoque doit en démontrer la robustesse par d'autres moyens (logs, adresse IP, piste d'audit). Son usage doit donc être réservé aux actes à faible risque.

Un certificat qualifié obtenu en France est-il reconnu dans toute l'Union européenne ?

Oui. L'article 25(2) du règlement eIDAS et le mécanisme de reconnaissance mutuelle des listes de confiance nationales (Trusted Lists) garantissent qu'un certificat qualifié émis par un QTSP accrédité en France est reconnu dans tous les États membres de l'Union européenne avec le même effet juridique. eIDAS 2.0 (UE 2024/1183) renforce encore ce principe en étendant la reconnaissance aux nouveaux services de confiance qualifiés introduits par le règlement révisé.

Comment vérifier qu'un prestataire de signature est bien qualifié eIDAS ?

Chaque État membre publie et maintient une liste officielle de confiance (Trusted List) répertoriant tous les prestataires de services de confiance qualifiés (QTSP) accrédités sur son territoire. En France, cette liste est publiée et mise à jour par l'ANSSI sur son site officiel. La Commission européenne agrège l'ensemble des listes nationales sur le portail EU Trusted List Browser (tlbrowser.tsl.europa.eu). Vérifiez qu'un prestataire y figure avant de lui confier l'émission de certificats qualifiés ou la création de signatures QES.

Conclusion

Les trois niveaux de signature électronique définis par le règlement eIDAS — SES, AES et QES — répondent à des besoins juridiques et opérationnels fondamentalement différents. La SES convient aux actes à faible enjeu, l'AES couvre la majorité des contrats professionnels courants avec un excellent équilibre entre sécurité et fluidité, tandis que la QES s'impose pour les actes à forte valeur juridique grâce à sa présomption légale d'équivalence manuscrite dans toute l'Union européenne. En 2026, avec l'entrée en vigueur progressive d'eIDAS 2.0, maîtriser ces distinctions est plus que jamais stratégique pour toute organisation dématérialisant ses processus documentaires.

Certyneo vous permet de déployer les trois niveaux de signature en fonction de vos besoins réels, avec une interface unifiée conforme aux exigences eIDAS et ANSSI. Découvrez nos offres ou estimez vos gains dès maintenant grâce à notre calculateur ROI signature électronique, ou contactez notre équipe pour un audit personnalisé de vos flux documentaires.