QSCD eIDAS 認定書：2026年にフランスで取得するための完全ガイド

デジタル化の進展に伴い、企業と公行政機関は正確な技術概念を習得する必要があります。その中でも、QSCD（Qualified Signature Creation Device：適格署名作成装置）は、eIDASシステムにおいて中心的な役割を占めています。QSCDなしては、手書き署名と同等の法的推定力を有する唯一のレベルである適格電子署名を発行することはできません。しかし、フランスの大多数の組織は、QSCDとは何か、単純なデジタル認定書とどう異なるか、そして取得手続きについて、依然として認識していません。本記事では、完全な回答を提供します：技術的定義、規制上の基礎、フランスにおける認可事業者の一覧、およびステップバイステップの取得プロセスです。

QSCD認定書とは？定義と規制上の範囲

QSCD という用語は、英語で「Qualified Signature Creation Device」の頭字語であり、フランス語では適格署名作成装置と翻訳されます。これは、電子的に署名するために使用される暗号化キーを生成・保管し、eIDAS規制 No.910/2014によって定義された最高レベルのセキュリティを保証するハードウェアまたはソフトウェアツールを指します。

適格認定書と QSCD の区別

しばしば混同される2つの概念を区別する必要があります：

• 適格認定書（Qualified Certificate for Electronic Signature、QCert）は、適格信頼サービス提供者（PSCQ）によって発行されるデジタル認定書です。署名者の身元を証明し、その公開鍵を含みます。
• QSCD は、認定書に関連付けられた秘密鍵が生成・保管されるセキュアな支援です。暗号化トークン USB、スマートカード、HSM（Hardware Security Module）、または提供者のインフラにホストされるリモート QSCD（remote QSCD）の場合があります。

eIDAS の意味で署名が適格となるためには、両方の要素が存在する必要があります：適格認定書と QSCD。規制の別紙 II は、装置が満たすべき要件を定めています（作成データの一意性、秘密鍵の推測不可能性、改ざんからの保護など）。

電子署名のレベルと QSCD の位置付け

eIDAS 規制は、3つのレベルの署名を定義しています：

1. シンプル電子署名（SES） ：特定の技術要件なし。
2. 先進電子署名（AdES） ：署名者に一意に関連付けられ、その排他的管理下で作成されますが、QSCD は不要。
3. 適格電子署名（QES） ：適格認定書を QSCD に保管することが必須です。これは、すべての加盟国において手書き署名への等価性の法的推定を享受する唯一のレベルです。

これら 3 つのレベルの違いについてさらに詳しく知るには、Certyneo の電子署名ソリューションの比較が詳細な分析を提供します。

フランスの適格提供者（QTSP）：誰が QSCD を発行できるか？

フランスにおいて、適格認定書の発行と QSCD の提供は、適格信頼サービス提供者（QTSP）が国家信頼リスト（Trust Service List、TSL）に登録される場合に限り行われます。このリストはANSSI（フランス情報システムセキュリティ庁）によって発行・管理されます。

ANSSI：フランスの監督機関

ANSSI は、eIDAS の第 17 条に規定される監督機関（supervisory body）としての役割をフランスで果たします。同庁は、ETSI EN 319 401（TSP の一般要件）および ETSI EN 319 411（適格認定書）に整合した厳格な基準に従い、QTSP 候補を監査します。「適格」と称する事業者は、発行された XML 形式の署名付きフランス信頼リストに記載されていなければなりません。

認可されたフランス QTSP には、特に Certigna、CertEurope、Docaposte、Keynectis、Thales（旧 Gemalto）などのプレイヤーが含まれます。各社は、ハードウェア QSCD（スマートカード、USB トークン）またはリモート QSCD に保管された適格認定書のオファーを提供しており、後者は 2022 年以降、大幅な成長を遂げています。

リモート QSCD（remote QSCD）：企業における新しい標準

リモート QSCD は大きな進化を表しています：署名者の秘密鍵は、ユーザーに渡される物理的な支援に保管されるのではなく、QTSP のセキュアなインフラにホストされた認定 HSM 内に保管されます。署名者は、強力な認証（OTP、生体認証、モバイルアプリケーション）を通じてデバイスにアクセスします。ETSI EN 319 432 標準で規定され、ANSSI によって検証されたこのアプローチは、現在、Certyneo を含むほとんどの SaaS 適格署名プラットフォームに組み込まれています。

QSCD の物理的またはリモート特性にかかわらず、電子署名の法的価値は、eIDAS 適合性が ANSSI 認定によって証明されている限り、変わりません。

フランスで QSCD 認定書を取得するには：ステップバイステップのプロセス

フランスで適格認定書を QSCD で取得するプロセスは、シンプルまたは先進的な認定書よりも要件が厳しい形式的なものです。以下は、必須のステップです。

ステップ 1 ：QTSP と QSCD のタイプを選択する

最初の決定は、希望する QSCD のタイプに関するものです：

• 物理 QSCD（スマートカードまたは USB トークン）：散発的な使用、自由業、経営幹部に適しています。物理的な支援の配送が必要です。
• リモート QSCD ：高いボリュームで署名する組織、または 100% デジタルモードに理想的です。管理する物理的な支援はありません。

提供者の選択は、利用可能な統合（REST API、webhook、SIRH コネクタ）とサポートレベルにも左右されます。QTSP 決定前に、ANSSI ポータルで公式 QTSP リストを参照することをお勧めします。

ステップ 2 ：身元確認プロセス（KYC）

eIDAS 規制は、適格認定書を発行する前に厳格な身元確認を義務付けています。2 つの様式が受け入れられています：

• 対面での物理的確認（in-person）：申請者は QTSP の登録地点または指定された検証オペレータの所在地に訪れ、公式身分証明書を提示します。
• ビデオによる遠隔確認（remote identity proofing）：2021 年以来、一部の QTSP は、ETSI EN 319 461 要件の対象となるビデオ会議でのリアルタイム確認を提供しています。AI による自動確認（eKYC）は、2026 年半ばの時点で、ANSSI が常に人間の介入を要求しているため、フランスにおいて適格認定書に対してはまだ認められていません。

必要な文書は、通常、有効な身分証明書（フランス国民身分証、パスポート）、職業団体への関連を証明する書類（Kbis、商業登記簿抜粋）、および場合によっては法人の名前で行動する署名者のための職務指令書が含まれます。

ステップ 3 ：鍵の生成と QSCD の配送

身元が確認されたら、QTSP は QSCD のセキュアな環境内で暗号化キーペアの生成を進めます。物理 QSCD の場合、支援は初期化され、その後、セキュアな PIN コードとともに保有者に配送または発送されます。リモート QSCD の場合、保有者はプロバイダーのモバイルアプリケーションを通じてデバイスをアクティブ化し、強力な認証メカニズムを構成します。

適格認定書は、その後、公開鍵に関連付けられ、QTSP のディレクトリに発行されます。その有効期限は、通常、提供されるオファーに応じて1 年から 3 年です。有効期限前に更新を予定し、署名機能の継続性を維持する必要があります。

コスト、期間、および更新：予測すべきこと

2026年の指標的な価格表

適格認定書の QSCD での価格は、提供者とデバイスのタイプによって大きく異なります：

• 物理 QSCD（USB トークンまたはカード） ：初回発行で 80 ～ 250 ユーロ（税抜き）（物理的サポートを含む）、年間更新で 50 ～ 150 ユーロ（税抜き）。
• リモート QSCD ：ユーザーあたり月額 15 ～ 40 ユーロ（税抜き）の SaaS サブスクリプションオファーに統合されることが多く、または低ボリューム向けの従量課金パッケージに統合されます。

これらのコストは、時間の短縮と法的リスク軽減の利益を考慮する必要があります。Certyneo のROI計算機により、署名されたドキュメントのボリュームに応じて、正確な投資対効果の見積もりができます。

取得期間

リクエストから適格認定書の効果的な利用可能性までの期間は、一般的に、物理的ソリューションで3 ～ 10 営業日（郵送を含む）、リモート QSCD で数時間から 48 時間です。ただし、KYC ドキュイメントが完全であることが条件です。ピークアクティビティ（年度末の契約更新、入札、会計決算）を予想する組織は、それに応じて計画する必要があります。

失効とライフサイクル

適格認定書は、秘密鍵の漏洩、保有者の離職、または認定情報の変更の場合、満期前に失効させることができます。失効は、QTSP の認定書失効リスト（CRL）またはオンライン認定書状態プロトコル（OCSP）を通じて公開されます。失効後に行われたすべての署名は無効と見なされます。失効前に行われたものは、ホタイムスタンプ付きであれば、その価値を保持します。適格電子タイムスタンプは、ここで署名の優先性を証明する上で重要な役割を果たします。

QSCD 認定書に適用される法的枠組み

適格署名作成装置を規制する規制は、複雑で、複数のヨーロッパおよび国内テキストの間で構成されています。

eIDAS 規制 No.910/2014（EU） — このテキストは、スキームの礎となっています。第 3(12) 条は、適格署名作成装置を定義しています。第 26 条は先進電子署名の要件を定め、第 29 条と別紙 II は QSCD に適用される技術要件（鍵の一意性、秘密鍵の機密性、改ざん不可能性）の詳細を示しています。第 25(2) 条は、適格署名に手書き署名との等価性の推定を与えます。eIDAS 2.0 規制（規制 2024/1183、2024 年から段階的に適用開始）は、これらの要件を強化し、ヨーロッパデジタル身元ウォレット（EUDIW）への適用範囲を拡大しています。

フランス民法典、第 1366 および 1367 条 — 第 1366 条は、電子文書が、著者の信頼できる識別と文書の完全性を条件として、紙の文書と同じ証明力を持つことを規定しています。第 1367 条は、電子署名が、署名者と署名行為の関係を保証する信頼できる識別手段の使用から構成されることを明確にしています。2017 年 9 月 28 日の法令 No.2017-1416 は、eIDAS に準拠した適格署名に対する信頼性の推定を確立しています。

ETSI 標準 — 標準 ETSI EN 319 132（XML 署名の XAdES 形式）、ETSI EN 319 122（CAdES）、ETSI EN 319 162（ASiC）、および ETSI EN 319 401/411（TSP および適格認定書の要件）は、プロバイダーに適用可能なテクニカル参照フレームを構成しています。これらの標準の不遵守は、ANSSI による QTSP 認定の停止につながる可能性があります。

GDPR No.2016/679 — 身元確認プロセス（KYC）には、生体認証データおよび個人データの処理が含まれます。責任を負う処理者（QTSP および、必要に応じて、クライアント企業）は、最小化、目的の制限の原則を尊重し、適切な保持期間を規定する必要があります。大規模な展開の場合は、データ保護影響分析（AIPD）が推奨されます。

非遵守の場合の責任 — 適格署名が必要な行為（特定の公開調達、電子公証人行為、ペーパーレス税申告）に非適格認定書を使用すると、組織は行為の証明力の異議申立て、さらには無効性にさらされます。eIDAS の第 13 条は、義務違反の場合の QTSP 責任制度を規定していますが、この制度は、デバイスの選択と維持におけるユーザー企業の努力義務を免除しません。

企業における QSCD 認定書の使用シナリオ

シナリオ 1 ：法律事務所が訴訟行為をペーパーレス化する

約 15 人の協業者を抱える法律事務所は、毎年数百件の訴訟行為、委任状、および弁護士報酬契約を処理しています。QSCD リモートに基づくソリューションの展開前に、各文書は印刷、手書き署名、郵送またはスキャンが必要でした。事務所は、SaaS プラットフォームに統合されたリモート適格認定書を選択し、各アソシエイトが自分のデスクまたはモバイルから適格レベルで署名できるようになりました。確認されたの結果：友好的解除契約の署名時間が約 70% 削減され（平均 4 日から 24 時間未満）、郵送コストが排除され、署名行為が事務所の DMS に自動アーカイブされます。

シナリオ 2 ：製造業 SME がサプライヤー契約を管理する

約 300 件のサプライヤー契約を年間処理する製造業 SME は、シンプルまたはスキャンされた署名に関連した法的リスクに直面していました。監査後、100,000 ユーロ以上の金額に関する複数の契約が、信頼できる識別手段なしで署名されていたことが判明しました。戦略的サプライヤー、機密保持契約、フレームワーク受注を対象に、リモート QSCD での適格署名への移行により、契約資産を保護することができました。契約検証の期間は約 60% 削減され、外国の相手先は eIDAS が提供する国境を越えた即座の認識を高く評価しました。

シナリオ 3 ：病院グループが適格署名を公開調達に展開する

約 900 床の病院グループは、公開調達に関する法令 No.2016-360 から生ずる、一定の敷居を超える参加証行為に電子署名する義務を受けていました。DSI は、施設に従事する権限のある理事に QSCD 認定 USB トークンをデプロイしました。ユーザーのトレーニング、公開調達デジタル化プラットフォームへの統合、および年間更新手順は、内部署名ポリシー（Signature Policy）で文書化されました。推定される運用利益は、推奨送達および物理パラボレーターのシャトル排除のおかげで、公開調達手順あたり 3 ～ 4 日です。

よくある質問

QSCD と標準 HSM の違いは何ですか？

HSM（Hardware Security Module）は、暗号化キーの保管と管理に使用される汎用セキュリティモジュールです。QSCD は、HSM、またはeIDAS 規制の別紙 II の要件に適合するように評価・認定された他のセキュアデバイスであり、認定実験室によって評価され、国家監督機関によって認識されます。QSCD 認定は、デバイスが鍵の一意性、非エクスポート可能性、および物理的・論理的攻撃への耐性に関する厳格な基準を満たしていることを証明します。

フランスで取得した QSCD 認定書は、欧州連合全体で有効ですか？

はい。eIDAS の第 25(2) 条は、すべての加盟国間での適格署名の相互認識の義務を確立しています。フランスの信頼リストに登録されている QTSP によって発行された適格認定書は、ドイツ、スペイン、またはイタリアで発行されたのと同じ法的効果を生成します。この自動認識は、国境を越えた契約活動を行う企業にとって、スキームの主要な利点の 1 つです。

QSCD 認定書の有効期限はどのくらいで、遠隔で更新できますか？

適格認定書の有効期限は、QTSP のオファーに応じて、通常 1 年、2 年、または 3 年に設定されます。リモート QSCD の場合の更新は、初期発行時に身元がすでに対面またはビデオで確認されていれば、遠隔で行うことができます。ほとんどの QTSP は、有効期限の 60 日前と 30 日前にアラートを送信します。これらのアラートを無視すると、適格署名機能が中断される可能性があります。

QSCD 認定書は、電子的に署名されたすべての行為に必須ですか？

いいえ。必要な署名レベルは、行為の性質と適用される規制枠組みによって異なります。適格署名オン QSCD は、特定の行為（電子公証人行為、特定の公開調達、ペーパーレス税申告）に対して必須です。大多数の通常の商業契約では、先進的な署名で十分です。行為ごとに必要なレベルを決定するために、電子署名用語集を参照するか、法律専門家に相談することをお勧めします。

署名が有効な QSCD 認定書に基づいていることを確認するにはどうすればよいですか？

検証は、ETSI 仕様に準拠した検証ツール（欧州委員会の DSS（Digital Signature Service） サービスなど）を使用してドキュメントの署名されたメタデータを確認することによって実行されます。このツールは、認定書の信頼チェーン、その状態（失効していない）、適格なプロフィルへの適合性、および適格なタイムスタンプの存在を確認します。Certyneo などの一部の SaaS プラットフォームは、管理インターフェース内に検証レポートを直接統合しています。

結論

QSCD 認定書は単なる技術的形式以上のものです：適格電子署名の法的・暗号化による基礎であり、欧州連合全体で手書き署名への等価性の法的推定を提供する唯一のレベルです。フランスでは、その取得は ANSSI によって認定された QTSP を通じて、厳格な身元確認プロセス、および物理 QSCD とリモート QSCD の間での明確な選択を経由します。後者は、柔軟性とスケーラビリティを求める組織にとって標準として課されています。

Certyneo は、適格レベルでの署名に物理的サポートを管理する必要なく、ネイティブに認定されたリモート QSCD を SaaS プラットフォームに統合しています。ゼロから開始する場合でも、別のソリューションから移行する場合でも、当社の専門家はすべてのステップで支援します。Certyneo の価格を確認してください、または適格署名の必要性についての監査のため、当社のチームに連絡してください。