クラウド型電子署名かオンプレミス：2026年における最適な選択は？

はじめに

電子署名クラウドとオンプレミスホスティングの選択は、2026年におけるDSI（情報システム部門）または法務部門にとって、最も構造的に重要な戦略的決定の一つです。SaaSは導入の簡潔さでSMEを広く魅了していますが、大企業や業界規制による制約に直面する組織は、インターナル化されたホスティングの妥当性についてまだ検討中です。この詳細な比較分析では、5つの主要軸に沿って両モデルを分析します：データの主権、技術セキュリティ、eIDAS準拠、総所有コスト、および事業機動性。この記事の終了時には、お客様のコンテキストに適したアーキテクチャを選択するための運用的な意思決定枠組みを備えることになります。

2つのホスティングモデルを理解する

クラウド型電子署名（SaaS）

クラウドモデルでは、エディターが全インフラストラクチャを運用します：サーバー、更新、可用性、データバックアップおよびセキュリティです。クライアント企業はAPIまたはウェブインターフェース経由でソリューションにアクセスし、ローカルインストールは不要です。欧州市場の主要企業（Certyneoを含む）は、一般にISO 27001認証を受けたデータセンターに依拠しており、これらはEU内（フランス、ドイツ、オランダ）に所在しており、GDPR準拠を追加の顧客努力なしに保証します。

利点は周知のとおりです：数時間のデプロイメント、即座のスケーラビリティ、規制の進化を統合した自動更新（eIDAS 2.0、DSP3、NIS2）、および従量制経済モデル（OPEX）。Markess by Exaegis 2025レポートによれば、フランスの500人以下の従業員を持つ企業の78%が、現在デジタル化ツールにおいてSaaSを優先しています。

オンプレミス展開

オンプレミスは、電子署名プラットフォームを企業自体のサーバーまたは企業が管理するプライベートデータセンターに直接インストールすることです。このモデルは、データ、ワークフロー、およびセキュリティポリシーに対する完全な制御を提供します。これは歴史的に、機密データを処理する銀行、保険会社、病院、公共管理機関（HDS、SecNumCloud、PGSSI-Sなどの特定のフレームワークに従う）によって採用されています。

その代償は、かなりの運用負荷です：ITチームは更新、適格電子署名証明書、HSM（ハードウェアセキュリティモジュール）、高可用性、および規制監視を管理する必要があります。初期コスト（CAPEX）は高く、エンタープライズインストールのためのライセンスは80,000ユーロを超える可能性があり、これに年間インフラストラクチャコストが加算されます。

データ主権と規制準拠

GDPRとデータローカライゼーション

適格署名に対するeIDAS規則およびその意味は、信頼サービスプロバイダー（PSCo）が監査され、信頼リスト（trusted list）に記載される必要があることを義務付けています。クラウドまたはオンプレミスを選択するかどうかにかかわらず、ソリューションは必ず適格なPSCoに依拠する必要があります。本当のGDPR問題は、EU外への転送に関するものです：有効な契約型条項（SCC）なしで米国のハイパースケーラー（AWS、Azure、GCP）でホストされるクラウドは、世界的売上高の4%に達する罰金という企業への曝露を起こします。

CertyneoのようなEU型クラウドソリューションは、このニーズにネイティブに対応しており、サーバーはフランスのみに配置され、GDPR第28条に準拠したDPA（データ処理契約）はサブスクリプション時に提供されます。

SecNumCloudと規制産業

重要インフラストラクチャー運営者（OIV）およびDINUM関連の「クラウド中心」方針の対象組織については、ANSSIのSecNumCloud認定が進行中です。2026年、フランスのクラウドプレイヤーのうち、この認定を取得しているのはわずかです（OVHcloud、Outscale）。対象組織は、SecNumCloud適格クラウドを選択するか、ANSSI RGS v2フレームワークに準拠するオンプレミスを維持する必要があります。

2025年1月26日のフランス法によるNIS2（EU指令2022/2555）の転換により、15,000以上の重要・必須エンティティに対してサイバーセキュリティ義務が拡大され、アーキテクチャ選択に新たな規範圧力が生じています。

総所有コスト：比較分析

5年間のTCO（総所有コスト）分析では、年間50,000署以下の容量の場合、クラウドは体系的に利点を示します。それを超えると、インフラストラクチャがすでに存在する場合、オンプレミスは競争力を持つことができます。CertyneoのROI計算機は、お客様のボリュームと業界に応じてこの転換点を正確に推定することができます。

1000人の従業員を持つ企業の典型的なオンプレミス展開は以下を表します：

• 初期ライセンス：60,000～120,000ユーロ
• HSMおよび専用サーバーインフラ：30,000～50,000ユーロ
• 年間保守（ライセンスの20%）：12,000～24,000ユーロ/年
• 内部IT資源：0.5～1 FTE専任

これに対し、同等容量のクラウドSaaSは通常、18,000～40,000ユーロ/年（すべて含む）で、ゼロCAPEXです。

技術セキュリティ：各モデルの利点と制限

クラウド環境でのセキュリティ

一般的な先入観に反して、専門エディターのクラウドは、多くの場合、典型的な企業オンプレミスインフラストラクチャよりも高いセキュリティレベルを提供します。理由は構造的です：エディターは専任チーム（24/7 SOC、四半期ごとのペンテスト、ISO 27001およびSOC 2 Type II認証）に多大な投資を行っており、これはほとんどの内部DSIの能力を超えています。

ベストプラクティスには、保存中のAES-256暗号化とトランジット中のTLS 1.3、必須の多要素認証、署名イベントの改ざん不可能なログ、および地理的に冗長化されたバックアップが含まれます。電子署名の法的価値はこの改ざん不可能なトレーサビリティに正確に基づいています。

オンプレミス特有のリスク

オンプレミスは、しばしば過小評価される特有のリスクを生み出します：

• バージョンドリフト：専任チームなしで、暗号化更新（証明書失効、SHA-3への移行）の遅延は企業を技術的に無効な署名に曝露させます。
• HSM管理：設定ミスまたはファームウェアが更新されていないハードウェアセキュリティモジュールは、否認防止保証を無効にします。
• 事業継続計画：内部オンプレミスの可用性（SLA）は99.5%を超えることはめったになく、構造化されたクラウドSaaSでは99.95%です。

主権性と運用委譲を組み合わせたい組織の場合、プライベートクラウドモデル（HDS認定またはSecNumCloud適格のサードパーティデータセンター内の専用プライベートクラウド）が関連する中間的な手段です。

統合、機動性、スケーラビリティ

APIおよび相互運用性

両モデルは現在、ドキュメント化されたREST APIを公開しています。それにもかかわらず、更新の速度は構造的に異なります：クラウドエディターは新しい機能（生体認証署名、文書詐欺検出AI、eIDAS 2.0 Walletサポート）を数週間でデプロイしますが、オンプレミスはメジャーバージョンごとに3～6か月の内部検証サイクルを必要とします。

電子署名をERP（SAP、Oracle）、HRIS、またはECMS（OpenText、Alfresco）に統合する場合、クラウドはエディターによってメンテナンスされる事前構築されたコネクタを提供しています。電子署名ソリューションの完全比較は、市場の主要プレイヤーの統合機能の詳細を記載しています。

スケーラビリティおよびボリューム

クラウドでは、スケーラビリティはほぼ即座です：10,000の同時署名キャンペーン（株主総会、大規模なHRロールアウト）は事前設定なしに吸収されます。オンプレミスでは、インフラストラクチャの過度なサイズ設定がピークを予測する必要があり、不動産化コストが発生します。

急速に成長する組織または季節的サイクルを実践している組織（不動産、保険）はクラウドの弾力性から特に恩恵を受けます。不動産における電子署名、例えば、市場サイクルに関連するボリュームピークを経験し、オンプレミスを永続的に過度なサイズにするでしょう。

決定基準：どのプロファイルにどのモデルか

特定の業界規制なし中小企業と企業

特定の業界規制上の義務がない10～500人のSMEの場合、クラウドSaaS：迅速なデプロイメント、管理されたコスト、eIDASおよびGDPR準拠はエディターによって保証されます。既存のHRツールとの統合は、ネイティブコネクタによって容易です—HRチーム向け電子署名の使用が給与明細、契約、および慣習的な解除を専用インフラなしでカバーしていることを示しています。

大企業および規制産業

健康データ（HDS必須）、重要な金融データ、または分類された情報を処理する企業は、適格なプライベートクラウドまたはオンプレミスを真剣に評価する必要があります。問題は技術的ではなく規制的です：適用可能なフレームワークはパブリッククラウドの余地を残していますか？

クラウド—通常の署名用、オンプレミス—最も機密な適格行為用のハイブリッドアーキテクチャは、2024年以来、いくつかのフランスの大規模グループによって採用されています。このモデルは厳密なオーケストレーションと堅実なAPI接続を必要とします。

公共機関および行政

DINUM 2023-1通達以降、国家行政はSecNumCloud適格クラウド提供の優先化が奨励されています。オンプレミスは敏感情報システム（SIS）に対して認可されていますが、RGS v2およびヘルスケアデータ向けPGSSI-Sに準拠する必要があります。法律事務所向け電子署名は、トレーサビリティに対する高い要件を持つエンティティがこれら2つのモデルの間で自らのバランスを見出す方法を示しています。

電子署名ソリューションのホスティングに適用可能な法的フレームワーク

クラウドとオンプレミスの選択は、法的観点から中立ではありません。いくつかの規範テクスは、署名ソリューションのテクニカルアーキテクチャを直接規制しています。

フランス民法第1366および1367条：これらの規定は電子署名を、署名が添付される行為との関連を保証する信頼できる識別手段として定義しています。電子署名の信頼性は、適格な電子署名が使用されるとき逆証拠まで推定されます。この推定は、信頼サービスプロバイダー（PSCo）が適格である限り、ホスティングモードに関係なく適用されます。

eIDAS規則第910/2014およびeIDAS 2.0（EU規則2024/1183）：eIDAS規則は3つのレベルの署名（シンプル、アドバンス、適格）を区別しています。適格電子署名は必ず、信頼リスト国家（フランス向けANSSI信頼リスト）に登録されたPSCoの関与が必要です。お客様のソリューションがクラウドまたはオンプレミスであるかどうかに関わらず、適格署名を発行するために適格PSCoと連携する必要があります。2024年5月以降適用可能なeIDAS 2.0は、欧州デジタルアイデンティティウォレット（EUDIW）を導入し、適格証明書管理に関する要件を強化しています。

GDPR規則第2016/679：第28条は、お客様のアカウント上の個人データを処理するすべてのクラウドプロバイダーとのDPA（データ処理契約）の締結を義務付けています。第44条はEU外へのデータ転送を禁止しており、適切な保証（標準契約型条項または拘束的企業規則）が必要です。内部オンプレミスでは、この義務は消滅しますが、企業は完全な責任者になり、第32条に従って技術的および組織的措置（MTO）を文書化する必要があります。

NIS2指令（EU指令2022/2555）、2025年1月26日のフランス法による転換：必須および重要エンティティ（エネルギー、医療、金融、水、デジタル、輸送、行政部門）はサイバーセキュリティ措置を実施する必要があります。電子署名クラウドプロバイダーはNIS2の観点から重要なサードパーティプロバイダーを構成します：必須の適切な注意調査、特定の契約条項、監査権。

ETSI規格EN 319 132およびETSI EN 319 122：これらの規格は、欧州公開調達市場およびB2Bエクスチェンジで受け入れられるアドバンス電子署名フォーマット（XAdES、PAdES、CAdES）を定義しています。フォーマットへの準拠は、選択されたアーキテクチャに関わらず検証される必要があります。

一般セキュリティ参照フレームワーク（RGS v2）およびHDS：行政およびヘルスケアデータホスティングプロバイダーについて、ANSSI RGS v2およびHDS認証（ヘルスケアデータホスター、2018年6月11日の令）がそれぞれ適用されます。HDS非認証クラウドは、署名時に一時的であっても、個人情報としてのヘルスケアデータをホストすることは法的に認められていません。

予期されるべき法的リスク：非準拠システムから発行された署名は、署名の整合性または署名者のアイデンティティが争点不可能に証明できない場合、裁判で異議を唱えられる可能性があります。証拠の負担は署名を主張する者にあります。クラウドまたはオンプレミスを問わず、デプロイメント前のコンプライアンス監査が強く推奨されます。

使用シナリオ：コンテキストに応じたクラウドまたはオンプレミス

シナリオ1—年間15,000契約を管理する中規模産業グループ

中規模産業企業（約1,200従業員、フランスの3つの生産サイト）は、すべての仕入先、顧客、および下請契約をデジタル化する必要があります。年間平均15,000署を処理し、1月（契約枠の更新）と9月（購買キャンペーン）にピークがあります。その産業データは機密性が高いものの、分類されていません。

5年間のTCO分析後、財務部門は、EU認定のISO 27001クラウドSaaS は同等のオンプレミス展開よりも40%低コストであると結論付けています（エディターの規模の経済性対内部専任IT 0.7 FTE）。DSIは、フランスでホストされSLA 99.95%を備えたEU型クラウドソリューションを選択し、ERP に直接統合されたREST APIを備えています。季節ピークはコスト追加なしで吸収されます。12ヶ月後に観察された結果：仕入先契約の平均署名時間が65%削減（8.3日から2.9日）、年間推定経済効果12万ユーロの紙処理および催促コスト削減。

シナリオ2—HDS認証の対象1200床の病院グループ

公立病院グループは、患者同意、医師契約、および公共調達をデジタル化したいと考えています。処理されるデータには個人の健康情報が含まれており、HDS認証（ヘルスケアデータホスター）およびPGSSI-S に従う必要があります。

純粋なオンプレミスはHSM保守の複雑さおよび内部の暗号化専門知識の欠如により除外されます。グループはHDS認証プロバイダーおよびSecNumCloud適格プロバイダーでホストされたプライベートクラウドを選択しています。署名ソリューションはこの専用クラウド内にデプロイされ、厳密なネットワーク分離とSIEM へのエクスポート監査ログを備えています。コストは標準的なマルチテナントクラウドより25%高いですが、完全なオンプレミスより35%低くなっています。運用便益：800の月例同意は紙形式では5日に対し24時間以内に処理され、HAS要件に準拠した完全なトレーサビリティ。

シナリオ3—電子署名を日常ワークフローに統合する25人の法律事務所

パリの商取引法律事務所は、譲渡行為、合意プロトコル、および委任状に毎日電子署名（アドバンスまたは適格）を必要とするアクトを処理しています。顧客データの機密性は絶対的な優先事項ですが、事務所には独自のIT基盤がありません。

オンプレミスはリソース上の理由で最初から除外されます。事務所はエンドツーエンド暗号化、顧客管理暗号化キー（BYOK—独自キーの持参）、およびエディターによるデータへの非アクセス契約上の保証を備えたEU型SaaS クラウドを選択しています。この「ゼロナレッジ」アーキテクチャはバー協会の職業倫理要件とGDPRセキュリティ規制の両方を満たしています。ケース管理ソフトウェアとの統合（API経由）は、署名可能な行為の準備時間を45分から8分に平均削減し、このタスクの生産性向上は82%です。

結論

クラウドまたはオンプレミス：普遍的な答えはありませんが、構造化された決定枠組みがあります。大多数のフランス企業—業界要件がない中小企業、中規模企業—については、eIDASおよびGDPR準拠のEU型クラウドSaaSはセキュリティ、準拠、総所有コスト間の最良のバランスを提供しています。オンプレミスまたは適格プライベートクラウドは、制約的なフレームワーク（HDS、SecNumCloud、RGS v2）が完全なインフラ管理を強制する規制産業（医療、防衛、OIV）に関連し続けています。

2026年、本当の問題はもはや「クラウドまたはオンプレミス」ではなく、「どのレベルの主権がどのデータのためにあり、どの適格PSCoで必要か？」です。Certyneoはこれらの要件にEU型クラウドアーキテクチャで対応しており、フランスのみにホストされ、ISO 27001認証、eIDAS 2.0および GDPR準拠です。Certyneo上のオファーと料金をご覧ください またはお客様の電子署名ニーズの無料監査のためチームにお問い合わせください。