Certificat QSCD eIDAS : tot ceea ce trebuie să știi pentru a-l obține în Franța în 2026

Dezvoltarea rapidă a dematerializării constrânge întreprinderi și administrații să cunoască noțiuni tehnice precise. Printre acestea, certificatul QSCD (Qualified Signature Creation Device) ocupă un loc central în dispozitivul eIDAS. Fără el, nicio semnătură electronică calificate — singura cu o prezumție legală de valoare echivalentă cu semnătura de mână — nu poate fi emisă. Cu toate acestea, marea majoritate a organizațiilor franceze nu știu încă ce este un QSCD, cum se deosebește de un simplu certificat digital și ce proceduri permit obținerea sa. Acest articol îți oferă un răspuns complet : definiție tehnică, fundații reglementare, lista actorilor acreditați în Franța și proces de obținere pas cu pas.

Ce este un certificat QSCD ? Definiție și perimetru reglementar

Termenul QSCD este acronimul englez al Qualified Signature Creation Device, tradus în franceză prin dispozitiv calificat de creare a semnăturii. Desemnează un instrument hardware sau software care generează și stochează cheile criptografice utilizate pentru semnare electronică, garantând în același timp un nivel maxim de securitate definit de regulamentul eIDAS nr. 910/2014.

Distinția dintre certificatul calificat și QSCD

Trebuie să facem distincție între două noțiuni adesea confundate :

• Certificatul calificat (Qualified Certificate for Electronic Signature, QCert) este un certificat digital emis de un furnizor calificat de servicii de încredere (PSCQ). El atestă identitatea semnatarului și conține cheia sa publică.
• QSCD este suportul securizat pe care cheia privată asociată certificatului este generată și păstrată. Poate fi un token USB criptografic, o carte inteligentă, un HSM (Hardware Security Module) sau un QSCD la distanță (remote QSCD) găzduit la furnizor.

Pentru ca o semnătură să fie calificate conform eIDAS, ambele elemente trebuie să fie prezente : un certificat calificat ȘI un QSCD. Anexa II a regulamentului stabilește cerințele pe care dispozitivul trebuie să le respecte (unicitatea datelor de creare, imposibilitatea deducerii cheii private, protecția împotriva falsificării, etc.).

Niveluri de semnătură electronică și locul QSCD

Regulamentul eIDAS definește trei niveluri de semnătură :

1. Semnătură electronică simplă (SES) : nicio cerință tehnică specială.
2. Semnătură electronică avansată (AdES) : legată în mod unic de semnatarul, creată din date sub controlul exclusiv al acestuia, dar fără obligația de QSCD.
3. Semnătură electronică calificate (QES) : necesită imperativ un certificat calificat stocat pe un QSCD. Este singurul nivel care beneficiază de o prezumție legală de echivalență cu semnătura de mână în toți statele membre.

Pentru a aprofunda diferențele dintre aceste trei niveluri, comparativa soluțiilor de semnătură electronică de la Certyneo oferă o analiză detaliată.

Furnizori calificați (QTSP) în Franța : cine poate emite un QSCD ?

În Franța, emiterea certificatelor calificate și punerea la dispoziție a QSCD aparține exclusiv furnizorilor calificați de servicii de încredere (QTSP) înscriși pe lista de încredere națională (Trust Service List, TSL), publicată și menținută de ANSSI (Agenția Națională de Securitate a Sistemelor de Informații).

ANSSI, autoritate de supraveghere franceză

ANSSI joacă în Franța rolul organului de control (supervisory body) prevăzut la articolul 17 al eIDAS. Ea auditează candidații QTSP conform unor criterii stricte aliniate cu standardele ETSI EN 319 401 (cerințe generale pentru furnizorii de servicii de încredere) și ETSI EN 319 411 (certificate calificate). Un furnizor nu poate pretinde că este „calificat" fără a figura pe lista de încredere franceză publicată în format XML semnat.

Printre furnizori francezi acreditați figurează actori precum Certigna, CertEurope, Docaposte, Keynectis sau Thales (fostul Gemalto). Fiecare oferă servicii de certificat calificat stocate pe QSCD hardware (cărți inteligente, tokeni USB) sau QSCD la distanță, acestea din urmă fiind în creștere rapidă din 2022.

QSCD la distanță (remote QSCD) : noua normă în întreprinderi

QSCD-ul la distanță reprezintă o evoluție majoră : cheia privată a semnatarului nu mai este stocată pe un suport fizic remis utilizatorului, ci într-un HSM certificat, găzduit în infrastructura securizată a furnizorului. Semnatarul accesează dispozitivul prin autentificare puternică (OTP, biometrie, aplicație mobilă). Această abordare, reglementată de standardul ETSI EN 319 432 și validată de ANSSI, este acum integrată în majoritatea platformelor SaaS de semnătură calificate, inclusiv Certyneo.

Valoarea juridică a semnăturii electronice nu depinde de caracterul fizic sau la distanță al QSCD, atâta timp cât conformitatea eIDAS este atestată printr-o calificare ANSSI. Valoarea juridică a semnăturii electronice nu este afectată.

Cum se obține un certificat QSCD în Franța : procesul pas cu pas

Obținerea unui certificat calificat pe QSCD urmează un proces formalizat, mai exigent decât cel pentru un certificat simplu sau avansat. Iată pașii inevitabili.

Pasul 1 : alege furnizorul și tipul de QSCD

Prima decizie privează tipul de QSCD dorit :

• QSCD fizic (carte inteligentă sau token USB) : adaptat utilizărilor ocazionale, profesionistilor independenți sau conducătorilor. Implică remiterea fizică a suportului.
• QSCD la distanță : ideal pentru organizații cu volum mare de semnări sau în regim 100% digital. Niciun suport fizic de gestionat.

Alegerea furnizorului depinde și de integrările disponibile (API REST, webhooks, conectori SIRH) și de nivelul de asistență. Este recomandat să consulți lista oficială de furnizori pe portalul ANSSI înainte de orice decizie.

Pasul 2 : procesul de verificare a identității (KYC)

Regulamentul eIDAS impune o verificare riguroasă a identității înainte de emiterea unui certificat calificat. Două modalități sunt acceptate :

• Face-to-face fizic (in-person) : solicitantul se prezintă la un punct de înregistrare al furnizorului sau la un operator de verificare desemnat, cu actele de identitate oficiale.
• La distanță prin video (remote identity proofing) : din 2021, unii furnizori propun verificare prin videoconferință în timp real cu un agent, reglementată de cerințele ETSI EN 319 461. Verificarea automată prin IA (eKYC) nu este încă admisă pentru certificatele calificate în Franța la mijlocul anului 2026, ANSSI cerând întotdeauna intervenție umană.

Documentele necesare includ de obicei : act de identitate valabil (CNI, pașaport), justificare de legătură cu entitatea profesională (Kbis, extras din RCS), și uneori o scrisoare de misiune pentru semnatari care acționează în numele unei persoane juridice.

Pasul 3 : generarea cheilor și remiterea QSCD

După verificarea identității, furnizorul procedează la generarea perechii de chei criptografice în mediul securizat al QSCD. Pentru un QSCD fizic, suportul este inițializat, apoi remis sau expedia deținătorului cu un cod PIN securizat. Pentru un QSCD la distanță, deținătorul activează dispozitivul prin aplicația mobilă a furnizorului și configurează mecanismul de autentificare puternică.

Certificatul calificat este apoi asociat cheii publice și publicat în directorul furnizorului. Durata sa de valabilitate este de obicei de 1 la 3 ani, în funcție de serviciul abonat. Reînnoirea trebuie anticipată înainte de expirare pentru a menține continuitatea capacității de semnare.

Cost, termene și reînnoire : ce trebuie anticipat

Grilă tarifară orientativă în 2026

Prețurile certificatelor calificate pe QSCD variază semnificativ în funcție de furnizor și tipul de dispozitiv :

• QSCD fizic (token USB sau carte) : între 80 € și 250 € HT pentru prima emisie (inclusiv suportul hardware), apoi 50 € la 150 € HT pentru reînnoire anuală.
• QSCD la distanță : adesea integrat în oferte SaaS de abonament de la 15 € la 40 € HT per utilizator și per lună, sau în pachete pe act pentru volume mici.

Aceste costuri trebuie puse în balanță cu câștigul de timp și reducerea riscurilor juridice. Calculatorul ROI Certyneo permite estimarea precisă a rentabilității în funcție de volumul documentelor semnate.

Termene de obținere

Intervalul dintre solicitare și disponibilitatea efectivă a certificatului calificat este de obicei de 3 la 10 zile lucrătoare pentru soluțiile fizice (incluzând trimiterea poștală) și de câteva ore la 48 de ore pentru QSCD la distanță, cu condiția completitudinii dosarului KYC. Organizațiile anticipând vârfuri de activitate (reînnoiri contractuale la sfârșitul exercițiului, licitații, închideri contabile) trebuie să planifice în consecință.

Revocare și ciclul de viață al certificatului

Un certificat calificat poate fi revocat înainte de termen în caz de compromitere a cheii private, plecarea deținătorului sau schimbarea informațiilor certificate. Revocarea este publicată în Certificate Revocation List (CRL) sau prin protocolul OCSP (Online Certificate Status Protocol) al furnizorului. Orice semnătură apusă după revocare este considerată nevalidă ; cele apuse înainte conservă valoarea, cu condiția să fie marcate cu timp. Marcarea cu timp electronică calificate joacă aici un rol crucial pentru a proba anterioritatea unei semnături.

Cadrul legal aplicabil certificatului QSCD

Reglementarea care reglementează dispozitivele calificate de creare a semnăturii este densa și articulată între mai multe texte europene și naționale.

Regulamentul eIDAS nr. 910/2014 (UE) — Acest text fondator constituie piatra de temelie a dispozitivului. Articolul 3(12) definește dispozitivul calificat de creare a semnăturii. Articolul 26 pune cerințe pentru semnătura avansată, în timp ce articolul 29 și anexa II detaliau cerințele tehnice aplicabile QSCD (unicitatea datelor de creare, confidențialitatea cheii private, non-falsificabilitate). Articolul 25(2) conferă semnăturii calificate o prezumție de echivalență cu semnătura de mână. Regulamentul eIDAS 2.0 (Regulamentul 2024/1183, intrând în aplicare progresiv din 2024) întărește aceste cerințe și extinde perimetrul la portofolii de identitate digitală europeene (EUDIW).

Codul civil francez, articolele 1366 și 1367 — Articolul 1366 stabilește că scrierea electronică are aceeași forță probantă ca scrierea pe hârtie sub rezerva identificării fiabile a autorului și integrității documentului. Articolul 1367 precizează că semnătura electronică constă în utilizarea unui procedeu fiabil de identificare garantând legătura cu actul semnat. Decretul nr. 2017-1416 din 28 septembrie 2017 stabilește prezumția de fiabilitate pentru semnăturile calificate conforme cu eIDAS.

Standarde ETSI — Standardele ETSI EN 319 132 (format XAdES pentru semnătura XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) și ETSI EN 319 401/411 (cerințe pentru furnizori de servicii de încredere și certificate calificate) constituie referențialul tehnic impus furnizorilor. Nerespectarea acestor standarde poate duce la suspendarea calificării QTSP de către ANSSI.

RGPD nr. 2016/679 — Procesul de verificare a identității (KYC) implică prelucrarea datelor biometrice și a datelor cu caracter personal. Responsabilul de prelucrare (furnizor și, eventual, compania client) trebuie să respecte principiile de minimizare, de scop limitat și să prevadă o durată de conservare proporționată. O AIPD (Analiză de Impact asupra Protecției Datelor) este recomandată pentru implementări la scară mare.

Răspundere în caz de neconformitate — Utilizarea unui certificat necalificat pentru semnarea actelor care necesită semnătură calificate (anumite licitații publice, acte notariale electronice, declarații fiscale dematerializate) expune organizația la contestare a valorii probante a actului, chiar la nulitate. Articolul 13 al eIDAS prevede un regim de răspundere pentru furnizorii calificați în caz de nerespectare a obligațiilor lor, dar acest regim nu scutește întreprinderile utilizatoare de datoria lor de diligență în alegerea și menținerea dispozitivului.

Scenarii de utilizare a certificatului QSCD în întreprindere

Scenariu 1 : un cabinet juridic dematerializând actele procedurale

Un cabinet juridic cu aproximativ cincisprezece colaboratori tratează anual mai multe sute de acte procedurale, mandate și convenții de onorar. Înainte de implementarea unei soluții bazate pe QSCD la distanță, fiecare document necesita tipărire, semnare de mână și trimitere poștală sau scanare. Cabinetul a optat pentru certificate calificate la distanță integrate într-o platformă SaaS, permițând fiecărui asociat să semneze din postul de lucru sau de pe mobil cu nivel calificat. Rezultat constatat : reducere de aproximativ 70% a termenului de semnare al conveniilor de reziliere amiabile (de la 4 zile la mai puțin de 24 de ore în medie), eliminarea costurilor de affranchere și arhivare automată a actelor semnate în DMS-ul cabinetului.

Scenariu 2 : o PME industrială gestionând contractele cu furnizorii

O PME din sectorul manufacturier tratând aproximativ 300 de contracte cu furnizorii anual se confrunta cu riscuri juridice recurente legate de semnături simple sau scanate, ușor contestabile. După audit, s-a dovedit că mai multe contracte cu sume peste 100 000 € au fost semnate fără procedeu de identificare fiabil. Migrarea către semnături calificate pe QSCD la distanță pentru contracte cu enjeu ridicat (furnizori strategici, acorduri de confidențialitate, comenzi-cadru) a permis securizarea patrimoniului contractual. Termenele de validare a contractelor au scăzut cu aproximativ 60%, contrapătile străine apreciind recunoașterea transfrontalieră imediată oferită de eIDAS.

Scenariu 3 : un grup spitalicesc implementând semnătura calificate pentru licitități

Un grup spitalicesc de aproximativ 900 de paturi trebuia să răspundă obligației, emanând din decretul nr. 2016-360 referitor la licitițile publice, de a semna electronic actele de angajament peste anumite praguri. DSI-ul a implementat tokeni USB certificați QSCD pentru directori autorizați să se angajeze în favoarea instituției. Instruirea utilizatorilor, integrarea în platforma de dematerializare a licitității și procedura de reînnoire anuală au fost documentate într-o politică internă de semnare (Signature Policy). Câștigul operațional estimat este de ordinul a 3-4 zile per procedură de licitate, grație eliminării trimiterii recomandate și deplasării parafatorilor fizici.

Întrebări frecvente

Ce diferențiază un QSCD de un HSM clasic ?

Un HSM (Hardware Security Module) este un modul hardware de securitate generic utilizat pentru stocarea și gestionarea cheilor criptografice. Un QSCD este un HSM — sau orice alt dispozitiv securizat — care a fost evaluat și certificat conform cerințelor anexei II a regulamentului eIDAS de către un laborator acreditat și recunoscut de o autoritate de supraveghere națională. Calificarea QSCD atestă că dispozitivul respectă criterii stricte de unicitate a cheii, non-exportabilitate și rezistență la atacuri fizice și logice.

Un certificat QSCD obținut în Franța este valabil în întreaga Uniune Europeană ?

Da. Articolul 25(2) al eIDAS stabilește o recunoaștere reciprocă obligatorie a semnăturilor calificate între toți statele membre. Un certificat calificat emis de un furnizor francez înscris pe lista de încredere națională produce aceleași efecte juridice în Germania, Spania sau Italia ca și în țara de emisie. Această recunoaștere automată este unul dintre avantajele majore ale dispozitivului pentru întreprinderi cu activități contractuale transfrontaliere.

Care este durata de valabilitate a unui certificat QSCD și poate fi reînnoit la distanță ?

Durata de valabilitate a unui certificat calificat este de obicei fixată la 1, 2 sau 3 ani în funcție de oferta furnizorului. Reînnoirea poate fi efectuată la distanță pentru QSCD la distanță, cu condiția ca identitatea deținătorului să fi fost deja verificată față-n-față sau prin video la emiterea inițială. Majoritatea furnizorilor trimit alerte de expirare cu 60 și 30 de zile înainte de scadență. Ignorarea acestor alerte expune la întreruperea capacității de semnare calificate.

Certificatul QSCD este obligatoriu pentru toate actele semnate electronic ?

Nu. Nivelul de semnătură necesar depinde de natura actului și de cadrul reglementar aplicabil. Semnătura calificate pe QSCD este obligatorie pentru anumite acte specifice (acte notariale electronice, anumite licitații publice, declarații fiscale dematerializate). Pentru majoritatea contractelor comerciale curente, o semnătură avansată este suficientă. Este recomandat să consulți glosarul semnăturii electronice sau un consilier juridic pentru a determina nivelul necesar act după act.

Cum se verifică dacă o semnătură se bazează cu adevărat pe un certificat QSCD valabil ?

Verificarea se efectuează consultând metadatele documentului semnat printr-un instrument de validare conform specificațiilor ETSI, cum ar fi serviciul DSS (Digital Signature Service) al Comisiei Europene, accessible gratuit. Acest instrument verifică lanțul de încredere al certificatului, statutul acestuia (nerevocat), conformitatea cu profilul calificat și prezența unui marcaj de timp calificat. Anumite platforme SaaS precum Certyneo integrează acest raport de validare direct în interfața de gestionare a documentelor.

Concluzie

Certificatul QSCD este mult mai mult decât o formalitate tehnică : este baza juridică și criptografică a semnăturii electronice calificate, singurul nivel oferind o prezumție legală de echivalență cu semnătura de mână în întreaga Uniune Europeană. În Franța, obținerea sa trece printr-un furnizor acreditat de ANSSI, un proces riguros de verificare a identității și o alegere iluminată între QSCD fizic și QSCD la distanță — acesta din urmă impunându-se ca normă pentru organizații care caută agilitate și scalabilitate.

Certyneo integrează nativ QSCD la distanță certificați în platforma sa SaaS, permițând echipelor tale să semneze cu nivel calificat fără niciun suport fizic de gestionat. Indiferent dacă pornești de la zero sau migrezi de la o altă soluție, experții noștri te însoțesc la fiecare pas. Descoperă tarifele Certyneo sau contactează echipa noastră pentru un audit al nevoilor tale în materie de semnătură calificate.