Certificат QSCD eIDAS: всё, что нужно знать для его получения во Франции в 2026 году

Рост цифровизации вынуждает предприятия и органы управления овладевать точными техническими понятиями. Среди них сертификат QSCD (Qualified Signature Creation Device) занимает центральное место в системе eIDAS. Без него невозможно выдать никакую квалифицированную электронную подпись — единственный уровень, имеющий презумпцию юридической ценности, эквивалентной собственноручной подписи. Однако подавляющее большинство французских организаций по-прежнему не знают, что такое QSCD, чем он отличается от обычного цифрового сертификата и какие процедуры позволяют его получить. Эта статья дает вам полный ответ: техническое определение, нормативно-правовая база, список аккредитованных в России участников и пошаговый процесс получения.

Что такое сертификат QSCD? Определение и нормативная база

Аббревиатура QSCD расшифровывается как Qualified Signature Creation Device — в переводе на русский язык это квалифицированное устройство создания подписи. Это обозначает аппаратный или программный инструмент, который генерирует и хранит криптографические ключи, используемые для электронной подписи, гарантируя при этом максимальный уровень безопасности, определенный регламентом eIDAS №910/2014.

Различие между квалифицированным сертификатом и QSCD

Необходимо различать два часто путаемых понятия:

• Квалифицированный сертификат (Qualified Certificate for Electronic Signature, QCert) — это цифровой сертификат, выданный квалифицированным поставщиком услуг доверия (QTSP). Он подтверждает личность подписывающего лица и содержит его открытый ключ.
• QSCD — это защищенный носитель, на котором генерируется и хранится закрытый ключ, связанный с сертификатом. Это может быть криптографический USB-маркер, смарт-карта, аппаратный модуль безопасности (HSM, Hardware Security Module) или удаленный QSCD (remote QSCD), размещенный в инфраструктуре поставщика услуг.

Для того чтобы подпись была квалифицирована в соответствии с eIDAS, оба элемента должны присутствовать: квалифицированный сертификат И QSCD. Приложение II регламента устанавливает требования, которым должно отвечать устройство (уникальность данных создания, невозможность вывода закрытого ключа, защита от подделки и т. д.).

Уровни электронной подписи и место QSCD

Регламент eIDAS определяет три уровня подписи:

1. Простая электронная подпись (SES) — не предъявляются специальные технические требования.
2. Продвинутая электронная подпись (AdES) — связана уникальным образом с подписывающим лицом, создана на основе данных, находящихся под его исключительным контролем, но без обязательного использования QSCD.
3. Квалифицированная электронная подпись (QES) — в обязательном порядке требует квалифицированный сертификат, хранящийся на QSCD. Это единственный уровень, получающий презумпцию равноценности собственноручной подписи во всех государствах-членах.

Для более углубленного изучения различий между этими тремя уровнями сравнение решений электронной подписи Certyneo предлагает детальный анализ.

Квалифицированные поставщики услуг (QTSP) во Франции: кто может выдать QSCD?

Во Франции выдача квалифицированных сертификатов и предоставление QSCD находятся исключительно в ведении квалифицированных поставщиков услуг доверия (QTSP), зарегистрированных в национальном реестре доверия (Trust Service List, TSL), опубликованном и поддерживаемом ANSSI (Национальное агентство по безопасности информационных систем).

ANSSI как французский орган надзора

ANSSI выполняет во Франции роль органа контроля (supervisory body), предусмотренную статьей 17 регламента eIDAS. Она проверяет кандидатов QTSP согласно строгим критериям, соответствующим стандартам ETSI EN 319 401 (общие требования к поставщикам услуг доверия) и ETSI EN 319 411 (квалифицированные сертификаты). Поставщик услуг не может называться «квалифицированным» без включения в список доверия Франции, опубликованный в подписанном формате XML.

Среди аккредитованных во Франции QTSP следует назвать таких участников, как Certigna, CertEurope, Docaposte, Keynectis и Thales (бывшая Gemalto). Каждый из них предлагает услуги квалифицированных сертификатов, хранящихся на аппаратных QSCD (смарт-карты, USB-маркеры) или удаленных QSCD, причем последние активно развиваются с 2022 года.

Удаленный QSCD (remote QSCD): новый стандарт в бизнесе

Удаленный QSCD представляет собой значительный прорыв: закрытый ключ подписывающего лица хранится не на физическом носителе, передаваемом пользователю, а в сертифицированном HSM, размещенном в защищенной инфраструктуре QTSP. Подписывающее лицо получает доступ к своему устройству через усиленную аутентификацию (OTP, биометрия, мобильное приложение). Такой подход, регламентируемый стандартом ETSI EN 319 432 и одобренный ANSSI, теперь интегрирован в большинство облачных платформ квалифицированной подписи, включая Certyneo.

Юридическая ценность электронной подписи не зависит от физического или удаленного характера QSCD при условии, что соответствие eIDAS подтверждается квалификацией ANSSI.

Как получить сертификат QSCD во Франции: пошаговый процесс

Получение квалифицированного сертификата на QSCD следует формализованному процессу, более строгому, чем процесс выдачи простого или продвинутого сертификата. Вот неизбежные этапы.

Этап 1: выбор QTSP и типа QSCD

Первое решение касается типа QSCD:

• Физический QSCD (смарт-карта или USB-маркер) — подходит для нечастого использования, для свободных профессионалов или руководителей. Предполагает физическую передачу носителя.
• Удаленный QSCD — идеален для организаций с большим объемом подписей или полностью цифровых операций. Никаких физических носителей не требуется.

Выбор поставщика услуг зависит также от доступных интеграций (REST API, вебхуки, коннекторы HRMS) и уровня поддержки. Рекомендуется проконсультироваться со списком официальных QTSP на портале ANSSI перед принятием решения.

Этап 2: процесс проверки личности (KYC)

Регламент eIDAS требует тщательной проверки личности до выдачи квалифицированного сертификата. Допускаются две модальности:

• Личная встреча (in-person) — соискатель предстает перед точкой регистрации QTSP или уполномоченным оператором проверки с официальными документами, удостоверяющими личность.
• Удаленная проверка через видео (remote identity proofing) — с 2021 года некоторые QTSP предлагают проверку личности путем видеоконференции в реальном времени с агентом, согласно требованиям ETSI EN 319 461. Автоматизированная проверка с использованием искусственного интеллекта (eKYC) еще не допускается для квалифицированных сертификатов во Франции по состоянию на середину 2026 года, так как ANSSI по-прежнему требует участия человека.

Необходимые документы обычно включают: действительное удостоверение личности (национальный паспорт, заграничный паспорт), подтверждение связи с профессиональным юридическим лицом (выписка из торгового реестра, сертификат регистрации), а иногда и письмо о полномочиях для подписывающих лиц, действующих от имени юридического лица.

Этап 3: генерация ключей и передача QSCD

После проверки личности QTSP осуществляет генерацию пары криптографических ключей в защищенной среде QSCD. Для физического QSCD носитель инициализируется, а затем передается или отправляется владельцу с защищенным PIN-кодом. Для удаленного QSCD владелец активирует устройство через мобильное приложение поставщика и настраивает механизм усиленной аутентификации.

Квалифицированный сертификат затем связывается с открытым ключом и публикуется в справочнике QTSP. Его срок действия обычно составляет 1–3 года в зависимости от выбранного предложения. Обновление должно быть спланировано заранее до истечения срока для сохранения возможности подписания.

Стоимость, сроки и обновление: что необходимо предусмотреть

Приблизительная таблица цен на 2026 год

Цены на квалифицированные сертификаты на QSCD значительно различаются в зависимости от поставщика и типа устройства:

• Физический QSCD (USB-маркер или смарт-карта) — от 80 до 250 евро (без НДС) за первую выдачу (включая аппаратный носитель), затем 50–150 евро (без НДС) за ежегодное обновление.
• Удаленный QSCD — часто включен в облачные предложения SaaS от 15 до 40 евро (без НДС) на одного пользователя в месяц или в пакеты по фактическому использованию для небольших объемов.

Эти затраты должны рассматриваться в контексте выигрыша во времени и снижения юридических рисков. Калькулятор ROI Certyneo позволяет точно оценить рентабельность инвестиций в зависимости от объема подписываемых документов.

Сроки получения

Время, прошедшее между подачей заявления и фактической доступностью квалифицированного сертификата, в целом составляет 3–10 рабочих дней для физических решений (включая доставку почтой) и несколько часов до 48 часов для удаленных QSCD при условии полноты документов KYC. Организации, ожидающие пиков активности (обновления контрактов в конце финансового года, конкурсные торги, закрытие финансового года), должны планировать соответственно.

Отзыв и жизненный цикл сертификата

Квалифицированный сертификат может быть отозван до истечения срока его действия в случае компрометации закрытого ключа, увольнения владельца или изменения удостоверенной информации. Отзыв опубликовывается в Certificate Revocation List (CRL) или через протокол OCSP (Online Certificate Status Protocol) QTSP. Любая подпись, поставленная после отзыва, считается недействительной; подписи, поставленные до отзыва, сохраняют свою ценность при условии их временной метки. Квалифицированная временная метка играет здесь решающую роль в подтверждении приоритета подписи.

Применимая нормативно-правовая база для сертификата QSCD

Нормативно-правовая база, регулирующая квалифицированные устройства создания подписи, обширна и включает несколько европейских и национальных нормативных актов.

Регламент eIDAS №910/2014 (ЕС) — Этот основополагающий текст составляет краеугольный камень системы. Статья 3(12) дает определение квалифицированному устройству создания подписи. Статья 26 устанавливает требования к продвинутой подписи, тогда как статья 29 и приложение II детализируют технические требования, применимые к QSCD (уникальность данных создания, конфиденциальность закрытого ключа, защита от подделки). Статья 25(2) предоставляет квалифицированной подписи презумпцию равноценности собственноручной подписи. Регламент eIDAS 2.0 (Регламент 2024/1183, вступивший в силу постепенно с 2024 года) усиливает эти требования и расширяет область действия на европейские цифровые бумажники идентичности (EUDIW).

Французский гражданский кодекс, статьи 1366 и 1367 — Статья 1366 устанавливает, что электронный документ имеет такую же доказательственную силу, что и бумажный документ при условии надежного установления личности автора и целостности документа. Статья 1367 уточняет, что электронная подпись заключается в использовании надежного процесса идентификации, гарантирующего связь с подписанным актом. Декрет №2017-1416 от 28 сентября 2017 года устанавливает презумпцию надежности для квалифицированных подписей, соответствующих eIDAS.

Стандарты ETSI — Стандарты ETSI EN 319 132 (формат XAdES для подписи XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) и ETSI EN 319 401/411 (требования к поставщикам услуг доверия и квалифицированным сертификатам) составляют технический справочник, обязательный для поставщиков. Несоответствие этим стандартам может привести к приостановлению квалификации QTSP со стороны ANSSI.

GDPR №2016/679 — Процесс проверки личности (KYC) предполагает обработку биометрических данных и персональных данных. Ответственный за обработку (QTSP и, при необходимости, заказчик-предприятие) должен соблюдать принципы минимизации, ограничения цели и предусмотреть срок хранения, соответствующий целям обработки. Оценка влияния на защиту данных (DPIA, Data Protection Impact Assessment) рекомендуется для крупномасштабных развертываний.

Ответственность при несоответствии — Использование неквалифицированного сертификата для подписания актов, требующих квалифицированную подпись (некоторые государственные закупки, электронные нотариальные акты, дематериализованные налоговые декларации), подвергает организацию риску оспаривания доказательственной силы акта или даже его признания недействительным. Статья 13 регламента eIDAS предусматривает режим ответственности QTSP в случае нарушения их обязательств, однако этот режим не освобождает компании-пользователи от их обязанности надлежащей проверки при выборе и поддержке своего устройства.

Сценарии использования сертификата QSCD в бизнесе

Сценарий 1: адвокатское бюро, дематериализующее свои процессуальные акты

Адвокатское бюро с пятнадцатью сотрудниками обрабатывает ежегодно несколько сотен процессуальных актов, доверенностей и соглашений об гонорарах. Прежде чем внедрить решение на основе удаленного QSCD, каждый документ требовал печати, собственноручной подписи и отправки почтой или сканирования. Бюро выбрало квалифицированные сертификаты на удаленном QSCD, интегрированные в облачную платформу, что позволяет каждому партнеру подписывать с квалифицированным уровнем с рабочего места или мобильного устройства. Наблюдаемый результат: сокращение времени подписания мировых соглашений примерно на 70 % (с 4 дней до менее чем 24 часов в среднем), исключение почтовых расходов и автоматическое архивирование подписанных актов в системе управления документами бюро.

Сценарий 2: промышленное малое и среднее предприятие, управляющее контрактами поставщиков

Малое и среднее предприятие в сфере обрабатывающей промышленности, обрабатывающее примерно 300 контрактов поставщиков в год, столкнулось с повторяющимися юридическими рисками, связанными с простыми или отсканированными подписями, которые легко оспорить. После аудита выяснилось, что несколько контрактов на сумму свыше 100 000 евро были подписаны без надежного процесса идентификации. Переход на квалифицированные подписи с удаленным QSCD для высокорисковых контрактов (стратегические поставщики, соглашения о конфиденциальности, рамочные заказы) позволил защитить контрактное имущество. Сроки валидации контрактов сократились примерно на 60 %, причем иностранные контрагенты оценили немедленное трансграничное признание, обеспечиваемое регламентом eIDAS.

Сценарий 3: медицинское объединение, внедряющее квалифицированную подпись для государственных закупок

Медицинское объединение примерно на 900 коек должно было выполнить требование декрета №2016-360 о государственных закупках, предусматривающего электронную подпись актов об участии сверх определенных порогов. Отдел информационных технологий развернул USB-маркеры, сертифицированные как QSCD, для руководителей, имеющих полномочия на совершение обязательств учреждения. Обучение пользователей, интеграция в платформу дематериализации закупок и процедура ежегодного обновления были документированы во внутренней политике подписания (Signature Policy). Оценочный операционный выигрыш составляет порядка 3–4 дней на каждую закупочную процедуру благодаря исключению отправок с уведомлением о вручении и процедур физического согласования.

Часто задаваемые вопросы

Чем QSCD отличается от обычного HSM?

Модуль аппаратной безопасности (HSM, Hardware Security Module) — это универсальный аппаратный модуль, используемый для хранения и управления криптографическими ключами. QSCD — это HSM или любое другое защищенное устройство, которое было оценено и сертифицировано как соответствующее требованиям приложения II регламента eIDAS аккредитованной лабораторией и признано национальным органом надзора. Квалификация QSCD подтверждает, что устройство отвечает строгим критериям уникальности ключа, неэкспортируемости и устойчивости к физическим и логическим атакам.

Действителен ли сертификат QSCD, полученный во Франции, на всей территории Европейского союза?

Да. Статья 25(2) регламента eIDAS устанавливает обязательное взаимное признание квалифицированных подписей между всеми государствами-членами. Квалифицированный сертификат, выданный французским QTSP, включенным в национальный список доверия, имеет такую же юридическую силу в Германии, Испании или Италии, как и в стране выдачи. Это автоматическое признание является одним из главных преимуществ системы для компаний, ведущих трансграничную контрактную деятельность.

Какой срок действия сертификата QSCD и можно ли его обновить удаленно?

Срок действия квалифицированного сертификата обычно устанавливается на 1, 2 или 3 года в зависимости от предложения QTSP. Обновление может быть осуществлено удаленно для удаленных QSCD при условии, что личность владельца уже была проверена личной встречей или видео при первичной выдаче. Большинство QTSP отправляют уведомления об истечении за 60 и 30 дней до срока. Игнорирование этих уведомлений грозит прерыванием возможности квалифицированной подписи.

Является ли сертификат QSCD обязательным для всех электронно подписанных актов?

Нет. Требуемый уровень подписи зависит от характера акта и применимой нормативно-правовой базы. Квалифицированная подпись на QSCD обязательна для определенных конкретных актов (электронные нотариальные акты, некоторые государственные закупки, дематериализованные налоговые декларации). Для большинства обычных коммерческих контрактов достаточно продвинутой подписи. Рекомендуется проконсультироваться со словарем электронной подписи или с юридическим консультантом, чтобы определить требуемый уровень для каждого конкретного акта.

Как проверить, что подпись действительно основана на действительном квалифицированном сертификате QSCD?

Проверка осуществляется путем просмотра метаданных подписанного документа с помощью инструмента валидации, соответствующего спецификациям ETSI, такого как служба DSS (Digital Signature Service) Комиссии Европейского союза, доступная бесплатно. Этот инструмент проверяет цепь доверия сертификата, его статус (не отозван), соответствие профилю квалифицированной подписи и наличие квалифицированной временной метки. Некоторые облачные платформы, такие как Certyneo, интегрируют отчет о валидации непосредственно в интерфейс управления документами.

Заключение

Сертификат QSCD — это гораздо больше, чем техническая формальность: он является юридическим и криптографическим фундаментом квалифицированной электронной подписи, единственным уровнем, обеспечивающим презумпцию равноценности собственноручной подписи во всем Европейском союзе. Во Франции его получение предполагает обращение к QTSP, аккредитованному ANSSI, строгий процесс проверки личности и осознанный выбор между физическим QSCD и удаленным QSCD — причем последний становится стандартом для организаций, ищущих гибкость и масштабируемость.

Certyneo нативно интегрирует сертифицированные удаленные QSCD в свою облачную платформу, позволяя вашим командам подписывать с квалифицированным уровнем без необходимости управления физическими носителями. Начинаете ли вы с нуля или переходите с другого решения, наши эксперты поддержат вас на каждом этапе. Ознакомьтесь с ценами Certyneo или свяжитесь с нашей командой для аудита ваших потребностей в квалифицированной подписи.