Сертифікат QSCD eIDAS: все, що вам потрібно знати для отримання у Франції у 2026 році

Зростання цифровізації змушує підприємства та органи влади оволодівати точними технічними поняттями. Серед них сертифікат QSCD (Qualified Signature Creation Device) займає центральне місце в системі eIDAS. Без нього жодного кваліфікованого електронного підпису — єдиного, що має законну презумпцію цінності, еквівалентної рукописному підпису — неможна видати. Однак більшість французьких організацій все ще не розуміють, що таке QSCD, як він відрізняється від простого цифрового сертифіката та які кроки дозволяють його отримати. Ця стаття надає вам повну відповідь: технічне визначення, нормативні основи, список акредитованих осіб у Франції та процес отримання крок за кроком.

Що таке сертифікат QSCD? Визначення та нормативний обсяг

Терміном QSCD є англійський акронім Qualified Signature Creation Device, який у французькій мові перекладається як кваліфіковане пристрій створення підпису. Він позначає інструмент (матеріальний або програмний), що генерує та зберігає криптографічні ключі, використовувані для електронного підписання, гарантуючи максимальний рівень безпеки, визначений регламентом eIDAS №910/2014.

Розрізнення між кваліфікованим сертифікатом та QSCD

Необхідно розрізняти два поняття, які часто плутають:

• Кваліфікований сертифікат (Qualified Certificate for Electronic Signature, QCert) — це цифровий сертифікат, виданий кваліфікованим постачальником послуг довіри (QTSP). Він засвідчує особу підписувача та містить його відкритий ключ.
• QSCD — це безпечна база, на якій генерується та зберігається приватний ключ, пов'язаний з сертифікатом. Це може бути криптографічний токен USB, смарт-карта, HSM (Hardware Security Module) або віддалений QSCD (remote QSCD), розташований у інфраструктурі постачальника.

Щоб підпис був кваліфікований у розумінні eIDAS, мають присутніми обидва елементи: кваліфікований сертифікат І QSCD. Додаток II регламенту встановлює вимоги, яким має відповідати пристрій (унікальність даних для створення, неможливість виведення приватного ключа, захист від підробок тощо).

Рівні електронного підпису та місце QSCD

Регламент eIDAS визначає три рівні підпису:

1. Простий електронний підпис (SES) — без особливих технічних вимог.
2. Удосконалений електронний підпис (AdES) — однозначно пов'язаний з підписувачем, створений на основі даних під його виключним контролем, але без обов'язку використання QSCD.
3. Кваліфікований електронний підпис (QES) — обов'язково вимагає кваліфіковану сертифікат, збережений на QSCD. Це єдиний рівень, що користується законною презумпцією еквівалентності рукописному підпису у всіх державах-членах.

Для глибшого розуміння відмінностей між цими трьома рівнями порівняння рішень електронного підпису від Certyneo пропонує детальний аналіз.

Кваліфіковані постачальники (QTSP) у Франції: хто може видавати QSCD?

У Франції видання кваліфікованих сертифікатів і надання QSCD — виключне право кваліфікованих постачальників послуг довіри (QTSP), внесених до національного списку довіри (Trust Service List, TSL), опублікованого та підтримуваного ANSSI (Національне агентство інформаційної безпеки).

ANSSI як орган нагляду у Франції

ANSSI у Франції виконує роль органу контролю (supervisory body), передбаченого статтею 17 eIDAS. Вона перевіряє кандидатів QTSP згідно строгих критеріїв, узгоджених з нормами ETSI EN 319 401 (загальні вимоги для постачальників послуг довіри) та ETSI EN 319 411 (кваліфіковані сертифікати). Постачальник не може називатися «кваліфікованим» без внесення до французького списку довіри, опублікованого у форматі підписаного XML.

Серед акредитованих французьких QTSP значаться такі гравці, як Certigna, CertEurope, Docaposte, Keynectis та Thales (ex-Gemalto). Кожна пропонує пакети кваліфікованих сертифікатів, збережених на матеріальних QSCD (смарт-карти, токени USB) або віддалених QSCD, останні з яких мають значний ріст з 2022 року.

Віддалений QSCD (remote QSCD): нова норма для підприємств

Віддалений QSCD являє собою значну еволюцію: приватний ключ підписувача більше не зберігається на фізичному носії, виданому користувачеві, а у сертифікованому HSM, розташованому у безпечній інфраструктурі QTSP. Підписувач отримує доступ до свого пристрою через сильну аутентифікацію (OTP, біометрія, мобільний додаток). Цей підхід, врегульований стандартом ETSI EN 319 432 та затвердженим ANSSI, нині інтегрований у більшість хмарних платформ кваліфікованого підпису, включаючи Certyneo.

Юридична цінність електронного підпису не залежить від фізичного або віддаленого характеру QSCD, якщо підтверджена відповідність eIDAS через кваліфікацію ANSSI.

Як отримати сертифікат QSCD у Франції: процес крок за кроком

Отримання кваліфіковану сертифіката на QSCD відбувається за формалізованою процедурою, більш вимогливою, ніж для простого чи удосконаленого сертифіката. Ось необхідні кроки.

Крок 1: вибір QTSP та типу QSCD

Перше рішення стосується типу QSCD:

• Матеріальний QSCD (смарт-карта або токен USB): придатний для нерегулярного використання, приватних практиків чи керівників. Передбачає фізичну передачу носія.
• Віддалений QSCD: ідеальний для організацій з високим обсягом підписання або 100% цифровим режимом. Жодного матеріального носія для управління.

Вибір постачальника також залежить від доступних інтеграцій (REST API, webhooks, HRIS-конектори) та рівня підтримки. Рекомендується проконсультуватися з офіційним списком QTSP на порталі ANSSI перед будь-яким рішенням.

Крок 2: процес верифікації особи (KYC)

Регламент eIDAS передбачає сувору перевірку особи перед видачею кваліфіковану сертифіката. Два способи прийняті:

• Очна перевірка (in-person): запитувач з'являється у пункті реєстрації QTSP чи уповноваженого оператора перевірки з офіційними документами, що посвідчують особу.
• Віддалена перевірка через відеокамеру (remote identity proofing): з 2021 року деякі QTSP пропонують перевірку через відеоконференцію в режимі реального часу з агентом, врегульовану вимогами ETSI EN 319 461. Автоматична верифікація за допомогою ШІ (eKYC) ще не допускається для кваліфікованих сертифікатів у Франції до середини 2026 року; ANSSI по-тому вимагає людського втручання.

Необхідні документи зазвичай включають: дійсне посвідчення особи (ID-карта, паспорт), підтвердження зв'язку з юридичною особою (Kbis, витяг з реєстру), а іноді — лист про призначення для підписувачів, що діють від імені юридичної особи.

Крок 3: генерація ключів та видача QSCD

Після перевірки особи QTSP здійснює генерацію пари криптографічних ключів у безпечному середовищі QSCD. Для матеріального QSCD носій ініціалізується, потім видається чи відправляється користувачеві з захищеним PIN-кодом. Для віддаленого QSCD користувач активує свій пристрій через мобільний додаток постачальника та налаштовує свій механізм сильної аутентифікації.

Кваліфіковану сертифікат потім пов'язується з відкритим ключем і публікується в каталозі QTSP. Його термін дії зазвичай становить 1–3 роки, залежно від обраного пакету. Поновлення варто планувати заздалегідь до закінчення терміну, щоб забезпечити безперервність можливості підпису.

Вартість, терміни та поновлення: що потрібно передбачити

Індикативна цінова шкала у 2026 році

Ціни на кваліфіковані сертифікати на QSCD істотно відрізняються в залежності від постачальника та типу пристрою:

• Матеріальний QSCD (токен USB або смарт-карта): від 80 € до 250 € без ПДВ за перше видання (включаючи матеріальний носій), потім 50 € до 150 € без ПДВ за щорічне поновлення.
• Віддалений QSCD: часто включений до хмарних пакетів SaaS з ціною від 15 € до 40 € без ПДВ на користувача на місяць або в пакетах за дію для низьких обсягів.

Ці витрати варто розглядати з точки зору економії часу та зниження юридичних ризиків. Калькулятор ROI Certyneo дозволяє точно оцінити окупність інвестицій в залежності від обсягу підписаних документів.

Терміни отримання

Час від подачі заявки до фактичної доступності кваліфіковану сертифіката зазвичай становить 3–10 робочих днів для матеріальних рішень (включаючи поштову доставку) та кілька годин до 48 годин для віддалених QSCD, при умові повноти документів KYC. Організаціям, що передбачають піки активності (поновлення контрактів в кінці року, конкурси, закриття кварталів), варто планувати заздалегідь.

Анулювання та цикл життя сертифіката

Кваліфіковану сертифікат може бути анульований до закінчення його терміну у разі компрометації приватного ключа, відходу його власника чи змін у сертифікованій інформації. Анулювання публікується у Certificate Revocation List (CRL) чи через протокол OCSP (Online Certificate Status Protocol) постачальника. Будь-який підпис, прикладений після анулювання, вважається недійсним; ті, що прикладені раніше, зберігають свою цінність, якщо вони мають часову позначку. Кваліфікована часова позначка грає тут вирішальну роль у доказі передування підпису.

Застосовна нормативна база для сертифіката QSCD

Нормативна база, що регулює кваліфіковані пристрої створення підпису, розгалужена та поділена між кількома європейськими та національними текстами.

Регламент eIDAS №910/2014 (ЄС) — Цей основоположний текст становить основу системи. Стаття 3(12) визначає кваліфіковану пристрій створення підпису. Стаття 26 встановлює вимоги до удосконаленого підпису, у той час як стаття 29 та Додаток II деталізують технічні вимоги, що застосовуються до QSCD (унікальність даних для створення, конфіденційність приватного ключа, неможливість підробки). Стаття 25(2) надає кваліфікованому підпису презумпцію еквівалентності рукописному підпису. Регламент eIDAS 2.0 (Регламент 2024/1183, набув чинності поступово з 2024 року) посилює ці вимоги та розширює обсяг на європейські гаманці цифрової ідентичності (EUDIW).

Французький цивільний кодекс, статті 1366 та 1367 — Стаття 1366 встановлює, що електронний документ має таку саму силу доказу, що й паперовий документ, за умови надійної ідентифікації автора та цілісності документа. Стаття 1367 уточнює, що електронний підпис полягає у використанні надійного способу ідентифікації, що гарантує зв'язок з підписаним актом. Декрет №2017-1416 від 28 вересня 2017 встановлює презумпцію надійності для підписів, що відповідають eIDAS.

Норми ETSI — Норми ETSI EN 319 132 (формат XAdES для підпису XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) та ETSI EN 319 401/411 (вимоги для постачальників послуг та кваліфікованих сертифікатів) становлять технічний довідник, обов'язковий для постачальників. Невідповідність цим нормам може привести до призупинення кваліфікації QTSP ANSSI.

GDPR №2016/679 — Процес верифікації особи (KYC) передбачає обробку біометричних даних та особистої інформації. Контролер даних (QTSP та, у разі необхідності, клієнтська компанія) має дотримуватися принципів мінімізації, обмеженої мети та передбачити пропорційний термін зберігання. DPIA (Data Protection Impact Assessment) рекомендується для великомасштабних розгортань.

Відповідальність за невідповідність — Використання некваліфіковану сертифіката для підпису актів, що вимагають кваліфіковану підпис (деякі державні контракти, електронні нотаріальні акти, дематеріалізовані податкові декларації), піддає організацію оспорюванню цінності акту, а навіть його нікчемності. Стаття 13 eIDAS передбачає режим відповідальності для QTSP за порушення їхніх зобов'язань, але цей режим не звільняє користувацькі організації від їх обов'язку дбайливості при виборі та утриманні свого пристрою.

Сценарії використання сертифіката QSCD на підприємстві

Сценарій 1: адвокатська kontora, що дематеріалізує свої процесуальні акти

Адвокатська kontora з п'ятнадцятьма співробітниками обробляє щорічно кілька сотень процесуальних актів, довіреностей та угод про гонорари. До розгортання рішення на основі віддаленого QSCD кожен документ потребував друку, рукописного підпису та поштової доставки чи сканування. Kontora обрала кваліфіковані сертифікати з віддаленим QSCD, інтегровані до хмарної платформи, дозволяючи кожному партнеру підписувати з комп'ютера чи мобільного телефону з кваліфікованим рівнем. Виявлені результати: скорочення близько 70% терміну підпису угод про дружнє розірвання трудовідносин (з 4 днів до менш ніж 24 годин у середньому), усунення витрат на поштові штампи та автоматичне архівування підписаних актів у системі управління документами kontory.

Сценарій 2: малий промисловий завод, що управляє своїми контрактами постачальників

Малий завод у виробничому секторі, що має близько 300 контрактів постачальників на рік, стикався з повторюючимися юридичними ризиками, пов'язаними з простими або відскановими підписами, легко оспорюваними. Після аудиту виявилося, що кілька контрактів на суми понад 100 000 € були підписані без надійного способу ідентифікації. Перехід на кваліфіковані підписи на віддаленому QSCD для контрактів з високими ставками (стратегічні постачальники, угоди про конфіденційність, рамкові замовлення) дозволив захистити договірне портфоліо. Терміни перевірки контрактів скоротилися приблизно на 60%, іноземні контрагенти оцінили миттєве трансграничне визнання, пропоноване eIDAS.

Сценарій 3: лікувально-профілактичне об'єднання, що розгортає кваліфіковану підпис для своїх державних контрактів

Лікувально-профілактичне об'єднання близько 900 ліжок мало дотримуватися обов'язку, виходячи з декрету №2016-360 щодо державних контрактів, підписувати електронно акти зобов'язання вище певних порогів. Відділ IT розгорнув токени USB, сертифіковані як QSCD, для керівників, уповноважених брати зобов'язання закладу. Навчання користувачів, інтеграція у платформу дематеріалізації контрактів та процедура щорічного поновлення були документовані у внутрішній політиці підпису (Signature Policy). Технологічна користь оцінюється приблизно у 3–4 дні на один процес контракту, завдяки виключенню рекомендованих поштових надсилань та паралельних потоків фізичних маршрутизаторів.

Часті запитання

Що різниці між QSCD та звичайним HSM?

HSM (Hardware Security Module) — це загальний апаратний модуль безпеки, використовуваний для зберігання та управління криптографічними ключами. QSCD — це HSM — або будь-який інший безпечний пристрій — що був оцінений та сертифікований як конформний вимогам Додатку II регламенту eIDAS лабораторією, акредитованою та визнаною органом нагляду національного рівня. Кваліфікація QSCD засвідчує, що пристрій відповідає строгим критеріям унікальності ключа, невивезення та опору фізичним та логічним атакам.

Чи дійсний сертифікат QSCD, отриманий у Франції, у всьому Європейському Союзі?

Так. Стаття 25(2) eIDAS встановлює обов'язкове взаємне визнання кваліфікованих підписів між усіма державами-членами. Кваліфіковану сертифікат, виданий QTSP французькою, внесеним до національного списку довіри, має такі самі юридичні наслідки в Німеччині, Іспанії чи Італії, як у країні видачі. Це автоматичне визнання — один із основних активів системи для підприємств із трансграничною договірною діяльністю.

Яка тривалість дії сертифіката QSCD та чи можна його поновити на відстані?

Тривалість дії кваліфіковану сертифіката зазвичай встановлюється на 1, 2 або 3 роки залежно від пакету QTSP. Поновлення для віддалених QSCD може здійснюватися на відстані, при умові, що особа володільця вже була перевірена очно чи через відеокамеру при першій видачі. Більшість QTSP відправляють сповіщення про закінчення 60 та 30 днів до закінчення терміну. Ігнорування цих сповіщень призводить до переривання можливості кваліфіковану підпису.

Чи обов'язковий сертифікат QSCD для всіх електронно підписаних актів?

Ні. Рівень вимагаємого підпису залежить від природи акту та застосовуваної нормативної бази. Кваліфіковану підпис на QSCD обов'язковий для деяких специфічних актів (електронні нотаріальні акти, деякі державні контракти, дематеріалізовані податкові декларації). Для переважної більшості звичайних комерційних контрактів достатньо удосконаленого підпису. Рекомендується проконсультуватися зі словником електронного підпису чи юридичним порадником, щоб визначити необхідний рівень для кожного акту.

Як переконатися, що підпис насправді грунтується на дійсному кваліфікованому сертифікаті QSCD?

Перевірка здійснюється шляхом консультації метаданих підписаного документа через інструмент валідації, що відповідає специфікаціям ETSI, такий як сервіс DSS (Digital Signature Service) Європейської комісії, безкоштовно доступний. Цей інструмент перевіряє ланцюг довіри сертифіката, його статус (не анульований), його конформність кваліфікованому профілю та наявність кваліфіковану часової позначки. Деякі хмарні платформи, такі як Certyneo, інтегрують цей отчет валідації безпосередньо в інтерфейс управління документами.

Висновок

Сертифікат QSCD — це набагато більше, ніж технічна формальність: це юридична та криптографічна основа кваліфіковану електронного підпису, єдиний рівень, що пропонує законну презумпцію еквівалентності рукописному підпису у всьому Європейському Союзі. У Франції його отримання проходить через акредитований ANSSI QTSP, суворий процес верифікації особи та свідомий вибір між матеріальним та віддаленим QSCD — останній встановлюється як стандарт для організацій, що прагнуть гнучкості та масштабованості.

Certyneo нативно інтегрує кваліфіковані віддалені QSCD у своїй хмарній платформі, дозволяючи вашим командам підписувати з кваліфікованим рівнем без будь-яких матеріальних носіїв для управління. Чи ви починаєте з нуля, чи мігруєте з іншого рішення, наші експерти супроводжуватимуть вас на кожному кроці. Дізнайтеся ціни Certyneo або зв'яжіться з нашою командою для аудиту ваших потреб у кваліфікованому підпису.