eIDAS 2 与 eIDAS 1：中小企业的关键变化

介绍：为什么 eIDAS 2 改变了中小企业的游戏规则

自 2024 年 5 月 20 日起，法规 (EU) 2024/1183——通常称为 eIDAS 2——已生效，逐步废止并替代了法规 (EU) No 910/2014（eIDAS 1）。对于法国中小企业而言，这一转变不仅仅是一次简单的行政更新：它重新定义了数字信任级别，引入了欧洲身份钱包（EUDIW），加强了对信任服务提供商的要求，并扩展了认可服务的范围。本文逐点对比 eIDAS 1 和 eIDAS 2，确定了对中小企业的实际操作影响，并为您提供了一份行动计划，以确保在 2026 年前保持合规。

---

1. 回顾：eIDAS 1 的基础（2014-2024）

1.1 初始法规的基础

eIDAS 1 于 2014 年 7 月通过，自 2016 年 9 月起生效，为欧洲数字信任空间奠定了基础。它引入了三大 电子签名 类别——简单签名 (SES)、高级签名 (AdES) 和合格签名 (QES)——并创建了合格服务提供商信任名单 (Trusted List)，可在欧盟委员会门户网站上查询。

对于中小企业，eIDAS 1 的主要贡献是 跨境认可 合格签名：用法国 QES 签署的合同在德国、西班牙或意大利被合法认可，无需认证或其他附加手续。这一原则——称为"不歧视"原则——成为了像 Certyneo 这样的 SaaS 服务建立其服务的基础。

1.2 识别的局限

尽管有了进展，eIDAS 1 仍存在欧盟委员会在其 2021 年评估报告中记录的几项不足：

• 身份方案的碎片化：仅通知其国家方案的成员国（如 FranceConnect+ 实质级别）才能受益于相互认可。到 2023 年，仅 27 个成员国中的 14 个通知了符合规定的方案。
• 缺乏原生移动支持：合格签名创建设备 (QSCD) 通常需要智能卡或硬件令牌，阻碍了移动采用。
• 信任服务有限：eIDAS 1 列出了九种类型的合格服务；新用途（合格电子存档、属性管理）不在其框架内。
• 没有统一的身份钱包：每个公民或企业以孤立的方式管理其身份标识符，无法保证互操作性。

这些限制促使欧盟委员会从 2020 年开始启动修订，经过三年的三方谈判，最终导致了 eIDAS 2 法规的出台。

---

2. eIDAS 2 为中小企业带来的五大创新

2.1 欧洲数字身份钱包（EU Digital Identity Wallet — EUDIW）

这是该法规最显著的创新。到 2026 年 11 月（第 5a 条规定的转置期限），每个成员国必须向其公民和居民提供至少一个经认证的数字身份钱包。对于中小企业，这一变化有两个直接后果：

1. 简化客户和合作伙伴的身份验证：钱包将允许共享已验证的属性（年龄、增值税号、公司注册证明、经认证的银行数据），无需摩擦。可以在从德国合作伙伴的 EUDIW 即时验证其专业属性后签署框架协议。
2. 某些部门的接受义务：大型平台（第 45bis 条）和某些公共服务的在线服务必须接受 EUDIW 作为身份验证方式。为 B2B 门户提供服务的中小企业将需要调整其身份验证 API。

2.2 扩展合格信任服务清单

eIDAS 2 将 合格信任服务 的目录从 9 个扩展到 14 个类别。直接影响中小企业的新增项包括：

• 合格电子存档 (第 45septies 条)：长期保存且价值证明增强。迄今为止，具有价值证明的存档依赖于国家参考框架（在法国，为 SIAF/ANSSI 参考框架）；eIDAS 2 调和了欧洲框架。
• 合格签名创建设备的远程管理 (RQSCD)：现已明确规定，它消除了笼罩在云端合格签名解决方案上的歧义。对于 50 名员工的中小企业，这意味着可以从任何设备获得合格签名，无需物理令牌。
• 合格电子登记服务：基于区块链或分布式账本技术的登记现在可以获得合格状态，为新的合同管理模式开辟了道路。

有关签名级别和其法律价值的更多信息，请参考我们的 电子签名完整指南。

2.3 加强合格服务提供商 (QTSP) 的安全要求

eIDAS 2 加强了 合格信任服务提供商 (QTSP) 的义务。修订的第 24 条特别规定：

• 网络安全认证 符合欧洲框架（EU 网络安全法案，法规 2019/881），ENISA 正在开发的行业方案。
• 运营弹性 方面的加强要求：QTSP 现在必须记录其业务连续性计划，并将其提交给其国家监督机构（在法国，为合格服务提供商的 ANSSI）。
• 安全事件通知 的义务应在 24 小时内完成（与 NIS 2 对齐）。

对于中小企业用户，这意味着在选择服务提供商时需要进行更严格的尽职调查：验证您的签名解决方案确实在更新的欧洲信任名单上现已成为您采购流程的关键步骤。我们的 电子签名解决方案比较 可帮助您进行此分析。

2.4 身份方案的强制互操作性

在 eIDAS 1 中允许成员国自由通知（或不通知）其方案的地方，eIDAS 2 对在线公共服务中使用的身份方案进行了 通知和互操作性强制 (第 5 条)。由内政部主导的国家方案法国身份 (France Identité) 正在调整以符合欧盟委员会在执行法规 (EU) 2024/2977 中发布的 EUDIW 技术规范。

对于与公共管理部门定期互动的中小企业（公共采购、电子税务申报、海关程序），这一演变意味着在线流程将逐步围绕在整个欧盟认可和统一的单一数字标识符进行统一。

2.5 新的责任和监督规则

eIDAS 2 阐述并扩展了 服务提供商责任 的制度 (第 13 条修订)。QTSP 现在推定对任何因违反其义务而对自然人或法人造成的伤害负责，除非证明不存在过错。与 eIDAS 1 相比，这项加强的责任推定应促使中小企业：

• 通过合同正式记录其服务提供商的承诺（SLA、可用性保证、赔偿）。
• 验证 QTSP 的专业责任保险覆盖范围。
• 保留已签署交易的审计证据（时间戳日志、签名验证报告）。

我们的团队就 企业电子签名 编写了详细指南，涵盖这些合同方面。

---

3. eIDAS 1 与 eIDAS 2 对比表：具体变化

3.1 主要演变摘要

3.2 2026 年需记住的关键期限

• 2024 年 5 月：法规 (EU) 2024/1183 生效。
• 2026 年 11 月：每个成员国提供至少一个经认证 EUDIW 解决方案的期限。
• 2027 年：大型平台（第 45bis 条）必须接受 EUDIW 作为身份验证方式。
• 2028 年：计划对技术执行条例（EUDIW 规范委托法规）进行修订。

如果您的中小企业计划迁移到更符合规定的解决方案，我们的 向 Certyneo 迁移方案 包括免费的 eIDAS 2 合规审计。

---

4. 使您的中小企业符合 eIDAS 2 的实践行动计划

4.1 审计您现有的文件流

首先，绘制所有使用电子签名或数字身份的流程的地图：供应商合同、电子工资单、SEPA 授权、保密协议、人力资源行为。对于每个流程，确定：

• 使用的签名级别（SES、AdES、QES）。
• 当前服务提供商及其在信任名单上的地位。
• 如有争议时的法律风险级别。

根据 ANSSI 在 2025 年 3 月发布的合规性指南，此审计是推荐的起点。

4.2 升级您的签名解决方案

如果您当前的服务提供商未列在 eIDAS 2 信任名单上或尚未提供 RQSCD，现在是时候比较市场上的方案了。Certyneo 是一个经认证的 QTSP，支持所有三个签名级别（SES、AdES、QES），并原生集成了新的 eIDAS 2 要求，特别是合格存档和远程设备管理。

4.3 培训您的团队并更新您的合同

eIDAS 2 加强了合格签名的价值证明，但也强加了良好的文件实践。确保您的法律和行政团队：

• 能够区分三个签名级别及其各自的法律价值。
• 在供应商合同中集成 eIDAS 合规审计条款。
• 在适用的法律保留期间内（根据行为性质为 3 到 10 年）保留签名验证证据（验证报告、合格时间戳）。

为了构架这一方法，我们的 电子签名投资回报率计算器 将让您量化与升级相关的运营收益。

适用的法律框架

参考文本

中小企业的 eIDAS 2 合规性建立在必须掌握的规范堆积之上。

欧洲议会和理事会法规 (EU) 2024/1183（称为"eIDAS 2"）：这是基础文本，于 2024 年 4 月 30 日在欧盟公报上发布。它根据延伸至 2027 年的部署时间表废止并替代了法规 (EU) No 910/2014。它在所有成员国中直接适用，其主要条款无需国家立法转置。

法规 (EU) No 910/2014 (eIDAS 1)：其某些条款在 eIDAS 2 规定的过渡期期间仍适用，特别是对于在 2024 年 5 月前获得合格资格且有期限进行重新认证的合格服务提供商。

法国民法第 1366 和 1367 条：第 1366 条阐述了电子文本与纸质文本的等效原则，条件是"出自该人员的身份能够被适当确认，且其以有利于保证其完整性的条件建立和保留"。第 1367 条将电子签名作为证明方式得到认可，指向由国家理事会令规定的条件（2017 年 9 月 28 日第 2017-1416 号令，编入民法第 R. 1369-1 至 R. 1369-10 条）。

法规 (EU) 2016/679 (GDPR)：EUDIW 的部署和身份属性在电子签名流程中的处理构成了 GDPR 意义上的个人数据处理。中小企业必须确保其 QTSP 作为 GDPR 第 28 条意义上的处理者行动，并签署符合规定的 DPA（数据处理协议）。CNIL 在 2026 年 1 月发布了关于 EUDIW-GDPR 集成的具体建议。

指令 (EU) 2022/2555 (NIS 2)：eIDAS 2 在事件通知义务上明确与 NIS 2 对齐（eIDAS 2 第 24 条第 2 款参考 NIS 2 条款）。根据其规模，QTSP 被视为 NIS 2 意义上的"必要"或"重要"实体，因此受到定期安全审计的约束。

ETSI 标准：合格电子签名必须符合 ETSI EN 319 132-1 (XAdES)、ETSI EN 319 122-1 (CAdES)、ETSI EN 319 162-1 (ASiC) 和 ETSI EN 319 102-1（验证程序）。ETSI TS 119 461 标准规定了远程身份验证 (IDV)，对 RQSCD 特别相关。

不符合规定的法律风险

使用不符合 eIDAS 2 的电子签名解决方案使中小企业面临多项风险：

• 司法不可受理：法官可能以电子签名级别与签署行为不相符为由驳回（例如：简单签名用于需要高级或合格级别的行为）。
• 合同责任：如果合同因签名无效而被合作伙伴争议，中小企业可能面临索赔要求。
• GDPR 罚款：如因服务提供商安全缺陷而发生数据泄露，中小企业作为共同责任人或责任控制者可能被 CNIL 罚款，最高可达年全球营业额的 4%（GDPR 第 83 条第 4 款）。

具体使用场景

场景 1：管理每年 400 份供应商合同的 80 人工业中小企业

一家冶金行业中小企业每年处理约 400 份供应商合同，截至 2024 年一直对其所有协议（包括超过 50,000 欧元的框架合同）使用简单电子签名 (SES)。进行 eIDAS 2 合规审计后，她发现 35% 的合同需要高级或合格签名才能抵抗司法争议，特别是与欧盟其他成员国的供应商协议。

通过迁移到结合对常规合同使用高级签名 (AdES) 和对框架合同使用合格签名 (QES) 的解决方案，并激活合格电子存档（新的 eIDAS 2 服务），该中小企业将签名后文件管理所花费的时间（分类、搜索、发送认证副本）减少了 70%，并在随后的 18 个月内将签名争议相关的诉讼降至零，而之前 18 个月内有两起事件。

场景 2：15 名合作者的法律咨询事务所

一家专门从事商业法的事务所，年均发出约 1,200 份已签署的行为（委托书、授权、保密协议），面临其公司客户要求在整个欧盟认可的合格签名的需求日益增加。在 eIDAS 1 下，获得合格证书需要面对面程序或冗长的视频验证（每位用户 45 至 90 分钟）。

由于 eIDAS 2 规定的 RQSCD（远程合格签名创建设备），事务所能够在两周内为所有合作者部署合格签名，通过符合 ETSI TS 119 461 标准的 100% 远程注册程序。内部采用率从 40% 升至 95%，仅三个月内，根据事务所的内部测量，已签署行为的平均退回时间从 4.2 天减少到不足 6 小时。

场景 3：在欧盟三个国家运营的电商中小企业

一家拥有 35 名员工并在法国、比利时和荷兰运营的在线销售企业需要管理三种类型的电子协议：本地员工的就业合同、与运输商的伙伴关系协议以及客户的 SEPA 授权。eIDAS 1 下国家要求的碎片化迫使其维护三个不同的签名工作流，管理成本估计约 12,000 欧元/年。

采用符合 eIDAS 2 的单一解决方案——集成了三个国家间合格签名的相互认可——使其能够统一工作流，将管理成本减少到约 4,500 欧元/年（节省 62%），并消除了由于法律部门验证外国签名而导致的延期。

结论

eIDAS 2 不仅是监管框架的简单修饰：它深刻重新定义了欧洲数字信任的游戏规则。对于法国中小企业，五大主要变化——EUDIW 钱包、合格服务扩展、RQSCD、强制互操作性和加强责任——既代表了合规性约束，也是加速其文件转型的机会。

早日预期这些变化的中小企业将获得真实的竞争优势：在整个欧盟认可的合同无需摩擦、具有价值证明的集成存档，以及完全数字化和安全的签名流程。

Certyneo 旨在陪伴这一转变。从 certyneo.com 开始您的免费试用，并受益于为您现有文件流提供的免费 eIDAS 2 合规审计。