Signature électronique, mode d'emploi

Qu'est-ce qu'une signature électronique ?

Une signature électronique a la même valeur juridique qu'une signature manuscrite. Elle doit répondre à un protocole technique spécifique pour avoir force probante (articles 1366 et 1367 du Code civil).

Le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique, pris pour l'application de l'article 1367 précité, dispose que : « La fiabilité d'un procédé de signature électronique est présumée, jusqu'à preuve du contraire, lorsque ce procédé met en œuvre une signature électronique qualifiée. Est une signature électronique qualifiée une signature électronique avancée, conforme à l'article 26 [du règlement européen dit “ eIDAS ” du 23 juillet 2014 (1)] et créée à l'aide d'un dispositif de création de signature électronique qualifié répondant aux exigences de l'article 29 dudit règlement, qui repose sur un certificat qualifié de signature électronique répondant aux exigences de l'article 28 de ce règlement ».

Pour signer électroniquement, le candidat (ou le mandataire en cas de groupement) doit avoir un certificat électronique et l'application logicielle qui s'y rattache. Cette dernière est souvent proposée par les profils d'acheteurs.

La signature électronique peut, par ailleurs, être apposée au moyen d'un parapheur électronique (article 7 de l'arrêté du 12 avril 2018).

La signature électronique est-elle obligatoire ?

Non, conformément à l'article 102 du décret n° 2016-360 du 25 mars 2016 relatif aux marchés publics. Mais elle est fortement recommandée.

Lorsque le marché public est signé électroniquement, il doit l'être selon les modalités fixées par l'arrêté du 12 avril 2018 précité. En raison du passage à cette même date au « zéro papier » pour la remise d'offres dès 25 000 € HT, il convient, pour les entreprises et pour les acheteurs, de se doter d'une signature électronique. S'agissant des marchés d'un montant inférieur à ce seuil, il est préférable dans un premier temps que les acheteurs laissent le choix aux entreprises de signer à la main ou électroniquement, pour ne pas aboutir à une raréfaction brutale des réponses. Les documents à signer sont ceux énumérés par l'acheteur comme pour une signature papier.

Lorsque la signature électronique est requise, l'arrêté du 12 avril prescrit aux acheteurs et aux entreprises de se doter, au moins, d'une signature électronique avancée basée sur un certificat qualifié et conforme au règlement eIDAS (article 2), ainsi que du dispositif de création de signatures électroniques « de [leur] choix » (article 4).

Qu'est-ce qu'un certificat de signature électronique ?

Le certificat de signature électronique (CSE) est une pièce d'identité électronique. Il en existe plusieurs sortes, dont certaines seulement peuvent être utilisées pour répondre à un marché public. Le CSE est nominatif. Il est délivré à une personne, même si celle-ci est rattachée à une entreprise ou à une administration. Le CSE identifie le signataire, l'engage, et garantit l'intégrité du document. En pratique, il est contenu sur une carte à puces ou sur une clé USB. Il permet d'apposer la signature par le biais d'un logiciel (ou outil) de signature.

A ce jour, le CSE doit être conforme au référentiel général de sécurité (RGS), qui prévoit trois niveaux de sécurité croissants symbolisés par des étoiles : *, ** ou ***. Pour les acheteurs qui disposent déjà d'un certificat « RGS », celui-ci restera utilisable jusqu'au terme de sa période de validité. Puis il conviendra de se procurer un certificat conforme au règlement eIDAS (article 8 de l'arrêté du 12 avril 2018).

£Comment obtenir un certificat électronique ?

Le CSE qualifié doit être délivré soit « par un prestataire de service de confiance qualifié répondant aux exigences du règlement » eIDAS, soit « par une autorité de certification, française ou étrangère, qui répond aux exigences équivalentes à l'annexe I du règlement » eIDAS (article 2 de l'arrêté du 12 avril 2018).

Différents sites Internet énumèrent les prestataires qualifiés pour fournir un CSE, notamment : - liste de confiance française : www.ssi.gouv.fr/ administration/reglementation/ confiance-numerique/le-reglement-eidas/ liste-nationale-de-confiance/ - liste de confiance d'un autre Etat membre de l'UE : https ://webgate.ec.europa.eu/tl-browser/#/

Quels documents faut-il fournir pour obtenir un CSE ?

Selon les prestataires, il conviendra de renseigner un formulaire d'inscription (identité, type d'entité…) ; de fournir la carte d'identité de la personne qui sera détentrice du CSE (par exemple, un élu au sein d'une collectivité) ; ainsi que l'attestation habilitant la personne à bénéficier de la signature électronique (par exemple, l'arrêté de délégation de signature pour un élu d'une commune).

Quelle est la durée de validité d'un certificat électronique ?

Le CSE est valable pour une durée maximale de trois ans. Il faut veiller cependant à ce que, pendant la durée de validité du certificat, la personne qui en est détentrice soit toujours celle habilitée à signer. A défaut, il faudra acheter un nouveau CSE.

Quels sont les formats de e-signature acceptés en marchés publics ?

Il en existe trois (article 3 de l'arrêté du 12 avril 2018) : - le format PAdES (PDF advanced electronic signatures), pour signer des documents au format PDF (Acrobat), en signature jointe, avec un seul fichier ; - le format CAdES (CMS advanced electronic signatures) pour signer des documents aux formats Word, Excel, et PDF, en signature disjointe avec deux fichiers ; - le format XAdES (XML advanced electronic signatures) pour signer des documents au format XML.

Qui est détenteur de la signature électronique ?

Pour les entreprises

Le CSE est nominatif, la personne qui signe doit avoir le pouvoir d'engager la société. Le titulaire du CSE doit donc être : - soit le représentant légal de la société (gérant, président…) ; - soit toute autre personne qui dispose d'une délégation de pouvoir qu'il faut joindre au dossier de candidature.

Si le titulaire du CSE quitte la société, ou si celle-ci change de siège social, il faut se procurer un nouveau certificat car le numéro Siret est modifié en cas de changement de lieu.

Pour l'acheteur

Dans les collectivités, il peut s'agir d'un ou plusieurs élus habilités à signer par arrêté, voire de certains agents (directeur général des services, par exemple) en application du Code général des collectivités territoriales.

Combien de temps faut-il pour obtenir un certificat électronique ?

Quinze jours à un mois sont en pratique nécessaires pour obtenir un CSE, voire plus. Il convient donc d'anticiper cette démarche au maximum avant le 1er octobre 2018.

Combien cela coûte-t-il ?

Les prix varient en fonction des prestataires. Selon le site du BOAMP, ces prix oscillent entre 70 et 130 € par an, et la durée de validité des CSE est généralement de deux ou trois ans. Il faut choisir le certificat le plus adapté techniquement et le plus avantageux financièrement.

L'acheteur doit-il mentionner des exigences particulières dans les documents de la consultation ?

Il devra veiller à supprimer toute indication, dans les documents de la consultation, liée à la réception papier (sauf cas spécifiques énumérés à l'article 41-II du décret marchés publics ; et pour les marchés d'un montant inférieur à 25 000 € HT). L'acheteur devra aussi supprimer, dès le 1er octobre 2018, toute clause relative au RGS dans le règlement de la consultation. Enfin, il conviendra d'indiquer si la signature électronique est obligatoire.

Quels sont les conseils à suivre et les pièges à éviter ?

Pour les entreprises

- Même si l'acheteur ne peut pas l'imposer, mieux vaut privilégier l'utilisation de la plateforme de l'acheteur (dite « profil d'acheteur ») car il n'y a alors aucune obligation de transmettre la procédure de vérification de la signature électronique. A défaut, l'entreprise qui utilise un autre outil de signature doit transmettre gratuitement à l'acheteur tout document permettant de vérifier la validité de sa signature et l'intégrité des pièces fournies. - Il est prudent de procéder à des tests sur le profil acheteur, et de s'assurer des prérequis techniques (navigateur Internet mis à jour, Java installé…).

- Ne pas hésiter à appeler l'acheteur et/ou le prestataire de la plateforme pour un premier accompagnement, et en cas de dysfonctionnement.

Pour l'acheteur

- Il convient de vérifier la date de validité du CSE et l'habilitation de la personne autorisée à signer. L'arrêté du 12 avril 2018 précise les modalités de la procédure de vérification de la signature électronique (articles 5 et 6).

- Il ne faut pas accepter de signature manuscrite scannée, car elle n'est pas considérée comme une signature originale et ne constitue pas à elle seule une preuve de l'existence d'un engagement contractuel en cas de litige (article 1359 du Code civil). La signature d'un fichier zippé n'est pas non plus suffisante si, après vérification par l'acheteur, les documents qu'il contient ne sont pas eux-mêmes signés électroniquement.

- On recommandera d'éviter de recevoir des offres par e-mail, car la sécurité juridique et la traçabilité des procédures de la commande publique ne sont pas garanties.

- Avant d'acheter un CSE, il faut s'assurer en interne que d'autres services (les finances, par exemple) n'en utilisent pas déjà un qui pourrait aussi servir aux contrats de la commande publique.

PHOTO - 14417_870559_k2_k1_2045512.jpg