Prestataire de services de confiance qualifié (PSCQ)

Que signifie « Prestataire de services de confiance qualifié » ?

Un prestataire de services de confiance qualifié (PSCQ, en anglais QTSP) est un organisme auquel un organe de contrôle national a accordé le statut qualifié au titre du règlement européen eIDAS pour fournir un ou plusieurs services de confiance qualifiés. Ces services comprennent la délivrance de certificats qualifiés de signature et de cachet électroniques, l'horodatage qualifié, la validation et la conservation qualifiées des signatures, ainsi que l'envoi recommandé électronique qualifié. La révision de 2024 a ajouté d'autres services qualifiés, comme l'attestation électronique d'attributs et l'archivage électronique.

Obtenir le statut qualifié est exigeant. Le prestataire doit être audité par un organisme d'évaluation de la conformité accrédité, respecter des exigences strictes en matière de sécurité, de personnel, de responsabilité et de vérification d'identité, et être réaudité au moins tous les 24 mois. Une fois approuvé, il est publié sur la liste de confiance de son pays (en France, celle tenue par l'ANSSI), et l'UE agrège ces listes nationales pour que les logiciels de toute l'Europe puissent vérifier qu'un certificat provient bien d'un PSCQ authentique.

Lorsqu'une personne crée une signature électronique qualifiée, c'est le PSCQ qui a vérifié son identité et délivré le certificat qualifié sur lequel repose la signature. Son rôle ressemble à celui d'une autorité de certification dans une PKI classique, avec en plus une supervision réglementaire et des conséquences juridiques.

Exemple concret : un cabinet d'expertise comptable belge doit faire signer des dépôts légaux par ses associés avec une signature qualifiée. Plutôt que de développer quoi que ce soit, le cabinet contracte avec un PSCQ, dont le parcours d'inscription vérifie l'identité de chaque associé et délivre les certificats qualifiés. Les documents peuvent ensuite être signés soit dans l'outil du PSCQ, soit via une plateforme de signature intégrée à ce prestataire.

Idée reçue fréquente : toute société de signature électronique serait un PSCQ. La plupart ne le sont pas ; beaucoup de plateformes ne proposent que la signature simple, et celles qui proposent la signature qualifiée s'appuient généralement sur un PSCQ distinct. Autre erreur : l'agrément dans un pays limiterait le prestataire à ce pays. Les services qualifiés sont reconnus dans toute l'UE.

Notre avis : si un éditeur annonce des signatures qualifiées, cherchez vous-même le prestataire cité sur la liste de confiance de l'UE. Cela prend une minute et coupe court à beaucoup de discours marketing. Les vrais PSCQ sont faciles à vérifier, et cette transparence est l'une des grandes qualités du système eIDAS.

eSignSimple n'est pas un PSCQ et ne délivre pas de certificats qualifiés. Nous fournissons des signatures électroniques simples, appuyées par une piste d'audit, un certificat de signature et une empreinte SHA-256 du document vérifiable sur notre page /verify.

« Prestataire de services de confiance qualifié » : un exemple concret

Un office notarial français a besoin de certificats qualifiés pour ses collaborateurs. Il choisit un prestataire inscrit sur la liste de confiance nationale française, chaque collaborateur fait vérifier son identité, et le prestataire délivre des certificats hébergés sur un service de signature à distance. Comme le prestataire a le statut qualifié, les signatures ainsi réalisées sont qualifiées dans toute l'UE. eSignSimple n'est prestataire de services de confiance d'aucune sorte.

Quels sont les termes associés ?

• eIDAS: Règlement (UE) n° 910/2014 sur l'identification électronique et les services de confiance, qui encadre la signature électronique dans toute l'Union européenne.
• Signature électronique avancée: Niveau intermédiaire d'eIDAS : signature liée au signataire de manière univoque, qui permet de l'identifier et rend toute modification détectable.
• Signature électronique qualifiée: Le niveau le plus élevé d'eIDAS : signature avancée créée avec un dispositif qualifié et un certificat qualifié, équivalente à une signature manuscrite.
• Infrastructure à clés publiques (PKI): La PKI (infrastructure à clés publiques, ou ICP) est le système d'autorités de certification, de certificats numériques et de paires de clés qui relie des clés publiques à des identités réelles.