FAQ
Les fournisseurs reconnus de certificats réglementés et qualifiés doivent se soumettre aux exigences figurant dans la loi (SCSE), l’ordonnance (OSCSE) et les prescriptions techniques et administratives relatives aux services de certification dans le domaine de la signature électronique et des autres applications des certificats numériques.
L’organisme de reconnaissance évalue régulièrement la conformité.
Les fournisseurs d’autres types de certificats numériques ne sont pas tenus de se conformer aux dispositions précitées et ne sont pas surveillés par un organisme indépendant.
Les exigences de la SCSE sont comparables à celles qui figurent dans le règlement eIDAS.
Les prescriptions techniques et administratives de l’OFCOM font référence à des normes européennes reconnues par de nombreux pays européens. Ainsi, des millions de certificats dits «qualifiés» conformes à des critères très similaires ont été émis dans les pays européens.
Toutefois, les certificats qualifiés européens ne sont pas automatiquement reconnus en Suisse. Il en va de même des certificats qualifiés suisses dans l’UE. La reconnaissance mutuelle des signatures électroniques nécessite en effet la conclusion d’accords internationaux. La Suisse n’a pour l’instant conclu aucun accord de ce genre.
Les CSP doivent mettre en œuvre un service d’horodatage (Time Stamping) et fournir des contremarques de temps (Time stamps) aux titulaires de certificats réglementés ou qualifiés qui le demandent.
Les CSP ne peuvent délivrer des certificats réglementés ou qualifiés que s’ils sont reconnus.
Seules les signatures électroniques avec horodatage électronique qualifié au sens de la SCSE et basées sur un certificat qualifié émanant d’un CSP reconnu jouissent d’une valeur juridique équivalente aux signatures manuscrites. De plus, la reconnaissance constitue un label de qualité et de sécurité démontrant la compétence du CSP. S’il s’agit de fournir d’autres types de certificats, la reconnaissance n’est pas nécessaire.
Les CSP intéressés doivent s’adresser à l’unique organisme de reconnaissance:
KPMG SA
Information Risk Management
Badenerstrasse 172
8026 Zurich
Tél. +41 58 249 31 31
www.kpmg.chLorsqu’un CSP étranger a déjà obtenu une reconnaissance de la part d’un organisme de reconnaissance étranger, l’organisme de reconnaissance suisse peut le reconnaître s’il est prouvé que:
- la reconnaissance a été octroyée conformément au droit de l’État en question;
- les règles du droit étranger applicables à l’octroi de la reconnaissance sont équivalentes à celles du droit suisse;
- l’organisme de reconnaissance étranger possède des qualifications équivalentes à celles qui sont exigées d’un organisme de reconnaissance suisse;
- l’organisme de reconnaissance étranger garantit sa collaboration à l’organisme de reconnaissance suisse pour la surveillance du CSP en Suisse.
Aucun CSP étranger ne s’est jusqu’à présent fait reconnaître de cette manière en Suisse. Seuls des CSP suisses ont été reconnus par l’organisme de reconnaissance suisse.
Un CSP étranger peut par ailleurs être automatiquement reconnu en Suisse si un accord international a été conclu entre la Suisse et le pays d’établissement du CSP. La Suisse n’a pour l’instant conclu aucun accord de ce genre.
Un certificat de signature électronique délivré par une autorité de certification (CSP) est un certificat électronique qui associe les données de validation d’une signature électronique à une personne physique et confirme au moins le nom ou le pseudonyme de cette personne. De cette manière, le certificat, qui est généralement associé au document signé, peut être utilisé pour vérifier l’identité du signataire et déterminer si le document a été signé avec la clé privée attribuée au signataire.
En raison des exigences plus strictes de la loi sur la signature électronique (SCSE), les certificats qualifiés pour les signatures électroniques offrent par exemple des garanties plus élevées quant à l’identité du signataire, une plus grande sécurité technique et donc une plus grande sécurité juridique pour les signatures électroniques créées.
Il existe différents types de certificats. Les exigences de la SCSE ne concernent que les CSP qui délivrent des certificats dits «réglementés» et «qualifiés». L’utilisateur d’autres types de certificats (le vérificateur de la signature électronique) est contraint de déterminer si les règles adoptées par le CSP pour délivrer le certificat sont suffisantes. Il ne doit pas uniquement considérer la terminologie désignant le certificat car on ne peut empêcher qu’une même désignation soit utilisée pour divers types de certificats. Ainsi, un certificat dit «avancé» peut être généré selon des critères différents.
- Le titulaire d’un certificat qualifié peut générer des signatures électroniques ayant la même valeur légale que des signatures manuscrites.
- Le titulaire et l’utilisateur d’un certificat réglementé ou qualifié ont l’assurance que le certificat a été élaboré selon des critères de sécurité définis dans la loi et contrôlés régulièrement par un organisme indépendant.
- Les profils des certificats réglementés ou qualifiés sont définis dans les prescriptions techniques et administratives de l’OFCOM et dans les normes internationales référencées.
- L’étendue de la responsabilité du titulaire d’un certificat réglementé ou qualifié a été clairement définie par le législateur à l’art. 59a CO.
- Lorsqu’ils contreviennent à leurs obligations découlant de la loi et des dispositions d’exécution, l’organisme de reconnaissance et le CSP reconnu répondent du dommage causé au titulaire d’un certificat réglementé ou qualifié valable et aux tiers qui se sont fiés à ce certificat.
Zertifikate gemäss Schweizer Gesetzgebung (ZertES) gelten in der Schweiz und aufgrund der dortigen Gesetzgebung auch im Fürstentum Lichtenstein. In der EU sind Schweizer Zertifikate nicht anerkannt. Sie gelten dort nur wie fortgeschrittene Zertifikate.
Selon la SCSE, un cachet électronique est une signature électronique avancée créée au moyen d’un dispositif sécurisé de création de cachet au sens de l’art. 6 SCSE et fondée sur un certificat réglementé se rapportant à une entité IDE au sens de l’art. 3, al. 1, let. c, de la loi fédérale du 18 juin 2010 sur le numéro d’identification des entreprises (LIDE) et valable au moment de la création du cachet électronique.
Les cachets électroniques servent à prouver qu’un document électronique a été délivré par une organisation spécifique, ce qui permet de garantir l’origine et l’intégrité du document.
La demande de délivrance d’un certificat réglementé doit être présentée par une personne habilitée à signer au nom de l’organisation.
Un certificat réglementé ou qualifié délivré par un CSP reconnu contient notamment:
- la mention qu’il est délivré à titre de certificat réglementé ou qualifié;
- le nom du fournisseur qui a délivré le certificat;
- le nom de l’organisme de reconnaissance.
Par ailleurs, le Service d’accréditation suisse publie la liste des CSP reconnus à l’adresse:
La SCSE ne fait que définir les certificats avancés, mais ne les régit pas. Elle ne régit notamment pas la manière dont les titulaires sont identifiés ni la sécurité technique que les certificats avancés doivent présenter lors de leur utilisation. Il existe des certificats avancés de très haute qualité concernant ces deux points, comme le certificat de signature des employés de l’administration fédérale sur leur carte à puce. Mais il existe aussi des certificats avancés pour lesquels l’identité des titulaires n’est pas suffisamment clarifiée et prouvée et qui ne sont délivrés que sous la forme d’un fichier copiable.
Le service d’annuaire n’est pas obligatoire.
Les certificats sont révoqués en cas de décès du titulaire ou de perte ou de vol du support contenant la clé de signature privée (carte à puce), à la demande du titulaire ou de ses ayants droit. ¨
Le CSP conserve les certificats révoqués avec leur date de révocation dans une liste dite de révocation au moins jusqu’à leur expiration ordinaire.
Lors de la signature, le résultat de la requête de la liste de révocation des certificats (Certificate Revocation List, CRL) peut, à des fins de validation à long terme (Long Term Validation, LTV), être intégré dans la signature (capacité LTV). Une signature électronique reste ainsi validable même si la CRL n’est plus accessible ou que le certificat a expiré et qu’une éventuelle révocation ne figure donc plus dans la CRL.
Afin de disposer d’une date et d’une heure précises pour vérifier la révocation lors de la signature et de la validation, un horodatage qualifié doit obligatoirement être joint à la signature, au moins pour les signatures qualifiées, ce qui permet de prouver de manière fiable le moment de la signature et de vérifier si le certificat était encore valable et non révoqué au moment de la signature.
L’horodatage garantit en outre le moment de la signature d’un point de vue juridique. Pour les raisons mentionnées, l’ajout d’un horodatage qualifié est fortement recommandé également pour les signatures avec d’autres certificats.
Le CSP reconnu n’est tenu de se conformer aux règles de la SCSE et n’est surveillé par l’organisme de reconnaissance que dans le cadre de la délivrance de certificats réglementés ou qualifiés.
L’utilisateur doit être conscient que pour d’autres types de certificats les critères de sécurité exigés dans la SCSE et ses dispositions d’exécution ne doivent pas forcément être respectés par le CSP.
Auprès d’un fournisseur ayant obtenu la reconnaissance nécessaire pour la délivrance de ces certificats ou auprès d’un prestataire qui exerce la revente de ces certificats.
Les CSP ont déployé des autorités d’enregistrement dans plusieurs villes et régions. Par ailleurs, des autorités d’enregistrement mobiles peuvent être engagées dans certains cas.
Avant la révision de la SCSE, c’est-à-dire avant 2017, les certificats de haute qualité et leurs clés de signature étaient généralement émis sur une carte à puce spécialement certifiée (appelée dispositif sécurisé de création de signature selon la SCSE).
La SCSE révisée a permis, à partir de 2017, de déposer les certificats avec leur clé de signature privée sur des serveurs de signature centraux spécialement sécurisés et exploités par des CSP reconnus.
Ce faisant, soit des certificats d’une durée de validité de plusieurs années sont générés et déposés avec leur clé de signature, soit un certificat d’une durée de validité de quelques minutes est généré et déposé avec la clé de signature privée correspondante lors de chaque processus de signature.
Les titulaires ou les utilisateurs identifiés et enregistrés par un CSP reconnu se connectent à une application de signature et au serveur de signature via un login, chargent le document à signer et lancent le processus de signature. Lors de ce processus, la valeur de hachage (empreinte digitale numérique du document) est générée, envoyée au serveur de signature et signée à l’aide de la clé de signature privée après saisie d’un code PIN au moyen d’une application ou d’un identifiant mobile. Enfin, la valeur de hachage signée est renvoyée à l’application, insérée dans le document, puis celui-ci est enregistré.
L’émission de certificats et de clés de signature associées sur carte à puce est en forte baisse depuis 2017.
En ce qui concerne les offres du CSP, voir chapitre «Signer - offres du secteur privé » de ce site web.
Les titulaires des certificats qualifiés doivent être des personnes physiques.
Toutefois, un certificat qualifié peut être attribué à une personne physique représentant une personne morale. Dans ce cas, il est possible de mentionner les qualités de cette personne dans le certificat ainsi que le nom de la personne morale.
Les titulaires des certificats réglementés peuvent être des personnes physiques ou des entités IDE. Pour les personnes physiques, il est possible de mentionner un pseudonyme au lieu du nom dans un certificat réglementé ou qualifié.
Les certificats qualifiés ne peuvent être utilisés que pour la signature électronique de personnes physiques. La signature électronique assure l’authenticité et l’intégrité des données. Elle est mise en œuvre pour sécuriser la transmission de données ainsi que pour l’archivage de celles-ci.
Les certificats réglementés peuvent aussi être utilisés pour la signature électronique de personnes physiques. Ils peuvent en outre être utilisés par des entités IDE pour authentifier des données électroniques. Ils servent aussi au chiffrement de données électroniques et à l’authentification de personnes physiques ou d’entités IDE.
La présence du requérant d’un certificat n’est pas requise lors de la génération de ses clés par le CSP.
Le CSP n’est pas tenu de procéder à la lecture de ces informations aux requérants de certificats durant la procédure d’enregistrement.
La signature électronique et le cachet électronique sont des données sous forme électronique qui sont jointes ou liées logiquement à d’autres données sous forme électronique et qui sont utilisées par le signataire pour signer. Dans le cas du cachet, le signataire est une organisation.
Comme son équivalent manuscrit dans le monde hors ligne, une signature électronique peut par exemple être utilisée pour indiquer électroniquement que le signataire a écrit le document, qu'il est d’accord avec son contenu ou qu’il était présent en tant que témoin. Le cachet garantit l’origine et l’intégrité du document.
Une «signature électronique» est un terme juridique, une «signature numérique» est un terme technique. Les deux termes ne se recouvrent pas complètement.
La SCSE définit différents niveaux de signatures électroniques: les signatures électroniques avancées, les signatures électroniques réglementées et les signatures électroniques qualifiées. Les exigences de chaque niveau reprennent les exigences du niveau inférieur, de sorte qu’une signature électronique qualifiée (SEQ) répond aux exigences les plus élevées et une signature électronique avancée aux plus basses.
Seuls les cachets électroniques réglementés (pour les organisations) et les signatures électroniques qualifiées sont régis par la SCSE (règles pour l’identification des titulaires, prescriptions techniques concernant la sécurité).
La SCSE ne fait que définir les signatures électroniques avancées (AdES, SEA), mais ne les régit pas. Une signature électronique avancée est une signature électronique qui remplit les exigences suivantes:
- être liée uniquement au titulaire;
- permettre d’identifier le titulaire;
- être créée par des moyens que le titulaire peut garder sous son contrôle exclusif;
- être liée aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure des données soit détectable.
La technologie la plus couramment utilisée pour répondre à ces exigences repose sur l’utilisation d’une infrastructure à clé publique (ICP), qui implique l’utilisation de certificats et de clés cryptographiques.
Une signature électronique qualifiée (SEQ) est une signature électronique avancée (SEA) qui, en plus:
- est créée par un dispositif de création de signature qualifiée (QSCD), et
- repose sur un certificat qualifié.
La signature qualifiée est équivalente à une signature manuscrite et répond à l'exigence de la forme écrite selon les art. 12 à 14 du code des obligations (CO, RS 220). L’effet juridique et la recevabilité d’une signature électronique qualifiée comme preuve en justice ne peuvent être refusés au seul motif que ce document se présente sous une forme électronique.
Un cachet électronique réglementé doit être créé par un dispositif sécurisé de création de signature (SSCD) et repose sur un certificat réglementé. Il a également une valeur probante accrue.
Même si différents niveaux de signatures électroniques peuvent être appropriés dans différents contextes, seules les signatures électroniques qualifiées sont explicitement reconnues en Suisse comme équivalentes aux signatures manuscrites.
Si la procédure de signature est conforme aux exigences fixées dans la loi, l’ordonnance et les prescriptions techniques et administratives sur les services de certification dans le domaine de la signature électronique, une signature électronique qualifiée peut être élaborée par un processus automatisé.
Le signataire ne doit pas impérativement prendre connaissance des données à signer. Le SSCD utilisé ne doit cependant pas faire obstacle à ce que le signataire ait connaissance des données à signer avant de procéder à la signature.
Il n’est pas nécessaire de fournir les données d’activation à chaque signature. Il est possible d’effectuer une série de signatures en ne fournissant qu’une seule fois les données d’activation.
Il est possible de transcrire les données d’activation. Celles-ci doivent cependant être conservées en lieu sûr et séparément du SSCD.
Des produits certifiés à l’étranger conformes aux exigences mentionnées dans les prescriptions techniques et administratives peuvent être fournis par un CSP suisse si l’organisme étranger ayant procédé à la certification du produit a été accrédité par un organisme d’accréditation signataire de la convention multilatérale (Multilateral Agreement) correspondante de l’EA (European Accreditation).
L’organisme de reconnaissance est chargé de vérifier la certification du produit.
La norme ETSI EN 319 411-2 à laquelle les CSP doivent se conformer selon les prescriptions techniques et administratives de l’OFCOM se réfère au guide ETSI TS 119 312 pour le choix d’algorithmes et de longueurs de clés.
Selon l’art. 14, al. 2bis, CO, seule la signature électronique qualifiée, basée sur un certificat qualifié délivré par un CSP reconnu et munie d’un horodatage qualifié au sens de la SCSE est assimilée à la signature manuscrite. Cependant, peu de transactions requièrent en Suisse une signature électronique qualifiée assimilable à la signature manuscrite (p. ex. crédit à la consommation) puisque le droit suisse des contrats est basé sur le principe de la liberté de la forme. D’autres types de signatures électroniques peuvent donc être utilisés dans des cas qui ne requièrent pas la signature manuscrite par des parties à un contrat qui sont conscientes des limites d’utilisation.
Cependant, les certificats réglementés standardisés fondés sur la SCSE (certificats personnels qualifiés et certificats pour les cachets électroniques de fournisseurs suisses reconnus) sont beaucoup plus fiables que les autres classes de certificats. Il en résulte une plus grande confiance dans les échanges, autant pour les autorités que pour le secteur privé
En utilisant de manière générale les produits d’un CSP reconnu, l’utilisateur a la certitude de la reconnaissance juridique des transactions pour lesquelles la forme écrite est exigée. Il peut en outre démontrer au vérificateur de la signature qu’un certain niveau de sécurité a été mis en œuvre au moment de la signature.
Un horodatage électronique est un fichier sous forme électronique qui lie d’autres données sous forme électronique à un moment précis, prouvant ainsi que ces dernières données existaient à ce moment.
Par exemple, un signataire peut utiliser un horodatage électronique pour lier un document signé à une date et à une heure précise et prouver par la suite que le document signé existait à ce moment.
Conformément à la SCSE, une signature électronique qualifiée doit obligatoirement être munie d’un horodatage. La plupart des applications de signature et des systèmes de signature basés sur serveur ajoutent automatiquement un horodatage qualifié. Ce n’est que pour la signature dans Adobe Acrobat Reader qu’un service d’horodatage doit être configuré manuellement dans les paramètres.
L’ajout d’un horodatage électronique est également nécessaire pour pouvoir vérifier une signature électronique afin de s’assurer que tous les certificats utilisés (toute la chaîne de certificats) étaient valables et non révoqués au moment de la signature.
Conformément à l’art. 9 de l’ordonnance sur la communication électronique dans le cadre de procédures administratives (OCEl-PA), les décisions et les factures à caractère de décision doivent être munies, au choix de l’unité administrative fédérale compétente, d’une signature électronique qualifiée ou d’un cachet électronique réglementé.
La signature de décisions et de factures à caractère de décision avec des certificats avancés, notamment le certificat de signature des collaborateurs de l’administration fédérale sur carte à puce, n’est pas autorisée.
Les signatures avec des certificats avancés peuvent être utilisées lorsque la loi ne prévoit pas d'acte juridique exigeant la forme écrite conformément aux art. 12 à 14 CO. Les signatures avancées peuvent donc être utilisées pour la conclusion de la plupart des contrats, sauf si la loi prévoit expressément la forme écrite.
Lors de l’utilisation de signatures avancées ou de certificats avancés, il faut absolument tenir compte du fait que ceux-ci ne sont en aucun cas régis par la SCSE : ainsi, l’identité du titulaire du certificat utilisé n’est pas assurée, pas plus que sa sécurité technique. La qualité, la fiabilité et donc la valeur probante des signatures avancées sont donc bien moindres que celles des signatures qualifiées. Un tribunal peut être amené à faire réaliser une expertise (coûteuse) si la validité d’une signature avancée est contestée par l’une des parties.
Une telle expertise doit permettre de vérifier si le certificat correspondant a été émis par un organisme de confiance, si et comment l’identité qui y figure a été vérifiée et si la sécurité de la clé de signature privée correspondante ou sa protection contre une utilisation abusive peut être considérée comme garantie.
La plupart des programmes d’affichage PDF sur les smartphones, les tablettes et même ceux intégrés dans les navigateurs web ne peuvent pas afficher les signatures électroniques ni indiquer si un document est signé électroniquement.
Le logiciel original Adobe Acrobat Reader (freeware) permet en revanche d’afficher sans problème les signatures électroniques en détail (signature, horodatage, certificats, chaîne de certificats, etc.) et également de les vérifier.
Lorsqu’une partie doit se fier à un document signé électroniquement, il est important qu’elle puisse vérifier les points suivants concernant le document et les signatures:
- l’intégrité des données signées: l'intégrité signifie que les données signées n'ont pas été modifiées après la signature;
- l’authenticité des données signées: l'authenticité signifie que la signature est soutenue par un certificat qualifié qui identifie le signataire et que seul ce dernier peut créer la signature.
Le processus de validation se déroule de manière simplifiée comme suit:
- la vérification de l’intégrité des données;
- la vérification de la validité du certificat;
- la vérification du statut qualifié du certificat (uniquement pour les signatures qualifiées);
la vérification que la signature a été créée par un dispositif de création de signature électronique qualifié (uniquement pour les signatures électroniques qualifiées).
Les signatures électroniques peuvent être affichées en détail avec certains programmes d’affichage PDF (par ex. avec le logiciel original Adobe Acrobat Reader) et peuvent également être contrôlées techniquement. En fonction du paramétrage de la liste de confiance (si elle est disponible dans le programme d’affichage PDF), soit les certificats valables selon la SCSE et donc les signatures électroniques exécutées avec ces certificats sont représentés comme non valables, soit les certificats étrangers sont représentés comme valables. Les non-spécialistes ont du mal à comprendre pourquoi les signatures électroniques sont présentées comme valables dans un cas et non valables dans un autre.
Afin de permettre aux non-spécialistes de vérifier si le document contient des certificats et des signatures valables selon la SCSE, ou si le document a été signé valablement et si la signature électronique a été munie d’un horodatage, l’administration fédérale a développé un validateur qu’elle met gratuitement à la disposition du public sous www.validator.ch.
Après le processus de validation, le validateur met à disposition des rapports de vérification détaillés à télécharger.
Le validateur vérifie essentiellement les documents qui sont signés de manière qualifiée ou cachetés de manière réglementée. Il vérifie en outre les documents signés avec le certificat de signature avancé des collaborateurs de l’administration fédérale sur leur carte à puce. Les autres signatures avancées ne sont pas vérifiées pour l’instant. Le validateur vérifie également la validité des exemplaires électroniques d’actes notariés suisses.
Ce message peut apparaître pour différentes raisons. Souvent, il s’affiche lorsque des champs du formulaire ont été remplis après qu’une première signature a déjà été apposée. Les annotations n’empêchent pas la signature du document d’être valable ni l’intégrité du PDF d’être garantie, pour autant que les autres points de contrôle soient valides. Le message concernant les annotations est une simple une indication.
Ce message apparaît notamment lorsque le PDF a été sauvegardé en tant que PDF protégé. Ce document ne peut pas être vérifié par le validateur car certaines informations nécessaires ne sont pas accessibles.