QES
Une QES, signature électronique qualifiée, est le seul type de signature électronique auquel eIDAS confère le même effet juridique qu'à une signature manuscrite, dans chaque État membre et quel que soit le lieu où elle a été créée.
Deux éléments rendent une signature qualifiée. Elle doit être créée avec un qualified signature creation device, un matériel ou un service distant certifié qui garde la clé de signature hors de portée de tous, y compris du fournisseur, et elle doit reposer sur un certificat qualifié délivré par un prestataire de services de confiance inscrit comme qualifié sur une Trusted List nationale. Une signature à qui il manque l'un des deux reste une preuve valide en tant que signature électronique avancée ou simple, mais un tribunal l'évalue au lieu d'être tenu de l'accepter comme l'article 25 d'eIDAS l'oblige à accepter une QES. Comme le certificat qualifié est vérifié par rapport à une Trusted List publiée par chaque État membre et recoupée au niveau de l'UE, une QES créée dans un pays porte le même poids légal lorsqu'elle est présentée dans un autre, ce qui est la reconnaissance transfrontalière qu'eIDAS a été conçu pour garantir. La plupart des QES aujourd'hui sont créées à distance : le signataire s'authentifie auprès du service de signature cloud d'un prestataire de services de confiance qualifié plutôt que de posséder un matériel de signature dédié, et le fournisseur déclenche la signature sur un appareil qu'il contrôle sous la seule autorisation du signataire. Le document signé lui-même utilise généralement l'un des formats PAdES, XAdES ou CAdES, qui intègrent le certificat et, lorsque la validité à long terme compte, un horodatage afin que la signature puisse encore être vérifiée après l'expiration du certificat. eIDAS 2.0 met la signature qualifiée à la portée des utilisateurs ordinaires en exigeant que le portefeuille EUDI permette à un citoyen de créer une QES gratuitement pour un usage non professionnel, transformant un service auparavant acheté auprès d'un prestataire de services de confiance en une fonctionnalité du portefeuille. Une QES signe un document pour lier une personne à son contenu ; un QEAA atteste au contraire des attributs concernant une personne ou une organisation. Les deux proviennent de prestataires de services de confiance qualifiés, mais ils répondent à des questions différentes et ne sont pas interchangeables.
Termes associés
Une QES créée dans un pays de l'UE doit-elle être revérifiée pour être acceptée dans un autre ?
Non. Une QES repose sur un certificat qualifié vérifié par rapport à la Trusted List de l'État membre émetteur, et les Trusted Lists elles-mêmes sont recoupées au niveau de l'UE, si bien qu'un vérificateur dans un autre État membre peut confirmer le statut du certificat sans processus national séparé. Cette reconnaissance mutuelle, garantie par l'article 25 d'eIDAS, est ce qui rend une QES utilisable au-delà des frontières sans étapes légales supplémentaires.