Règlement eIDAS
Améliorer la confiance dans les transactions numériques au sein du marché européen.
Qu’est ce que le règlement eIDAS (electronic identification and trust services) ?
Dans un monde tourné vers le digital, la confiance est primordiale pour favoriser les échanges et de nombreuses réglementations voient désormais le jour pour les sécuriser.
Le règlement eIDAS en fait partie. Il a pour ambition d’accroître la confiance dans les transactions électroniques au sein du marché intérieur. Ce règlement s’applique à l’identification électronique, aux services de confiance et aux documents électroniques. Il vise à établir un cadre d’interopérabilité pour les différents systèmes mis en place au sein des États membres afin de promouvoir le développement d’un marché de la confiance numérique.
Le Règlement eIDAS vient remplacer la directive 1999/93/CE dont la portée était limitée à la signature électronique. En vigueur depuis juillet 2016, eIDAS vise à établir un socle commun pour les interactions électroniques sécurisées entre les citoyens, les entreprises et les autorités publiques sur le territoire de l’Union Européenne.
Règlement eIDAS : quels sont les niveaux de sécurité concernant la signature électronique ?
Concernant la signature électronique, le règlement eIDAS uniformise les transactions électroniques en proposant trois niveaux de fiabilité et de garantie :
- La signature électronique simple : elle permet d’authentifier des documents qui présentent un risque évalué comme faible ou moyen (contrat d’assurance, note de frais, souscription à un service…).
- La signature électronique avancée : elle offre le même niveau de fiabilité et de garantie que la signature simple mais permet d’améliorer le niveau de confiance en intégrant une vérification systématique de l’identité du signataire.
- La signature électronique qualifiée : elle permet d’authentifier des documents qui présentent un risque élevé (factures, réponses aux appels de marchés publics, validations d’opérations bancaires…) ou qui font l’objet de transactions règlementées. Le dispositif utilisé pour signer un document à distance doit alors apporter les mêmes garanties que celles existantes lors d’une signature en face à face.
Le règlement eIDAS a également introduit un quatrième type de signature : le « sceau numérique ». Réservé aux personnes morales, il garantit l’origine et l’intégrité des données associées. Pour en savoir plus sur notre service de signature électronique conforme eIDAS, rendez-vous sur Check’nSign.
Règlement eIDAS : quels sont les niveaux de sécurité concernant l’identification ?
Concernant les processus d’identification, eIDAS définit trois niveaux de fiabilité et de garantie :
- Le niveau « faible » : il renvoie à un moyen d’identification électronique qui réduit le risque d’usurpation, mais avec un niveau de confiance limité : un identifiant et un mot de passe suffisent.
- Le niveau « substantiel » : il renvoie à un moyen d’identification électronique qui a pour but d’améliorer la posture aux risques d’altération d’identité. Le signataire doit alors disposer d’un document d’identité émis par un État membre et en avoir démontré sa possession.
- Le niveau « élevé » : il renvoie à un moyen d’identification électronique qui a pour but d’empêcher l’altération d’identité. Ce niveau nécessite alors que la personne soit en possession d’un élément d’identification photographique ou biométrique reconnu par l’État membre dans lequel est déposée la demande relative au moyen d’identité électronique et que cet élément correspond à l’identité alléguée.
Quelles entreprises sont concernées par le règlement eIDAS ?
La réglementation eIDAS concerne principalement les organismes du secteur public et les prestataires de services de confiance établis sur le territoire de l’Union Européenne. Elle permet de contrôler les services proposés par les fournisseurs de services de confiance et de garantir la sécurité des transactions entre usagers, prestataires et autorités administratives.
Si votre entreprise utilise la signature électronique ou une solution de vérification d’identité, alors le règlement eIDAS vous impacte directement. Pour assurer la valeur légale de vos processus KYC (Know Your Customer) ou de signature électronique, vous devez vous assurer que la solution utilisée est conforme aux exigences du règlement eIDAS, en d’autres termes que le prestataire de service de confiance que vous avez retenu dispose de tous les agréments en la matière.
Quelles sont les exigences du règlement eIDAS ?
Le règlement eIDAS formule des obligations à l’encontre de l’ensemble des prestataires de services de confiance ou Autorités de Certification, qu’ils soient qualifiés ou non. En particulier, ces derniers doivent, sous peine de sanctions fixées par les Etats membres, respecter les points suivants :
- Respecter le traitement de données à caractère personnel (abrogée par le Règlement Général sur la Protection des Données)
- Rendre accessible aux personnes handicapées, dans la mesure du possible, leurs services de confiance ainsi que les produits servant à fournir ces services
- Prendre les mesures techniques et organisationnelles adéquates pour gérer les risques liés à la sécurité des services qu’ils fournissent
- Notifier à l’organe de contrôle (et, lorsque l’atteinte est susceptible de lui porter préjudice, la personne physique ou morale concernée) toute atteinte à la sécurité ou toute perte d’intégrité ayant une incidence importante sur le service de confiance fourni ou sur les données à caractère personnel qui y sont conservées.
Les prestataires de services de confiance sont responsables des dommages causés intentionnellement ou par négligence à toute personne physique ou morale en raison d’un manquement à leurs obligations.
Comment nos services sont-ils en conformité avec le règlement eIDAS ?
ARIADNEXT est reconnu comme prestataire de services de confiance conformément à l’article 3 du règlement eiDAS. La conformité de nos services est donc régulièrement évaluée par un organisme reconnu par l’ANSSI et les certifications obtenues sont disponibles publiquement.
Nos solutions de signature électronique Check’nSign sont entièrement conformes avec la régulation eIDAS au niveau LCP (ETSI EN 319 411-1).
Enfin, nos solutions de vérification d’identité automatisées IDCheck.io sont en cours d’évaluation par les services de l’ANSSI pour un niveau de garantie substantielle.