Comprendre le cadre suisse de la signature électronique

Le cadre suisse de la signature électronique

En Suisse, le cadre repose sur la loi fédérale du 18 mars 2016 sur la signature électronique (SCSE, RS 943.03) et sur l’ordonnance du 23 novembre 2016 sur la signature électronique (OSCSE, RS 943.032). Il distingue trois niveaux : signatures électroniques simple, avancée et qualifiée (bit.admin.ch ; swisssign.com).

La signature électronique qualifiée (SEQ) est assimilée à la signature manuscrite selon l’art. 14, al. 2bis, du Code des obligations (easygov.swiss). Le niveau de signature est donc un élément à considérer au regard de l’effet juridique recherché.

Les services à distance constituent un usage concret du cadre suisse : l’administration fédérale en présente dans son offre du secteur privé. SwissID Sign figure parmi les solutions associées à SwissSign AG dans la liste EasyGov (bit.admin.ch ; easygov.swiss).

SCSE et OSCSE : les bases légales suisses

La SCSE est la loi fédérale du 18 mars 2016 sur la signature électronique (RS 943.03). Elle constitue le fondement légal suisse pour les services de certification liés à la signature électronique (seco.admin.ch).

L’OSCSE, RS 943.032, est l’ordonnance du 23 novembre 2016 sur la signature électronique. L’OFCOM définit les règles techniques et opérationnelles relatives aux services de certification (seco.admin.ch).

Le rôle de l’OFCOM porte sur les règles techniques et opérationnelles applicables aux services de certification. La liste des fournisseurs reconnus est publiée par le SECO (seco.admin.ch ; easygov.swiss).

Parmi les émetteurs reconnus de certificats QES selon la SCSE figurent Swisscom (Suisse) AG, DigiCert Switzerland AG, SwissSign AG et SIGN8 AG. L’OFIT fournit la Swiss Government PKI seulement aux autorités et uniquement avec des certificats de classe A (easygov.swiss).

Les entreprises qui délivrent et gèrent des certificats électroniques qualifiés et réglementés sont vérifiées et reconnues par l’organisme de reconnaissance KPMG (SCESm 0071) en Suisse. KPMG SA est le seul organisme de reconnaissance accrédité en Suisse (seco.admin.ch).

Signature électronique : les niveaux simple, avancé et qualifié

Le cadre distingue trois niveaux : signature électronique simple (SES), avancée (SEA) et qualifiée (SEQ) (bit.admin.ch ; swisssign.com). La signature avancée est donc un niveau à part entière, entre les niveaux simple et qualifié.

L’OSCSE donne une définition de la SES et de la SEA, sans réglementer ces deux niveaux. Pour la SEA, la définition précise que le certificat utilisé est établi au nom de son titulaire, personne qui signe ou organisation qui atteste l’origine du document par un cachet (bit.admin.ch).

Selon SwissSign, la signature électronique simple présente le moins d’exigences en matière de sécurité. La signature qualifiée est présentée comme le niveau le plus élevé (swisssign.com).

Pour une signature qualifiée, SwissSign indique qu’une vérification de l’identité du signataire doit avoir lieu avant la première signature et être réalisée par un prestataire de services de confiance reconnu (swisssign.com). Les modalités concrètes dépendent du service choisi.

Les effets juridiques de la signature qualifiée

La signature qualifiée bénéficie de l’équivalence avec la signature manuscrite prévue par l’art. 14, al. 2bis, du Code des obligations (easygov.swiss). Cet effet juridique permet de distinguer la SEQ des autres niveaux de signature.

Les prestataires de services de certification qui délivrent et gèrent des certificats électroniques qualifiés et réglementés sont vérifiés et reconnus en Suisse (seco.admin.ch). Le certificat qualifié s’inscrit ainsi dans le dispositif de reconnaissance prévu par la SCSE.

La Suisse n’a conclu aucun accord de reconnaissance mutuelle des signatures électroniques avec un pays tiers ou l’Union européenne. En l’absence d’un tel accord, une signature qualifiée fondée sur un certificat qualifié selon un droit étranger n’est pas reconnue comme équivalente à une SEQ suisse; l’inverse vaut aussi pour une SEQ suisse à l’étranger (bakom.admin.ch).

L’OFCOM précise que certains fournisseurs de services de certification reconnus en Suisse peuvent fournir des solutions légalement reconnues dans des pays tiers. Cette possibilité ne constitue pas une équivalence automatique entre les signatures suisses et étrangères (bakom.admin.ch).

Identification et signature à distance

Pour une signature qualifiée, la vérification de l’identité doit intervenir avant la première signature et être effectuée par un prestataire de services de confiance reconnu (swisssign.com). La procédure d’identification est donc un préalable à la délivrance de la signature qualifiée.

Avec Swisscom Sign, une SEQ nécessite une identification unique au moyen d’un document d’identité valable, passeport ou carte d’identité, et est validée via l’application MySwisscom (swisscom.ch). Pour les autres offres reposant sur Signing Service, une validation à deux facteurs approuvée par Swisscom est nécessaire pour les signatures qualifiées; elle peut combiner un mot de passe et un code SMS à usage unique, l’application mobile ID ou une autre procédure (bit.admin.ch).

Prestataires et services de signature électronique en Suisse

L’offre du secteur privé présente notamment Swisscom Signing Service, proposé par Swisscom Trust Services AG, parmi les services de signature à distance des fournisseurs de services de certification reconnus selon la SCSE. Elle cite par ailleurs Skribble AG et DeepCloud SA parmi les solutions de signature juridiquement valables selon la SCSE et eIDAS (bit.admin.ch). Ces exemples montrent que le marché suisse va au-delà de SwissID Sign.

SwissID Sign figure auprès de SwissSign AG dans la liste EasyGov des émetteurs reconnus de certificats QES selon la SCSE (easygov.swiss). Il faut distinguer ces émetteurs reconnus des noms commerciaux des services de signature.

La liste EasyGov présente les émetteurs reconnus de certificats QES selon la SCSE et les solutions de signature qui leur sont associées. Il faut donc distinguer les émetteurs de certificats des noms commerciaux des services de signature (easygov.swiss).

La page fédérale sur l’offre privée cite aussi Glue Software Engineering AG et PrivaSphere SA pour des logiciels locaux de signature juridiquement valable selon la SCSE et le règlement eIDAS (bit.admin.ch). Le nom d’un service de signature ne permet donc pas, à lui seul, de savoir si son fournisseur figure sur la liste officielle des fournisseurs de certification reconnus.

Choisir un niveau de signature électronique

Le choix commence par l’effet juridique recherché : la signature qualifiée est le niveau assimilé à la signature manuscrite selon l’art. 14, al. 2bis, du Code des obligations (easygov.swiss). Pour les autres niveaux, les définitions et les exigences applicables sont à distinguer de cette équivalence légale.

Vérifiez ensuite le niveau proposé par le service et le fournisseur de certification dont il utilise les certificats. La liste des fournisseurs reconnus est publiée par le SECO (easygov.swiss).

La SCSE et l’OSCSE forment le socle légal suisse, tandis que l’OFCOM définit les règles techniques et opérationnelles des services de certification. La liste des fournisseurs reconnus est publiée par le SECO, et KPMG (SCESm 0071) est l’organisme de reconnaissance; KPMG SA est le seul organisme de reconnaissance accrédité en Suisse (seco.admin.ch).

Pour déterminer le type de signature requis pour un acte précis, il est recommandé de s’adresser à un conseiller juridique spécialisé. Les règles de l’OFCOM portent sur les services de certification, et non sur le choix du niveau adapté à chaque acte.