Tout savoir sur le certificat et la signature électroniques

Transcription

1 Tout savoir sur le certificat et la signature électroniques

2 Introduction Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures. Contexte Le certificat électronique Qu est ce qu un certificat? Qu est ce qu un certificat électronique? Que contient un certificat électronique? Qui délivre le certificat électronique? Comment se procurer un certificat électronique? A quoi sert un certificat électronique? Combien existe-t-il de catégorie de certificat électronique? Quelle forme choisir pour le certificat électronique? Comment vérifier un certificat électronique? Comment faire confiance au certificat électronique? La signature électronique Qu est ce qu une signature électronique? A quoi sert une signature électronique? Que signifie authentification de tout document signé électroniquement? Que signifie confidentialité et intégrité des données contenues dans un document signé électroniquement? Que signifie la non-répudiation d un document signé électroniquement? Le certificat et la signature électroniques Quels sont les usages du certificat et de la signature électroniques? Qui doit demander le (ou les) certificat(s) électronique(s)? A qui appartient le certificat et le dispositif de création de signature? Et la sécurité, c est quoi? Les recommandations MÉDÉ Sommaire Les autorités de certification Glossaire Version mai 2007 Ce document sera régulièrement mis à jour et s appuiera sur l expertise de CertiNomis, Autorité de Certification du Groupe La Poste et partenaire MÉDÉ. Les informations qui sont publiées dans ce document peuvent évoluer en fonction des réglementations en cours et à venir, ainsi que des tarifs donnés à titre indicatif. 1

3 Depuis le 01 janvier 2005, pour signer les réponses dématérialisées aux appels d'offres publics, les entreprises doivent acheter un certificat électronique et se procurer un outil de signature. Par ailleurs, depuis le 01 janvier 2007, obligation est faite aux entreprises réalisant plus de euros de chiffre d affaires de télédéclarer et télérégler la TVA (avec la procédure TéléTVA) 1. Se faire remettre un certificat électronique Cela semble d une simplicité biblique. On s imagine déjà aller dans un bureau de poste ou au supermarché et repartir avec... On comprend bien toutefois qu il s agit d une sorte de réplique du courrier recommandé avec AR, à la différence que celui-ci doit être réutilisable et adressé directement depuis son PC personnel ou professionnel. Le principe est donc séduisant. Toute entreprise qui souhaite éviter la paperasserie, gagner du temps, simplifier ses déclarations fiscales, sociales et pourquoi pas, envoyer ses réponses aux appels d offres par voie numérique, ne peut qu approuver une telle initiative. Mais dans la réalité, qu en est-il? Ce certificat électronique est-il simple à obtenir, voire à installer? Coûte-t-il cher? A quoi sert-il? Qui peut délivrer de tels certificats? Doit-on en avoir plusieurs? A-t-il une durée de vie limitée et doit-il être renouvelé? Est-ce obligatoire de posséder un certificat électronique ou fait-il déjà partie des outils informatiques du quotidien, aujourd hui indispensables et demain rangés au rayon des souvenirs, évacués dans le cimetière des bonnes intentions? Autant de questions auxquelles nombre d entreprises sont à ce jour incapables de répondre tant la confusion est grande entre les différentes solutions proposées sur le marché. MÉDÉ a donc édité ce Livre Blanc pour tenter d éclairer les responsables sur leurs choix et décisions futures. Mais une chose est sûre. A terme (très court terme), toute entreprise qui souhaitera sécuriser ses échanges (factures, devis, courriers, liasses fiscales ou sociales, appels d offres publics ) devra, à un moment ou à un autre, adosser ses échanges numériques à un procédé de certification de ses documents. Introduction 1 Un communiqué de presse du MINEFI daté du 16 janvier 2007 reporte l obligation de télédéclarer et télérégler la TVA par Internet à la fin du mois d août 2007 pour les entreprises qui ne disposent pas d un certificat électronique. A cette date, pour les entreprises qui le souhaitent, l administration fiscale mettra à leur disposition un certificat gratuit. Attention : ce certificat gratuit ne pourra être utilisé que pour accéder à TéléTVA. Il ne sera pas autorisé pour effectuer les autres télédéclarations. 1

4 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures La signature électronique vous apporte une solution au problème de sécurité que pose potentiellement tout transfert d informations par Internet. L'avènement de l'économie numérique et son corollaire sur le développement des échanges dématérialisés nécessitent l'instauration de la confiance entre les différents acteurs en relation. La difficulté sera toujours de pouvoir s'assurer que celui avec qui l'on traite (l'émetteur d'un message) est bien celui qu'il dit être, puisque par construction, sur l'internet n'importe qui peut s'adresser à n importe qui, sans même qu il soit nécessaire de vérifier si l auteur d un document est bien celui qu il prétend être. Une démarche d une grande simplicité et efficacité mais redoutable lorsque la responsabilité d un tiers concerné est en cause! Poursuivant un triple objectif de modernisation des services, de simplification des démarches administratives et de recherche d une plus grande efficacité, l'etat a entamé la modernisation de son administration et engagé des processus de dématérialisation des procédures administratives. Le Contexte 2 Très tôt le Ministère de l Économie, des Finances et de l Industrie a décidé la dématérialisation des déclarations de la TVA et d échanges de biens faites par les entreprises, en offrant la possibilité à celles qui souhaitaient en bénéficier, de les transmettre sous forme électronique, via Internet. Le MINEFI a également engagé l'ouverture de nouveaux services dématérialisés à destination des particuliers (notamment, dans un premier temps, avec la télédéclaration de l impôt sur le revenu, Télé-IR). La sphère sociale a, elle aussi, engagé cette démarche de modernisation et de dématérialisation, notamment au travers du portail Net Entreprises du Groupement d Intérêt Public de Modernisation des Déclarations Sociales (GIP MDS) afin de simplifier la transmission des déclarations sociales des entreprises. Ces deux grands acteurs que sont les sphères fiscales et sociales ont donc dû appréhender la problématique de sécurisation des échanges, sécurisation nécessaire pour établir la confiance. Le certificat et la signature électroniques apportent une solution au problème de sécurité que pose potentiellement tout transfert d informations par Internet. Les usagers des services dématérialisés ont ainsi la liberté d utiliser des certificats électroniques acquis auprès d autorités de certification (fournisseurs de certificats) de leur choix, sous réserve que ces certificats répondent aux normes et standards du marché, aux besoins de l entreprise et soient émis dans des conditions de fiabilité et de sécurité recevables par l administration. L'utilisation de ces outils, certificat et signature, nécessite d'en bien comprendre les conséquences afin d'engager sa responsabilité de façon consciente et opportune.

5 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Qu est-ce qu un certificat? Selon le dictionnaire : c est un écrit officiel ou dûment signé d une personne compétente, qui atteste un fait. Qu est-ce qu un certificat électronique? Un certificat est un document sous forme électronique qui a pour but d authentifier l identité de la personne signataire : c est la carte d identité du monde électronique. Autrement dit, c est un écrit : il s agit ici d un fichier qui contient pour l essentiel le nom du porteur ainsi que des informations de gestion, officiel ou dûment signé d une personne compétente : une organisation émettrice (personne compétente) qui vend des certificats référencés, qui atteste un fait : le contenu du fichier est bien celui qu il doit être et ce contenu appartient à la personne qui le revendique. Le certificat électronique est un élément permettant de vérifier une signature électronique. Il doit être délivré par une autorité de certification. Le certificat électronique Que contient un certificat électronique? C est un petit fichier divisé en deux parties : La partie contenant les informations, La partie contenant la signature de l'autorité de certification. Les informations généralement contenues dans le certificat électronique sont les suivantes : le nom du porteur, la date de début de validité du certificat, la date de fin de validité du certificat, l organisation (si nécessaire) à laquelle appartient le porteur, l adresse où trouver les listes de certificats révoqués (LCR), le nom de l entreprise de confiance, c est-à-dire de l autorité de certification, qui a émis ce certificat électronique, la signature de cette autorité de certification sur ce certificat, éventuellement la photographie du porteur ou du logo de l entreprise, etc Le certificat électronique est la carte d identité du monde électronique. Il permet de générer des signatures électroniques. 3

6 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Qui délivre le certificat électronique? L autorité de certification produit des certificats électroniques, environnement sécurisé de bout en bout. Une autorité de certification (AC) est un organisme reconnu comme étant compétent pour délivrer des certificats à une population auprès de laquelle elle a toute confiance et en assurer la validité. Elle s'engage sur l'identité d'une personne au travers du certificat électronique qu'elle lui remet. Une autorité de certification est responsable (vis-à-vis de ses clients, mais aussi de toute personne se fiant à un certificat électronique qu'elle a émis) de l'ensemble du processus de certification et, par voie de conséquence, de la validité des certificats qu'elle émet. Par ailleurs, c est elle qui définit la politique de certification et la fait appliquer. Autant dire que son rôle et ses responsabilités sont importantes. Une autorité de certification s'organise autour de trois fonctions fondamentales : fonction d'organisation : traitement des demandes de certificats, contrôles des informations, validation ou rejet des demandes, révocation des certificats, fonction technique : responsable de la production des certificats électroniques, environnement sécurisé de bout en bout, fonction de distribution des certificats. Comment se procurer un certificat électronique? Auprès d une des 14 autorités de certification référencées par le Ministère de l Economie, des Finances et de l Industrie : Les autorités de certification nationales non bancaires Elles sont trois à avoir un réseau qui couvre la France : - Certinomis (filiale de La Poste) : bureaux de poste, - Chambre de Commerce et d Industrie : 110 bureaux d enregistrement, - Infogreffe : 170 Greffes des Tribunaux de Commerce. Les autorités de certification nationales bancaires Vous avez le choix entre 14 autorités de certification agréées 12 d entre elles délivrent des certificats électroniques 10 offrent une couverture nationale et 2 sont locales 7 sont des autorités bancaires 4 Les principales banques ont une offre de certificats pour leurs clients disponibles dans leurs agences commerciales : - BNP Paribas - Click & Trust : Groupe Banque Populaire et Bred - Crédit Agricole - HSBC France - LCL Le Crédit Lyonnais - NATIXIS - SG Trust Services : Société Générale et Groupe Crédit du Nord

7 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Les autorités de certification locales Ces autorités n ont pas de réseau de correspondants : - Azzarius : PME située à Belfort, - Greffe du Tribunal de Commerce de Paris : ce certificat est réservé aux représentants légaux (ou à leur mandataire) des entreprises immatriculées dans le ressort du Greffe du Tribunal de Commerce de Paris. Les opérateurs de certification Pour information, ces autorités ne commercialisent pas en direct des certificats pour les téléprocédures mais elles sont les opérateurs techniques des autorités de certification. - Atos - Certeurope Il en existe un troisième, non cité sur le site du MINEFI. Il s agit de la société Keynectis. En clair, cela signifie qu ils ne concernent pas directement les entreprises. C est néanmoins important car celui qui fabrique le certificat électronique, ne le délivre pas. C est ainsi qu est créée la chaîne de confiance. Le certificat électronique A quoi sert un certificat électronique? Le certificat permet avec un outil de signature électronique de réaliser sur Internet des transactions à forte valeur ajoutée car elles assurent la nonrépudiation d'un acte électronique. C'est aussi grâce au certificat électronique que les internautes peuvent dès aujourd'hui communiquer en toute confidentialité des informations sensibles. La dématérialisation nécessite la signature, l authentification et le chiffrement. Un certificat électronique est basé sur 2 fonctions principales : Authentification (je sais qui vous êtes) Chiffrement (je rends illisibles mes documents qui restent donc confidentiels) Les trois usages requièrent l utilisation d un certificat. 5

8 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Combien existe-t-il de catégorie de certificat électronique? Il existe principalement 3 classes de certificat en fonction des modes de délivrance : Pour répondre électroniquement aux appels d offres publics, vous devez posséder un certificat de niveau 3. La signature électronique utilisant un certificat de niveau 3 garantit des documents dématérialisés opposables aux tiers en vertu des lois et décrets sur la signature électronique. niveau 1 : sans contrôle de pièce justificative, il est délivré sur la base de la déclaration du client (Ex. : le certificat utilisé pour la déclaration de revenu), niveau 2 : contrôle à distance sur remise de justificatif, niveau 3 : contrôle en face à face du client. C est celui qui est accepté dans le cadre des téléprocédures administratives. Plus la classe est élevée, plus le lien entre le certificat électronique et la personne physique est certain. Quelle forme choisir pour le certificat électronique? Il existe 2 solutions différentes : - La solution logicielle : le certificat est téléchargé et stocké sur le disque dur de l ordinateur. Ce n'est pas la solution la plus sécurisée car le certificat peut être copié ou supprimé par une personne mal intentionnée. Le certificat logiciel est donc fortement déconseillé. - La solution matérielle avec 2 formes différentes : Le certificat sur clé USB : la clé se connecte directement sur le port USB du PC. 6 Par contre, sur PC station, si le port USB est à l arrière de votre machine, vous aurez des difficultés à connecter votre clé USB à chaque utilisation. Si le port USB est en face avant, vous risquez de casser la clé USB qui dépasse de votre poste. De plus, ce n est pas un support personnalisable. Le certificat sur carte à puce : un lecteur de cartes est nécessaire. Sur un ordinateur portable, il est souvent inclus, par contre sur PC station, il faudra s en procurer un. La carte à puce est personnalisée au nom du bénéficiaire et de l organisme auquel il est rattaché. Ce qui est très utile lorsque vous êtes plusieurs à posséder des certificats électroniques au sein de votre entreprise ou si vous êtes porteur de plusieurs certificats, pour le compte de plusieurs entités. Parce que le certificat est logé sur carte à puce ou sur clé USB, il vous apporte un niveau de sécurité plus élevé que le certificat logiciel et répond à vos besoins de souplesse et de mobilité : La solution logicielle pouvant être copiée, ce n est donc pas la solution la plus sûre. Sur clé USB avec un ordinateur portable, pratique si vous vous déplacez souvent! Utile sur carte à puce personnalisée si vous êtes plusieurs dans l entreprise à posséder des certificats électroniques. Plus sûr sur clé USB ou cartes à puce, car les données de création de signature ne peuvent pas être copiées.

9 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures - votre certificat et les éléments secrets associés sont stockés sur une puce (carte ou clé), hors de votre poste de travail ; - ils sont protégés par un code confidentiel connu de vous seul (et personnalisable) ; - ils vous accompagnent sur vos différents lieux de travail. Comment vérifier un certificat électronique? Trois éléments, au moins, du certificat doivent systématiquement être vérifiés : - la validité, - la révocation, - l usage. La validité L outil de signature vérifie automatiquement la validité temporelle du certificat et donne un avertissement dans le cas où la date de validité du certificat aurait expiré. Le certificat électronique La révocation Deuxième élément à vérifier : le certificat est-il toujours utilisable? Il faut s assurer qu il n a pas été révoqué. Cette révocation peut intervenir à la demande : - du porteur du certificat : en cas de perte du code secret, du vol ou de la destruction du support du certificat et que vous ne possédez pas de copie de sauvegarde (cas d'un certificat logiciel) ; - de l autorité de certification : en cas de non-paiement du certificat par le porteur ; Attention : Au moindre risque de compromission, en cas de perte, de vol ou de suspicion de fraude, vous devez impérativement procéder à la révocation de votre certificat auprès de votre autorité de certification comme vous le faites avec votre carte bancaire. - de l entreprise qui a acheté un certificat pour l un de ses collaborateurs en cas de départ de celui-ci. La révocation peut intervenir à tout moment. Il faut donc vérifier le certificat à chaque utilisation. L utilisateur peut télécharger la liste des certificats révoqués publiée par l autorité de certification émettrice du certificat ou demander à l outil de signature de le vérifier automatiquement. 7

10 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures L usage Les autorités de certification sont très vigilantes sur le point de savoir si les conditions d usage des certificats sont bien respectées. Lorsque vous recevez un document signé électroniquement, pensez toujours à vérifier qu il est effectivement valide à la date à laquelle il est utilisé et pour l usage qui en est fait. Celles-ci font toujours l objet d une publication sur le site de ces organisations. Ces conditions sont appelées Politiques de certification et elles sont identifiées. Comment faire confiance au certificat électronique? En réalité, c est à l autorité de certification (AC) qui a émis le certificat que l on fait confiance. Une autorité de certification est une entreprise qui garantit : - l identité de la personne, cette garantie peut être plus ou moins grande selon le niveau du certificat (et donc le coût) ; - l usage du certificat par une personne qui en est la seule et unique propriétaire. Le certificat concrétise cette garantie. La signature électronique Qu est-ce qu une signature électronique? Une signature manuscrite consiste à apposer une marque personnelle sur un document papier. Elle exprime la volonté du signataire et son accord par rapport au contenu du document : son consentement. Transposée dans le monde électronique, cette signature a la même valeur légale que la signature manuscrite. L'outil de signature électronique tout aussi indispensable que le certificat électronique peut être téléchargé gratuitement depuis Internet et enregistré sur disque dur. Attention, selon le niveau de votre certificat, votre signature électronique a une valeur juridique différente et donc des usages différents. La signature électronique est formée de trois composantes : Le document porteur de la signature, La signature elle-même, Le certificat électronique authentifiant le signataire. Il existe aujourd hui, en droit français, 2 types de signature électronique : 8 La signature électronique effectuée avec un certificat de niveau 1 : elle permet de contrôler l intégrité du document mais pas l identité du signataire, La signature électronique sécurisée effectuée avec un certificat de niveau 2 et/ou 3 : elle permet de contrôler l intégrité du document et d assurer l identification forte du signataire.

11 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures A quoi sert une signature électronique? Tout comme les signatures manuscrites, les signatures électroniques sont utilisées pour identifier les auteurs/co-signataires d'un ou d'autres données électroniques. Les signatures électroniques sont créées et vérifiées grâce aux certificats électroniques. A l'heure actuelle, la communauté internationale se réfère à une législation qui reconnaît une valeur légale aux signatures électroniques, leur donnant la même valeur que les signatures manuscrites. Les signatures électroniques offrent des fonctions telles que : authentification, confidentialité, intégrité des données, non-répudiation. Que signifie "authentification" de tout document signé électroniquement? L'authentification est la vérification de l'identité d'une personne (ou d'un hôte : serveur et client). Cela garantit l'identité de la personne qui a signé les données : l'origine du message, du document ou de la transaction est incontestable. Que signifie "confidentialité" et "intégrité" des données contenues dans un document signé électroniquement? La signature électronique protège l'intégrité des données. Cela signifie que le document reçu n'a pas été altéré, volontairement ou involontairement. Dans le cas contraire, le document est signalé comme ayant été modifié. Que signifie la "non-répudiation" d'un document signé électroniquement? L'auteur (la personne qui signe) d'un document prouve son identité. La non-répudiation établit, plus tard, qui a participé à une transaction. L'expéditeur ne peut nier avoir envoyé le message et le destinataire ne peut nier l'avoir reçu. Simplement, la non-répudiation signifie qu'une information ne peut être rejetée, tout comme avec les signatures manuscrites. 9

12 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Quels sont les usages du certificat et de la signature électroniques? Les usages personnels - La déclaration de revenu. Le portail fiscal propose de créer gratuitement son espace abonné pour bénéficier simplement et en toute sécurité des services en ligne. A partir de son espace abonné, il est possible de : consulter son compte fiscal (impôt sur le revenu, taxe d habitation et taxes foncières, paiements ), déclarer ses revenus, payer ses impôts, personnaliser son agenda fiscal et sélectionner ses informations utiles. Chaque espace abonné est sécurisé grâce à un certificat électronique. Gratuit et valable 3 ans, il est automatiquement délivré lors de l abonnement et s installe sur le disque dur de l ordinateur. Ce qui signifie que ce certificat ne peut pas être utilisé pour des usages professionnels 2 car il n est pas délivré en face à face. Il ne permet pas de vérifier l identité du signataire de façon certaine. C est un certificat de niveau 1. Le certificat et la signature électroniques Les usages professionnels La dématérialisation des factures, devis, bons de commandes, contrats. La dématérialisation des fiches de paye. La dématérialisation des courriers. Déclaration de douane. Déclarations sociales. Un certificat électronique de niveau 3 est requis. Télé TVA : Ce service permet l'envoi et le règlement des déclarations de la TVA par voie électronique. Cette procédure est obligatoire sous peine de pénalités pour toute entreprise dont le chiffre d'affaires est supérieur à euros depuis le 1 er janvier Seuls les entrepreneurs individuels sont autorisés à utiliser leur certificat électronique individuel délivré par l'administration pour la sphère professionnelle. 3 Article 116 de la loi de finances pour 2006 n du 30 décembre 2005.

13 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Cette téléprocédure est accessible à toutes les entreprises assujetties à la TVA quel que soit le régime (réel, simplifié ou normal). Attention : Afin de s'adapter au besoin de chacun, TéléTVA propose deux modes de transmission distincts : L'EFI (Echange de Formulaires Informatisé) est accessible sur Internet. L entreprise saisit elle-même les déclarations et, le cas échéant, les paiements en ligne. Pour déclarer la TVA en mode EFI, il est obligatoire d acquérir un certificat électronique. En EDI (Echange de Données Informatisé) : c'est un prestataire (le partenaire EDI), tel que par exemple l expert comptable, qui transmet à la DGI les données de TVA pour le compte de l entreprise. Tout professionnel disposant de l'équipement nécessaire peut devenir partenaire EDI. La déclaration et le paiement sont envoyés sous la forme d'un fichier respectant la norme technique EDIFACT. Cette solution ne nécessite pas de certificat électronique. Le compte fiscal : Avec le compte fiscal en ligne, l entreprise consulte ses déclarations, suit ses paiements, ses créances et ses remboursements de crédits de TVA, déclare sa TVA, paye en ligne ses impôts... Elle dispose d'un service complet qui lui permet à tout moment de suivre sa situation fiscale et d'effectuer ses démarches à distance 24h/24 et 7j/7. Le compte fiscal est un service gratuit. DUCS-EDI (Déclaration Unifiée des Cotisations Sociales) : Les Urssaf permettent de déclarer et de régler les cotisations sociales par . Cette possibilité est offerte aux entreprises équipées d'un logiciel de paie agréé pour produire des fichiers de télédéclarations et de télépaiements et d un certificat électronique. Pour chaque envoi, un compte-rendu d'enregistrement est envoyé par retour. Téléc@rtegrise : Ce service permet la réalisation par Internet de certaines opérations relatives à l'immatriculation des véhicules, comme les déclarations d'achat ou de cession, les demandes d'immatriculation de cyclomoteurs et, depuis juillet 2006, les déclarations de prise en charge et de destruction pour les véhicules hors d'usage. 11

14 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures a vocation à s'adresser spécifiquement aux professionnels ne disposant pas d'infrastructure informatique lourde : importateurs, vendeurs de véhicules, garagistes, démolisseurs, broyeurs Ces professionnels, sous réserve de disposer d'une authentification forte, peuvent ainsi transmettre des données au fichier national des immatriculations des véhicules, géré par le Ministère de l'intérieur. Attention : Le service Téléc@rtegrise nécessite l'utilisation de certificats électroniques, sur support matériel uniquement : carte à puce ou clé USB. Marchés publics Depuis le 1er janvier 2005, le Code des Marchés Publics permet aux entités publiques de diffuser leurs appels d offres sous forme électronique et de recevoir, de la part des entreprises, des réponses également sous cette forme. Pour gérer ces appels d offres et réponses électroniques tout en respectant les procédures de passation des marchés, les entités publiques mettent en œuvre des plates-formes de dématérialisation. Les acheteurs publics avec lesquels l entreprise travaille lui communiqueront les modalités de connexion aux plates-formes qu ils utilisent. Le certificat et la signature Dans la plupart des cas, ces plates-formes permettent : - la publication des avis d appels d offres, - la publication des dossiers de consultation, - la réponse aux appels d offres, - le dépouillement des réponses, - la publication des avis d attribution. Le Code des Marchés Publics prévoit qu une réponse dématérialisée à un appel d offres public, doit être signée électroniquement par une personne habilitée à engager l entreprise soumissionnaire. Pour répondre aux marchés publics, les certificats sur carte à puce ou sur clé USB sont recommandés. Pour répondre aux appels d offres publics, les certificats sur carte à puce ou sur clé USB sont recommandés. Facture dématérialisée Depuis juillet 2003, l administration autorise la transmission des factures par voie électronique : bons de commandes, factures, contrats, baux commerciaux, devis, notifications Ainsi les documents peuvent être dématérialisés et envoyés par aux clients, fournisseurs, partenaires Signé électroniquement avec un certificat, chaque document a une vraie valeur probante et est opposable au tiers. 12

15 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Sécuriser les mails Si vous échangez quotidiennement par mail avec vos clients, fournisseurs, partenaires et collaborateurs, vous pouvez utiliser un certificat électronique afin d assurer la sécurité de vos échanges, garantir votre identité à vos destinataires et renforcer l image de votre entreprise. Net-Entreprises : Ce service s adresse aux entreprises et à leurs mandataires (expertscomptables, centres et associations de gestion agréés ) pour leur permettre d'effectuer leurs déclarations sociales par Internet. Il est gratuit et facultatif. Chaque entreprise peut l'utiliser pour y effectuer les déclarations de son choix : 11 types de déclarations sociales sont disponibles. Le régime général : Déclaration automatisée des données sociales unifiées (DADS-U). Déclaration unifiée de cotisations sociales Urssaf, Assédic, retraite complémentaire, prévoyance, caisses Congés Intempéries BTP (DUCS). Déclaration unique d'embauche (DUE). Attestation de salaire pour le versement des indemnités journalières. Attestation Assédic et autres services disponibles sur l'espace personnalisé Assédic. Contribution sociale de solidarité des sociétés et contribution additionnelle - Organic (CSSS). Déclaration d arrêt de travail et demande de remboursement intempéries (net-intempéries BTP). Les professions indépendantes : Déclaration commune des revenus (DCR.) Le régime agricole : Déclaration unique d'embauche pour les salariés agricoles (DUE-MSA). Déclaration de salaires pour les employeurs de main d'œuvre agricole (DS-MSA). Modification de contrat des salariés agricoles (MDC-MSA). Déclaration d'accident du travail MSA (DAT-MSA). Titre emploi simplifié agricole (TESA). Attestation Assédic et autres services disponibles sur l'espace personnalisé Assédic. 13

16 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Prochainement, seront également mises en ligne : Déclaration d'accident du travail pour le régime général (DAT). Taxe d'aide au commerce et à l'artisanat (TACA). Certaines déclarations proposent le télérèglement comme mode de paiement sécurisé : En une seule connexion, net-entreprises.fr permet de déclarer et d'effectuer le règlement du DUCS ou du CSSS en toute sérénité. Risques d'oubli ou de retard de paiement sont ainsi évités. Le principe est simple : c'est la transmission à une banque d'un ordre de paiement pour un organisme désigné. Un nouvel ordre est donné pour chaque règlement, qui déclenche un prélèvement à l'échéance. Le télérèglement n'est donc pas un transfert d'argent par Internet ; net-entreprises.fr n'est pas un guichet de paiement. Banque en ligne De plus en plus de banques proposent des services en ligne à leurs entreprises clientes. Celles-ci peuvent accéder à leurs comptes via Internet, faire des virements et prélèvements, commander des chéquiers, passer des ordres de vente ou d'achat de titres, etc Simples d'utilisation et proposés au grand public comme aux professionnels, ces téléservices entrent progressivement dans les mœurs : 34,6 % des internautes français y ont déjà eu recours. Un chiffre encourageant, même s'il est loin des 54 % atteints en Suède, 14 champion européen de la banque en ligne. Les tarifs proposés par ces banques sont encore mal connus des usagers (certains proposent des forfaits, d autres un tarif de base intégrant un certain nombre d enregistrements, la palette est des plus variées). Qui doit demander le ou les certificat(s) électronique(s)? Le certificat doit être demandé par le représentant légal de l'entreprise ou la personne dûment mandatée pour la représenter et habilitée à signer les actes déclaratifs et les paiements. A défaut, un mandat devra être remis à l'autorité de certification. Bien entendu, l'entreprise doit demander autant de certificats que de personnes pouvant être amenées à établir les télédéclarations et les télépaiements. A qui appartient le certificat et le dispositif de création de signature? Le certificat électronique est personnel, tout prêt est interdit. Le certificat est une carte d identité électronique strictement personnelle et incessible.

17 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Les données de création de signature, pour être utilisées convenablement, sont toujours associées à un code personnel, souvent appelé code PIN (Personal Identification Number). Ceci permet de procéder non seulement à l identification (je dis qui je suis) mais aussi à l authentification (je suis qui je dis que je suis) car je suis le seul à connaître le code. On voit par-là que la signature, qui est placée sous le contrôle exclusif du titulaire, ne peut être «prêtée» occasionnellement lors de congés ou d absences à un secrétariat, un collaborateur ou un collègue. Si plusieurs collaborateurs ont besoin d'utiliser une application Internet qui requiert l'usage de certificats, chacun d'entre eux doit être équipé de son propre certificat électronique. Transmettre son "certificat" à quelqu'un en fait, autoriser une autre personne à signer électroniquement en révélant son mot de passe ou son code confidentiel revient à lui donner tous pouvoirs pour signer n'importe quel document à sa place. C'est aussi engager sa responsabilité vis-à-vis du document signé ou de la transaction conclue. Le certificat et la signature Une solution : la délégation En réalité dans la majorité des cas, la question posée est celle de la gestion du temps : on prête ou on confie sa signature lorsqu il n y a pas eu de délégation faite parce qu on est pris de court. En réalité ce genre de chose est à proscrire. La délégation (momentanée ou permanente, limitée ou générale, etc.) n est pas vraiment utilisée sauf dans des circonstances majeures - éloignement permanent, volumétrie excessive - car elle doit être anticipée. Le certificat électronique étant strictement personnel, il est vivement recommandé d avoir 2 certificats : l un appartenant au dirigeant de l entreprise, l autre à un collaborateur de son choix. Concernant les téléprocédures, la délégation peut se faire au niveau des applications : Ex. : pour TéléTV@, le responsable de la société désignera un collaborateur, titulaire d un certificat référencé par le MINEFI, habilité à effectuer et signer pour le compte de la société, les déclarations de TVA et les paiements. Cette délégation s'effectue à partir du serveur TéléTV@. Ce qui est donc essentiel c est de définir à l avance les règles d usage et d en assurer leur publication. Ceci facilite les pratiques et crée le climat de confiance nécessaire aux progrès de la dématérialisation. 15

18 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Et la sécurité, c est quoi? La cryptographie est l'art de transformer des informations lisibles (texte) en informations que seules les personnes autorisées peuvent lire. Au cours de ce processus, l'information est codée (chiffrée) de façon à ce que seul le destinataire puisse lire ou altérer le message. Il peut être intercepté, mais n'est intelligible que pour la personne qui est capable de le décoder (déchiffrer). Le chiffrement et le déchiffrement nécessitent une formule mathématique (ou algorithme) pour convertir les données lisibles en un format codé et une clé. Une clé est un nombre unique, combiné avec du texte pour produire un message chiffré ou une signature électronique. Le potentiel des services offerts aux entreprises par Internet est de plus en plus important. Depuis les opérations bancaires à distance jusqu'aux services d'abonnement et aux transactions en ligne, la sécurité reste une préoccupation majeure. Le contrôle de l'accès par des mots de passe n'est plus d'actualité. Contrôler l'accès en combinant l'utilisation du mot de passe et celle d'une entité possédée, le certificat électronique, est beaucoup plus sûr. De plus en plus de sociétés qui proposent des services sur Internet prennent conscience de cette réalité et exigent de leurs clients qu'ils utilisent des certificats électroniques. Quoi qu'il en soit, les consommateurs ne sont pas les seuls à avoir besoin de certificats, ils sont également nécessaires aux serveurs utilisés pour le commerce via Internet. Grâce à la vérification de l'identité effectuée par l'autorité de certification avant la délivrance, la présence d'un certificat électronique valide atteste de l'intégrité d'un commerce, permettant au client d'être sûr qu'il a affaire à un commerce reconnu. 16

19 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Les recommandations MÉDÉ Puisque tout ceci est normé, d où viennent alors les confusions? Bien que tout ceci semble (apparemment) très clair, on peut alors se poser la question de savoir pourquoi à ce jour, tant d entreprises ne disposent pas encore d un certificat électronique. En bref : De deux choses l une, ou l entreprise n y comprend rien, et dans ce cas elle ne se hasarde pas à obtenir un certificat et un outil de signature dont elle ne connaît ni les avantages ni même l utilité, ou bien elle en dispose, et alors elle ne peut que faire état des obstacles nombreux auxquels elle s est trouvée confrontée pour s en doter. Dans ces conditions, toutes ou presque ont un souvenir cuisant pour arriver, après moult difficultés, à l utiliser normalement. Et pour certaines, le parcours n est pas encore tout à fait terminé! Notons toutefois que pour celles qui en disposent, après les difficultés d initialisation d un certificat, que celui-ci est parfaitement intégré à la gestion des télédéclarations. Le certificat et la signature Pour les appels d offres, c est une autre histoire et bien peu se sont hasardées à tenter l expérience. Mais pour ce qui est des télédéclarations, le certificat fait partie des outils de l entreprise au même titre qu une clé USB normale ou un fax. Il ne vient plus à personne l idée d en parler ou reparler. Haro sur les idées reçues! Le prix ne semble pas être un critère discriminant Contrairement à nombre d idées qui circulent à ce sujet, aucune des entreprises interviewées ne nous a confiés qu elle avait été rebutée par le prix d obtention ou de renouvellement d un certificat électronique. Cette remarque est bien sûr à pondérer en fonction de la taille de l entreprise, mais il semble à l évidence que le prix n est pas le principal frein à son usage quotidien. Qu on se le dise! Par contre, comme toute entreprise de bâtiment qui se respecte et qui a les pieds sur terre, à partir du moment où elle n en voit ni les avantages, ni l utilité, il ne sera pas surprenant de constater le rejet d un tel outil. Et contrairement à certaines valeurs en cours, à l ADSL, au haut débit, le certificat qui n apporte à son possesseur aucune valeur ajoutée ni statut, on comprend qu il soit totalement ignoré par tous ceux qui n en ont pas saisi l usage. 17

20 Principales caractéristiques des certificats et des signatures électroniques utilisables pour les téléprocédures Les freins et contraintes (identifiés) à la vulgarisation de la signature électronique Si le prix n est pas un frein mais si le service offert reste à expliciter, il n en demeure pas moins qu il existe un certain nombre de freins rédhibitoires qui, à terme, peuvent faire tache d huile et en compromettre gravement la diffusion (surtout si celui-ci n est plus obligatoire). Selon nos entretiens avec les entreprises pilotes, il semble que les obstacles tiennent davantage aux difficultés que rencontre l entreprise dans les démarches préalables à l obtention d un certificat. Qu il s agisse d organismes spécialisés, de banques, des centres d appels spécialisés, de Centres des Impôts, tous semblent ne pas être à la hauteur des enjeux. Le certificat électronique est l élément de confiance nécessaire aux échanges dématérialisés de l entreprise : Cet élément que je vais lier à tous mes messages ou contrats, devis, factures, réponses aux appels d offre attestera que j en suis l auteur à la date mentionnée et que ce sont bien des originaux. Aujourd hui, le développement de l e-administration, des procédures dématérialisées et plus généralement des services en ligne, demain l utilisation d outils collaboratifs et la gestion des plans rendent indispensables l utilisation du certificat et de la signature électroniques. Le certificat et la signature 18