Certificats de signature électronique : catégories de certificats utilisables par le soumissionnaire et l'acheteur public

Guide de bonnes pratiques en matière de marchés publics - NOR: ECEM0928770C (Abrogé, extrait)

2.3.5.Quelle catégorie de certificats de  exiger du soumissionnaire ?

Les catégories de certificats à exiger du soumissionnaire doivent respecter le référentiel intersectoriel de sécurité (23). Au plus tard au 3ème anniversaire de la publication du référentiel général de sécurité (RGS) le 18 mai 2010, ces catégories devront respecter le niveau 2 au moins de ce référentiel. Ces catégories doivent être référencées et figurer sur une liste établie par le ministre chargée de la réforme de l’État (24). Elle est publiée sur le site Internet du ministre chargé de la réforme de l’État, à l’adresse suivante :

http://www.entreprises.minefi.gouv.fr/certificats/.

23 Ce référentiel, établi par la DGME, fixe les règles que doivent respecter les fonctions des systèmes d'information contribuant à la sécurité des informations échangées par voie électronique telles que les fonctions d'identification, de signature électronique, de confidentialité et d'horodatage.

 24 L’arrêté du 28 août 2006 pris en application du I de l’article 48 de l’article 56 du code des marchés publics

Tous les pouvoirs adjudicateurs (État, collectivités territoriales, établissements publics) sont tenus d’accepter toutes les catégories de certificats référencées mentionnées sur cette liste. De tels certificats peuvent également être utilisés par les entreprises pour d'autres télé-services (TéléTV @ ; téléc@rte grise, déclarations sociales …).

La liste des catégories de certificats sera actualisée, à mesure des référencements. Tout prestataire de certification peut faire reconnaître, par le ministre chargé de la réforme de l’État, la conformité de sa catégorie de certificats électroniques au référentiel général de sécurité (RGS).

La délivrance d’un certificat se fait en 2 étapes :

1) le contrôle sur pièces d’un certain nombre de documents relatifs au demandeur ;

2) la remise du certificat, à l’utilisateur final, en face à face, après une vérification de la conformité de l’identité déclarée du demandeur. Il est toutefois possible de désigner un mandataire de certification.

Dans le cas d’une première demande faite par un mandataire de certification ou d’une demande faite par un personnel d’une entreprise n’ayant pas de mandataire de certification, le face à face est réalisé avec l’autorité d’enregistrement de l’autorité de certification.

La plateforme doit accepter toutes les catégories de certificats listées, mais seules pourront être vérifiées celles référencées.

 Pour signer, le soumissionnaire utilise, en principe, un des logiciels de signature proposé par la plateforme de dématérialisation, c'est-à-dire soit :

• un utilitaire de signature hors ligne (s’il est mis à disposition) pour signer un fichier, l’acte d’engagement par exemple, avant le dépôt du pli.
• un utilitaire de signature en ligne lors du dépôt du pli.

2.3.7.Quelle catégorie de certificat de signature électronique peut utiliser l’acheteur public ?

La signature électronique de l’acheteur public n’est actuellement pas réglementée. L’acheteur public est donc libre d’utiliser une catégorie de certificat de son choix.

Il est toutefois recommandé à l’acheteur, soit de faire l’acquisition de certificats dont la catégorie figure sur la liste des certificats référencés, soit d’utiliser une catégorie de certificat, produite en interne, de niveau équivalent.