Signature électronique en entreprise : les 4 niveaux
La signature électronique remplace le stylo sur un devis, un contrat de travail ou un bon de commande, à condition de choisir le bon niveau. Le règlement européen eIDAS en distingue quatre, du plus léger au plus contraignant, et seul le dernier équivaut juridiquement à une signature manuscrite.
Ce que dit le droit français
Deux articles du Code civil encadrent la question, et leur lecture évite bien des malentendus au moment d’un litige.
Force probante de l’écrit électronique
L’article 1366 du Code civil pose le principe : l’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions garantissant son intégrité.
Deux conditions, donc. L’identification du signataire, et l’intégrité du document dans la durée. Un fichier stocké sans horodatage ni scellement ne coche ni l’une ni l’autre.
L’article 1367 précise ensuite le rôle de la signature : elle identifie son auteur et manifeste son consentement aux obligations qui découlent de l’acte. La signature électronique est donc d’abord un mécanisme de preuve, pas une commodité de mise en page.
Ce qu’une signature scannée ne vaut pas
Coller l’image de votre paraphe dans un PDF ne produit aucun de ces effets. France Num, le portail de la Direction générale des entreprises, le formule sans détour : les signatures manuscrites scannées ont une valeur juridique limitée, faute de garantir l’intégrité des données signées et l’identité du signataire.
Le fichier reste modifiable, l’image se copie d’un document à l’autre, et rien ne relie le geste à une personne vérifiée. En cas de contestation, la charge de la preuve retombe entièrement sur vous.
Les quatre niveaux du règlement eIDAS
Standard européen depuis le 1er juillet 2016, le règlement eIDAS a harmonisé les règles applicables aux signatures dans toute l’Union européenne. Il définit quatre degrés de fiabilité croissante.
Niveau 1 : la signature simple
Elle se contente d’un consentement exprimé en ligne, souvent par une case à cocher ou un code reçu par SMS. Rapide à déployer, cette signature simple convient aux documents à faible enjeu : accusés de réception, chartes internes, validations de commande courante.
Niveau 2 : la signature avancée
Elle lie la signature au signataire de manière univoque et permet de détecter toute modification ultérieure du document. Le tiers de confiance authentifie la personne par ses identifiants avant l’apposition. C’est le niveau eIDAS le plus répandu dans les échanges commerciaux courants.
Niveau 3 : l’avancée sur certificat qualifié
Ce degré ajoute une vérification préalable de l’identité, portée par un certificat qualifié délivré par une autorité de certification, en présentiel ou à distance selon des conditions strictes. Le certificat délivré répond aux exigences du règlement eIDAS.
Niveau 4 : la signature qualifiée
La signature qualifiée reste la plus robuste sur les plans technique et juridique. France Num rappelle un point décisif : selon le règlement eIDAS, seul ce niveau bénéficie de la même valeur que la signature manuscrite. Le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique en fixe les modalités en droit français.
Choisir le niveau avant de choisir l’outil
L’ordre compte. Beaucoup de PME sélectionnent une plateforme, puis découvrent après coup que le niveau proposé ne couvre pas leur besoin réel.
France Num conseille de réaliser une analyse des risques de litige pour estimer le niveau nécessaire. La logique est claire : en cas de contestation, plus le niveau de fiabilité est élevé, plus il devient difficile de contester la validité de l’acte signé et les engagements qu’il contient.
Posez trois questions par type de document. Quel montant engage-t-il ? Quelle est la probabilité réelle d’un désaccord ? Une réglementation impose-t-elle déjà un niveau minimal ? La commande publique, par exemple, exige au minimum une signature avancée reposant sur un certificat qualifié, soit le niveau 3.
L’Agence nationale de la sécurité des systèmes d’information publie de son côté un guide de sélection du niveau des signatures et des cachets électroniques, utile pour arbitrer sur des dossiers sensibles.
Mettre en place la signature électronique dans une PME
Le déploiement tient en trois chantiers, réalisables sans compétence technique particulière.
Cartographier les documents à signer
Listez ce qui circule aujourd’hui : devis, bons de commande, contrats de travail, avenants, procès-verbaux, autorisations diverses. Notez pour chacun le volume mensuel, le montant engagé et la contrainte réglementaire éventuelle. Ce tableau détermine à lui seul le niveau et le volume d’abonnement dont vous avez besoin.
L’exercice ressemble à celui de l’automatisation des tâches en entreprise : commencez par les documents à fort volume et faible enjeu, gardez les dossiers sensibles pour un second temps.
Vérifier le prestataire sur la liste européenne
La Commission européenne met à disposition la liste des prestataires de services de confiance qualifiés au sens du règlement eIDAS. Un prestataire délivrant un certificat qualifié, en France ou dans un autre État membre, y figure obligatoirement.
Cette vérification prend cinq minutes et élimine les offres qui annoncent une conformité sans la démontrer. Elle relève de la même hygiène que le contrôle des accès décrit dans nos fondamentaux de cybersécurité en entreprise.
Cadrer les usages en interne
Décidez qui signe quoi, et jusqu’à quel montant. Une délégation de signature écrite évite qu’un commercial engage la société au-delà de son périmètre. Ce cadre trouve naturellement sa place dans votre charte informatique d’entreprise, aux côtés des règles d’usage des outils.
Pensez aussi à la conservation : les documents signés doivent rester accessibles et intacts pendant toute la durée de prescription applicable, ce qui suppose un archivage distinct de la boîte mail du signataire.
Signer un PDF sans l’imprimer : la mécanique
La question revient constamment, et la réponse dépend du niveau visé. Pour une signature de niveau 1 ou 2, le circuit est identique chez la plupart des prestataires.
Vous déposez le document sur la plateforme du tiers de confiance, vous désignez les signataires par leur adresse électronique, chacun reçoit une invitation et s’authentifie avec ses identifiants, parfois complétés d’un code à usage unique. Le fichier signé revient scellé, accompagné d’un dossier de preuve horodaté.
Pour les niveaux 3 et 4, une étape s’ajoute en amont : la vérification d’identité auprès de l’autorité de certification, avec délivrance d’un certificat personnel. Prévoyez ce délai avant une échéance de marché public.
Un point d’organisation compte plus qu’il n’y paraît : utilisez des adresses professionnelles nominatives pour les invitations, jamais une boîte générique partagée. Notre article sur la messagerie professionnelle en entreprise détaille pourquoi cette distinction protège la valeur probante du dossier.
Ce qui fait varier la facture
Les grilles tarifaires reposent sur trois variables : le nombre de signatures mensuelles, le niveau eIDAS retenu et le nombre d’utilisateurs habilités à lancer un parapheur.
Les offres d’entrée de gamme couvrent quelques signatures de niveau simple par mois, parfois gratuitement, ce qui suffit à tester le circuit sur un type de document. Le coût grimpe dès que vous montez en niveau, parce que la vérification d’identité et la délivrance de certificats mobilisent une autorité de certification.
L’adoption progresse d’ailleurs vite. Selon le Baromètre France Num 2024, 36 % des TPE et PME interrogées utilisent une solution de signature électronique, avec un écart marqué selon la taille : 34 % chez les TPE, contre 59 % dans les entreprises de plus de 50 salariés.
Les erreurs qui fragilisent un contrat signé en ligne
Quatre pièges reviennent régulièrement dans les dossiers contestés.
Le premier consiste à choisir un niveau inférieur à l’enjeu, par souci d’économie, sur un contrat qui engage plusieurs dizaines de milliers d’euros. Le second tient à la conservation : un fichier signé rangé dans un dossier partagé sans contrôle d’accès perd la force probante que l’article 1366 exige.
Le troisième concerne l’identité du signataire côté client. Faire signer par une adresse générique de type contact, sans savoir qui se trouve derrière, affaiblit tout le dossier de preuve. Le quatrième relève de la sécurité des comptes : un accès à la plateforme de signature protégé par un mot de passe faible annule la chaîne de confiance, d’où l’intérêt d’un gestionnaire de mots de passe adapté.
Prochaine étape : reprenez la liste de vos documents contractuels, attribuez à chacun un niveau eIDAS cible, et testez le circuit complet sur le type de document le plus fréquent avant de généraliser.