Les points clés à retenir pour choisir un prestataire d'horodatage qualifié
- Qualification eIDAS : vérifier que le service d'horodatage figure sur une liste officielle de confiance européenne et que sa qualification est active.
- Garanties techniques : demander la politique d'horodatage et vérifier les normes, mécanismes cryptographiques et conditions de synchronisation temporelle.
- Continuité du service : examiner les engagements de disponibilité, les délais de réponse et les procédures de gestion des incidents.
- Confidentialité : identifier les données effectivement transmises, les informations conservées et les mesures de sécurité appliquées.
- Pérennité des preuves : s'assurer que les jetons d'horodatage peuvent être conservés et vérifiés indépendamment du prestataire, y compris après plusieurs années.
- Conditions commerciales : comparer les clauses de responsabilité, de réversibilité, les modalités de support et le coût global du service.
1. Comment vérifier qu'un prestataire est réellement qualifié eIDAS ?
La première vérification porte sur le statut réglementaire du fournisseur et, plus précisément, sur la qualification du service proposé.
L'article 41 du règlement européen eIDAS prévoit qu'un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure indiquées ainsi que d'intégrité des données concernées. Cette présomption facilite l'administration de la preuve en cas de contestation.
Pour bénéficier de ces garanties, il faut s'assurer que le service utilisé est effectivement qualifié. Le statut de prestataire de services de confiance qualifié (PSCo) ne signifie pas que l'ensemble des prestations commercialisées par cette entreprise bénéficie de la qualification.
Où contrôler la qualification du service ?
En France, l'ANSSI publie la liste nationale de confiance. La Commission européenne met également à disposition un outil de consultation des listes de confiance.
Il permet de rechercher un fournisseur et de vérifier le type de service qualifié ainsi que son statut.
Le point à vérifier : la qualification doit correspondre précisément au service d'horodatage envisagé, et être valide au moment de son utilisation.
2. Quels documents techniques demander avant de choisir ?
Un prestataire d'horodatage qualifié doit pouvoir documenter les conditions dans lesquelles son service est délivré.
La politique d'horodatage constitue à cet égard un document de référence. Elle précise notamment les règles applicables à la production des jetons d'horodatage et les conditions de fonctionnement du service. Il convient également d'examiner la déclaration des pratiques du prestataire ainsi que les référentiels techniques auxquels il se conforme.
Parmi les éléments à contrôler figurent le protocole RFC 3161, la conformité aux normes européennes applicables, les algorithmes cryptographiques utilisés et les modalités de synchronisation avec le temps universel coordonné (UTC). Ces informations permettent de déterminer si les garanties proposées correspondent aux contraintes de l'entreprise, notamment lorsqu'elle doit produire des preuves lors d'un audit, d'un contrôle réglementaire ou d'une procédure judiciaire.
Le point à vérifier : le prestataire doit pouvoir communiquer une documentation technique à jour et expliquer les conditions dans lesquelles les jetons sont produits et vérifiés.
3. Comment évaluer la fiabilité et la continuité du service ?
Pour une entreprise qui utilise l'horodatage dans ses processus métier, une interruption du service peut avoir des conséquences immédiates : impossibilité de dater certaines opérations, retard dans la production documentaire ou rupture dans la traçabilité d'un processus.
La fiabilité opérationnelle doit donc faire l'objet d'une évaluation distincte de la qualification réglementaire. Il est recommandé d'examiner les engagements contractuels de disponibilité, généralement formalisés dans un SLA (Service Level Agreement). Ce document doit notamment préciser les engagements de disponibilité du service, les modalités de traitement des incidents et les éventuelles compensations contractuelles.
Une attention particulière doit être portée aux procédures de continuité et de reprise d'activité.
Le point à vérifier : le fournisseur peut-il maintenir le service en cas de défaillance technique ? Quels délais de rétablissement s'engage-t-il à respecter ?
Pour les entreprises qui génèrent de nombreux horodatages, les performances et la capacité de traitement devront également être testées avant la mise en production.
4. Quelles garanties exiger pour la confidentialité des données ?
L'horodatage peut porter sur des informations sensibles : contrats commerciaux, dossiers de propriété intellectuelle, documents financiers ou données personnelles. Il convient donc de déterminer précisément quelles informations sont transmises au prestataire.
Le protocole RFC 3161 permet notamment de transmettre une empreinte cryptographique du document, sans communiquer son contenu. Cette méthode limite l'exposition des informations confidentielles.
Toutefois, les conditions de traitement des métadonnées, des journaux techniques et des informations relatives aux utilisateurs doivent également être examinées. L'entreprise doit vérifier les mesures de sécurité appliquées, les durées de conservation des informations et, lorsque des données personnelles sont traitées, les garanties prévues au titre du RGPD.
Le point à vérifier : la documentation contractuelle doit permettre d'identifier les données collectées, leur finalité, leur durée de conservation et les éventuels sous-traitants impliqués.
5. Comment s'assurer que les preuves resteront vérifiables dans le temps ?
La durée d'exploitation d'une preuve peut largement dépasser celle du contrat conclu avec le prestataire.
Un jeton d'horodatage associé à un contrat, à un document de propriété intellectuelle ou à une opération financière peut devoir être produit plusieurs années après son émission. Il est donc nécessaire d'anticiper les conditions de sa vérification à long terme.
Le prestataire doit permettre de récupérer les jetons dans un format exploitable, avec les informations nécessaires au contrôle de leur validité. La vérification repose notamment sur l'intégrité de l'empreinte cryptographique, la validité de la signature ou du cachet associé au jeton et les éléments permettant d'établir le statut du service au moment de l'émission. L'évolution des algorithmes cryptographiques doit également être prise en compte dans la stratégie de conservation.
Le point à vérifier : l'entreprise pourra-t-elle vérifier ses preuves indépendamment du fournisseur, y compris après une résiliation du contrat ou une cessation d'activité ?
Cette question doit être traitée dès le choix du prestataire, particulièrement lorsque les documents sont soumis à de longues durées de conservation.
6. Quelles clauses contractuelles examiner avant de s'engager ?
La qualification réglementaire encadre la fourniture du service, mais les engagements contractuels méritent une analyse spécifique.
La direction juridique doit notamment examiner les clauses relatives à la responsabilité du prestataire, aux interruptions de service, à la notification des incidents et aux conditions de résiliation. Les modalités de réversibilité sont particulièrement importantes. L'entreprise doit conserver la possibilité de récupérer ses preuves et de changer de fournisseur sans compromettre leur exploitation.
Il convient également de vérifier les engagements relatifs au support technique, aux délais de traitement des demandes et aux évolutions du service. La répartition des responsabilités doit être clairement établie, notamment lorsque l'horodatage est intégré dans une application développée ou exploitée par l'entreprise cliente.
Le point à vérifier : le contrat doit définir précisément les obligations du prestataire, les limites de sa responsabilité et les conditions de restitution des données en fin de relation commerciale.
7. Comment comparer les prix des prestataires d'horodatage qualifié ?
Les prestataires peuvent proposer différents modèles de tarification : facturation au jeton, forfaits annuels, crédits prépayés ou tarification dégressive selon les volumes.
Le prix unitaire ne constitue toutefois pas un indicateur suffisant pour comparer les offres. Une entreprise qui souhaite horodater ponctuellement quelques documents n'aura pas les mêmes besoins qu'un éditeur de logiciels intégrant automatiquement l'horodatage dans plusieurs milliers de transactions quotidiennes.
La comparaison doit intégrer les éventuels frais d'intégration, les volumes minimums, les coûts de support, les fonctionnalités de vérification et les modalités de renouvellement du contrat. Pour un usage automatisé, la disponibilité d'une API d'horodatage, d'une documentation claire et d'un environnement de test peut également avoir une incidence sur les coûts de déploiement.
Le point à vérifier : demander une simulation tarifaire correspondant aux volumes réellement envisagés, en intégrant les frais récurrents et les prestations complémentaires.
Les questions à poser à un prestataire d'horodatage qualifié avant de signer
Pour faciliter la comparaison entre plusieurs offres, les principaux critères peuvent être regroupés dans une grille d'évaluation.
| Critère | Question à poser | Justificatif attendu |
|---|---|---|
| Qualification eIDAS | Le service proposé est-il actuellement qualifié ? | Inscription dans la Trusted List |
| Conformité technique | Quelles normes et politiques encadrent la production des jetons ? | Politique d'horodatage et documentation technique |
| Disponibilité | Quels sont vos engagements de disponibilité et de rétablissement ? | SLA et plan de continuité |
| Confidentialité | Quelles données traitez-vous et conservez-vous ? | Politique de sécurité et clauses de protection des données |
| Vérification des preuves | Les jetons peuvent-ils être vérifiés indépendamment de votre service ? | Documentation de vérification |
| Réversibilité | Quelles sont les conditions de restitution et de résiliation ? | Clauses contractuelles |
| Tarification | Quel est le coût total pour les volumes prévus ? | Proposition commerciale détaillée |
Ce tableau peut servir de base à une consultation de fournisseurs ou à une procédure de sélection menée conjointement par les directions juridique, technique et achats.
Choisir un prestataire d'horodatage : une décision juridique et opérationnelle
Le choix d'un prestataire d'horodatage qualifié ne doit pas reposer uniquement sur le prix ou sur la présence d'une qualification eIDAS.
La fiabilité du service, la confidentialité des informations, les possibilités de vérification des preuves et les engagements contractuels déterminent également sa pertinence pour l'entreprise.
Une évaluation documentée permet de sélectionner un fournisseur dont les garanties correspondent aux exigences du système d'information et aux finalités probatoires recherchées.
En tant que prestataire de services de confiance qualifié, Evidency propose un service d'horodatage électronique qualifié eIDAS, accessible par API et conçu pour être intégré directement dans les processus documentaires des entreprises. Nous mettons également à disposition un environnement sandbox gratuit, pour tester nos solutions avant l’intégration en production.
Clause de non-responsabilité
Les opinions, présentations, chiffres et estimations présentés sur le site Web, y compris dans le blog, sont uniquement destinés à des fins d’information et ne doivent pas être considérés comme des conseils juridiques. Pour obtenir un avis juridique, vous devez contacter un professionnel du droit dans votre juridiction.
L’utilisation du contenu de ce site Web, y compris du blog, à des fins commerciales, y compris la revente, est interdite, sauf autorisation préalable de Evidency. La demande d’autorisation doit préciser le but et l’étendue de la reproduction. À des fins non commerciales, tout le matériel de cette publication peut être cité ou réimprimé librement, mais une reconnaissance est requise, ainsi qu’un lien vers ce site Web.
