Signature électronique en entreprise : quel niveau choisir

La signature électronique engage une entreprise aussi sûrement qu’un paraphe manuscrit, à trois conditions : identifier le signataire, garantir l’intégrité du document, conserver la preuve. Le règlement européen eIDAS distingue trois niveaux. Le bon réflexe consiste à choisir ce niveau document par document, jamais une fois pour toutes.

L’usage a cessé d’être marginal. Le baromètre France Num 2025, publié en septembre 2025 par la Direction générale des Entreprises auprès de 11 021 entreprises dont 7 978 micro-entreprises, relève que 69 % des TPE et PME disposent d’un logiciel de facturation, proportion qui monte à 86 % chez les PME. La signature suit le mouvement de la facture : elle quitte le papier parce que le circuit amont est déjà numérique.

Ce que le droit français reconnaît, et à quelles conditions

Deux articles du Code civil portent tout l’édifice. L’article 1366 accorde à l’écrit électronique la même force probante qu’à l’écrit papier, dès lors que son auteur est dûment identifié et que le document est établi puis conservé dans des conditions qui garantissent son intégrité. L’article 1367 précise que la signature identifie son auteur et manifeste son consentement aux obligations qui découlent de l’acte.

Le second alinéa de ce même article 1367 introduit la nuance décisive. La fiabilité du procédé est présumée, jusqu’à preuve contraire, lorsque la signature est créée dans des conditions fixées par décret en Conseil d’État. Ce décret existe : le décret n° 2017-1416 du 28 septembre 2017 renvoie à la signature électronique qualifiée au sens du règlement eIDAS. Traduction pratique, une seule catégorie de signature renverse la charge de la preuve.

Le règlement européen n° 910/2014 du 23 juillet 2014, applicable depuis juillet 2016, ajoute deux règles. Son article 25 interdit de refuser à une signature électronique tout effet juridique au seul motif qu’elle se présente sous forme électronique. Le même article confère à la signature qualifiée un effet juridique équivalent à celui d’une signature manuscrite dans l’ensemble de l’Union européenne.

Une signature simple reste donc recevable devant un tribunal. Sauf qu’en cas de contestation, c’est vous qui devrez démontrer la fiabilité du procédé, journaux de connexion et parcours de signature à l’appui. Avec une signature qualifiée, la démonstration incombe à celui qui conteste. Tout le calcul de niveau tient dans cet écart.

Les trois niveaux de signature électronique, et ce qui les sépare

Certains éditeurs annoncent quatre types de signature. Le décompte vient d’un usage commercial qui isole la signature avancée reposant sur un certificat qualifié, catégorie intermédiaire très demandée en France depuis la réforme des marchés publics. Le règlement eIDAS, lui, n’en définit que trois.

La signature simple

Case cochée, tracé au doigt, code à usage unique reçu par courriel ou par message : le procédé recueille un consentement sans vérifier l’identité du signataire au-delà de son adresse ou de son numéro de téléphone. Sa solidité dépend entièrement du faisceau d’indices conservé autour de l’acte. Elle convient aux engagements répétitifs de faible enjeu, où le risque de contentieux reste théorique.

La signature avancée

Le règlement lui impose quatre caractéristiques : lien univoque avec le signataire, identification de ce signataire, création à partir de données qu’il garde sous son contrôle exclusif, détection de toute modification ultérieure du document. Le prestataire vérifie l’identité par une pièce officielle, souvent contrôlée automatiquement, puis délivre un certificat pour la session. Ce niveau couvre la majorité des contrats commerciaux du quotidien.

La signature qualifiée

Elle repose sur un certificat qualifié délivré par un prestataire de services de confiance qualifié, associé à un dispositif de création de signature lui aussi qualifié. La vérification d’identité y est renforcée. Seul ce niveau bénéficie de la présomption de fiabilité et de l’équivalence avec la signature manuscrite. Le certificat est lié à la personne physique qui l’utilise, pas à une fonction : un dirigeant peut donc signer au nom de plusieurs entités avec le même certificat, sauf restriction posée par son prestataire.

Quel niveau retenir selon le document à signer

Le choix se joue sur deux critères : ce qu’un texte impose, et ce que vous risquez si l’acte est contesté. La première question se tranche par la lecture d’une réglementation, la seconde par un arbitrage interne assumé.

Trois familles d’actes relèvent d’une obligation écrite quelque part :

• Les contrats de la commande publique, soumis à l’arrêté du 22 mars 2019 : signature avancée reposant sur un certificat qualifié, dans un format XAdES, CAdES ou PAdES au sens de la décision d’exécution européenne 2015/1506
• Les formalités déposées sur le guichet unique des formalités des entreprises, dont les exigences d’identification varient selon la nature de la démarche, création d’un côté, modification et cessation de l’autre
• Les actes qu’un texte sectoriel soumet expressément à un niveau donné, fréquent dans les activités régulées

Pour tout le reste, classez par enjeu. Un bon de commande récurrent de quelques centaines d’euros n’appelle pas le dispositif d’un pacte d’associés. La grille utile tient en trois lignes :

• Enjeu faible, relation établie, contestation improbable : signature simple avec horodatage et trace de connexion
• Enjeu courant, contrat cadre, contrat de travail, bail dérogatoire : signature avancée
• Enjeu élevé, engagement pluriannuel, cession, acte à forte probabilité de contentieux : signature qualifiée

Cette hiérarchisation prolonge le raisonnement mené pour la dématérialisation de vos documents, en descendant d’un cran : le niveau ne se décide plus par flux documentaire, mais par type d’acte, avec un responsable nommé pour trancher les cas limites.

Les actes qui échappent encore à la voie électronique

L’article 1174 du Code civil ouvre la forme électronique à tout contrat pour lequel un écrit est exigé, sous réserve des conditions des articles 1366 et 1367. L’article 1175 y pose deux exceptions, maintenues parce que le législateur a jugé le papier plus protecteur pour des engagements d’une gravité particulière :

• Les actes sous seing privé relatifs au droit de la famille et aux successions, sauf les conventions contresignées par avocats en présence des parties et déposées au rang des minutes d’un notaire dans le cadre du divorce par consentement mutuel
• Les actes sous seing privé relatifs à des sûretés personnelles ou réelles, civiles ou commerciales, sauf lorsqu’ils sont souscrits par une personne pour les besoins de sa profession

La seconde exception concerne directement les dirigeants. Une sûreté souscrite pour les besoins de la profession accepte la forme électronique, un engagement de même nature pris à titre purement privé la refuse. La frontière se discute au cas par cas, et tant que le doute subsiste, la signature manuscrite reste le choix prudent.

Autre point : l’acte authentique obéit à son propre régime, distinct de celui de l’acte sous seing privé. Une entreprise qui cède un immeuble ne dématérialise pas la vente elle-même, elle dématérialise la préparation du dossier qui y conduit.

Mettre en place la signature électronique sans casser vos circuits

Un déploiement échoue rarement pour des raisons techniques. Il échoue parce que personne n’a décidé qui signe quoi, ni où atterrit le fichier une fois signé. La séquence qui tient en PME se déroule dans cet ordre :

• Recenser les actes signés chaque mois, avec leur volume, leur enjeu financier et leur signataire habituel
• Affecter un niveau eIDAS à chaque famille d’actes, par écrit, en nommant la personne qui arbitre les exceptions
• Vérifier les délégations de pouvoir : un salarié qui signe sans mandat écrit fragilise l’acte autant qu’une signature absente
• Tester le parcours sur un seul flux pendant un mois, en gardant le circuit papier en secours
• Brancher l’outil sur l’existant, gestion commerciale ou espace client, plutôt que de créer un dépôt parallèle
• Écrire la procédure de conservation avant la première signature, jamais après

L’intégration commande l’adoption. Une solution qui oblige à ressaisir le client dans un troisième logiciel sera contournée dès la deuxième semaine. Le sujet rejoint celui de l’automatisation des processus : la valeur naît du chaînage complet, devis puis signature puis facture puis archivage, pas de la brique prise isolément.

Le dossier de preuve, pièce maîtresse et grande oubliée

Le fichier signé ne suffit pas. Ce qui tient devant un juge, c’est l’ensemble formé par le document, le certificat, le jeton d’horodatage et le journal du parcours : mentions affichées, adresses de connexion, codes envoyés, heure de chaque étape. Les prestataires appellent cet ensemble le dossier de preuve. Sa durée de conservation doit couvrir toute la période pendant laquelle l’acte peut être contesté.

Deux repères servent de plancher. La prescription de droit commun court cinq ans, selon l’article 2224 du Code civil. Les pièces comptables et justificatifs se conservent dix ans, en vertu de l’article L123-22 du Code de commerce. Un abonnement résilié n’efface aucune de ces obligations : examinez la clause de réversibilité avant de signer avec un prestataire, et exportez vos dossiers de preuve à intervalle régulier plutôt qu’en urgence le jour du départ.

Choisir un prestataire : ce que dit la liste nationale de confiance

L’ANSSI ne délivre aucun certificat. Son rôle consiste à qualifier les prestataires de services de confiance et à publier la liste nationale qui les recense, en application du règlement eIDAS. Consulter cette liste avant tout engagement écarte l’essentiel des mauvaises surprises : un éditeur qui se dit conforme sans y figurer ne fournit pas de signature qualifiée, quel que soit son argumentaire.

L’agence référence plusieurs prestataires établis en France pour la délivrance de certificats de signature électronique, parmi lesquels CertEurope, Certigna, ChamberSign France, Universign, Docusign France et Vialink. La qualification s’obtient après audit, et se vérifie offre par offre : un même éditeur commercialise souvent une gamme qualifiée à côté d’une gamme avancée qui ne l’est pas.

Cinq questions suffisent à cadrer une consultation :

• Le service visé figure-t-il sur la liste nationale, et pour quel niveau exactement
• Comment l’identité du signataire est-elle vérifiée, et par quel moyen de preuve
• Que contient précisément le dossier de preuve remis, et sous quel format
• Quelle réversibilité en fin de contrat, avec quel délai et quel format d’export
• Où les données sont-elles hébergées, et sous quelle juridiction

Sur le prix, méfiez-vous des comparaisons hâtives. Trois modèles cohabitent : abonnement mensuel par utilisateur, forfait de signatures consommables, facturation à l’acte. Un certificat qualifié individuel, délivré sur support physique ou dans le nuage après vérification d’identité renforcée, se facture à part, généralement à l’année. Le calcul honnête intègre les relances évitées et le temps de traitement récupéré, pas seulement la ligne d’abonnement.

Deux points de vigilance opérationnelle restent à traiter. La sécurité du compte qui pilote les signatures mérite le même soin que celle des accès bancaires, avec un second facteur et des droits nominatifs, dans la continuité des réflexes de protection du poste de travail. Et la circulation des documents signés gagne à s’appuyer sur les outils collaboratifs déjà déployés, sans jamais confondre un espace de partage avec un archivage à valeur probante.

Le cadre continue d’évoluer. Le règlement européen 2024/1183 du 11 avril 2024, entré en vigueur le 20 mai 2024, révise eIDAS et instaure le portefeuille européen d’identité numérique, dont le déploiement s’étale dans les États membres. Une fois enrôlée dans ce portefeuille, une personne physique pourra créer des signatures électroniques qualifiées acceptées dans toute l’Union, gratuitement et sans démarche supplémentaire. Ce basculement rebattra les cartes du marché sans changer la règle de choix par document.

Prochaine étape : listez les cinq types d’actes que votre entreprise signe le plus souvent, notez pour chacun l’enjeu financier et le texte applicable, puis affectez un niveau eIDAS à chacun. Cette page unique suffit à lancer un pilote sur un seul flux, avec un mois de fonctionnement en parallèle du papier avant la bascule.