La dématérialisation comporte quatre volets, dont trois sont actuellement réglementés.
Le premier volet concerne la dématérialisation des procédures de passation, c’est-à-dire la forme qui nous intéresse ici.
Le deuxième volet, ce sont les enchères électroniques, c’est-à-dire la possibilité pour le pouvoir adjudicateur de procéder à des enchères inversées pour certains achats.
Le troisième, ce sont les systèmes d’acquisition dynamiques (SAD), qui permettent à un pouvoir adjudicateur, pour certains achats, de mettre en place un système dématérialisé de référencement ouvert.
Le quatrième volet, qui ne fait pas encore l’objet d’une réglementation précise, concerne la dématérialisation de l’exécution des marchés publics. Sur ce point, un certain nombre de développements sont en cours pour permettre la dématérialisation des factures, leur liquidation, leur mandatement et leur paiement.
La dématérialisation des procédures nécessite l’utilisation d’une signature électronique. En 2006, lors de la rédaction du Code des marchés publics, les auteurs ont envisagé de dispenser la passation des marchés de la signature électronique ; ils y ont finalement renoncé. La dématérialisation des procédures, telle qu’elle est encadrée par l’article 56 (hors Mapa) impose donc l’utilisation d’une telle signature.
La signature électronique n’est pas un courriel signé, encore moins une signature manuscrite scannée (comme on a pu le voir parfois !).
Définition
L’ définit la signature de la manière suivante : « La signature nécessaire à la perfection d’un acte juridique identifie celui qui l’appose. Elle manifeste le consentement des parties aux obligations qui découlent de cet acte. (…) Lorsqu’elle est électronique, elle consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache. La fiabilité de ce procédé est présumée, jusqu’à preuve contraire, lorsque la signature électronique est créée, l’identité du signataire assurée et l’intégrité de l’acte garantie (…). »
La signature électronique, ou signature numérique, est un procédé permettant de garantir l’authenticité de l’expéditeur et de vérifier l’intégrité du message reçu. Ce procédé assure également la non-répudiation : il permet d’assurer que l’expéditeur a bien envoyé le message et empêche l’expéditeur de nier avoir expédié le fichier. L’enveloppe contenant les documents est « hachée », ce qui signifie que la suite de caractères contenus dans le document est condensée de manière sécurisée (à un document correspond un seul hachage).
Pour garantir l’authentification du message, il suffit à l’expéditeur de chiffrer (on dit généralement signer) le condensé à l’aide de sa clef privée (une fois signé, le document haché est appelé « sceau ») et de l’envoyer au destinataire, c’est-à-dire d’envoyer l’enveloppe fermée contenant le dossier à l’acheteur. A réception, il suffira à ce dernier de déchiffrer le sceau (l’enveloppe scellée) avec la clé publique de l’entreprise. Comme on le voit, la signature électronique n’a rien à voir avec une signature manuscrite. Ses fonctions sont plus étendues et la sécurité qu’elle offre est supérieure.
Utilisation de la signature électronique
Achat du certificat
Un certificat de signature (contenant la clef privée de l’utilisateur) s’achète ; les prix varient de 70 à 130 euros pour un certificat valable de deux à trois ans. Des entreprises agréées en tant qu’« autorités de certification » sont garantes de sa validité. Le prestataire de service de certification électronique (PSCE) est celui qui fournit le certificat de signature.
En pratique, le certificat peut-être délivré sur une carte à puce, une clef USB ou encore sous une forme logicielle. « Il est admis que les supports matériels sont non seulement plus sûrs, indique le ministère, mais qu’ils ne sont pas plus coûteux à l’usage. » Ils sont en outre acceptés dans toutes les téléprocédures des autorités administratives car ils offrent de meilleures garanties. Le prestataire peut déléguer le contrôle d’identité des personnes morales ou physiques à d’autres sociétés appelées « autorités d’enregistrement ». Pour obtenir un certificat de niveau II (équivalent classe 3) de la Pris V1 (Politique de référencement intersectorielle de sécurité), il faut se présenter physiquement auprès d’une « autorité d’enregistrement » (ChamberSign, Certigreffe, CertEurope, etc.) avec une pièce d’identité ou au minimum un extrait Kbis pour les entreprises. Le certificat est livré sur une clef USB ou sur une carte à puce (dans ce cas, il est nécessaire d’acheter un lecteur de carte), ou sous forme logicielle. Un mode d’emploi est livré avec le certificat.
Du côté de l’acheteur public
Du côté de l’acheteur, lorsqu’une réponse arrive par voie électronique, il incombe à la personne responsable de vérifier la validité du certificat ayant servi à signer. Cette vérification est faite en consultant les listes de révocation mises à jour par les fournisseurs.
La liste des autorités de certification auxquelles on peut demander un certificat est accessible ici : www.entreprises.minefi.gouv.fr/certificats/
Niveau de sécurité requis
On distingue en général la signature simple et la signature sécurisée. La signature simple garantit le lien entre l’identification du signataire et l’acte auquel elle s’attache. Elle est généralement utilisée dans le domaine des marchés publics. La signature électronique est dite sécurisée si elle satisfait aux exigences suivantes :
- être propre au signataire ;
- être créée par des moyens tels que le signataire puisse la garder sous son contrôle exclusif ;
- garantir, avec l’acte auquel elle s’attache, un lien tel que toute modification ultérieure de l’acte soit détectable.
Dans la passation des marchés publics, on utilise en général la signature simple de niveau II (équivalent classe 3), étant précisé qu’aucune réglementation n’impose l’utilisation d’un niveau ou d’un autre.
Par ailleurs, tous les pouvoirs adjudicateurs sont tenus d’accepter tous les certificats, mais, précise le guide pratique du ministère (1), seuls pourront être vérifiés les certificats référencés.
Les classes désignent la méthode de vérification utilisée au moment de l’achat du certificat :
- classe 2 : délivrance des codes d’accès par courrier ;
- classe 3 : délivrance des codes d’accès avec vérification d’identité du destinataire en face-à-face.
Les quatre conditions nécessaires à la validité de la signature
Quatre conditions sont nécessaires pour la validité de la signature. La signature est valide lorsque ces quatre conditions sont remplies simultanément :
- la signature doit être apposée sur chacun des documents qui requièrent une signature ;
- le certificat utilisé doit être référencé et listé sur la liste publiée ;
- le certificat utilisé doit être valide à la date de la signature du document (ni échu, ni révoqué) ;
- le certificat doit être établi au nom d’une personne physique autorisée à signer.
La direction des affaires juridiques du ministère de l’Economie, de l’Industrie et de l’Emploi a précisé sur son site Internet que « la signature électronique doit être apposée directement sur le fichier constituant l’acte d’engagement. La signature d’un fichier “ ZIP “ contenant lui-même plusieurs documents ne vaut pas signature de chacun de ces documents. Signer le seul fichier “ ZIP “ est comme sceller une enveloppe de papier : le cachet sur l’enveloppe ne remplace pas la signature des documents qu’elle contient. »
Dans une procédure dématérialisée, l’entreprise doit signer électroniquement tous les documents pour lesquels une signature manuscrite serait requise au format « papier ». La signature du fichier « ZIP » qui contient tous les documents est possible pour garantir l’intégrité de l’enveloppe mais la signature peut émaner d’une autre personne que celle habilitée à signer l’offre (personne assurant le transfert depuis l’entreprise vers le profil d’acheteur). En d’autres termes, il faut apposer la signature électronique là où on apposerait la signature manuscrite.
Concrètement, la signature électronique se présente comme un fichier qui porte le même nom que le fichier signé, auquel s’ajoute l’extension «.sig ».
Si le fichier signé s’appelle « marche.doc », alors le fichier contenant la signature électronique s’appellera « marche.doc.sig ». Signer consiste à connecter la clé USB contenant le certificat et à suivre les instructions qui s’affichent pour signer le fichier désiré (la procédure est la même avec une carte à puce). Les deux fichiers (le fichier principal et la signature) doivent être enregistrés dans le même répertoire, et téléchargés ensemble sur la plateforme de l’acheteur public.
Pour que la signature attachée au fichier reste valide, il faut que le fichier principal n’ait pas été modifié, même d’une virgule, et que le certificat de signature soit toujours valide.
