Chapitre 2 - Des caractéristiques techniques du dispositif de création de la signature électronique
Art. 4
La signature électronique est un ensemble de données qui doivent :
- être liées uniquement au signataire ;
- permettre l’identification du signataire ;
- être créées par des moyens pour que le signataire puisse garder sous son contrôle exclusif ;
- être liées à un certificat électronique ou aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure soit détectée.
Toute création de signature électronique est subordonnée à l’utilisation d’un dispositif sécurisé.
Art. 5
Un dispositif sécurisé de création de signature électronique doit respecter les conditions prévues à l’article 91 de la loi n° 37-2019 du 12 décembre 2019 susvisée, ci-après :
- garantir, par des moyens techniques et des procédures appropriés, que les données utilisées pour la création de signature électronique :
- ne peuvent être établies plus d’une fois et que leur confidentialité est assurée ;
- ne peuvent être trouvées par déduction, et que la signature électronique est protégée contre toute falsification ;
- ne peuvent être protégées de manière satisfaisante par le signataire contre toute utilisation par des tiers.
- n’entraîner aucune modification du contenu de l’acte à signer et ne fait obstacle à ce que le signataire en ait une connaissance exacte avant de le signer.
Art. 6
Toute personne morale, ou le représentant légal de la personne morale, utilisant un dispositif sécurisé de création de signature électronique doit :
- prendre les précautions minimales pour éviter l’utilisation illégale des éléments de cryptages ou équipements personnels relatifs à sa signature ;
- informer l’autorité de certification ou le prestataire de service de certification de toute utilisation illégitime de sa signature ;
- veiller à l’authenticité des données déclarées à l’autorité de certification électronique ou au prestataire de service de certification électronique et à toute personne qui pourrait se fier à sa signature.
Art. 7
Un certificat de conformité est délivré par l’agence nationale de sécurité des systèmes d’information, après vérification de la conformité du dispositif sécurisé de création de signature électronique aux conditions définies par le présent décret et la réglementation en vigueur.
Ce certificat est délivré pour une durée de deux ans, renouvelable un mois avant son expiration.
Art. 8
Toute personne morale, ou son représentant légal, désirant de créer une signature électronique, doit utiliser un dispositif sécurisé comprenant :
- une paire de clés composée d’une clé privée, utilisée pour la création de la signature, et d’une clé publique utilisée pour la vérification de la signature ;
- un mot de passe ou tout autre procédé de sécurisation.
La paire de clés, ci-dessus prévue, est créée selon un dispositif et des procédés fiables, en tenant compte du progrès technique dans le domaine, de l’unicité, de la taille ou la longueur des clés créées et du niveau d’assurance de la confidentialité de la clé privée.
Art. 9
Le dispositif de création des paires de clés doit garantir, notamment :
- la création des paires de clés sous une forme conforme aux normes en vigueur ;
- la conformité des paires de clés aux conditions des algorithmes de création et de vérification de la signature, définie dans le cahier des charges des autorités de certification ;
- l’unicité des paires de clés.
Les paires de clés doivent être uniques et personnelles, la clé privée ne pouvant être ni cédée, ni transférée aux tiers à quelque titre que ce soit.
Art. 10
Le titulaire, personne physique ou morale, de la clé privée doit garantir les conditions de sécurité et de protection de celle-ci des risques de son utilisation par les tiers.
L’autorité de certification électronique ou le prestataire de service de certification contrôle l’accès au dispositif de création de clés.
L’autorité de certification ou le prestataire de service de certification doit identifier chaque utilisateur de ce dispositif et enregistrer les opérations réalisées par son utilisation.
Art. 11
La clé publique ainsi que la copie du certificat délivré sont conservées auprès de l’autorité de certification, au moyen de tout procédé de sécurisation fiable.
Art. 12
Le titulaire, personne physique ou morale, d’une clé et l’autorité de certification électronique ou le prestataire de services de certification, utilisent un dispositif sécurisé de signature permettant de :
- conserver et d’utiliser la clé privée au moyen de tout procédé de sécurisation fiable ;
- protéger la clé privée après chaque utilisation.
En cas de perte de la clé privée, le titulaire en informe, sans délai, l’autorité de certification ou le prestataire de services de certification qui prend toutes les mesures appropriées.
Art. 13
Les certificats utilisés par l’autorité de certification électronique ou le prestataire de services de certification sont classés, selon leurs fonctions, en trois catégories :
- les paires utilisées pour la création et la vérification de la signature électronique ;
- les paires utilisées pour la création et la vérification de la signature inscrite sur le certificat électronique ;
- les paires utilisées pour l’inscription de la date et de l’heure.
Les paires de clés visées ci-dessus ne peuvent être utilisées que pour les fonctions auxquelles elles sont dédiées.
