ما هو التوقيع الإلكتروني المؤهل (QES)؟

كيف نشأت التوقيعات الإلكترونية المؤهلة؟

قبل أن يوحد الاتحاد الأوروبي قواعد التوقيع الإلكتروني، كان لكل دولة عضو إطارها الخاص. وقد تغير هذا مع اللائحة (الاتحاد الأوروبي) رقم 910/2014 دخلت لائحة eIDAS حيز التنفيذ الكامل في يوليو 2016. وقد حددت هذه اللائحة مصطلحات مشتركة للتوقيعات الإلكترونية، والأختام الإلكترونية المؤهلة، وخدمات الثقة، ومقدمي خدمات الثقة المؤهلين (QTSPs). كما أقرت أن الأختام الإلكترونية المؤهلة (QES) هي الشكل الإلكتروني الأكثر أمانًا والأعلى موثوقية للتوقيع بموجب لوائح الاتحاد الأوروبي.

لقد تغير النظام البيئي بسرعة منذ ذلك الحين. ازداد عدد منتجات أجهزة إنشاء التوقيعات المؤهلة عن بُعد (QSCD) المعتمدة من حوالي من خمسة في عام 2016 إلى حوالي 40 في نهاية عام 2025. تقوم بعض خدمات القطاع العام الإيطالي بمعالجة حوالي 577 مليون توقيع عن بعد شهريًا.

سيتم أيضًا دمج نظام QES بشكل أكبر في التفاعلات الرقمية اليومية من خلال إطار عمل محفظة الهوية الرقمية للاتحاد الأوروبي (EUDI Wallet). عفريتتنفيذاً للائحة 2024/2979 يتطلب الأمر حلول المحافظ لدعم التوقيعات الإلكترونية المؤهلة والتفاعل مع QSCDs.

متطلبات التوقيع الإلكتروني المؤهل (QES)

مؤهل التوقيع الإلكتروني يُعدّ التوقيع الرقمي المؤهل نوعًا خاصًا ومنظمًا من التوقيعات الرقمية، وله أقوى أثر قانوني بموجب لائحة eIDAS. ولا يُستخدم مصطلح "مؤهل" لأغراض تسويقية، بل يُطلق على التوقيعات التي تستوفي جميع متطلبات eIDAS وتحمل شهادة تأهيل سارية.

يجب أن يتضمن نظام تقييم الجودة ما يلي:

• أن تكون مرتبطة بشكل فريد بالموقع وأن يتم إنشاؤها تحت سيطرته الكاملة.
• يتم إنشاؤها باستخدام QSCD، الذي يحمي بيانات إنشاء التوقيع والمفتاح الخاص.
• يجب أن تصدر من قبل مزود خدمة ائتمان مؤهل مدرج في القوائم الوطنية الموثوقة.

تعتمد التوقيعات الإلكترونية المؤهلة على ثلاثة مبادئ. أولاً، لها نفس الأثر القانوني للتوقيع الخطي. ثانياً، تدعم مبدأ عدم الإنكار، وتُعدّ دليلاً قانونياً قاطعاً في حال التقاضي. ثالثاً، تعني قابليتها للتشغيل البيني أنها معترف بها بشكل متبادل في جميع أنحاء الاتحاد الأوروبي. وبناءً على ذلك، يجب على الدول الأعضاء في الاتحاد الأوروبي قبول التوقيعات الإلكترونية المؤهلة كتوقيعات صالحة.

الاختلافات والآثار القانونية بين SES وAES وQES

يقسم نظام eIDAS التوقيعات الإلكترونية إلى ثلاثة مستويات أمان رئيسية: التوقيعات الإلكترونية البسيطة (SES)، والتوقيعات الإلكترونية المتقدمة (AES)، والتوقيعات الإلكترونية المؤهلة (QES). ويعتمد استخدام كل نوع من أنواع التوقيعات بشكل كبير على مستوى ضمان الهوية والأمان واليقين القانوني الذي تحتاجه الشركة.

باختصار،, SES تشير هذه التقنية عادةً إلى نية العميل في التوقيع أو الموافقة على أمر ما إلكترونيًا. ولا تتطلب التحقق من الهوية بشكل مكثف أو حماية تشفيرية. تشمل حالات الاستخدام الشائعة لتقنية التوقيع الإلكتروني عبر الإنترنت (SES) الاتفاقيات منخفضة المخاطر، والموافقات عبر الإنترنت، والموافقات الداخلية، والعقود الأساسية.

مستوى واحد من الثقة أعلى AES. تُربط هذه التوقيعات بشكلٍ فريد بالموقّع، وتُحدّد هويته، وتكشف أي تغييرات تطرأ على البيانات الموقّعة. وتعتمد المؤسسات على نظام التشفير المتقدم (AES) في وثائق التوظيف، والاتفاقيات التجارية، والمعاملات المالية التي تتطلب أدلة أقوى على الهوية والمصداقية.

من ناحية أخرى، QES يُوفر هذا النظام أعلى مستويات الضمان. فهو يستخدم شهادة رقمية معتمدة صادرة عن جهة مُؤهلة، تم إنشاؤها باستخدام شهادة رقمية معتمدة (QSCD). وتخضع هذه الجهات، التي تُقدم خدمات ائتمانية معتمدة، لإشراف الجهات التنظيمية. وعادةً ما تتطلب المعاملات الخاضعة للتنظيم أو الخدمات الحكومية توقيعًا إلكترونيًا معتمدًا لضمان مستوى أعلى من اليقين القانوني.

SES مقابل QES: هل يهم الفرق؟

تتطلب التوقيعات الإلكترونية البسيطة متطلبات تقنية وتأكيد هوية أقل من التوقيعات الإلكترونية المؤهلة. ومن المهم الإشارة إلى أن قانون eIDAS لا يسمح برفض الأثر القانوني للتوقيعات لمجرد عدم استيفائها المتطلبات الأكثر صرامة للتوقيعات الإلكترونية المؤهلة، مما يعني أن التوقيعات الإلكترونية البسيطة تظل سارية قانونيًا. غالبًا ما تكون التوقيعات الإلكترونية البسيطة كافية عندما يكون مستوى المخاطر منخفضًا، ويكون الهدف الرئيسي هو توثيق نية الشخص.

مع ذلك، إذا اعترض أحدٌ على التوقيع، يتعين على الشركة الاعتماد على سجلات داعمة أخرى، كالتواصل المباشر مع العميل لتحديد هوية المُوقِّع ونيته. يُعزز نظام QES هذه الأدلة بربط التوقيع بمُوقِّع مُوثَّق، وشهادة مؤهلة، وإطار عمل ائتماني مُنظَّم. عمليًا، يُستخدم نظام SES للمعاملات منخفضة المخاطر، بينما يُستخدم نظام QES للعمليات المُنظَّمة، أو عالية القيمة، أو الحساسة قانونيًا.

مقارنة بين AES و QES: ما الذي يضيفه QES؟

بدايةً، يوفر معيار التشفير المتقدم (AES) ضوابط أمنية قوية. يجب أن يكون معيار التشفير المتقدم مرتبطًا بشكل فريد بالموقّع، باستخدام بيانات إنشاء التوقيع الخاصة به الخاضعة للتحكم، وبمستوى عالٍ من الموثوقية. مع ذلك، يستوفي توقيع التوقيع الإلكتروني المؤهل (QES) عدة معايير إضافية. يجب أن يستخدم التوقيع الإلكتروني المؤهل شهادة مؤهلة من مزوّد معتمد، ويجب أن يقوم برنامج QSCD بإنشائها.

تُعدّ هذه الطبقة التنظيمية الإضافية فرقًا جوهريًا. إذ لا تعترف الدول الأعضاء في الاتحاد الأوروبي إلا بنظام QES باعتباره ذا أثر قانوني مماثل للتوقيع الخطي. وبينما يُمكن لنظام AES أن يُقدّم دليلًا تقنيًا قويًا على الهوية والنزاهة، يُضيف نظام QES إطارًا رسميًا للثقة على مستوى الاتحاد الأوروبي.

الذكاء الاصطناعي، والتزييف العميق، ودور نظام ضمان الجودة في منع الاحتيال

الذكاء الاصطناعي التوليدي سهّلت هذه التقنية إنشاء هويات مزيفة، وصور شخصية مزيفة، ووثائق مزيفة، وفيديوهات مزيفة، وحتى مكالمات صوتية مزيفة على نطاق واسع. في عام 2025، سرق المحتالون الذين يستخدمون أدوات الذكاء الاصطناعي المتطورة ما لا يقل عن 1.3 مليار جنيه إسترليني. وعلى هذا النحو، فإنه يرسم صورة إشكالية حيث أصبح من السهل تزييف الأدلة المرئية.

يمكن للأفراد إنتاج صور توقيع ملصقة بكميات كبيرة في ثوانٍ

يُسهم نظام التحقق من الهوية (QES) في الحد من هذا الخطر من خلال ربط التوقيع بهوية موثقة، مما يوفر مصادقة أقوى للموقّع ودليلاً تشفيرياً على سلامة المستند. وبذلك، يقلل الاعتماد على مؤشرات الثقة الأضعف، مما يجعل اختراق الحسابات وتزوير المستندات أكثر صعوبة.

على سبيل المثال، لنفترض صفقة بقيمة $10 مليون. باستخدام نظام SES الأساسي، قد يدّعي المُوقِّع أن شخصًا ما قد دخل إلى حسابه البريدي ووافق على الاتفاقية. يوفر نظام AES دليلًا أقوى على الهوية وسلامة المستند من خلال ربط التوقيع بالمالك المُوثَّق والكشف عن أي علامات للتلاعب. مع نظام QES، تُضيف طبقة أخرى من الامتثال. باختصار:

SES: “"هل لديك دليل على نية هذا الشخص التوقيع؟"”
AES: “"هل يمكننا إثبات من قام بالتوقيع بشكل قاطع، وأنه لم يقم أحد بتغيير المستند المقدم؟"”
QES: “"هل يمكن القيام بكل ما سبق من خلال إطار عمل ائتماني منظم من قبل الاتحاد الأوروبي، مع توفير معادلة قانونية للتوقيعات المكتوبة بخط اليد؟"”

يشير هاري فاراثاراسان، كبير مسؤولي المنتجات في شركة ComplyCube، إلى أن الأفراد قادرون على إنتاج صور توقيعات مُلصقة بكميات كبيرة في ثوانٍ معدودة. ويضيف: "لهذا السبب تحديدًا، يُعدّ الأساس التشفيري لتقنية QES عنصرًا لا غنى عنه لبناء طبقة دفاعية بالغة الأهمية". مع ذلك، لا تُمثّل توقيعات QES الحل الأمثل لوقف هجمات التزييف العميق أو الاحتيال باستخدام الذكاء الاصطناعي. بل تكمن قيمتها في تقليل الاعتماد على مؤشرات الثقة التي بات من السهل تزييفها.

متى تحتاج إلى توقيع إلكتروني مؤهل؟

قد لا يكون توقيع QES ضروريًا لكل اتفاقية. بدلًا من ذلك، ينبغي لفرق الامتثال التعاون مع الشؤون القانونية وأمن المعلومات لتحديد الحالات المناسبة لاستخدام توقيعات SES وAES وQES. يساعد ربط مستوى أمان كل توقيع إلكتروني بمخاطر المعاملة أو العلاقة الشركات على وضع إطار عمل قائم على المخاطر.

تشمل الأسئلة الشائعة التي يجب مراعاتها عند تصميم عملية التوقيع المتطلبات التنظيمية، والمتطلبات الرسمية، ومستوى تقبّل المخاطر:

• التوقعات التنظيمية: تتوقع الهيئات التنظيمية الرائدة، بما في ذلك فرقة العمل المعنية بالإجراءات المالية (FATF) وسلطة النقد في سنغافورة (MAS) وشبكة إنفاذ قوانين الجرائم المالية الأمريكية (FinCEN)، مستوى أعلى من ضمان الهوية في الحالات التي يكون فيها خطر الجرائم المالية مرتفعًا. وتشمل هذه السيناريوهات المعاملات التي تتضمن الأشخاص المعرضون سياسيًا (PEPs) أو هياكل ملكية معقدة.
• المتطلبات الرسمية: تتطلب بعض الهيئات الرقابية توقيعات QES للامتثال القانوني. على سبيل المثال، تشترط المفوضية الأوروبية تقديم المستندات إلكترونياً في بعض الحالات. إجراءات المنافسة يجب التوقيع باستخدام توقيع QES واحد على الأقل متوافق مع eIDAS.
• الرغبة في تحمل المخاطر الداخلية: تختار العديد من المؤسسات استخدام التوقيعات الإلكترونية المؤهلة (QES) لتلبية معايير إدارة المخاطر والامتثال الداخلية. ورغم أن القانون لا يُلزمها بذلك، إلا أن هذه الشركات تلجأ إلى استخدام التوقيعات الإلكترونية المؤهلة في الحالات التي تتضمن مستندات متعددة تحتوي على معلومات حساسة، أو معاملات ذات قيمة عالية، أو إجراءات مؤسسية مثل قرارات مجلس الإدارة.

بالإضافة إلى ذلك، ولإنشاء إطار حوكمة قوي، ينبغي على الشركات توثيق جميع قرارات التوقيع الإلكتروني والأدلة الداعمة لها في سجلاتها الداخلية. ويشمل ذلك تحديد متى يكون استخدام معيار التوقيع الإلكتروني المتقدم (AES) مقابل معيار التوقيع الإلكتروني الكمي (QES) مطلوبًا، ومواءمة متطلبات التوقيع مع تقييم المخاطر الخاص بالمنظمة. مكافحة غسيل الأموال (AML) السياسات، وتسجيل الاستثناءات والأساس المنطقي وراءها، والاحتفاظ بأدلة كافية لإثبات هذه القرارات للجهات التنظيمية أو المدققين.

المستندات والسيناريوهات الشائعة لاستخدام نظام QES

علاوة على ذلك، يمكن للمؤسسات تطبيق توقيع إلكتروني مؤهل عند نقاط تحكم محددة في اعرف عميلك (KYC) بدلاً من كل تفاعل، يتم التركيز على العمليات. وهذا يسمح للشركات بتعزيز ضمان الهوية للوثائق عالية المخاطر أو ذات الأهمية القانونية، مع الحفاظ على سهولة استخدام عملية التوقيع بشكل عام، وتقليل عمليات التحقق غير الضرورية وجهاً لوجه، وتقليل الاحتكاك بالنسبة للعملاء.

تشمل المستندات والسيناريوهات الشائعة التي قد تستدعي توقيعات QES اتفاقيات الإيجار ذات القيمة الإيجارية الكبيرة، وعمليات شراء العقارات عبر الحدود، والمستندات الداخلية الحساسة، واتفاقيات القروض التي تتضمن ترتيبات تمويل معقدة، والتغييرات الكبيرة في تفويضات الحساب.

تعزيز ضمان الجودة من خلال التحقق الإلكتروني المؤهل من التوقيع

يُغني توقيع QES عن طباعة المستندات الورقية، ويُسرّع تنفيذ العقود. كما يُوفر تكافؤًا قانونيًا، وضمانًا قويًا للهوية، وحمايةً لسلامة المستندات، ويُعزز الكفاءة التشغيلية. وبفضل اعتراف لائحة eIDAS به، يُمكن للشركات الحصول على الموافقات والاتفاقيات والتراخيص ضمن إطار عمل موثوق واحد، بدلًا من الاعتماد على إجراءات ورقية تختلف من بلد لآخر.

الأهم من ذلك، ينبغي أن تُكمّل أنظمة التوقيع الإلكتروني المؤهلة ضوابط مكافحة غسل الأموال وتمويل الإرهاب، لا أن تحل محلها. فبينما يُمكن للتوقيع الإلكتروني المتقدم أن يُقدّم دليلاً قوياً على هوية المُوقِّع ويحمي سلامة المستند، إلا أنه لا يُمكنه التحقق من معلومات أخرى، مثل مصدر الأموال أو مصدر الثروة., الملكية المستفيدة, أو حالة العقوبات.

توفر منصة ComplyCube نظامًا آمنًا وموثوقًا لمكافحة غسل الأموال، مزودًا بثلاثة مستويات من التوقيعات الإلكترونية المتوافقة تمامًا مع إطار عمل الاتحاد الأوروبي eIDAS. قلل من متاعب العملاء وعزز ثقتهم في المعاملات عن بُعد. البدء من خلال التحدث مع أحد خبرائنا اليوم.