Officiel Contraignant
Remarque
Norme américaine FIPS 140-3 qui fixe les exigences de sécurité des modules cryptographiques utilisés par les agences fédérales, selon quatre niveaux qualitatifs croissants.
Le texte intégral n'est pas reproduit ici (droits) : consultez la source officielle.
Résumé
Objet
La norme américaine FIPS PUB 140-3 du NIST (22 mars 2019) fixe les exigences de sécurité des modules cryptographiques, c’est-à-dire des composants matériels ou logiciels qui réalisent les opérations de chiffrement, de signature ou de gestion des clés FIPS PUB 140-3, SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES. Elle remplace la FIPS 140-2 FIPS PUB 140-3, § 1. INTRODUCTION. Elle prévoit quatre niveaux :
The standard provides four increasing, qualitative levels of security: Level 1, Level 2, Level 3, and Level 4.
Le document est court : il s’aligne sur la norme ISO/IEC 19790:2012 et renvoie, pour les essais, à la norme ISO/IEC 24759:2017, avec les modifications apportées par une série de publications du NIST (SP 800-140 à 800-140F) FIPS PUB 140-3, § 1. INTRODUCTION FIPS PUB 140-3, § 3.2 International standards FIPS PUB 140-3, § 3.3 Documents Modifying ISO/IEC 19790:2012(E). Les modules sont validés par le programme CMVP, mené par le NIST et le Centre canadien pour la cybersécurité. La norme précise que la conformité ne suffit pas à garantir qu’un module donné est sûr FIPS PUB 140-3, SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES.
À qui ça s’applique
La norme vise d’abord les agences fédérales américaines FIPS PUB 140-3, SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES. Dans le cadre eIDAS, plusieurs règlements d’exécution l’admettent, au niveau 3 et jusqu’au 31.12.2030, pour certifier le « dispositif cryptographique sécurisé » qui conserve certaines clés privées des prestataires qualifiés. La formule, reprise d’un acte à l’autre avec des variantes, est par exemple celle de l’horodatage. Elle offre trois voies : les critères communs (ISO/IEC 15408 ou version CC: 2022, parties 1 à 5) au niveau EAL 4 ou supérieur, le schéma européen EUCC au même niveau, ou la FIPS PUB 140-3 niveau 3. La certification porte sur une cible de sécurité, un profil de protection ou une conception de module et une documentation de sécurité ; un dispositif certifié EUCC est configuré et utilisé conformément à cette certification Liste des normes et spécifications de référence pour les services d’horodatage qualifiés.
| Acte et annexe | Norme adaptée | Exigence | Clé protégée | Effet prévu |
|---|---|---|---|---|
| 2025/1929 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés | ETSI EN 319 421 V1.3.1 ETSI EN 319 421 V1.3.1 | TIS-7.6.2-03, TIS-7.6.3-02 | génération et conservation des clés de l’unité d’horodatage | présomption (lien date-heure et horloge) Art. 42 §1 bis |
| 2025/1942 Annexe | ETSI TS 119 441 V1.2.1 ETSI TS 119 441 V1.2.1 | OVR-7.5-03 (conditionnelle) | clé du service de validation, si les rapports sont signés | présomption (service de validation) Art. 33 §2 Art. 40 |
| 2025/1943 Annexe I Annexe II | ETSI EN 319 411-2 V2.6.1 ETSI EN 319 411-2 V2.6.1 | GEN-6.5.2-02 | paires de clés du prestataire, y compris révocation et enregistrement | présomption (certificat qualifié) Art. 28 §6 Art. 38 §6 |
| 2025/1944 Liste des normes de référence et des spécifications mentionnées à l’article 1er | ETSI EN 319 521 V1.1.1 ETSI EN 319 521 V1.1.1 | REQ-ERDSP-7.5-03 | clé de signature du service d’envoi recommandé | présomption (processus d’envoi et de réception) Art. 44 §1 bis |
| 2025/1946 Liste des normes de référence et des spécifications mentionnées à l’article 2 | ETSI TS 119 511 V1.1.1 ETSI TS 119 511 V1.1.1 | OVR-7.5-05 (conditionnelle) | clé du service de conservation, s’il signe une preuve de conservation | présomption (service de conservation) Art. 34 §1 bis Art. 40 |
| 2025/2531 Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés | ETSI EN 319 401 V3.1.1 ETSI EN 319 401 V3.1.1 | REQ-7.5-06 | clés du fournisseur de registre, si des signatures numériques sont utilisées | présomption (registre électronique) Art. 45 terdecies §2 |
| 2025/2532 Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés | CEN/TS 18170:2025 CEN/TS 18170:2025 | contrôles cryptographiques (§ 7.6), conditionnelle | clé de signature du service d’archivage, lorsqu’il signe numériquement un objet ou un enregistrement ; dispositif qualifié ou dispositif ainsi certifié | présomption (service d’archivage) Art. 45 undecies §2 |
| 2025/1569 Annexe I | ETSI TS 119 471 V1.1.1 ETSI TS 119 471 V1.1.1 | REQ-EAASP-7.5.3-02 | signatures ou cachets du service d’attestation autres que ceux de l’attestation | obligation pour les deux catégories de fournisseurs Art. 3 ; « réputée » pour les attestations du secteur public Art. 45 septies §5 |
Dans la colonne « effet prévu », « présomption » renvoie au mot exact du règlement : ce qui est indiqué entre parenthèses est « présumé » respecter les exigences visées lorsqu’il respecte ces normes, spécifications et procédures ; l’exigence reste celle du règlement. L’annexe I du règlement d’exécution 2025/1569 suit un autre schéma. Les fournisseurs d’attestations électroniques d’attributs qualifiées et ceux d’attestations délivrées par un organisme du secteur public responsable d’une source authentique, ou pour son compte, sont tenus de respecter les normes de cette annexe Art. 3. Pour les attestations qualifiées, l’article d’habilitation ne contient pas de phrase de présomption Art. 45 quinquies §5. Pour les attestations du secteur public, le règlement emploie un autre mot : l’attestation est « réputée » respecter les exigences fixées au paragraphe 1 de l’article lorsqu’elle respecte les normes, spécifications et procédures visées au paragraphe 6 Art. 45 septies §5. Le règlement d’exécution 2026/1735, qui a remplacé cette annexe, est pris notamment sur ce paragraphe 6 modifiant le règlement d’exécution (UE) 2025/1569 en ce qui concerne les normes et spécifications applicables.
Points clés
- Le niveau 3 seulement. Aucun acte du corpus ne vise un autre niveau de la norme (constat au 30-10-2026).
- Une échéance. L’option FIPS PUB 140-3 vaut « jusqu’au 31.12.2030 » dans tous ces actes Annexe Annexe I.
- FIPS 140-2 pour l’existant. Parmi les actes du tableau, seule l’annexe I du règlement d’exécution 2025/1569, applicable aux deux catégories de fournisseurs visées plus haut Art. 3, admet aussi la FIPS-140-2 niveau 3 jusqu’au 31.8.2027 pour les systèmes certifiés existants Annexe I. Cette annexe a été remplacée par le règlement d’exécution 2026/1735 Art. 1. Le texte de la FIPS 140-2 ne figure pas dans le corpus.
- Le dispositif qualifié d’abord. Pour l’attestation elle-même, le fournisseur utilise un dispositif qualifié de création de signature ou de cachet ; la certification FIPS ne vaut que pour ses autres signatures ou cachets Annexe I.
Liens
- Normes liées : critères communs CC:2022 CC:2022 R1 Part 1, fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
- Parcours : étape 4, les services de confiance et étape 5, lire une norme.
Version citée
Plusieurs actes du tableau citent une norme intermédiaire dans une version plus ancienne que la dernière publiée selon l’index des normes ETSI du corpus, consulté le 31-10-2026 : ETSI TS 119 441 V1.2.1 (2025/1942 ; index : V1.3.1) Annexe ETSI TS 119 441 V1.2.1, ETSI TS 119 511 V1.1.1 (2025/1946 ; index : V1.2.1) Liste des normes de référence et des spécifications mentionnées à l’article 2 ETSI TS 119 511 V1.1.1, ETSI EN 319 401 V3.1.1 (2025/2531) Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés ETSI EN 319 401 V3.1.1, dont la V3.2.1 figure dans le corpus ETSI EN 319 401 V3.2.1. Les actes nomment les versions indiquées.
Coquille dans l'acte
Dans plusieurs de ces annexes, la voie des critères communs renvoie à la « version CC: 2002, parties 1 à 5 » : exigence TIS-7.6.3-02 du règlement d’exécution 2025/1929, exigence GEN-6.5.2-02 des annexes I et II du règlement d’exécution 2025/1943, exigence REQ-ERDSP-7.5-03 du règlement d’exécution 2025/1944. La version anglaise de ces actes porte la même mention Liste des normes et spécifications de référence pour les services d’horodatage qualifiés Annexe I Annexe II Liste des normes de référence et des spécifications mentionnées à l’article 1er. Il s’agit probablement de la version CC:2022, que l’exigence TIS-7.6.2-03 du règlement d’exécution 2025/1929 cite dans une formule identique Liste des normes et spécifications de référence pour les services d’horodatage qualifiés. Cette lecture est la nôtre, non une correction officielle. L’intitulé de l’annexe II du règlement d’exécution 2025/1943 mentionne, en français, les « certificats qualifiés de signature électronique » ; la version anglaise dit electronic seals, et cette annexe correspond aux certificats qualifiés de cachet électronique Annexe II Art. 1. Lecture probable : « certificats qualifiés de cachet électronique ».
Consolidation sans valeur officielle
Ce résumé cite les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014 et du règlement d’exécution 2025/1569 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Règlement d'exécution (UE) 2025/1569 — version consolidée au 11/08/2026. Elles servent de documentation : seuls les textes publiés au Journal officiel font foi.
Rédaction Asphalia.