Officiel Contraignant
Remarque
Norme ETSI fixant les exigences générales de politique applicables à tous les prestataires de services de confiance, base des audits eIDAS (version 3.1.1).
Le texte intégral n'est pas reproduit ici (droits) : consultez la source officielle.
Résumé
Objet
La norme européenne ETSI EN 319 401 (version 3.1.1, juin 2024) fixe les exigences générales de politique applicables à tous les prestataires de services de confiance, quel que soit le service fourni ETSI EN 319 401 V3.1.1, § 1 Scope ETSI EN 319 401 V3.1.1, History. Son champ d’application commence ainsi :
The present document specifies general policy requirements relating to Trust Service Providers (TSPs) that are independent of the type of TSP.
D’autres normes affinent et complètent ces exigences pour chaque type de service ; la norme ne dit pas comment un tiers évalue leur respect ETSI EN 319 401 V3.1.1, § 1 Scope. Elle vise à soutenir la directive NIS2 et couvre la sécurité des services de confiance, qualifiés ou non ETSI EN 319 401 V3.1.1, § 1 Scope.
À qui ça s’applique
Aux prestataires de services de confiance, qualifiés ou non, par plusieurs voies : un acte la rend applicable directement, un autre l’applique avec des adaptations, et la plupart passent par la norme propre à un service, dont l’EN 319 401 est une référence normative (tableau ci-dessous).
Points clés
- Évaluation des risques (clause 5) et politiques et pratiques : énoncé des pratiques, conditions générales, politique de sécurité de l’information (clause 6) ETSI EN 319 401 V3.1.1, § 5 Risk Assessment ETSI EN 319 401 V3.1.1, § 6 Policies and practices.
- Gestion et exploitation (clause 7) : organisation, ressources humaines, actifs, contrôle d’accès, cryptographie, sécurité physique, exploitation, réseau, incidents, preuves, continuité, cessation d’activité, conformité et chaîne d’approvisionnement ETSI EN 319 401 V3.1.1, § 7 TSP management and operation.
- Analyse de vulnérabilité et test d’intrusion : la norme exige une analyse régulière (REQ-7.8-13) et un test d’intrusion lors de la mise en place et après des changements importants (REQ-7.8-17X) ; elle recommande, sans l’imposer, une analyse par trimestre et un test par an ETSI EN 319 401 V3.1.1, § 7.8 Network security.
- Correspondance avec eIDAS : une annexe informative met ses exigences en regard du règlement 910/2014 ETSI EN 319 401 V3.1.1, Annex B (informative): Mapping ETSI EN 319 401 requirements with eIDAS Regulation.
Ce que les actes appliquent, et comment
| Acte (service) | Comment la norme intervient | Régime |
|---|---|---|
| 2025/2160 (services non qualifiés, gestion des risques) | directement, clauses 5, 6, 7.1 à 7.4 et 7.6 seulement Liste des normes de référence applicables aux prestataires de services de confiance non qualifiés | respect présumé des exigences de l’article Art. 19 bis §2 |
| 2025/2531 (registres électroniques qualifiés) | norme entière, avec adaptations (références, énoncé des pratiques, cryptographie, réseau…) Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés | registre présumé conforme au paragraphe 1 Art. 45 terdecies §2 |
| 2025/2532 (archivage électronique qualifié) | l’annexe adapte la CEN/TS 18170 et y rend applicables ses clauses 5, 7.5, 7.8 et 7.10, avec analyse trimestrielle et test annuel Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés CEN/TS 18170:2025 | service présumé respecter les exigences applicables aux services d’archivage électronique qualifiés Art. 45 undecies §2 |
| 2025/1943 (certificats qualifiés de signature et de cachet) | référence de l’EN 319 411-2 et de l’EN 319 411-1 adaptées ; rôles de confiance, analyse trimestrielle, test annuel Annexe I Annexe II | certificat présumé conforme aux annexes I ou III du règlement Art. 28 §6 Art. 38 §6 |
| 2025/1942 (validation qualifiée) | référence des ETSI TS 119 441 et 119 172-4 adaptées ; analyse, test, clause 7.14 Annexe ETSI TS 119 441 V1.2.1 | service présumé conforme au paragraphe 1 Art. 33 §2 Art. 40 |
| 2025/1929 (horodatage qualifié) | référence des EN 319 421 et 319 422 adaptées ; analyse, test Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 421 V1.3.1 | lien entre la date et l’heure et les données, et exactitude de l’horloge, présumés respecter les exigences du paragraphe 1 Art. 42 §1 bis |
| 2025/1944 (envoi recommandé qualifié) | référence de l’EN 319 521 adaptée ; clauses 7.3.3 et 7.14, analyse, test Liste des normes de référence et des spécifications mentionnées à l’article 1er ETSI EN 319 521 V1.1.1 | processus d’envoi et de réception de données présumé respecter les exigences du paragraphe 1 Art. 44 §1 bis |
| 2025/1946 (préservation qualifiée) | référence des ETSI TS 119 511 et 119 172-4 adaptées ; analyse, test, clause 7.14 Liste des normes de référence et des spécifications mentionnées à l’article 2 ETSI TS 119 511 V1.1.1 | service de conservation qualifié présumé respecter les exigences du paragraphe 1 ; règle étendue aux cachets Art. 34 §1 bis Art. 40 |
| 2025/1567 (gestion à distance de dispositifs qualifiés) | référence de l’ETSI TS 119 431-1, appliquée pour l’évaluation de la conformité à la politique SSASP de son annexe A, adaptée ; analyse trimestrielle Liste des normes et spécifications de référence pour la gestion des dispositifs de création de signature électronique qualifiés à distance et des dispositifs de création de cachet électronique qualifiés à distance ETSI TS 119 431-1 V1.3.1 | aucune phrase de présomption dans l’article Art. 29 bis §2 |
| 2025/1566 (vérification de l’identité) | référence de l’ETSI TS 119 461 adaptée, pour l’annexe C, clause C.3, de cette norme Norme de référence pour la vérification de l’identité et des attributs des personnes auxquelles un certificat qualifié ou une attestation électronique d’attributs qualifiée doit être délivré ETSI TS 119 461 V2.1.1 | vérification de l’identité et des attributs effectuée conformément aux actes d’exécution Art. 24 §1 bis Art. 24 §1 ter |
Les considérants de 2025/1929, 1942, 1943, 1944, 1946, 2160, 2531 et 2532 ajoutent que les organes de contrôle devraient présumer le respect des exigences pertinentes du règlement, le prestataire pouvant démontrer ce respect par d’autres pratiques
portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne l’établissement du lien entre la date et l’heure et les données ainsi que la détermination de l’exactitude des horloges pour la fourniture d’horodatages électroniques qualifiés portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les services de validation qualifiés des signatures électroniques qualifiées et les services de validation qualifiés des cachets électroniques qualifiés portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence applicables aux certificats qualifiés de signature électronique et aux certificats qualifiés de cachet électronique portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence applicables aux processus d’envoi et de réception de données dans le cadre de services d’envoi recommandé électronique qualifiés et en ce qui concerne l’interopérabilité de ces services portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les services qualifiés de préservation des signatures électroniques qualifiées et des cachets électroniques qualifiésportant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence, les spécifications et les procédures applicables à la gestion des risques liés à la fourniture des services de confiance non qualifiés portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence et les spécifications applicables aux registres électroniques qualifiés portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence et les spécifications applicables aux services d’archivage électronique qualifiés. Les règlements 2025/1566 et 2025/1567 sont applicables à partir du 19 août 2027 Art. 2 Art. 2.
D’autres actes nomment la norme sans version. Selon un considérant du règlement d’exécution 2024/2690, pris en application de la directive NIS2, les exigences de cybersécurité de son annexe sont fondées notamment sur l’ETSI EN 319401 (Texte présentant de l’intérêt pour l’EEE). L’annexe de 2026/798 (enrôlement à distance dans le portefeuille) renvoie, par l’ETSI TS 119 461, à ses clauses 5, 7.10 et 7.12 (sauf l’exigence REQ-7.12-11) et à des exigences des clauses 7.9 et 7.11 Section 2 — Adaptations. L’annexe II de 2025/2162 la cite dans chacune de ses quatorze lignes de services qualifiés (dans deux d’entre elles, après rectification) ; les propriétaires de systèmes d’évaluation de la conformité veillent à ce que leurs systèmes comprennent au moins ces normes, selon le cas, avec leur année et leur numéro de version Annexe II Art. 6 §3.
Version citée
Les actes du tableau citent la version 3.1.1. L’index des normes ETSI du corpus indique comme dernière version publiée la 3.2.1 (janvier 2026) ETSI EN 319 401 V3.2.1, History, que cite le règlement d’exécution 2025/1569 tel que modifié par 2026/1735 Annexe I ETSI EN 319 401 V3.2.1.
Coquille dans l'acte
La version française du règlement d’exécution 2025/1946 désigne la norme comme « ETSI TS 319 401 » dans ses références ; la version anglaise porte « ETSI EN 319 401 » Liste des normes de référence et des spécifications mentionnées à l’article 2. Dans les règlements d’exécution 2025/1929 et 2025/1942, les exigences sur l’analyse de vulnérabilité et le test d’intrusion renvoient à « ETSI EN 319 401 [1] », alors que l’acte place cette norme en référence [4] (2025/1929) ou [2] (2025/1942) ; la version anglaise est identique. Le renvoi vise probablement la référence [4] ou [2] ; cette lecture est la nôtre Liste des normes et spécifications de référence pour les services d’horodatage qualifiés Annexe. Dans deux lignes de l’annexe II de 2025/2162, « ETSI EN 310 401 » a été rectifié en « ETSI EN 319 401 » Rectificatif R(01) — Règlement d'exécution (UE) 2025/2162.
Clauses importantes
- ETSI EN 319 401 V3.1.1, § 5 Risk Assessment : évaluation des risques.
- ETSI EN 319 401 V3.1.1, § 6 Policies and practices : politiques et pratiques.
- ETSI EN 319 401 V3.1.1, § 7.8 Network security : sécurité du réseau.
- ETSI EN 319 401 V3.1.1, § 7.14 Supply chain : chaîne d’approvisionnement.
Liens
- Version 3.2.1 de la même norme ETSI EN 319 401 V3.2.1.
- Organismes qui évaluent les prestataires : ETSI EN 319 403-1 ETSI EN 319 403-1 V2.3.1.
- Parcours : étape 5, certification et normes.
Consolidation sans valeur officielle
Ce résumé s’appuie sur les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014 et du règlement d’exécution 2025/1569 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Règlement d'exécution (UE) 2025/1569 — version consolidée au 11/08/2026. Elles servent de documentation : seuls les textes publiés au Journal officiel font foi.
Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI EN 319 401 V3.1.1. Rédaction Asphalia.