Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers

Remarque

Norme ETSI fixant les exigences générales de politique applicables à tous les prestataires de services de confiance, base des audits eIDAS (version 3.2.1).

Résumé

Objet

La norme européenne ETSI EN 319 401 (version 3.2.1, janvier 2026) fixe les exigences générales de politique applicables à tous les prestataires de services de confiance, quel que soit le service fourni ETSI EN 319 401 V3.2.1, § 1 Scope ETSI EN 319 401 V3.2.1, History. Son champ d’application commence ainsi :

D’autres normes affinent ces exigences pour chaque type de service ; la norme ne dit pas comment un tiers évalue leur respect. Elle vise à soutenir la directive NIS2 et couvre les services de confiance, qualifiés ou non ETSI EN 319 401 V3.2.1, § 1 Scope.

À qui ça s’applique

Le seul acte du corpus qui cite cette version est le règlement d’exécution 2025/1569, tel que modifié par 2026/1735. Il vise les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations délivrées par un organisme du secteur public responsable d’une source authentique, ou pour son compte Art. 3 §1.

Points clés

• Même architecture que la version 3.1.1 : évaluation des risques (clause 5, désormais intitulée cadre de gestion des risques et évaluation des risques), politiques et pratiques (clause 6), gestion et exploitation (clause 7) ETSI EN 319 401 V3.2.1, § 5 Risk Management Framework and Risk Assessment ETSI EN 319 401 V3.2.1, § 6 Policies and practices ETSI EN 319 401 V3.2.1, § 7 TSP management and operation.
• Proportionnalité : en appliquant les exigences, le prestataire tient dûment compte de son exposition aux risques, de sa taille, de la probabilité des incidents et de leur gravité ETSI EN 319 401 V3.2.1, § 4.2 Applicability of Conditional Requirements.
• Alignement réglementaire : selon l’historique de la norme, la version 3.2.0 l’aligne sur la directive NIS2 et sur un règlement d’exécution publié, que la norme identifie comme le règlement d’exécution 2024/2690 (référence [i.27]) ETSI EN 319 401 V3.2.1, Annex D (informative): Change history ETSI EN 319 401 V3.2.1, § 2.2 Informative references. Trois annexes informatives mettent les exigences en regard du règlement DORA, du règlement 910/2014 et du règlement d’exécution 2024/2690 ETSI EN 319 401 V3.2.1, Annex A (informative): Mapping ETSI EN 319 401 requirements with DORA Regulation ETSI EN 319 401 V3.2.1, Annex B (informative): Mapping ETSI EN 319 401 requirements with eIDAS Regulation ETSI EN 319 401 V3.2.1, Annex C (informative): Mapping ETSI EN 319 401 requirements with Commission Implementing Regulation (EU) 2024/2690 (NIS2).

Ce que l’acte applique, et comment

• Par une norme intermédiaire : l’annexe I du règlement d’exécution 2025/1569 rend applicable l’ETSI TS 119 471 version 1.1.1, moyennant des adaptations ; la première adaptation remplace ses références normatives et y place l’EN 319 401 version 3.2.1 Annexe I ETSI TS 119 471 V1.1.1.
• Obligation : les deux catégories de fournisseurs respectent les normes et spécifications de l’annexe I Art. 3 §1.
• Effet : pour une attestation délivrée par un organisme du secteur public responsable d’une source authentique, ou pour son compte, le règlement 910/2014 prévoit qu’elle est réputée respecter les exigences fixées au paragraphe 1 de l’article cité lorsqu’elle respecte les normes, spécifications et procédures visées au paragraphe 6 Art. 45 septies §5. Pour les attestations qualifiées, le règlement ne prévoit pas de présomption ; il dispose que l’évaluation du respect des exigences de l’annexe V est effectuée conformément aux normes, spécifications et procédures prévues Art. 45 quinquies §2 Art. 45 quinquies §5.
• Origine du texte : l’annexe I actuelle vient du règlement d’exécution 2026/1735, qui l’a remplacée Art. 1 §4 Liste des normes de référence et des spécifications mentionnées à l’article 3. Seule la modification qui porte sur la vérification des attributs est applicable à partir du 1er janvier 2027 Art. 1 §3 Art. 2.

Le règlement d’exécution 2025/2162 cite l’EN 319 401 sans version ; les propriétaires de systèmes d’évaluation de la conformité veillent à ce que leurs systèmes indiquent l’année et le numéro de version des normes retenues Annexe II Art. 6 §3. Les autres actes du corpus qui fixent une version citent la 3.1.1 ETSI EN 319 401 V3.1.1.

Clauses importantes

• ETSI EN 319 401 V3.2.1, § 1 Scope : champ d’application.
• ETSI EN 319 401 V3.2.1, § 5 Risk Management Framework and Risk Assessment : gestion et évaluation des risques.
• ETSI EN 319 401 V3.2.1, § 7 TSP management and operation : gestion et exploitation.
• ETSI EN 319 401 V3.2.1, Annex D (informative): Change history : historique des modifications.

Liens

• Version 3.1.1 de la même norme ETSI EN 319 401 V3.1.1.
• Norme intermédiaire : ETSI TS 119 471 ETSI TS 119 471 V1.1.1.
• Parcours : étape 5, certification et normes.

Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI EN 319 401 V3.2.1. Rédaction Asphalia.