Officiel
Remarque
Norme ETSI fixant les exigences de politique et de sécurité applicables aux prestataires qui émettent des horodatages électroniques (version 1.3.1).
Le texte intégral n'est pas reproduit ici (droits) : consultez la source officielle.
Résumé
Objet
La norme européenne ETSI EN 319 421 (version 1.3.1, juillet 2025) fixe les exigences de politique et de sécurité applicables aux prestataires de services de confiance qui délivrent des horodatages ETSI EN 319 421 V1.3.1, § 1 Scope ETSI EN 319 421 V1.3.1, History. Son champ d’application commence ainsi :
The present document specifies policy and security requirements relating to the operation and management practices of TSPs issuing time-stamps.
Elle ne définit pas les protocoles d’accès aux unités d’horodatage (TSU) : le protocole d’horodatage est celui de la RFC 3161, que profile l’ETSI EN 319 422 ETSI EN 319 421 V1.3.1, § 1 Scope ETSI EN 319 422 V1.1.1 RFC 3161.
À qui ça s’applique
- Aux prestataires qui délivrent des horodatages électroniques qualifiés, par le règlement d’exécution 2025/1929 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés.
- Aux prestataires de services d’archivage électronique qualifiés, dont la norme de référence, la CEN/TS 18170 adaptée par le règlement d’exécution 2025/2532, cite l’EN 319 421 version 1.3.1 parmi ses références normatives Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés.
- Aux propriétaires de systèmes d’évaluation de la conformité, par le règlement d’exécution 2025/2162 Art. 6 §3.
Points clés
- Politique d’horodatage : la norme définit une politique, BTSP (best practices time-stamp policy), dont l’autorité d’horodatage (TSA) inclut l’identifiant dans sa politique et dans sa déclaration de divulgation, à côté des autres identifiants qu’elle utilise le cas échéant ETSI EN 319 421 V1.3.1, § 5.2 Policy name and identification.
- Socle commun : de nombreuses clauses rendent applicables les exigences de l’ETSI EN 319 401 (risques, pratiques, personnel, réseau…) ETSI EN 319 421 V1.3.1, § 6 Policies and practices ETSI EN 319 421 V1.3.1, § 7 TSA management and operation.
- Heure exacte : les horodatages suivent le profil de l’EN 319 422 ; l’heure est traçable jusqu’à un laboratoire UTC(k) et l’horloge de la TSU est synchronisée sur le temps universel coordonné avec une exactitude déclarée d’une seconde ou mieux ETSI EN 319 421 V1.3.1, § 7.7.1 Time-stamp issuance ETSI EN 319 421 V1.3.1, § 7.7.2 Clock synchronization with UTC.
- Horodatages qualifiés : une TSU qui délivre des horodatages présentés comme qualifiés n’en délivre pas de non qualifiés ; une TSA qui délivre les deux utilise des TSU distinctes ETSI EN 319 421 V1.3.1, § 8.2 TSA issuing non-qualified and qualified electronic time-stamps as per Regulation (EU) No 910/2014.
Ce que les actes appliquent, et comment
- Règlement d’exécution 2025/1929 (horodatages électroniques qualifiés) : la norme s’applique en version 1.3.1, avec l’EN 319 422, moyennant des adaptations Liste des normes et spécifications de référence pour les services d’horodatage qualifiés. Elles remplacent des références normatives (notamment EN 319 401 version 3.1.1 et EN 319 422 version 1.1.1) et réécrivent notamment des exigences : pour le personnel en rôles de confiance, mises à jour au moins tous les douze mois sur les menaces et les pratiques de sécurité ; génération et conservation des clés de la TSU dans un dispositif certifié selon les critères communs ou l’EUCC au niveau EAL 4 ou supérieur, ou, jusqu’au 31 décembre 2030, selon FIPS PUB 140-3 niveau 3 ; mécanismes cryptographiques agréés publiés par l’ENISA, pour les algorithmes et longueurs de clé comme pour la date d’expiration des clés (pour les premiers, la force de l’exigence diffère selon la version linguistique, voir ci-dessous) ; analyse de vulnérabilité trimestrielle et test d’intrusion annuel ; plan de cessation conforme aux actes d’exécution prévus par le règlement Liste des normes et spécifications de référence pour les services d’horodatage qualifiés Art. 24 §5 ETSI EN 319 401 V3.1.1. Un considérant ajoute que les organes de contrôle devraient présumer le respect des exigences pertinentes du règlement, le prestataire pouvant le démontrer par d’autres pratiques portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne l’établissement du lien entre la date et l’heure et les données ainsi que la détermination de l’exactitude des horloges pour la fourniture d’horodatages électroniques qualifiés. Le règlement 910/2014, lui, prévoit une présomption au périmètre précis :
L’établissement du lien entre la date et l’heure et les données ainsi que l’exactitude de l’horloge sont présumés respecter les exigences fixées au paragraphe 1 lorsqu’ils respectent les normes, spécifications et procédures visées au paragraphe 2.
Deux formulations selon la langue. Pour l’algorithme de génération des clés de la TSU, la longueur de la clé de signature et l’algorithme de signature, la version française de l’annexe écrit :
Il convient que l’algorithme de génération de clés de TSU, la longueur de la clé de signature obtenue et l’algorithme de signature utilisés respectivement pour signer les horodatages et pour signer les certificats de clé publique de TSU, soient conformes aux mécanismes cryptographiques agréés
La version anglaise du même passage emploie à la place le verbe shall Liste des normes et spécifications de référence pour les services d’horodatage qualifiés. Pour la date d’expiration des clés privées de la TSU, les deux versions imposent la conformité aux mécanismes agréés (doit, shall) Liste des normes et spécifications de référence pour les services d’horodatage qualifiés. Le résumé ne tranche pas entre les deux formulations.
- Règlement d’exécution 2025/2532 (archivage électronique qualifié) : l’annexe rend applicable la CEN/TS 18170 moyennant des adaptations ; pour sa clause 2 (références normatives), elle énumère notamment l’EN 319 421 version 1.3.1. Elle ajoute que le prestataire, lorsqu’il utilise des horodatages, utilise un horodatage qualifié Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés CEN/TS 18170:2025. Un service d’archivage électronique qualifié est présumé respecter les exigences qui lui sont applicables lorsqu’il respecte ces normes, spécifications et procédures Art. 45 undecies §2.
- Règlement d’exécution 2025/2162 : l’annexe II cite l’EN 319 421, sans version, pour la création d’horodatages électroniques qualifiés ; les systèmes d’évaluation de la conformité indiquent l’année et le numéro de version des normes Annexe II Art. 6 §3.
Version citée
Les règlements d’exécution 2025/1929 et 2025/2532 nomment l’ETSI EN 319 401 dans sa version 3.1.1 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés. La version la plus récente présente dans le corpus est la 3.2.1 ETSI EN 319 401 V3.2.1.
Coquille dans l'acte
Dans l’annexe du règlement d’exécution 2025/1929, les exigences OVR-7.10-05 et OVR-7.10-06 renvoient à l’ETSI EN 319 401 sous la référence [1], qui désigne dans l’EN 319 421 la recommandation ITU-R TF.460-6 ; l’annexe place l’EN 319 401 en référence [4]. La version anglaise porte la même numérotation Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 421 V1.3.1, § 2.1 Normative references. Lecture probable : référence [4].
Coquille dans l'acte
Dans l’annexe du règlement d’exécution 2025/1929, l’exigence TIS-7.6.3-02 renvoie à la version CC: 2002 des critères communs, alors que l’exigence TIS-7.6.2-03, rédigée de la même façon, renvoie à la version CC: 2022 ; la version anglaise porte les mêmes valeurs Liste des normes et spécifications de référence pour les services d’horodatage qualifiés. Lecture probable : CC:2022.
Coquille dans l'acte
Dans la version française de l’annexe du règlement d’exécution 2025/2532, l’EN 319 421 porte le titre d’une norme applicable aux prestataires délivrant des certificats ; la version anglaise l’intitule correctement (issuing Time-Stamps) Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés. Lecture probable : prestataires délivrant des horodatages.
Clauses importantes
- ETSI EN 319 421 V1.3.1, § 1 Scope : champ d’application.
- ETSI EN 319 421 V1.3.1, § 7.6 Cryptographic controls : clés de la TSU.
- ETSI EN 319 421 V1.3.1, § 7.7 Time-stamping : délivrance des horodatages et horloge.
- ETSI EN 319 421 V1.3.1, § 8 Additional requirements for qualified electronic time-stamps as per Regulation (EU) No 910/2014 : exigences propres aux horodatages qualifiés.
Liens
- Protocole et profil des jetons : ETSI EN 319 422 ETSI EN 319 422 V1.1.1.
- Exigences générales des prestataires : ETSI EN 319 401 ETSI EN 319 401 V3.1.1.
- Protocole d’horodatage : RFC 3161 RFC 3161.
- Parcours : étape 4, les services de confiance.
Consolidation sans valeur officielle
Ce résumé s’appuie sur la version consolidée, publiée sur EUR-Lex, du règlement 910/2014 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024. Elle sert de documentation : seul le texte publié au Journal officiel fait foi.
Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI EN 319 421 V1.3.1. Rédaction Asphalia.