Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service providers; Part 1: TSP services operating a remote QSCD / SCDev

Remarque

Spécification technique ETSI, partie 1, qui fixe les exigences de politique et de sécurité pour les prestataires exploitant un dispositif de création de signature à distance, y compris un QSCD (version 1.3.1).

Résumé

Objet

La spécification technique ETSI TS 119 431-1 (version 1.3.1, décembre 2024) fixe les exigences de politique et de sécurité des prestataires qui exploitent, pour le compte d’un signataire, un dispositif de création de signature à distance ETSI TS 119 431-1 V1.3.1, § 1 Scope ETSI TS 119 431-1 V1.3.1, History. Son champ d’application commence ainsi :

Des exigences particulières s’appliquent quand ce dispositif est un dispositif qualifié (QSCD). Le service réunit une application de signature sur serveur et le dispositif ; la spécification l’appelle Server Signing Application Service (SSAS) ETSI TS 119 431-1 V1.3.1, § 1 Scope. Elle sert de base à l’évaluation de la conformité de ces prestataires par des organismes indépendants ETSI TS 119 431-1 V1.3.1, § 1 Scope.

À qui ça s’applique

• Aux prestataires de services de confiance qualifiés qui gèrent des dispositifs qualifiés de création de signature ou de cachet électroniques à distance. Le règlement 910/2014 réserve ce service qualifié à un prestataire qualifié qui remplit certaines conditions Art. 29 bis §1, applicables aux cachets mutatis mutandis Art. 39 bis.
• Aux organismes indépendants d’évaluation de la conformité, auxquels la spécification se destine comme base d’évaluation ETSI TS 119 431-1 V1.3.1, § 1 Scope ; l’acte la rend applicable aux fins de l’évaluation de la conformité Liste des normes et spécifications de référence pour la gestion des dispositifs de création de signature électronique qualifiés à distance et des dispositifs de création de cachet électronique qualifiés à distance.

Points clés

• Socle commun : les exigences reprennent par renvoi celles de l’ETSI EN 319 401 et de l’EN 419241-1 (CEN), et la structure suit l’ETSI EN 319 411-1 ETSI TS 119 431-1 V1.3.1, § 4.1 General policy requirements concepts ETSI TS 119 431-1 V1.3.1, Executive summary.
• Services composants : génération des clés de signature, liaison au certificat, liaison au moyen d’identification électronique ou à l’identité, activation de la signature, suppression des clés, et, en option, fourniture de moyens d’identification électronique ETSI TS 119 431-1 V1.3.1, § 4.4 SSAS component services.
• Politique européenne EUSPv2 : l’annexe A, normative, porte les exigences propres au prestataire qualifié qui gère un QSCD à distance, sous l’identifiant de politique EUSPv2 ETSI TS 119 431-1 V1.3.1, A.1 SSASP as a Qualified TSP ETSI TS 119 431-1 V1.3.1, A.2 Policy name and identification.
• Certification du dispositif : la déclaration de pratiques renvoie à la certification du QSCD, et le prestataire respecte les exigences du rapport de certification du dispositif ETSI TS 119 431-1 V1.3.1, A.3 General requirements.
• Activation de la signature : la clé du signataire est utilisée dans un QSCD ; quand l’authentification est liée directement à l’identité, la session de signature prend fin au plus tard 30 minutes après la vérification d’identité ETSI TS 119 431-1 V1.3.1, A.5 Signature activation.

Ce que l’acte d’exécution applique, et comment

Le règlement d’exécution 2025/1567 désigne les normes de référence pour ces services qualifiés, en vertu des dispositions du règlement 910/2014 sur la gestion à distance des dispositifs Art. 1. Il est applicable à partir du 19 août 2027 Art. 2. Son annexe délimite le renvoi :

• Portée : la spécification sert à évaluer la conformité avec cette politique, selon l’annexe A ; l’annexe de l’acte ne dresse pas de liste de clauses exclues.
• Régime : l’article du règlement 910/2014 qui habilite la Commission ne contient pas de phrase de présomption de conformité Art. 29 bis §2.
• Exigences réécrites : la référence à l’ETSI EN 319 401 devient la version 3.1.1, et une référence aux mécanismes cryptographiques agréés publiés par l’ENISA est ajoutée ; OVR-6.1-04 rend obligatoire la publication des informations au niveau international, que la spécification recommande seulement ETSI TS 119 431-1 V1.3.1, § 6.1 Publication and repository responsibilities ; OVR-A.3-02 fait renvoyer la déclaration de pratiques à la certification du dispositif selon l’annexe II du règlement 910/2014 Liste des normes et spécifications de référence pour la gestion des dispositifs de création de signature électronique qualifiés à distance et des dispositifs de création de cachet électronique qualifiés à distance.
• Exigences ajoutées : la V1.3.1 ne contient, dans les clauses 6.4.4, 6.4.9 et 6.5.5, qu’une exigence numérotée -01 ETSI TS 119 431-1 V1.3.1, § 6.4.4 Personnel controls ETSI TS 119 431-1 V1.3.1, § 6.4.9 SSASP service termination ETSI TS 119 431-1 V1.3.1, § 6.5.5 Network security controls. L’annexe y ajoute des exigences : compétences du personnel des rôles de confiance, qui reçoit au moins tous les 12 mois des mises à jour sur les nouvelles menaces et les pratiques de sécurité ; plan d’arrêt conforme aux actes pris pour la cessation d’activité ; analyse de vulnérabilité au moins une fois par trimestre ; pare-feu bloquant tout accès inutile Liste des normes et spécifications de référence pour la gestion des dispositifs de création de signature électronique qualifiés à distance et des dispositifs de création de cachet électronique qualifiés à distance.
• Clause absente : l’annexe rattache OVR-6.8.5-01 et -02 (contrôles cryptographiques, mécanismes agréés) à une clause 6.8.5 Contrôles cryptographiques Liste des normes et spécifications de référence pour la gestion des dispositifs de création de signature électronique qualifiés à distance et des dispositifs de création de cachet électronique qualifiés à distance, que la V1.3.1 ne contient pas : sa clause 6.8 s’arrête au point 6.8.4 ETSI TS 119 431-1 V1.3.1, § 6.8 Other provisions.
• Règlement d’exécution 2025/2162 : son annexe II cite la TS 119 431-1, sans version, pour les deux services qualifiés de gestion à distance ; les systèmes d’évaluation de la conformité comprennent au moins ces normes, selon le cas, avec leur année et leur numéro de version Annexe II Art. 6 §3.

Clauses importantes

• ETSI TS 119 431-1 V1.3.1, § 1 Scope : champ d’application.
• ETSI TS 119 431-1 V1.3.1, § 6 Trust Service Providers practice : pratiques du prestataire (clés, activation, contrôles).
• ETSI TS 119 431-1 V1.3.1, Annex A (normative): Specific requirements related to Regulation (EU) 2024/1183 : exigences propres au prestataire qualifié, visées par le règlement d’exécution 2025/1567.

Liens

• Socle général : ETSI EN 319 401 ETSI EN 319 401 V3.1.1.
• Partie 2 de la série : ETSI TS 119 431-2 ETSI TS 119 431-2 V1.2.1.
• Protocoles de signature à distance : ETSI TS 119 432 ETSI TS 119 432 V1.3.1.
• Norme CEN : EN 419241-1 EN 419241-1:2018 et EN 419241-2:2019.
• Parcours : étape 4, les services de confiance.

Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI TS 119 431-1 V1.3.1. Rédaction Asphalia.