Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service components providing identity proofing of trust service subjects

Remarque

Spécification technique ETSI qui fixe les exigences de politique et de sécurité des composants de services de confiance chargés de la vérification d'identité des sujets, selon deux niveaux (version 2.1.1).

Résumé

Objet

La spécification technique ETSI TS 119 461 (version 2.1.1, février 2025) fixe les exigences de la preuve d’identité, c’est-à-dire de la vérification de l’identité d’une personne avant qu’un service de confiance lui soit fourni ETSI TS 119 461 V2.1.1, § 1 Scope ETSI TS 119 461 V2.1.1, History. Son champ d’application commence ainsi :

Ce composant peut être assuré par le prestataire de services de confiance lui-même ou par un prestataire spécialisé de preuve d’identité (IPSP) qui agit comme sous-traitant ETSI TS 119 461 V2.1.1, § 1 Scope. La spécification définit deux niveaux de preuve d’identité (LoIP), Baseline et Extended, et un moyen de passer du premier au second quand le niveau Baseline a été atteint avec un moyen d’identification électronique de niveau de garantie substantiel ETSI TS 119 461 V2.1.1, § 1 Scope.

À qui ça s’applique

• Aux prestataires de services de confiance qualifiés qui délivrent un certificat qualifié ou une attestation électronique d’attributs qualifiée et doivent vérifier l’identité et, s’il y a lieu, les attributs de la personne Art. 24 §1 quater Art. 1.
• Aux fournisseurs de données d’identification personnelle (PID) et aux entités qui font la preuve d’identité pour leur compte, lors de l’enrôlement à distance au portefeuille ; un considérant du règlement d’exécution 2026/798 indique que ses exigences devraient être remplies par eux portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence et les spécifications applicables à l’enrôlement à distance des utilisateurs pour les portefeuilles européens d’identité numérique par des moyens d’identification électronique conformes au niveau de garantie substantiel combinés avec des procédures d’enrôlement à distance supplémentaires lorsque la combinaison répond aux exigences du niveau de garantie élevé.

Points clés

• Cinq étapes : initiation, collecte des attributs et des éléments de preuve, validation, liaison au demandeur, délivrance de la preuve ETSI TS 119 461 V2.1.1, § 8 Identity proofing service requirements.
• Cas d’utilisation : un processus est conforme s’il suit au moins un cas d’utilisation de la clause 9 ou de l’annexe C ; la spécification recommande une évaluation par un organisme indépendant et accrédité ETSI TS 119 461 V2.1.1, § 9.1 Introduction, compliance with the present document, general requirements for all use cases.
• Contexte : la législation applicable peut imposer un niveau, des attributs, des éléments de preuve ou des moyens de validation ETSI TS 119 461 V2.1.1, § 4.3 Identity proofing context.
• Annexe C pour les services qualifiés : la clause C.2 vise le règlement 910/2014 d’origine, la clause C.3 le règlement modifié, pour les certificats qualifiés et les attestations qualifiées ETSI TS 119 461 V2.1.1, § 1 Scope ETSI TS 119 461 V2.1.1, Annex C (normative): Use cases for identity proofing for EU qualified trust services.
• Biométrie : la liaison au demandeur peut passer par une comparaison faciale automatisée ou manuelle ETSI TS 119 461 V2.1.1, § 8.4 Binding to applicant.

Ce que les actes appliquent, et comment

• Règlement d’exécution 2025/1566 (certificats qualifiés et attestations qualifiées) : la spécification version 2.1.1 s’applique aux fins de la conformité avec l’annexe C, clause C.3, moyennant des adaptations Norme de référence pour la vérification de l’identité et des attributs des personnes auxquelles un certificat qualifié ou une attestation électronique d’attributs qualifiée doit être délivré. Il est applicable à partir du 19 août 2027 Art. 2. Les adaptations datent la référence à l’ETSI EN 319 401 (version 3.1.1) ; posent une condition nouvelle quand la vérification sert aussi à délivrer des preuves faisant autorité (processus évalué par les pairs ou certifié au niveau de garantie élevé, ou conforme aux clauses C.3.1 à C.3.6) ; exigent, dans le cas d’utilisation des autres moyens d’identification, un organisme d’évaluation accrédité, dont l’évaluation débouche sur un certificat de conformité selon une formulation qui diffère selon la langue (voir ci-dessous) ; encadrent les taux FAR et FRR des processus automatisés ; font tester certaines mesures de validation des documents par un laboratoire accrédité ou une autorité nationale compétente, lorsque ceux-ci sont désignés, au plus tard le 19 août 2027, puis tous les deux ans ; et renvoient le plan d’arrêt aux actes pris pour la cessation d’activité Norme de référence pour la vérification de l’identité et des attributs des personnes auxquelles un certificat qualifié ou une attestation électronique d’attributs qualifiée doit être délivré. L’article du règlement 910/2014 qui habilite la Commission ne contient pas de phrase de présomption Art. 24 §1 quater.

  Deux formulations selon la langue. Pour l’exigence QTS-C.3.4-06A, la version française de l’annexe écrit :

La version anglaise du même passage emploie à la place le verbe should result Norme de référence pour la vérification de l’identité et des attributs des personnes auxquelles un certificat qualifié ou une attestation électronique d’attributs qualifiée doit être délivré. Le résumé ne tranche pas entre les deux.

• Règlement d’exécution 2026/798 (enrôlement à distance au portefeuille avec un moyen d’identification électronique de niveau substantiel) : la conformité est évaluée au regard des clauses énumérées, sous réserve des adaptations LISTE DES NORMES DE RÉFÉRENCE ET SPÉCIFICATIONS. Sont visées les clauses 5 à 8, 9.1, 9.2.2, 9.2.3, 9.2.4 et 9.5 Section 1 — Clauses applicables ; les autres cas d’utilisation (9.2.1 présence physique, 9.2.5 signature avec certificat, 9.3 personne morale, 9.4 personne physique représentant une personne morale) et l’annexe C n’y figurent pas. Parmi les adaptations, un processus doit suivre le cas d’utilisation 9.5 pour le niveau Extended, et l’image faciale de référence est lue sur la puce du document par communication en champ proche (NFC) Section 2 — Adaptations. Ce règlement est autonome : il ne modifie pas le règlement d’exécution 2025/1566 et se fonde sur un autre article du règlement 910/2014, sans phrase de présomption Art. 1 Art. 5 bis §24.
• Règlement d’exécution 2025/2162 : son annexe II cite la spécification, sans version, pour plusieurs services qualifiés, notamment la délivrance de certificats qualifiés et d’attestations électroniques d’attributs qualifiées ; les systèmes d’évaluation de la conformité comprennent au moins ces normes, selon le cas, avec leur année et leur numéro de version Annexe II Art. 6 §3.

Clauses importantes

• ETSI TS 119 461 V2.1.1, § 1 Scope : champ d’application et niveaux.
• ETSI TS 119 461 V2.1.1, § 8 Identity proofing service requirements : exigences par étape.
• ETSI TS 119 461 V2.1.1, § 9.5 Use cases for additional identity proofing to enhance an identity proven by use of an eID from Baseline LoIP to Extended LoIP : renforcement vers le niveau Extended, visé par le règlement d’exécution 2026/798.
• ETSI TS 119 461 V2.1.1, C.3 Use cases for issuing of qualified certificate or qualified electronic attestation of attributes according to Article 24.1, 24.1a, and 24.1b of the amended eIDAS regulation : cas d’utilisation visés par le règlement d’exécution 2025/1566.

Liens

• Socle général : ETSI EN 319 401 ETSI EN 319 401 V3.1.1.
• Délivrance de certificats : ETSI EN 319 411-1 ETSI EN 319 411-1 V1.5.1 et EN 319 411-2 ETSI EN 319 411-2 V2.6.1.
• Parcours : étape 4, les services de confiance.

Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI TS 119 461 V2.1.1. Rédaction Asphalia.