Electronic Signatures and Trust Infrastructures (ESI); Policy and Security requirements for Providers of Electronic Attestation of Attributes Services

Remarque

Spécification technique ETSI fixant les exigences de politique et de sécurité applicables aux fournisseurs de services d'attestation électronique d'attributs (version 1.1.1).

Résumé

Objet

La spécification technique ETSI TS 119 471 (version 1.1.1, mai 2025) fixe les exigences de politique et de sécurité des prestataires qui délivrent ou valident des attestations électroniques d’attributs (EAA) ETSI TS 119 471 V1.1.1, § 1 Scope ETSI TS 119 471 V1.1.1, History. Une EAA est une attestation électronique qui confirme des attributs d’une personne physique ou morale, ou d’un objet ETSI TS 119 471 V1.1.1, Introduction. Son champ d’application commence ainsi :

Elle vise en particulier la délivrance des attestations et leur validation par le prestataire ETSI TS 119 471 V1.1.1, § 1 Scope.

À qui ça s’applique

Le règlement d’exécution 2025/1569 vise deux catégories de fournisseurs, qui respectent les normes de son annexe I Art. 3 §1 :

• les fournisseurs d’attestations électroniques d’attributs qualifiées (QEAA) ;
• les fournisseurs d’attestations délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte (PuB-EAA).

Points clés

• Rôle du prestataire : il se porte garant de l’exactitude et de la validité des attributs, et répond de leur véracité et de leur actualité ETSI TS 119 471 V1.1.1, § 4.1 Overview.
• Délivrance à un portefeuille : avant de délivrer une attestation à un portefeuille européen (EUDIW), le prestataire vérifie le PID reçu, s’authentifie auprès de l’instance de portefeuille et vérifie qu’elle n’est ni révoquée ni suspendue ETSI TS 119 471 V1.1.1, § 4.2.2.3 EUDIW specific ; l’annexe I du règlement d’exécution 2025/1569 réécrit cette dernière exigence sans la suspension Annexe I.
• Révocation : le prestataire révoque une attestation sur demande autorisée et validée dans les 24 heures, et dans les cas listés (erreur, fraude, incident…) ETSI TS 119 471 V1.1.1, § 4.2.5.1 General.
• Clés de signature : quand le prestataire génère les clés de signature des attestations, il le fait dans un dispositif cryptographique sécurisé, évalué ou certifié selon les schémas cités ETSI TS 119 471 V1.1.1, § 7.5.3 EAAS key protection and cryptographic module engineering controls.
• Gestion et exploitation : la clause 7 couvre l’organisation, le personnel, l’accès, la cryptographie, la sécurité, les incidents, la continuité et la cessation d’activité ETSI TS 119 471 V1.1.1, § 7 EAASP management and operation.

Ce que l’acte d’exécution applique, et comment

L’annexe I du règlement d’exécution 2025/1569 prévoit que la TS 119 471 version 1.1.1 s’applique moyennant des adaptations Annexe I. Le règlement d’exécution 2026/1735 a remplacé cette annexe Art. 1 §4.

• Clauses non applicables : la clause 4.2.2.2 (vérification des attributs par rapport aux sources authentiques) et la clause 4.3.2 (validation propre au portefeuille) Annexe I.
• Références : l’ETSI EN 319 401 version 3.2.1, les mécanismes cryptographiques agréés publiés par l’ENISA, FIPS 140-3, le schéma EUCC et l’ISO/IEC 15408:2022 Annexe I.
• Exigences réécrites ou ajoutées : authentification auprès du portefeuille avec un certificat d’accès valide ; exposé du mécanisme de révocation dans l’énoncé des pratiques ; notification à l’organe de contrôle au moins un mois avant toute modification et trois mois avant une cessation prévue ; techniques cryptographiques conformes aux mécanismes agréés ; plan de cessation conforme aux actes pris pour la cessation d’activité Annexe I.
• Dispositif de signature : le dispositif utilisé pour signer ou cacheter les attestations est un dispositif qualifié de création de signature ou de cachet ; les autres signatures ou cachets du service sont créés dans un système certifié selon les critères communs (CC 3.1 jusqu’au 31-08-2027, ou CC:2022, ou ISO/IEC 15408, niveau EAL 4 ou plus), selon l’EUCC au niveau EAL 4 ou plus, ou selon FIPS 140-2 niveau 3 (systèmes existants, jusqu’au 31-08-2027) ou FIPS 140-3 niveau 3 (jusqu’au 31-12-2030) Annexe I.
• Exigences vidées : plusieurs exigences des clauses 7.5.2 et 7.5.5 sont remplacées par la mention néant dans l’annexe Annexe I.

Régime, selon le fournisseur :

• Pour les PuB-EAA, le règlement 910/2014 prévoit une présomption, au périmètre précis :

• Pour les QEAA, l’article qui habilite la Commission ne contient pas de phrase de présomption Art. 45 quinquies §5. Le même article prévoit une évaluation menée selon ces normes :

Pour les deux catégories, le règlement d’exécution 2026/1735 se fonde sur ces deux articles, entre autres modifiant le règlement d’exécution (UE) 2025/1569 en ce qui concerne les normes et spécifications applicables.

• Règlement d’exécution 2025/2162 : son annexe II cite la TS 119 471, sans version, pour la délivrance d’attestations électroniques d’attributs qualifiées ; les systèmes d’évaluation de la conformité comprennent au moins ces normes, selon le cas, avec leur année et leur numéro de version Annexe II Art. 6 §3.

Clauses importantes

• ETSI TS 119 471 V1.1.1, § 1 Scope : champ d’application.
• ETSI TS 119 471 V1.1.1, § 4.2 EAA Issuance services : délivrance, usage, renouvellement et révocation.
• ETSI TS 119 471 V1.1.1, § 4.2.2.2 Verification of attributes against authentic sources : vérification auprès des sources authentiques (non applicable selon l’annexe I du règlement d’exécution 2025/1569).
• ETSI TS 119 471 V1.1.1, § 7.5 Cryptographic controls : contrôles cryptographiques, largement adaptés.

Liens

• Socle général : ETSI EN 319 401 ETSI EN 319 401 V3.2.1.
• Vérification des attributs auprès des sources authentiques : ETSI TS 119 478 ETSI TS 119 478 V1.1.1, visée par l’annexe IV du même règlement Annexe IV.
• Format des attestations : ETSI TS 119 472-1 ETSI TS 119 472-1 V1.2.1, par l’annexe II du règlement d’exécution 2024/2979 Annexe II.
• Parcours : étape 7, l’émetteur d’attestations.

Norme ETSI : le site n’en reproduit que de courts extraits ; le texte complet est disponible auprès de l’ETSI ETSI TS 119 471 V1.1.1. Rédaction Asphalia.