En bref
Les normes citées par les actes viennent de l’ETSI, du CEN, de l’ISO/IEC ou d’autres organismes (RFC de l’IETF, norme FIPS du NIST…) ETSI EN 319 401 V3.2.1, Foreword Annexe RFC 3161 FIPS PUB 140-3. Pour les services de confiance, le règlement leur donne des rôles différents selon l’article : présomption de conformité, base de l’évaluation, ou base de la certification Art. 42 §1 bis Art. 45 §1 Art. 30 §3. Lire une norme, c’est d’abord lire l’acte qui y renvoie : quelle version, quelles clauses, quelles adaptations Annexe I Liste des normes et spécifications de référence pour les services d’horodatage qualifiés.
Cette page complète l’étape 5 sur la confiance et la certification. La distinction générale entre norme imposée et norme qui vaut présomption de conformité est présentée à l’étape 1.
Qui écrit les normes citées ?
Les actes d’exécution des services de confiance renvoient à de nombreux documents de l’ETSI. Les deux documents ci-dessous se présentent comme produits par son comité technique « Electronic Signatures and Trust Infrastructures » (ESI), l’un comme norme européenne (EN), l’autre comme spécification technique (TS) :
This European Standard (EN) has been produced by ETSI Technical Committee Electronic
Signatures and Trust Infrastructures (ESI).
This Technical Specification (TS) has been produced by ETSI Technical Committee Electronic
Signatures and Trust Infrastructures (ESI).
D’autres renvois visent des normes du CEN, comme les profils de protection EN 419211 des dispositifs de signature, ou de l’ISO/IEC, comme les critères communs ISO/IEC 15408 Annexe EN 419211-1 à -6 (2013/2014) ISO/IEC 15408 (1-5) et ISO/IEC 18045. L’annexe du règlement d’exécution 2025/1929 sur l’horodatage cite encore d’autres documents : la RFC 3161 de l’IETF, la norme FIPS PUB 140-3 ou les critères communs CC:2022 publiés par les participants à l’arrangement de reconnaissance mutuelle selon les critères communs dans le domaine de la sécurité informatique Liste des normes et spécifications de référence pour les services d’horodatage qualifiés RFC 3161 FIPS PUB 140-3 CC:2022 R1 Part 1. Pour ces normes, ce site publie des fiches rédigées par nous, qui ne sont pas des textes officiels.
Le rôle de la norme, article par article
Le règlement ne donne pas le même rôle aux normes pour tous les services. Le tableau reprend la formule de chaque article.
| Objet | Ce que dit le règlement de la norme | Source |
|---|---|---|
| Certificat qualifié de signature ; de cachet | le certificat qui la respecte est présumé conforme à l’annexe I ; à l’annexe III | Art. 28 §6 Art. 38 §6 |
| Dispositif qualifié de création de signature | la Commission peut désigner des normes ; le dispositif qui les respecte est présumé conforme à l’annexe II | Art. 29 §2 |
| Validation d’une signature qualifiée ; service de validation qualifié | présomption de conformité | Art. 32 §1 Art. 33 §2 |
| Service de conservation qualifié | présomption de conformité | Art. 34 §1 bis |
| Horodatage qualifié | le lien entre date, heure et données et l’exactitude de l’horloge sont présumés conformes | Art. 42 §1 bis |
| Envoi recommandé qualifié | le processus d’envoi et de réception est présumé conforme | Art. 44 §1 bis |
| Certificat qualifié d’authentification de site internet | l’évaluation du respect de l’annexe IV « est effectuée conformément » aux normes | Art. 45 §1 |
| Attestation qualifiée | l’évaluation du respect de l’annexe V « est effectuée conformément » aux normes | Art. 45 quinquies §2 |
| Attestation publique | l’attestation qui respecte les normes est « réputée » conforme (en anglais deemed, et non presumed) | Art. 45 septies §5 |
| Archivage qualifié ; registre | présomption de conformité | Art. 45 undecies §2 Art. 45 terdecies §2 |
| Gestion à distance des dispositifs qualifiés | liste de normes « aux fins du paragraphe 1 », sans phrase de présomption ; l’acte d’exécution applique la norme aux fins de l’évaluation de la conformité avec la politique EU SSASP v2 de son annexe A | Art. 29 bis §2 Liste des normes et spécifications de référence pour la gestion des dispositifs de création de signature électronique qualifiés à distance et des dispositifs de création de cachet électronique qualifiés à distance |
| Certification d’un dispositif qualifié | la certification est fondée sur une évaluation de la sécurité selon l’une des normes de la liste, ou sur un processus comparable | Art. 30 §3 |
| Liste de confiance | la liste satisfait aux spécifications de l’annexe de la décision, fondées sur une spécification ETSI | Art. 1 Annexe I |
Plusieurs mécanismes se distinguent donc. Quand le texte dit « présumé », l’exigence reste celle du règlement, et la norme est un moyen reconnu de montrer qu’on la respecte Art. 28 §6 Art. 42 §1 bis Art. 45 terdecies §2. Pour l’attestation publique, le texte emploie un autre terme, « réputée » (« deemed » en anglais) Art. 45 septies §5. Quand il dit que l’évaluation « est effectuée conformément » aux normes, l’évaluation de la conformité doit suivre ces normes Art. 45 §1. Quand il fonde une certification sur une norme, l’organisme certifie selon cette norme ou selon le processus de remplacement que le texte encadre Art. 30 §3. Il faut donc lire chaque article : aucune règle unique ne vaut pour tous.
Lire une norme en cinq questions
1. Quel acte y renvoie, et pour quoi faire ?
Dans les articles du tableau, ce sont des actes d’exécution qui désignent les normes, pour l’usage que fixe chaque article. Par exemple, le règlement d’exécution 2025/1929 renvoie, pour l’horodatage qualifié, à deux normes ETSI Art. 1 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés.
2. Quelle version ?
L’acte cite une version précise : ETSI EN 319 421 V1.3.1 et ETSI EN 319 422 V1.1.1 pour l’horodatage Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 421 V1.3.1 ETSI EN 319 422 V1.1.1. Dans les documents ETSI du corpus, la première ligne donne la référence, la version et la date, par exemple « ETSI EN 319 401 V3.2.1 (2026-01) » ETSI EN 319 401 V3.2.1, ETSI EN 319 401 V3.2.1 (2026-01). Les normes ETSI appliquent elles-mêmes cette logique à leurs propres renvois :
For specific references, only the cited version applies. For non-specific references, the
latest version of the referenced document (including any amendments) applies.
Une norme peut être citée dans une version qui n’est plus la dernière publiée : l’annexe du règlement d’exécution 2025/1929 cite ETSI EN 319 401 dans sa version V3.1.1, alors qu’une version plus récente a été publiée Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 401 V3.1.1 ETSI EN 319 401 V3.2.1.
Version citée
L’annexe du règlement d’exécution 2025/1929 cite la norme ETSI EN 319 401 dans sa version V3.1.1 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 401 V3.1.1. La dernière version publiée est la V3.2.1, de janvier 2026 ETSI EN 319 401 V3.2.1, ETSI EN 319 401 V3.2.1 (2026-01).
La même annexe cite l’édition 2022 d’ISO/IEC 15408 ; selon notre fiche, établie le 29-10-2026, l’édition en vigueur est celle de 2026 § 1. Identification.
3. Quel statut ?
Le type du document se lit dans son avant-propos : norme européenne (EN) ou spécification technique (TS), comme on l’a vu plus haut ETSI EN 319 401 V3.2.1, Foreword ETSI TS 119 612 V2.4.1, Foreword. Il faut aussi vérifier qu’il s’agit d’une version publiée : les spécifications techniques que la Commission élabore pour le portefeuille figurent dans ce corpus sous la forme d’un instantané non arrêté TS1 TS14 (voir l’étape 3).
Document non définitif
Les spécifications techniques TS1 à TS14 du dépôt de la Commission figurent dans le corpus sous la forme d’un instantané de la branche principale (main@365f734) du 27-10-2026 : ce ne sont pas des versions arrêtées TS1 TS14.
4. Quelles clauses, et quelles adaptations ?
L’acte ne reprend pas toujours la norme telle quelle. La décision 2015/1505 sur les listes de confiance en donne un exemple complet :
Lorsque aucune prescription n’est prévue dans les présentes spécifications, les
prescriptions des clauses 5 et 6 d’ETSI TS 119 612 doivent être appliquées dans leur
intégralité. Lorsque des prescriptions spécifiques sont établies dans les présentes
spécifications, elles prévalent sur les prescriptions correspondantes d’ETSI TS 119 612.
D’autres actes appliquent les normes « moyennant les adaptations suivantes ». Pour l’horodatage, ces adaptations remplacent des références normatives (par exemple par l’édition 2022 d’ISO/IEC 15408), modifient certaines exigences de la norme et en ajoutent d’autres, comme une analyse de vulnérabilité au moins une fois par trimestre. Elles reprennent la numérotation de la norme (codes OVR, TIS…) : c’est l’acte, et non le code, qui dit quelle exigence est adaptée Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 421 V1.3.1.
Coquille dans l'acte
Dans cette annexe, l’exigence TIS-7.6.3-02 renvoie aux critères communs « version CC: 2002, parties 1 à 5 ». Il s’agit probablement de la version CC: 2022, que l’exigence TIS-7.6.2-03 de la même annexe cite dans une formule identique Liste des normes et spécifications de référence pour les services d’horodatage qualifiés CC:2022 R1 Part 1. Cette lecture est la nôtre, non une correction officielle.
Un acte peut aussi viser une seule partie d’une norme : pour la vérification d’identité, la spécification ETSI TS 119 461 s’applique aux fins de la conformité avec la clause C.3 de son annexe C Norme de référence pour la vérification de l’identité et des attributs des personnes auxquelles un certificat qualifié ou une attestation électronique d’attributs qualifiée doit être délivré. La norme à appliquer est donc la norme telle que l’acte l’a adaptée.
5. Comment lire les exigences ?
À l’intérieur d’une norme ETSI, quelques repères aident. Les exemples ci-dessous viennent d’ETSI EN 319 401 :
- le domaine d’application (scope) dit ce que la norme couvre et ce qu’elle ne couvre pas. ETSI EN 319 401, par exemple, ne dit pas comment un tiers indépendant évalue ses exigences, et renvoie pour cela à ETSI EN 319 403-1 ETSI EN 319 401 V3.2.1, § 1 Scope ;
- les références normatives sont nécessaires à l’application de la norme, les références informatives ne le sont pas ETSI EN 319 401 V3.2.1, § 2.1 Normative references ETSI EN 319 401 V3.2.1, § 2.2 Informative references ;
- les verbes ont un sens défini :
In the present document “shall”, “shall not”, “should”, “should not”, “may”, “need not”,
“will”, “will not”, “can” and “cannot” are to be interpreted as described in clause 3.2 of
the ETSI Drafting Rules (Verbal forms for the expression of provisions).
- les identifiants : dans ETSI EN 319 401, chaque exigence porte un code fait de trois lettres, du numéro de la clause et d’un numéro d’ordre (par exemple « REQ » pour une exigence générale) ; certaines sont marquées comme conditionnelles, à choix, ou proportionnées ETSI EN 319 401 V3.2.1, § 3.4 Notation. D’autres normes utilisent d’autres préfixes, comme « OVR » dans ETSI EN 319 421 ETSI EN 319 421 V1.3.1.
Consolidation sans valeur officielle
Cette page cite les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014 et de la décision d’exécution 2015/1505 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Décision d'exécution (UE) 2015/1505 — version consolidée au 29/04/2026. Ces consolidations sont des outils de documentation : seuls les textes publiés au Journal officiel de l’Union européenne font foi.
À retenir
- Selon l’article, la norme fait présumer la conformité, fixe la méthode d’évaluation ou sert de base à la certification Art. 42 §1 bis Art. 45 §1 Art. 30 §3.
- C’est l’acte d’exécution qui désigne la norme et sa version précise Liste des normes et spécifications de référence pour les services d’horodatage qualifiés.
- L’acte peut ne viser que certaines clauses et imposer des adaptations, qui priment sur la norme Annexe I.
- L’acte cite une version précise ; quand une version plus récente existe, ce site signale l’écart Liste des normes et spécifications de référence pour les services d’horodatage qualifiés ETSI EN 319 401 V3.1.1.
- Dans une norme ETSI, les verbes « shall », « should » et « may » ont un sens défini ETSI EN 319 401 V3.2.1, Modal verbs terminology.
Rédaction Asphalia.