Confiance, certification et normes

En bref

La confiance repose sur une chaîne : le règlement fixe une exigence, un acte d’exécution désigne les normes, un organisme évalue ou certifie, une liste publie le résultat Art. 20 §1 Art. 21 §3 Art. 22 §1. Les listes de confiance suivent un modèle commun fondé sur la spécification ETSI TS 119 612 Annexe I. Les dispositifs qualifiés de création de signature sont certifiés pour cinq ans au plus Art. 30 §3 bis. Le schéma européen EUCC, fondé sur les critères communs, sert à certifier la cybersécurité de produits Art. 1 ; les schémas nationaux de certification des portefeuilles l’utilisent lorsqu’il est disponible et applicable Art. 4 §1.

Organes de contrôle, organismes d’évaluation de la conformité, accréditation et définition des listes de confiance sont présentés à l’étape 2 ; le principe de la certification du portefeuille à l’étape 3. Cette page va un cran plus loin. La page suivante explique comment lire une norme.

La chaîne de confiance

Le schéma se lit de gauche à droite ; ses cases 2 et 3 varient selon l’objet. Pour un service qualifié, le parcours (audit, statut, inscription sur la liste) est décrit à l’étape 2 Art. 21 §3. Pour un dispositif qualifié de création de signature, un organisme désigné par l’État membre (et non un organisme accrédité) le certifie, l’État membre le notifie et la Commission publie la liste des dispositifs certifiés Art. 30 §1 Art. 31 §1 Art. 31 §2. Pour un portefeuille, ce sont les schémas nationaux qui définissent les exigences et le plan d’évaluation, un organisme de certification accrédité certifie, et la Commission publie la liste des portefeuilles certifiés Art. 3 §5 Art. 9 §1 Art. 5 quinquies §3. La liste de confiance sert principalement à valider ce que produisent les services qualifiés :

Ces « jetons » sont par exemple des signatures et cachets qualifiés, des horodatages qualifiés ou des preuves de livraison électronique qualifiées Annexe I.

Les listes de confiance, en pratique

La décision d’exécution 2015/1505 fixe le modèle commun des listes. Elle ajoute plusieurs règles à la définition rappelée à l’étape 2 :

• un État membre peut y inscrire des prestataires et des services non qualifiés, à condition que la liste indique clairement qu’ils ne sont pas qualifiés Art. 2 ;
• la liste porte une signature ou un cachet électronique, et une éventuelle version directement lisible contient les mêmes données et est signée elle aussi Art. 3 §1 Art. 3 §2 ;
• l’État notifie à la Commission au moins deux certificats de clé publique de l’exploitant de la liste, dont les dates de fin de validité sont espacées d’au moins trois mois Art. 4 §2 ;
• la Commission publie ces informations par un canal sécurisé, dans une version signée ou cachetée adaptée au traitement automatisé Art. 4 §3 ;
• la liste contient les informations actuelles et tout l’historique de l’état des services depuis l’inscription du prestataire Annexe I.

Le modèle se fonde sur la spécification ETSI TS 119 612 v2.4.1 : ses clauses 5 et 6 s’appliquent intégralement là où la décision ne prévoit rien, et les prescriptions propres à la décision prévalent Annexe I ETSI TS 119 612 V2.4.1. Ce mécanisme sert d’exemple sur la page suivante.

Lire une liste. La liste des listes (LOTL) indique où trouver chaque liste nationale, mais ne donne ni son numéro de séquence ni sa date : il faut les lire dans la liste nationale elle-même Synthèse de la LOTL UE, séquence 397. Un exemple de liste nationale, la liste belge, est décrit plus bas, dans la situation belge.

La certification des dispositifs qualifiés

Les dispositifs qualifiés de création de signature (QSCD) sont certifiés par des organismes publics ou privés désignés par les États membres, qui en notifient le nom et l’adresse à la Commission Art. 30 §1 Art. 30 §2. La certification repose :

• soit sur une évaluation de la sécurité menée selon l’une des normes d’une liste fixée par acte d’exécution ;
• soit sur un autre processus, à condition qu’il atteigne des niveaux de sécurité comparables et que l’organisme le notifie à la Commission. Ce processus n’est possible qu’en l’absence de ces normes ou pendant qu’une évaluation selon ces normes est en cours Art. 30 §3.

La liste de normes est celle de la décision d’exécution 2016/650. Elle s’applique quand les données de création de signature ou de cachet sont conservées dans un environnement dont l’utilisateur a la gestion totale, mais pas nécessairement exclusive Art. 1 §1. Son annexe cite les critères communs ISO/IEC 15408 (parties 1 à 3, éditions 2009 et 2008), la méthode d’évaluation ISO/IEC 18045:2008 et les profils de protection EN 419211 (parties 1 à 6) Annexe EN 419211-1 à -6 (2013/2014). Quand un prestataire qualifié gère ces données pour le compte du signataire, la décision renvoie, dans l’attente d’une liste de normes, à l’autre processus de niveau comparable, notifié à la Commission Art. 1 §2.

La durée de la certification est limitée :

Les États membres notifient à la Commission les dispositifs certifiés, au plus tard un mois après la certification, et ceux qui ne le sont plus, au plus tard un mois après l’annulation ; la Commission publie et tient à jour la liste des dispositifs certifiés Art. 31 §1 Art. 31 §2. Le règlement d’exécution 2025/1570 encadre cette notification. Il est applicable à partir du 19 novembre 2025, date fixée par un rectificatif publié au Journal officiel, qui a remplacé le 19 décembre 2025 indiqué dans le texte d’origine Rectificatif R(01) — Règlement d'exécution (UE) 2025/1570 Art. 2. Son contenu : contenu minimal fixé en annexe, envoi par un canal électronique sécurisé mis à disposition par la Commission, mise à jour en cas de changement de statut Art. 1. Un dispositif certifié dans un État membre est reconnu comme qualifié dans tous les autres Art. 24 bis §2. Les mêmes règles valent pour les dispositifs de création de cachet Art. 39.

L’EUCC : le schéma européen fondé sur les critères communs

Le règlement (UE) 2019/881 sur la cybersécurité permet d’adopter des schémas européens de certification de cybersécurité ; le portefeuille y recourt pour sa cybersécurité Art. 5 quater §2. Parmi ces schémas figure l’EUCC, établi par le règlement d’exécution 2024/482 pour les produits des technologies de l’information et de la communication (TIC) et les profils de protection Art. 1.

• Les normes. Les évaluations appliquent les critères communs (des critères pour l’évaluation de la sécurité des technologies de l’information) et la méthode d’évaluation commune Art. 3 §1, c’est-à-dire les normes ISO/IEC 15408 (parties 1 à 5) et ISO/IEC 18045 dans leur édition 2022, ou leurs équivalents CC:2022 et CEM:2022 Art. 2 §1 Art. 2 §2. Jusqu’au 31 décembre 2027, un certificat peut encore être délivré selon les éditions antérieures (ISO/IEC 15408:2008/2009, ISO/IEC 18045:2008, critères communs et méthode commune 3.1 révision 5) Art. 3 §2.
• Les profils de protection. Un profil de protection définit les exigences de sécurité d’une catégorie de produits Art. 2 §5. Un produit est certifié par rapport à sa cible de sécurité, c’est-à-dire la déclaration des exigences de sécurité propres à ce produit Art. 2 §4 ; elle est définie par le demandeur ou déclarée conforme à un profil certifié Art. 5 §1. Un certificat établi selon les normes de 2022 peut aussi attester la conformité à un profil établi selon les critères communs 3.1, révisions 1 à 4, lorsque l’utilisation de ce profil est requise notamment par le règlement 910/2014 ou par la décision 2016/650 Art. 3 §4.
• Deux niveaux d’assurance. « Substantiel » (niveaux d’analyse de vulnérabilité AVA_VAN 1 ou 2) et « élevé » (AVA_VAN 3, 4 ou 5) Art. 4. Le niveau AVA_VAN indique le degré des activités d’évaluation menées pour déterminer la résistance de la cible à l’exploitation de ses failles Art. 2 §8.
• Pas d’autoévaluation : l’autoévaluation de la conformité prévue par le règlement 2019/881 n’est pas autorisée Art. 6.
• Cinq ans au plus, sauf dérogation approuvée au préalable par l’autorité nationale de certification de cybersécurité Art. 12 §2 Art. 12 §3.

La certification des portefeuilles : les schémas nationaux

Le règlement d’exécution 2024/2981 précise le cadre présenté à l’étape 3. Chaque schéma national a un propriétaire, désigné par l’État membre Art. 3 §1. La certification couvre les composants logiciels, les composants matériels et plateformes dont ils dépendent (dans les cas prévus par le texte), et les processus de fourniture et d’exploitation, y compris l’enrôlement des utilisateurs Art. 3 §3.

• Les schémas nationaux utilisent, lorsqu’ils sont disponibles et applicables, les schémas européens de cybersécurité, notamment l’EUCC Art. 4 §1.
• Ils exigent que les solutions résistent à des attaquants à potentiel d’attaque élevé Art. 8 §2, face aux risques énumérés dans un registre des risques annexé au règlement Art. 8 §1 Annexe I.
• Pour le dispositif cryptographique sécurisé du portefeuille (WSCD), lorsqu’il entre dans l’objet de la certification dans les conditions prévues par le texte, l’évaluation comprend une analyse de vulnérabilité au niveau AVA_VAN.5. Un niveau inférieur n’est possible que si le demandeur justifie dûment, auprès de l’organisme de certification, que les caractéristiques de sécurité de l’application cryptographique sécurisée (WSCA) maintiennent globalement le niveau de garantie élevé § 2. Activités d’évaluation liées au dispositif cryptographique sécurisé de portefeuille (WSCD).
• Les organismes de certification sont accrédités par un organisme national d’accréditation selon la norme EN ISO/IEC 17065:2012, pour autant qu’ils satisfassent aux exigences énoncées dans les schémas nationaux Art. 9 §1.
• La recertification comprend une évaluation complète, y compris des vulnérabilités Art. 18 §2.

Le règlement sera réexaminé lors de l’adoption du premier schéma européen de certification de cybersécurité propre aux portefeuilles Art. 21.

L’audit des prestataires qualifiés

Pour pouvoir certifier un prestataire qualifié, un organisme d’évaluation de la conformité est accrédité selon la norme EN ISO/IEC 17065:2012, complétée par la norme ETSI EN 319 403-1 v2.3.1 ; l’organisme national d’accréditation applique la norme EN ISO/IEC 17011:2017 Art. 2 §1 Art. 2 §2 ETSI EN 319 403-1 V2.3.1. Le certificat d’accréditation précise pour quels services qualifiés l’organisme est compétent et pour quel système d’évaluation, le cas échéant dans sa version spécifique Art. 3 §1, e) Art. 3 §1, f). La décision de certification porte à la fois sur les exigences du règlement 910/2014 et sur les mesures de gestion des risques de cybersécurité de la directive NIS2 Art. 1 §2 Art. 21. De leur côté, les organes de contrôle établissent une méthode pour vérifier les prestataires qui veulent lancer un service qualifié, en y associant les autorités compétentes au titre de NIS2 ; ce règlement d’exécution 2025/1572 s’applique à partir du 19 août 2026 Art. 1 Art. 5.

En Belgique

À retenir

• Les listes de confiance suivent un modèle commun fondé sur ETSI TS 119 612 v2.4.1, dont les clauses 5 et 6 s’appliquent là où la décision ne prévoit rien ; elles servent à valider ce que produisent les services qualifiés Annexe I.
• Une liste de confiance peut aussi mentionner des services non qualifiés, clairement signalés comme tels Art. 2.
• La certification d’un dispositif qualifié vaut cinq ans au plus et est annulée si des vulnérabilités ne sont pas corrigées Art. 30 §3 bis.
• L’EUCC certifie des produits TIC aux niveaux « substantiel » ou « élevé », sans autoévaluation Art. 4 Art. 6.
• Les schémas nationaux de certification des portefeuilles exigent une résistance à des attaquants à potentiel d’attaque élevé Art. 8 §2.

Rédaction Asphalia.