En bref
Le statut qualifié se demande : le prestataire notifie son intention à l’organe de contrôle, avec un rapport d’évaluation de la conformité qui couvre le règlement et les mesures de cybersécurité de la directive NIS2 Art. 21 §1. Il ne commence qu’une fois le statut inscrit sur la liste de confiance Art. 21 §3, puis il est audité au moins tous les vingt-quatre mois Art. 20 §1. Le contenu de la notification est fixé par le règlement d’exécution 2025/1572, applicable à partir du 19 août 2026 Art. 3 Art. 5.
Cette fiche fait partie de l’étape 7. Ce que « qualifié » change est expliqué à l’étape 4 ; l’audit, les organismes d’évaluation de la conformité et les listes de confiance à l’étape 5. Si votre service qualifié est la délivrance d’attestations, lisez aussi la fiche émetteur d’attestations.
Vos obligations
Avant de lancer le service
| Obligation | Base légale | Échéance |
|---|---|---|
| Faire évaluer votre organisation et votre service par un organisme d’évaluation de la conformité, accrédité pour cela | Art. 21 §1 Art. 3 §18 | — |
| Notifier votre intention à l’organe de contrôle, avec le rapport d’évaluation de la conformité confirmant le respect du règlement et de l’article 21 de la directive NIS2 | Art. 21 §1 | — |
| Y joindre au moins les informations de l’acte d’exécution : identité, coordonnées, liens vers les politiques et conditions, analyses des risques, services visés, identifiants et certificats pour la liste de confiance, date de début prévue, rapports d’évaluation, plan d’arrêt d’activité | Art. 3 | règlement d’exécution 2025/1572 applicable à partir du 19 août 2026 Art. 5 |
| Ne commencer à fournir le service qualifié qu’une fois le statut qualifié indiqué sur la liste de confiance | Art. 21 §3 | — |
De son côté, l’organe de contrôle vérifie votre dossier et demande aux autorités compétentes au titre de NIS2 de vérifier les mesures de cybersécurité ; s’il conclut que les exigences sont respectées, il accorde le statut et en informe l’organisme chargé de la liste de confiance au plus tard trois mois après la notification. Si la vérification n’est pas terminée dans ce délai, il vous en donne les raisons et le délai nécessaire Art. 21 §2. Il peut effectuer des vérifications sur place et des entretiens Art. 4.
Une fois qualifié
| Obligation | Base légale | Échéance |
|---|---|---|
| Être audité, à vos frais, par un organisme d’évaluation de la conformité, et transmettre le rapport à l’organe de contrôle | Art. 20 §1 | audit au moins tous les vingt-quatre mois ; rapport transmis dans les trois jours ouvrables de sa réception Art. 20 §1 |
| Informer l’organe de contrôle de tout audit planifié et l’autoriser à y assister comme observateur, sur demande | Art. 20 §1 bis | au plus tard un mois avant l’audit Art. 20 §1 bis |
| Informer l’organe de contrôle de toute modification de vos services qualifiés, ou de votre intention de cesser ces activités ; les notifications couvrent au moins les modifications importantes listées par l’acte d’exécution (politiques, architecture, hébergement, cryptographie, enregistrement, gouvernance, sous-traitants…) | Art. 24 §2, a) Art. 1 | au moins un mois avant une modification ; au moins trois mois avant la cessation Art. 24 §2, a) |
| Employer un personnel, et le cas échéant des sous-traitants, qui ont l’expertise, la fiabilité et la formation nécessaires | Art. 24 §2, b) | — |
| Maintenir des ressources financières suffisantes et/ou une assurance responsabilité appropriée | Art. 24 §2, c) | — |
| Informer chaque client, avant le contrat, des conditions précises d’utilisation du service | Art. 24 §2, d) | — |
| Utiliser des systèmes et produits fiables, protégés contre les modifications, et des systèmes fiables pour stocker les données | Art. 24 §2, e) Art. 24 §2, f) | — |
| Gérer les risques juridiques, commerciaux, opérationnels et autres liés au service, au moins pour l’enregistrement et l’enrôlement, les vérifications et la gestion des services ; les dispositions du règlement d’exécution 2025/2160 sur la gestion des risques Art. 2 à Art. 4 s’appliquent par analogie | Art. 24 §2, f bis) Art. 2 | — |
| Notifier à l’organe de contrôle, aux personnes affectées identifiables et, le cas échéant, à d’autres organismes, toute atteinte à la sécurité ou perturbation ayant une incidence importante sur le service fourni ou sur les données à caractère personnel qui y sont conservées | Art. 24 §2, f ter) | dans les meilleurs délais et en tout état de cause dans les vingt-quatre heures à compter de l’incident |
| Prendre des mesures contre la falsification, le vol ou le détournement de données | Art. 24 §2, g) | — |
| Enregistrer et garder accessibles les informations sur les données délivrées et reçues, y compris après la cessation d’activité | Art. 24 §2, h) | aussi longtemps que nécessaire |
| Tenir à jour un plan d’arrêt d’activité pour chaque service qualifié, couvert par des ressources financières ou des assurances suffisantes | Art. 24 §2, i) Art. 3 §1 Art. 3 §6 | réexamen au moins tous les deux ans et à chaque modification Art. 3 §4 |
| Si vous délivrez des certificats qualifiés ou des attestations qualifiées : vérifier l’identité et, s’il y a lieu, les attributs de la personne, selon les méthodes prévues | Art. 24 §1 Art. 24 §1 bis Art. 24 §1 ter | normes du règlement d’exécution 2025/1566 applicables à partir du 19 août 2027 Art. 2 |
| Si vous délivrez des certificats qualifiés : tenir une base de données des certificats, publier une révocation en temps utile, et fournir gratuitement l’information de validité à toute partie utilisatrice | Art. 24 §2, k) Art. 24 §3 Art. 24 §4 | révocation publiée dans les vingt-quatre heures suivant la réception de la demande Art. 24 §3 |
Un tiret signale que la disposition citée ne fixe pas d’échéance propre.
Si vous ne satisfaites pas à une exigence, l’organe de contrôle exige que vous remédiiez au manquement, s’il y a lieu dans un délai qu’il fixe. Si vous n’y remédiez pas, il vous retire le statut qualifié, à vous ou au service concerné, lorsque cela est justifié en particulier par l’ampleur, la durée et les conséquences du manquement Art. 20 §3.
Le volet NIS2
La directive NIS2 range les prestataires de services de confiance qualifiés parmi les entités essentielles, quelle que soit leur taille Art. 3 §1, b). L’évaluation de la conformité et l’audit portent aussi sur ses mesures de gestion des risques en matière de cybersécurité Art. 21 §1 Art. 20 §1 Art. 21. Pour les incidents importants qui ont un impact sur ses services de confiance, un prestataire de services de confiance notifie le CSIRT ou l’autorité compétente dans les 24 heures après en avoir eu connaissance ; la directive le prévoit dans l’alinéa dérogatoire qui suit le point e) de son paragraphe sur la notification Art. 23 §4.
Les normes de référence
Les normes de référence et spécifications prévues par le règlement pour les exigences applicables aux prestataires qualifiés figurent à l’annexe du règlement d’exécution 2025/2530 ; en cas de divergence, les dispositions de ce règlement Art. 1 à Art. 3 prévalent Art. 4 §1 Art. 4 §2 Art. 24 §5. Chaque service a en outre son propre règlement d’exécution :
| Service qualifié | Règlement d’exécution |
|---|---|
| Certificats qualifiés de signature et de cachet électroniques | 2025/1943 Art. 1 |
| Certificats qualifiés d’authentification de site internet | 2025/2527, applicable à partir du 6 janvier 2027 Art. 1 Art. 2 |
| Validation qualifiée des signatures et cachets qualifiés | 2025/1942 Art. 1 |
| Préservation qualifiée des signatures et cachets qualifiés | 2025/1946 Art. 1 |
| Horodatage électronique qualifié | 2025/1929 Art. 1 |
| Envoi recommandé électronique qualifié | 2025/1944 Art. 1 |
| Archivage électronique qualifié | 2025/2532 Règlement d'exécution (UE) 2025/2532 |
| Registres électroniques qualifiés | 2025/2531 Art. 1 |
| Gestion à distance de dispositifs qualifiés de création de signature ou de cachet | 2025/1567, applicable à partir du 19 août 2027 Art. 1 Art. 2 |
| Attestations électroniques d’attributs qualifiées | 2025/1569 Art. 1 |
Pour la vérification d’identité, l’annexe du règlement d’exécution 2025/1566 rend applicable la spécification ETSI TS 119 461 V2.1.1, aux fins de la conformité avec sa clause C.3, moyennant des adaptations Norme de référence pour la vérification de l’identité et des attributs des personnes auxquelles un certificat qualifié ou une attestation électronique d’attributs qualifiée doit être délivré ETSI TS 119 461 V2.1.1. Comment lire ces renvois (clauses visées, adaptations) est expliqué à l’étape 5.
Les textes à lire, dans l’ordre
- Le règlement 910/2014 consolidé : lancement d’un service qualifié, contrôle et exigences applicables aux prestataires qualifiés Art. 21 Art. 20 Art. 24, puis la section de votre service. Fiche du règlement.
- Le règlement d’exécution 2025/1572 sur la notification d’intention Art. 3. Fiche.
- Le règlement d’exécution 2025/2530 sur les exigences des prestataires qualifiés Art. 1. Fiche.
- Le règlement d’exécution 2025/2160 sur la gestion des risques, dont certaines dispositions Art. 2 à Art. 4 s’appliquent par analogie Art. 2. Fiche.
- Le règlement d’exécution propre à votre service (tableau ci-dessus) et les normes qu’il rend applicables.
- La directive NIS2 consolidée, mesures de gestion des risques et notification des incidents Art. 21 Art. 23. Fiche.
- Le règlement d’exécution 2025/2162, pour choisir l’organisme d’évaluation : pour prendre des décisions de certification, il est accrédité selon la norme EN ISO/IEC 17065:2012 complétée par ETSI EN 319 403-1 v2.3.1, et son certificat d’accréditation précise les services qualifiés pour lesquels il est compétent Art. 2 §1 Art. 3 §1, e) ETSI EN 319 403-1 V2.3.1. Les organismes accrédités avant le 17 novembre 2025 selon ETSI EN 319 403 version 2.2.2, ou une version antérieure, sont réputés satisfaire à cette exigence jusqu’au 17 mai 2027 Art. 9. Fiche.
- Le règlement d’exécution 2025/1566 et la spécification ETSI TS 119 461, si vous délivrez des certificats ou des attestations qualifiés Art. 1. Fiche de 2025/1566, fiche de TS 119 461.
Liste de contrôle
- Nous avons choisi un organisme d’évaluation de la conformité accrédité pour notre service qualifié, selon les normes en vigueur ou, jusqu’au 17 mai 2027, selon la clause de maintien des acquis Art. 3 §18 Art. 3 §1, e) Art. 9.
- Notre analyse d’écarts couvre le règlement et l’article 21 de la directive NIS2 Art. 21 §1.
- Nos analyses des risques (règlement et NIS2) sont prêtes pour la notification Art. 3.
- Notre plan d’arrêt d’activité existe pour chaque service, avec sa couverture financière Art. 3 §1 Art. 3 §6.
- Ressources financières ou assurance responsabilité sont en place Art. 24 §2, c).
- Nos conditions d’utilisation sont publiées et communiquées avant tout contrat Art. 24 §2, d).
- Le lancement commercial est prévu après l’inscription sur la liste de confiance Art. 21 §3.
- Notre gestion des changements prévoit la notification à l’organe de contrôle un mois avant toute modification Art. 24 §2, a) Art. 1.
- Notre procédure d’incident permet de notifier dans les vingt-quatre heures Art. 24 §2, f ter) Art. 23 §4.
- Le prochain audit est planifié dans les vingt-quatre mois et annoncé un mois à l’avance Art. 20 §1 Art. 20 §1 bis.
- Si nous délivrons des certificats ou attestations qualifiés, notre vérification d’identité et d’attributs suit les méthodes prévues Art. 24 §1 bis Art. 24 §1 ter Art. 2.
Conseils
Conseil Asphalia
Le chemin vers le statut qualifié. Comptez en étapes, pas en semaines.
- Analyse d’écarts contre le règlement, le règlement d’exécution 2025/2530, l’acte propre à votre service et l’article 21 de NIS2.
- Choix de l’organisme d’évaluation, tôt : vérifiez que son accréditation couvre votre service Art. 3 §1, e) et réservez ses dates. Un organisme accrédité selon l’ancienne version de la norme ETSI EN 319 403 n’est réputé conforme que jusqu’au 17 mai 2027 Art. 9 : vérifiez qu’il couvrira aussi vos audits suivants.
- Remédiation, puis éventuellement un pré-audit.
- Évaluation de la conformité et rapport.
- Notification à l’organe de contrôle, dossier complet du premier coup Art. 3.
- Vérification par l’organe de contrôle, qui peut durer jusqu’à trois mois, voire plus s’il en donne les raisons Art. 21 §2.
- Inscription sur la liste de confiance, puis lancement Art. 21 §3.
N’annoncez pas de date de lancement à vos clients avant l’étape 7. La date prévue que vous indiquez dans la notification s’adresse à l’organe de contrôle Art. 3 ; ce n’est pas un engagement commercial.
Conseil Asphalia
Les pièges.
- Sous-estimer le volet NIS2. Il fait partie du rapport d’évaluation et de l’audit Art. 21 §1 Art. 20 §1. Un système de management de la sécurité de l’information existant aide, mais ne suffit pas toujours : comparez-le mesure par mesure.
- Traiter le plan d’arrêt d’activité comme une formalité. Il doit couvrir l’arrêt prévu, imprévu, partiel et complet, et être financé Art. 3 §7, f) Art. 3 §6. C’est souvent le document le plus long à stabiliser.
- Oublier que l’hébergement et les sous-traitants sont des « modifications ». Toute modification de vos services qualifiés se notifie au moins un mois à l’avance Art. 24 §2, a), et la notification couvre au moins les modifications importantes de l’hébergement, des techniques ou matériels cryptographiques et des tiers qui interviennent dans le service Art. 1 §1, c) Art. 1 §1, d) Art. 1 §1, j). Intégrez l’organe de contrôle à votre gestion des changements.
- Avoir deux procédures d’incident. Le règlement et NIS2 prévoient chacun une notification sous vingt-quatre heures, comptées à partir de l’incident pour le règlement et de sa connaissance pour NIS2 : d’une part à l’organe de contrôle, d’autre part au CSIRT ou à l’autorité compétente Art. 24 §2, f ter) Art. 23 §4. Une seule procédure, qui alimente les deux canaux, évite les oublis.
- Repousser la vérification d’identité. Les normes de 2025/1566 s’appliquent à partir du 19 août 2027 Art. 2 : un nouveau processus d’enrôlement se prépare bien avant.
Consolidation sans valeur officielle
Cette page cite les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014, du règlement d’exécution 2025/1569 et de la directive (UE) 2022/2555 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Règlement d'exécution (UE) 2025/1569 — version consolidée au 11/08/2026 Directive (UE) 2022/2555 (NIS2) — version consolidée au 27/12/2022. Ces consolidations sont des outils de documentation : seul le Journal officiel de l’Union européenne fait foi.
À retenir
- Le statut qualifié s’obtient par notification à l’organe de contrôle, avec un rapport d’évaluation de la conformité Art. 21 §1.
- Pas de service qualifié avant l’inscription sur la liste de confiance Art. 21 §3.
- Audit au moins tous les vingt-quatre mois, à vos frais Art. 20 §1.
- Modifications notifiées un mois avant, cessation trois mois avant, incidents dans les vingt-quatre heures Art. 24 §2, a) Art. 24 §2, f ter).
- Le volet cybersécurité de NIS2 fait partie de l’évaluation Art. 21 §1 Art. 21.
Rédaction Asphalia.