Par où commencer : émetteur d'attestations

En bref

Le règlement connaît trois sortes d’attestations électroniques d’attributs : non qualifiées (EAA), qualifiées (QEAA) et délivrées par un organisme public responsable d’une source authentique ou pour son compte (PuB-EAA) Art. 3 §16, g) Art. 3 §45 Art. 3 §46. Quelques règles valent pour tous les fournisseurs, notamment pour la délivrance aux portefeuilles Art. 45 octies §1 Art. 4. Les autres dépendent de la sorte d’attestation : gestion des risques pour l’émetteur non qualifié Art. 19 bis, statut qualifié et annexe V pour la QEAA Art. 45 quinquies §1, annexe VII et notification par l’État membre pour la PuB-EAA Art. 45 septies.

Cette fiche fait partie de l’étape 7. Les trois sortes d’attestations et leurs effets juridiques sont présentés à l’étape 2, les règles des fournisseurs à l’étape 4. Commencez par savoir laquelle vous délivrez : les tableaux ci-dessous ne se mélangent pas.

Vos obligations

Pour tout fournisseur d’attestations

Obligation	Base légale	Échéance
Permettre aux utilisateurs de portefeuille de demander, d’obtenir, de stocker et de gérer vos attestations, quel que soit l’État membre qui fournit leur portefeuille	Art. 45 octies §1	—
Délivrer aux unités de portefeuille des attestations conformes à au moins une des normes de l’annexe II du règlement d’exécution 2024/2979, et qui contiennent les informations nécessaires à leur authentification et à leur validation	Art. 4 §1 Art. 4 §3 Annexe II	—
Vous identifier auprès des unités de portefeuille avec votre certificat d’accès de partie utilisatrice de portefeuille ; ce certificat n’est délivré qu’aux parties utilisatrices enregistrées	Art. 4 §2 Art. 7 §2	règlement d’exécution 2025/848 applicable à partir du 24 décembre 2026 Art. 11
Garder les données personnelles liées à ce service séparées, de manière logique, de vos autres données	Art. 45 novies §2	—

L’enregistrement comme partie utilisatrice prévoit une habilitation pour chaque sorte de fournisseur : « QEAA_Provider », « Non_Q_EAA_Provider » ou « PUB_EAA_Provider » Annexe I. La fiche partie utilisatrice détaille l’enregistrement.

Les prestataires, qualifiés ou non, ne combinent pas non plus les données personnelles liées à ce service avec celles de leurs autres services ou de ceux de leurs partenaires commerciaux Art. 45 novies §1.

Attestation non qualifiée (EAA)

Le fournisseur est un prestataire de services de confiance non qualifié Art. 3 §16, g) Art. 19 bis §1.

Obligation	Base légale	Échéance
Se doter de procédures et de mesures pour gérer les risques liés au service, au moins pour l’enregistrement et l’enrôlement, les vérifications et la gestion du service	Art. 19 bis §1, a)	—
Faire approuver ces procédures par l’organe de direction, et réexaminer l’évaluation des risques et le plan de traitement	Art. 2 §1 Art. 4 §6	réexamen au moins une fois par an, et en cas de changement ou d’incident importants Art. 4 §6
Notifier à l’organe de contrôle, aux personnes affectées identifiables, au public si cela est dans l’intérêt public et, le cas échéant, à d’autres autorités compétentes, toute atteinte à la sécurité ou perturbation ayant une incidence importante sur le service fourni ou sur les données à caractère personnel qui y sont conservées	Art. 19 bis §1, b)	au plus tard vingt-quatre heures après en avoir eu connaissance

Le règlement d’exécution 2025/2160 fixe les normes de référence, spécifications et procédures prévues pour la gestion des risques Art. 1 Art. 2 Art. 4. L’article du règlement qui fixe les obligations du prestataire non qualifié en tire cette conséquence :

Texte officiel · Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024, Art. 19 bis §2

Le respect des exigences fixées au présent article est présumé lorsque ces normes, spécifications et procédures sont respectées.

La directive NIS2 s’applique aussi aux prestataires de services de confiance, quelle que soit leur taille Art. 2 §2.

Attestation qualifiée (QEAA)

Le fournisseur est un prestataire de services de confiance qualifié : toute la fiche prestataire qualifié s’applique Art. 3 §45 Art. 21 §1. S’y ajoutent :

Obligation	Base légale	Échéance
Délivrer des attestations qui satisfont aux exigences de l’annexe V ; l’attestation elle-même n’est soumise à aucune exigence obligatoire en plus de l’annexe V (les obligations du fournisseur suivent)	Art. 45 quinquies §1 Art. 45 quinquies §3 Annexe V	—
Respecter les normes et spécifications de l’annexe I du règlement d’exécution 2025/1569, et délivrer selon les spécifications de son annexe II	Art. 3 §1	—
Se conformer au programme d’attestation correspondant quand l’attestation relève d’un programme enregistré au catalogue	Art. 3 §2	—
Vérifier l’identité et, s’il y a lieu, les attributs de la personne avant la délivrance	Art. 24 §1 Art. 24 §1 ter	normes du règlement d’exécution 2025/1566 applicables à partir du 19 août 2027 Art. 2
Fournir une interface avec les portefeuilles	Art. 45 octies §2	—
Fournir ce service de façon fonctionnellement séparée de vos autres services	Art. 45 novies §3	—
Révoquer au moins dans les cas prévus lorsque la validité dépasse vingt-quatre heures, avec des techniques qui protègent la vie privée, et informer les parties utilisatrices du statut de validité	Art. 4 §3 Art. 4 §4 Art. 4 §5 Art. 24 §4 bis	statut de révocation publié dans les vingt-quatre heures suivant la réception de la demande Art. 24 §3 Art. 24 §4 bis

Une attestation qualifiée révoquée perd sa validité et ne peut en aucun cas recouvrer son statut antérieur Art. 45 quinquies §4. L’annexe I du règlement d’exécution 2025/1569 rend applicable la spécification ETSI TS 119 471 V1.1.1, moyennant des adaptations ; son annexe II renvoie aux normes de l’annexe II du règlement d’exécution 2024/2979 Annexe I Annexe II ETSI TS 119 471 V1.1.1. Au moins pour les attributs énumérés à l’annexe VI, lorsqu’ils reposent sur des sources authentiques du secteur public, les États membres veillent à ce que des mesures vous permettent de les vérifier par voie électronique, à la demande de l’utilisateur et conformément au droit de l’Union ou au droit national. Ils disposent pour cela de vingt-quatre mois à compter de l’entrée en vigueur des actes d’exécution du portefeuille et de sa certification Art. 45 sexies §1. Les mécanismes de vérification sont prévus par le règlement d’exécution 2025/1569, dont l’article correspondant est applicable à partir du 19 août 2026 Art. 9 §1 Art. 11. Le règlement d’exécution 2026/1735 modifie cet article à partir du 1er janvier 2027 : le mécanisme de vérification devra satisfaire à une nouvelle annexe IV, et le résultat de la vérification sera signé ou cacheté par l’organisme public ou l’intermédiaire désigné Art. 1 §3 Art. 2.

Attestation publique (PuB-EAA)

Le fournisseur est un organisme du secteur public responsable d’une source authentique, ou un organisme public désigné par l’État membre pour agir pour son compte Art. 3 §46.

Obligation	Base légale	Échéance
Délivrer des attestations qui satisfont aux exigences de l’annexe VII	Art. 45 septies §1, a) Annexe VII	—
Signer ou cacheter avec une signature ou un cachet qualifiés dont le certificat qualifié indique que l’organisme est responsable de la source authentique (ou désigné pour son compte), représente sans ambiguïté cette source et identifie le droit qui l’établit	Art. 45 septies §1, b)	—
Présenter un niveau de fiabilité équivalent à celui des prestataires qualifiés (l’État membre y veille)	Art. 45 septies §2	—
Figurer sur la liste que l’État membre notifie à la Commission, avec un rapport d’évaluation de la conformité (obligation de l’État membre)	Art. 45 septies §3 Art. 5 §1	—
Fournir une interface avec les portefeuilles	Art. 45 septies §8	—
Respecter les normes et spécifications des annexes I et II du règlement d’exécution 2025/1569, et le programme d’attestation enregistré le cas échéant	Art. 3 §1 Art. 3 §2	—
Appliquer les règles de révocation et de statut de validité du règlement d’exécution 2025/1569	Art. 4	—

Une attestation publique est « réputée » respecter les exigences du premier paragraphe de cet article (annexe VII et certificat qualifié de l’émetteur) lorsqu’elle respecte les normes, spécifications et procédures de référence Art. 45 septies §5. Révoquée, elle perd sa validité et ne peut pas recouvrer son statut antérieur Art. 45 septies §4. La Commission publie la liste des fournisseurs d’attestations publiques ; cet article est applicable à partir du 19 août 2026 Art. 6 §1 Art. 11.

Catalogues d’attributs et de programmes d’attestation

La Commission publie un catalogue d’attributs et un catalogue de programmes d’attestation d’attributs Art. 7 §1 Art. 8 §1. Un programme d’attestation est un ensemble de règles applicables à un ou plusieurs types d’attestations Art. 2 §4. Son propriétaire peut demander son ajout au catalogue ; la demande est signée ou cachetée au moyen d’une signature ou d’un cachet qualifiés, ou avancés reposant sur un certificat qualifié Art. 8 §3 Art. 8 §4. Les articles sur ces catalogues sont applicables à partir du 19 août 2026 Art. 11.

Les textes à lire, dans l’ordre

Le règlement 910/2014 consolidé : effets juridiques et règles des attestations Art. 45 ter Art. 45 quinquies Art. 45 septies Art. 45 octies Art. 45 novies, avec les annexes V et VII. Fiche du règlement.
Le règlement d’exécution 2024/2977, pour la délivrance aux portefeuilles Art. 4. Fiche.
Le règlement d’exécution 2025/1569 (QEAA et PuB-EAA) Art. 1. Fiche.
La spécification ETSI TS 119 471 (QEAA et PuB-EAA), avec les adaptations de l’annexe I de 2025/1569 ETSI TS 119 471 V1.1.1. Fiche.
La spécification ETSI TS 119 472-1, citée à l’annexe II du règlement d’exécution 2024/2979 pour les profils d’attestations Annexe II ETSI TS 119 472-1 V1.2.1. Fiche.
Le règlement d’exécution 2025/848, pour l’enregistrement et le certificat d’accès Art. 1. Fiche.
Selon votre sorte d’attestation : le règlement d’exécution 2025/2160 (EAA) Art. 1, ou les textes de la fiche prestataire qualifié (QEAA), dont le règlement d’exécution 2025/1566 Art. 1. Fiche de 2025/2160.

Liste de contrôle

Nous savons quelle sorte d’attestation nous délivrons : EAA, QEAA ou PuB-EAA Art. 3 §45 Art. 3 §46.
Nos attestations destinées aux portefeuilles suivent au moins une norme de l’annexe II du règlement d’exécution 2024/2979 Art. 4 §1.
Nous sommes enregistrés comme partie utilisatrice et disposons d’un certificat d’accès Art. 4 §2 Art. 7 §2.
Les données personnelles du service sont séparées logiquement de nos autres données et ne sont pas combinées avec elles Art. 45 novies §1 Art. 45 novies §2.
EAA : nos procédures de gestion des risques sont approuvées par la direction et réexaminées au moins une fois par an Art. 2 §1 Art. 4 §6.
EAA : nous savons notifier un incident important dans les vingt-quatre heures Art. 19 bis §1, b).
QEAA : nous avons le statut qualifié pour ce service, ou suivons la fiche prestataire qualifié Art. 21.
QEAA et PuB-EAA : nous avons vérifié si un programme d’attestation du catalogue couvre nos attestations Art. 3 §2.
QEAA et PuB-EAA : notre mécanisme de révocation protège la vie privée et publie le statut de validité Art. 4 §4 Art. 4 §5.
QEAA et PuB-EAA : notre interface avec les portefeuilles est prête Art. 45 octies §2 Art. 45 septies §8.
PuB-EAA : notre certificat qualifié porte les attributs exigés et notre État membre nous a inclus dans sa notification Art. 45 septies §1, b) Art. 45 septies §3.

Conseils

Conseil Asphalia

Choisir la bonne sorte d’attestation. La question n’est pas technique, elle est juridique : quel effet voulez-vous donner à l’attestation ? Une attestation qualifiée ou publique a le même effet qu’une attestation papier délivrée légalement ; une attestation non qualifiée ne peut simplement pas être écartée au seul motif qu’elle est électronique ou non qualifiée Art. 45 ter §1 Art. 45 ter §2. Si vos clients ont besoin d’un effet juridique équivalent à celui d’une attestation papier, visez la QEAA, avec le coût du statut qualifié. Si vous êtes un organisme public responsable d’une source authentique, la PuB-EAA passe par votre État membre : prenez contact tôt avec lui.

Conseil Asphalia

Les pièges.

Inventer son propre format. Avant de définir vos attributs, cherchez dans les catalogues de la Commission un attribut ou un programme existant Art. 7 Art. 8. Réutiliser facilite l’acceptation par les parties utilisatrices.
Oublier que l’émetteur est aussi partie utilisatrice. Sans enregistrement, pas de certificat d’accès, donc pas de délivrance au portefeuille Art. 4 §2 Art. 7 §2. Lancez l’enregistrement en même temps que le développement.
Concevoir la révocation trop tard. Pour les QEAA et PuB-EAA, elle doit empêcher l’associabilité et la traçabilité Art. 4 §4 ; c’est un choix d’architecture, pas un ajout de dernière minute.
Mutualiser les bases de données. La séparation logique des données, et pour la QEAA la séparation fonctionnelle du service Art. 45 novies §2 Art. 45 novies §3, se décident dès la conception de votre système d’information.

Consolidation sans valeur officielle

Cette page cite les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014, des règlements d’exécution 2024/2977, 2024/2979, 2025/848 et 2025/1569 et de la directive (UE) 2022/2555 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Règlement d'exécution (UE) 2024/2977 — version consolidée au 11/08/2026 Règlement d'exécution (UE) 2024/2979 — version consolidée au 11/08/2026 Règlement d'exécution (UE) 2025/848 — version consolidée au 11/08/2026 Règlement d'exécution (UE) 2025/1569 — version consolidée au 11/08/2026 Directive (UE) 2022/2555 (NIS2) — version consolidée au 27/12/2022. Ces consolidations sont des outils de documentation : seul le Journal officiel de l’Union européenne fait foi.

À retenir

Identifiez d’abord votre sorte d’attestation : EAA, QEAA ou PuB-EAA Art. 3 §45 Art. 3 §46.
Pour délivrer au portefeuille, suivez les normes de l’annexe II du règlement d’exécution 2024/2979 et identifiez-vous avec un certificat d’accès Art. 4 §1 Art. 4 §2.
Ne combinez pas les données du service avec vos autres données Art. 45 novies.
La QEAA exige le statut qualifié et l’annexe V ; la PuB-EAA, l’annexe VII et la notification par l’État membre Art. 45 quinquies §1 Art. 45 septies.
Les normes des QEAA et PuB-EAA figurent dans le règlement d’exécution 2025/1569 Art. 3.

Rédaction Asphalia.