Règlement d’exécution (UE) 2025/1569 de la Commission du 29 juillet 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les attestations électroniques d’attributs qualifiées et les attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte

Vérifié le 2026-10-29

02025R1569 — FR — 11.08.2026 — 001.001

Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document

►B

RÈGLEMENT D’EXÉCUTION (UE) 2025/1569 DE LA COMMISSION

RÈGLEMENT D’EXÉCUTION (UE) 2025/1569 DE LA COMMISSION

du 29 juillet 2025

portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les attestations électroniques d’attributs qualifiées et les attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte

Article premier

Objet et champ d’application

Le présent règlement établit les normes de référence, spécifications et procédures qui s’appliquent aux éléments ci-dessous et doivent être mises à jour régulièrement pour tenir compte de l’évolution des technologies et des normes ainsi que des travaux réalisés sur la base de la recommandation (UE) 2021/946, dont l’architecture et le cadre de référence:

  1. aux attestations électroniques d’attributs qualifiées;
  1. aux attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte;
  1. à la liste des fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte;
  1. au catalogue d’attributs et au catalogue de programmes d’attestation d’attributs visés aux points 1) et 2);
  1. à la vérification des attributs par rapport aux sources authentiques ou via des intermédiaires désignés.

Article 2

Définitions

Aux fins du présent règlement, on entend par:

  1. «unité de portefeuille», une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné;
  1. «utilisateur de portefeuille», un utilisateur qui contrôle l’unité de portefeuille;
  1. «catalogue d’attributs», un répertoire numérique d’attributs qui est tenu à jour et publié en ligne par la Commission;
  1. «programme d’attestation d’attributs», un ensemble de règles applicables à un ou plusieurs types d’attestations électroniques d’attributs;
  1. «type d’attestation électronique d’attributs», un groupe d’attestations électroniques d’attributs auquel sont attribués un nom spécifique et une description sémantique;
  1. «catalogue de programmes d’attestation d’attributs», un répertoire numérique qui contient la liste des programmes d’attestation d’attributs enregistrés conformément au présent règlement et qui est tenu à jour [et publié en ligne] par la Commission;
  1. «solution de portefeuille», une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille;
  1. «instance de portefeuille», l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille;
  1. «application cryptographique sécurisée de portefeuille», une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions;
  1. «dispositif cryptographique sécurisé de portefeuille», un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques;
  1. «fournisseur de portefeuille», une personne physique ou morale qui fournit des solutions de portefeuille;
  1. «actifs critiques», les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises;
  1. «propriétaire d’un programme d’attestation d’attributs», une entité chargée de mettre en place et de tenir à jour un programme d’attestation d’attributs.

Article 3

Délivrance des attestations électroniques d’attributs qualifiées et des attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte

1. Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte respectent les normes de références et spécifications énumérées à l’annexe I et veillent à ce que les attestations électroniques d’attributs qu’ils délivrent soient conformes aux spécifications techniques énoncées à l’annexe II.

▼M1

2. Lorsque les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte délivrent des attestations électroniques d’attributs qui sont couvertes par des programmes enregistrés dans le catalogue de programmes d’attestation d’attributs, ils se conforment aux exigences du programme d’attestation d’attributs correspondant. Les règles et procédures établies par les entités délivrant des attestations pour satisfaire aux exigences des programmes d’attestation d’attributs sont prises en compte dans l’évaluation de la conformité prévue par le règlement (UE) no 910/2014.

▼B

Article 4

Révocation des attestations électroniques d’attributs qualifiées et des attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte

▼M1 —————

▼B

2. Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte sont les seules entités capables de révoquer les attestations électroniques d’attributs qu’ils délivrent.

▼M1

3. Lorsque la période de validité des attestations fournies par les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte est supérieure à 24 heures, les fournisseurs de ces attestations les révoquent au moins dans les cas suivants:

a) à la demande de la personne à laquelle l’attestation électronique d’attributs a été délivrée ou, le cas échéant, de la personne à laquelle l’attestation se rapporte;

b) lorsque le fournisseur apprend que la sécurité ou la fiabilité des attestations électroniques d’attributs qualifiées ou des attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte a été compromise;

c) dans d’autres situations, comme le requiert la législation de l’Union ou le droit national.

4. Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte mettent en place des techniques de révocation et des méthodes de gestion des révocations qui garantissent la protection de la vie privée et empêchent l’associabilité et la traçabilité. Les techniques de révocation satisfont aux exigences énoncées à l’annexe II.

▼B

5. Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte mettent à la disposition des parties utilisatrices des informations sur le statut de validité ou de révocation des attestations électroniques d’attributs qu’ils ont délivrées d’une manière qui garantit l’intégrité et l’authenticité de ces informations.

Article 5

Notification des organismes du secteur public

1. Les États membres transmettent au moins les informations mentionnées à l’annexe III concernant les organismes du secteur public visés à l’article 45 septies, paragraphe 3, du règlement (UE) no 910/2014 au moyen d’un système de notification électronique sécurisé fourni par la Commission.

2. Les États membres notifient toute modification apportée aux informations transmises.

3. Les États membres transmettent les notifications au moins en anglais. Ils ne sont pas tenus de faire traduire les documents à l’appui des notifications si cela engendre une charge administrative ou financière déraisonnable.

4. La Commission peut, au besoin, demander aux États membres de fournir des informations complémentaires.

Article 6

Publication de la liste des organismes du secteur public

1. La Commission établit, tient à jour et publie une liste des fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte à partir des informations notifiées par les États membres au titre de l’article 5.

2. La Commission veille à ce que la liste visée au paragraphe 1 soit accessible:

a) sous une forme portant une signature électronique ou un cachet électronique adaptée au traitement automatisé et sur un site web lisible par l’être humain;

b) sans qu’il soit nécessaire de s’inscrire ou de s’authentifier;

c) en utilisant uniquement le protocole «sécurité de la couche de transport» le plus récent.

3. La Commission publie, par l’intermédiaire d’un canal sécurisé et sans retard injustifié:

a) les spécifications techniques de la liste;

b) l’adresse URL à laquelle la liste est publiée;

c) les certificats à utiliser pour vérifier la signature électronique ou le cachet électronique apposé(e) sur la liste;

d) les informations relatives aux mécanismes utilisés pour valider les modifications apportées ultérieurement à l’adresse ou aux certificats mentionnés aux points b) et c).

Article 7

Création et mise à jour du catalogue d’attributs

1. La Commission établit et publie un catalogue d’attributs et met en place un système sécurisé permettant de demander l’inclusion ou la modification d’attributs dans ce catalogue.

2. La Commission évalue les demandes d’inclusion ou de modification d’un attribut dans le catalogue d’attributs faites au moyen du système visé au paragraphe 1 en tenant compte de tout éventuel avis donné par le groupe de coopération. Dans le cadre de cette évaluation, la Commission examine si l’inclusion de l’attribut contribue à former une base commune permettant des interactions électroniques sécurisées et respectueuses de la vie privée entre les citoyens, les entreprises et les pouvoirs publics et s’il contribue à l’interopérabilité. Le cas échéant, la Commission tient également compte de la réglementation sectorielle.

3. Les États membres demandent que des attributs énumérés à l’annexe VI du règlement (UE) no 910/2014 soient inclus dans le catalogue d’attributs lorsque la vérification de ces attributs par des prestataires de services de confiance qualifiés repose sur des sources authentiques.

4. En outre, les États membres peuvent demander l’inclusion d’attributs qui ne sont pas énumérés à l’annexe VI dans le catalogue d’attributs lorsque ces attributs reposent sur des sources authentiques du secteur public. Les entités privées qui sont considérées comme étant une source première d’informations ou reconnues comme authentiques conformément au droit de l’Union ou au droit national, y compris les pratiques administratives, peuvent demander l’inclusion d’attributs qui ne sont pas énumérés à l’annexe VI dans le catalogue d’attributs, à condition que l’entité à l’origine de la demande soit responsable de ces attributs.

5. La demande d’inclusion ou de modification d’un attribut dans le catalogue contient au moins les informations suivantes:

a) l’identification de l’entité à l’origine de la demande;

b) le cas échéant, une référence à la disposition du droit de l’Union, du droit national ou à la pratique administrative en vertu de laquelle l’entité à l’origine de la demande est considérée comme étant une source première d’informations ou reconnue comme une source authentique;

c) si la demande porte sur un attribut déjà enregistré dans le catalogue ou sur un nouvel attribut;

d) un espace de noms pour l’identifiant des attributs, dont la valeur est unique au sein du catalogue d’attributs;

e) l’identifiant de l’attribut, unique au sein de l’espace de noms, et la version de l’attribut;

f) une description sémantique de l’attribut;

g) le type de données de l’attribut;

h) le point de vérification de l’attribut au niveau national ou un lien renvoyant vers une description des modalités d’ouverture des demandes de vérification.

6. La demande d’inclusion ou de modification d’un attribut est signée ou cachetée par le demandeur au moyen d’une signature électronique qualifiée ou d’un cachet électronique qualifié, ou d’une signature électronique avancée ou d’un cachet électronique avancé reposant sur un certificat qualifié.

7. Après avoir effectué l’évaluation visée au paragraphe 2 et vérifié que les informations fournies dans la demande d’inclusion ou de modification d’un attribut comprennent tous les éléments énumérés au paragraphe 5, la Commission peut inclure ou modifier l’attribut faisant l’objet de la demande dans le catalogue d’attributs.

8. Le catalogue d’attributs, portant le cachet de la Commission, est accessible au public gratuitement, par l’intermédiaire d’un canal sécurisé, sans identification ou authentification préalables, et publié sous une forme lisible à la fois par la machine et par l’être humain. Le catalogue intègre également une fonction de recherche.

9. La Commission publie les spécifications techniques qu’elle utilise pour le catalogue d’attributs.

10. La Commission émet un identifiant unique pour chaque attribut enregistré.

Article 8

Création et mise à jour du catalogue de programmes d’attestation d’attributs

1. La Commission établit et publie un catalogue de programmes d’attestation d’attributs et met en place un système sécurisé permettant de demander l’inclusion ou la modification de programmes d’attestation d’attributs dans ce catalogue.

2. La Commission évalue les demandes d’inclusion ou de modification de programmes d’attestation d’attributs dans le catalogue de programmes d’attestation d’attributs en tenant compte de tout éventuel avis donné par le groupe de coopération. Dans le cadre de cette évaluation, la Commission examine si le programme contribue à former une base commune favorisant des interactions électroniques sécurisées et respectueuses de la vie privée entre les citoyens, les entreprises et les pouvoirs publics et si elle contribue à l’interopérabilité. Le cas échéant, la Commission tient également compte de la réglementation sectorielle.

3. Les propriétaires d’un programme d’attestation d’attributs peuvent demander l’ajout de programmes au catalogue de programmes. Une demande d’inclusion ou de modification d’un programme dans le catalogue de programmes d’attestation d’attributs contient au moins:

a) le nom du programme, choisi par le propriétaire du programme d’attestation d’attributs et unique au sein du catalogue de programmes d’attestation d’attributs;

b) le nom et les coordonnées du propriétaire du programme d’attestation d’attributs;

c) le statut et la version du programme;

d) une référence aux lois, normes ou lignes directrices spécifiques desquelles dépendent la délivrance, la validation ou l’utilisation d’une attestation électronique d’attributs couverte par le programme;

e) le ou les formats de l’attestation électronique d’attributs couverte par le programme;

f) un ou plusieurs espaces de noms, identifiants d’attributs, descriptions sémantiques et types de données pour chaque attribut faisant partie d’une attestation électronique d’attributs couverte par le programme, soit par référence à un attribut figurant dans le catalogue d’attributs visé à l’article 7, soit par référence à un attribut défini de manière similaire dans le cadre du programme;

g) une description du modèle de confiance et des mécanismes de gouvernance appliqués dans le cadre du programme, y compris des mécanismes de révocation;

h) toute exigence concernant les fournisseurs d’attestations électroniques d’attributs ou les sources d’information sur lesquelles ces fournisseurs s’appuient lorsqu’ils délivrent des attestations électroniques d’attributs, y compris toute source authentique, le cas échéant;

i) une déclaration indiquant si les attestations électroniques d’attributs couvertes par le programme doivent être délivrées sous la forme d’attestations électroniques d’attributs qualifiées, d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte, ou les deux.

4. Les programmes qui font l’objet d’une demande d’inclusion dans le catalogue ne contiennent que des attributs identifiables au moyen d’identifiants uniques. La demande d’inclusion ou de modification d’un programme d’attestation d’attributs est signée ou cachetée par le demandeur au moyen d’une signature électronique qualifiée ou d’un cachet électronique qualifié, ou d’une signature électronique avancée ou d’un cachet électronique avancé reposant sur un certificat qualifié.

5. Après avoir effectué l’évaluation visée au paragraphe 2 et vérifié que les informations fournies dans la demande d’inclusion ou de modification d’un programme d’attestation d’attributs comprennent tous les éléments énumérés aux paragraphes 3 et 4, la Commission peut inclure ou modifier le programme faisant l’objet de la demande dans le catalogue de programmes d’attestation d’attributs.

6. Le catalogue de programmes d’attestation d’attributs, portant le cachet de la Commission, est accessible au public gratuitement, par l’intermédiaire d’un canal sécurisé, sans identification ou authentification préalables, et est lisible par la machine et par l’être humain. Le catalogue intègre également une fonction de recherche et se présente dans un format qui garantit l’intégrité et l’authenticité.

7. La Commission publie les spécifications techniques qu’elle utilise pour le catalogue de programmes d’attestation d’attributs.

8. La Commission émet un identifiant unique pour chaque programme d’attestation d’attributs enregistré.

Article 9

Vérification des attributs par rapport aux sources authentiques ou via des intermédiaires désignés

1. Pour permettre la vérification électronique des attributs à la demande de l’utilisateur, telle que prévue à l’article 45 sexies, paragraphe 1, du règlement (UE) no 910/2014, par des prestataires de services de confiance qualifiés délivrant des attestations électroniques d’attributs qualifiées, les États membres mettent en place des mécanismes permettant cette vérification et peuvent mettre à disposition des points de vérification uniques pour les attributs énumérés à l’annexe VI dudit règlement lorsque ces attributs reposent sur des sources authentiques du secteur public. Les États membres publient des informations relatives aux procédures d’ouverture des demandes de vérification et de réception des résultats de la vérification.

2. Le mécanisme de vérification fournit un point d’accès permettant aux prestataires de services de confiance qualifiés délivrant des attestations électroniques d’attributs qualifiées de demander, par voie électronique, la vérification des attributs visés à l’article 45 sexies, paragraphe 1, du règlement (UE) no 910/2014 par rapport aux sources authentiques ou via des intermédiaires désignés reconnus au niveau national. Les attributs faisant l’objet de la vérification seront fournis au point de vérification par le prestataire de services de confiance qualifié à la demande de l’utilisateur. L’organisme du secteur public ou l’intermédiaire désigné communique, par l’intermédiaire du point de vérification, les résultats de la vérification aux prestataires de services de confiance qualifiés délivrant des attestations électroniques d’attributs qualifiées.

3. La demande de vérification contient les attributs et les données d’identification de la personne à laquelle se rapporte l’attribut dont le prestataire de services de confiance qualifié demande la vérification.

4. Le résultat de la vérification indique uniquement si l’attribut a été vérifié ou non et précise l’organisme du secteur public responsable de la source authentique ou, le cas échéant, l’organisme du secteur public désigné pour agir pour le compte de la source authentique ayant servi à la vérification de l’attribut.

5. Les États membres peuvent imposer des contrôles d’accès ou d’autres mécanismes de vérification qui garantissent l’intégrité, l’authenticité et la confidentialité afin d’établir que le demandeur est un prestataire de services de confiance qualifié et qu’il agit à la demande d’un utilisateur légitime. Les États membres peuvent également imposer des mécanismes de contrôle de l’utilisation des méthodes de vérification, lorsqu’ils le jugent approprié, en tenant compte de facteurs pertinents, par exemple du fait que les sources authentiques contiennent des données à caractère personnel de nature confidentielle ou sensible. Lorsque les États membres mettent en place de tels mécanismes de contrôle, ils publient des informations relatives à l’étendue de ces mécanismes dans le cadre des informations visées au paragraphe 1.

Article 10

Interopérabilité et réutilisation

1. Aux fins des articles 3 à 9, les États membres peuvent se référer aux services communs du système technique établi en vertu de l’article 14 du règlement (UE) 2018/1724 ainsi qu’aux composantes nationales qui y sont connectées, et les réutiliser.

2. Lorsqu’elle établit le système de notification sécurisé et la liste des organismes du secteur public visés aux articles 5 et 6 ainsi que les catalogues visés aux articles 7 et 8 du présent règlement, la Commission européenne se réfère aux services communs du système technique prévu par le règlement (UE) 2018/1724 et les réutilise, le cas échéant.

Article 11

Entrée en vigueur et application

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Les articles 6 à 9 sont applicables à partir du 19 août 2026.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.

▼M1

ANNEXE I

Liste des normes de référence et des spécifications mentionnées à l’article 3

ETSI TS 119 471 V1.1.1 (2025-05) s’applique, moyennant les adaptations suivantes:

  1. 2.1 Références normatives

[1] ETSI EN 319 401 V3.2.1 (2026-01): «Signatures électroniques et infrastructures de confiance; exigences de politique générale applicables des prestataires de services de confiance»;

[2] Groupe européen de certification de cybersécurité, sous-groupe sur la cryptographie: «Agreed Cryptographic Mechanisms», publié par l’Agence de l’Union européenne pour la cybersécurité (ENISA);

[3] FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules»;

[4] Règlement d’exécution (UE) 2024/482 de la Commission1;

[5] Règlement d’exécution (UE) 2024/3144 de la Commission2;

[6] ISO/IEC 15408:2022 (parties 1 à 5): «Sécurité de l’information, cybersécurité et protection de la vie privée — Critères d’évaluation pour la sécurité des technologies de l’information».

  1. 3.1 Termes

Le terme suivant est ajouté:

— Dispositif cryptographique sécurisé: dispositif qui contient la clé privée de l’utilisateur, protège cette clé contre toute compromission et exécute des fonctions de signature ou de déchiffrement pour le compte de l’utilisateur.

    1. Services de confiance de l’EAA

— La clause 4.2.2.2 «Vérification des attributs par rapport aux sources authentiques» ne s’applique pas.

— REQ-EAASP-4.2.2.3-02: Le prestataire de services d’attestation électronique d’attribut s’authentifie auprès de l’instance d’EUDIW en mettant en œuvre des mécanismes d’authentification mutuelle qui utilisent un certificat d’accès valide.

— REQ-EAASP-4.2.2.3-03: Le prestataire de services d’attestation électronique d’attribut valide l’unité d’EUDIW et vérifie si l’instance d’EUDIW est révoquée.

— La clause 4.3.2 « EUDIW Specific » ne s’applique pas.

  1. 6.1 Énoncé de pratique de l’EAAS:

— REQ-EAASP-6.1-02: Le prestataire de services d’attestation électronique d’attribut (EAASP) expose le mécanisme de révocation dans l’énoncé de pratique du service d’attestation électronique d’attribut (EAAS).

  1. 6.3 Politique en matière de sécurité de l’information:

— REQ-EAASP-6.3-02: Le prestataire de services d’attestation électronique d’attribut établit des procédures pour informer l’organe de contrôle de toute modification apportée à la fourniture du service de confiance pour l’attestation électronique d’attributs et de l’intention de cesser ces activités, conformément aux exigences opérationnelles et aux dispositions législatives et réglementaires applicables, y compris conformément aux exigences des actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014. Le prestataire de services d’attestation électronique d’attribut adresse une notification à l’organe de contrôle au moins:

— un mois avant la mise en œuvre de toute modification;

— trois mois avant la cessation prévue de la fourniture de services de confiance.

  1. 7.5 Contrôles cryptographiques

— REQ-EAASP-7.5.2-05: néant

— REQ-EAASP-7.5.2-06: néant

— REQ-EAASP-7.5.3-01A: Des contrôles de sécurité appropriés sont mis en place pour la gestion de toutes les clés cryptographiques, de tous les algorithmes cryptographiques et de tous les dispositifs cryptographiques tout au long de leur cycle de vie, en adoptant, le cas échéant, une approche d’agilité cryptographique.

— REQ-EAASP-7.5.3-01B: Aux fins de la fourniture de ses services de confiance, le prestataire de services d’attestation électronique d’attribut sélectionne et utilise des techniques cryptographiques appropriées conformes aux mécanismes cryptographiques agréés approuvés par le groupe européen de certification de cybersécurité et publiés par l’ENISA [2].

— REQ-EAASP-7.5.3-02: Le prestataire de services d’attestation électronique d’attribut veille à ce que le dispositif cryptographique sécurisé qu’il utilise pour la signature ou le cachet numérique de l’attestation électronique d’attribut soit un dispositif de création de signature ou de cachet qualifié et à ce que tous les autres signatures ou cachets numériques utilisés pour fournir le service de confiance pour l’attestation électronique d’attributs correspondant, ou une partie de celui-ci, soient créés au moyen d’un dispositif cryptographique sécurisé qui est un système fiable certifié conformément:

(a) aux critères communs pour l’évaluation de la sécurité des technologies de l’information, tels qu’ils sont définis dans les critères communs pour l’évaluation de la sécurité des technologies de l’information, version 3.1 (CC3.1) jusqu’au 31.8.2027, ou dans la version CC:2022, parties 1 à 5, publiés par les participants à l’arrangement de reconnaissance mutuelle selon les critères communs dans le domaine de la sécurité informatique, ou dans la norme ISO/IEC 15408 [6], et certifiés au niveau EAL 4 ou supérieur; ou

(b) au schéma européen commun de certification de cybersécurité fondé sur des critères communs (EUCC) [4][5] et certifié au niveau EAL 4 ou supérieur; ou

(c) à la norme FIPS-140-2 niveau 3 à utiliser jusqu’au 31.8.2027 pour les systèmes certifiés existants ou à la norme FIPS PUB 140-3 [3] niveau 3 jusqu’au 31.12.2030.

Cette certification est faite par rapport à une cible de sécurité ou à un profil de protection, ou à une conception de module et une documentation de sécurité, répondant aux exigences du présent document, sur la base d’une analyse des risques et en prenant en compte des mesures de sécurité physiques et d’autres mesures de sécurité non techniques.

Si le dispositif cryptographique sécurisé bénéficie d’une certification EUCC [4] [5], ce dispositif doit être configuré et utilisé conformément à cette certification.

— REQ-EAASP-7.5.5-01: néant

— REQ-EAASP-7.5.5-02: néant

— REQ-EAASP-7.5.5-04: néant

  1. 7.9 Vulnérabilités et gestion des incidents

— REQ-EAASP-7.9-02: Les activités de surveillance tiennent compte de la sensibilité de toute information collectée ou analysée.

  1. 7.12 Cessation d’activité et plans de cessation de l’EAASP et de l’EAAS:

— REQ-EAASP-7.12-04: Le plan de cessation d’activité du prestataire de services d’attestation électronique d’attribut satisfait aux exigences énoncées dans les actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014 [i.1].

ANNEXE II

Spécifications techniques visées à l’article 3 et à l’article 4

Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte délivrent leurs attestations conformément à l’une au moins des normes énumérées à l’annexe II du règlement d’exécution (UE) 2024/2979 de la Commission3 et appliquent les techniques de révocation correspondantes, également énoncées dans l’annexe II du règlement d’exécution (UE) 2024/2979 de la Commission.

▼B

ANNEXE III

Notifications visées à l’article 5

Les États membres notifient à la Commission au moins les informations suivantes:

  1. le nom de l’organisme du secteur public et, le cas échéant, son numéro d’immatriculation tels qu’ils figurent dans les registres officiels; l’État membre dans lequel l’organisme du secteur public est établi; la disposition du droit de l’Union ou du droit national en vertu de laquelle l’organisme du secteur public est établi comme étant le responsable de la source authentique sur la base de laquelle l’attestation électronique d’attributs est délivrée ou est désigné pour agir pour le compte de l’organisme du secteur public responsable de la source authentique;

  2. l’adresse électronique et le numéro de téléphone de l’organisme du secteur public;

  3. l’adresse URL de la page web contenant des informations supplémentaires sur l’organisme du secteur public;

  4. le rapport d’évaluation de la conformité prévu à l’article 45 septies, paragraphe 3, du règlement (UE) no 910/2014.

▼M1

ANNEXE IV

Liste des normes et des spécifications techniques mentionnées à l’article 9

Les mécanismes de vérification visés à l’article 9 sont conformes à l’un des éléments suivants, ou aux deux, moyennant les adaptations suivantes:

a) les spécifications techniques énoncées dans la clause 6.1.1 de la norme ETSI TS 119 478  V1.1.1 (2026-01) - Signatures électroniques et infrastructures de confiance (ESI); Spécification des interfaces liées aux sources authentiques;

— REQ-ASIP-6.1.1.2-04-01 [CONDITIONNEL]: Dans le cas où attributeVerificationResult est soit http://uri.etsi.org/19478/VerificationResult/Match soit http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, attributeVerificationResult peut contenir un élément attributeValue.

— REQ-ASIP-6.1.1.2-04-02 [CONDITIONNEL]: Dans le cas où attributeVerificationResult renvoyé est http://uri.etsi.org/19478/VerificationResult/Match et où attributeVerificationResult contient un élément attributeValue, l’élément attributeValue doit contenir la valeur indiquée dans la demande.

— REQ-ASIP-6.1.1.2-04-03 [CONDITIONNEL]: Dans le cas où attributeVerificationResult renvoyé est http://uri.etsi.org/19478/VerificationResult/MatchWithVariation et où attributeVerificationResult contient un élément attributeValue, l’élément attributeValue doit contenir la valeur de l’attribut telle que stockée dans la source authentique.

— REQ-ASIP-6.1.1.2-06-04-01 [CONDITIONNEL]: Dans le cas où fragmentVerificationResult est soit http://uri.etsi.org/19478/VerificationResult/Match soit http://uri.etsi.org/19478/VerificationResult/MatchWithVariation attributeVerificationResult peut contenir un élément fragmentValue.

— REQ-ASIP-6.1.1.2-06-04-02 [CONDITIONNEL]: Dans le cas où fragmentVerificationResult renvoyé est http://uri.etsi.org/19478/VerificationResult/Match et où attributeVerificationResult contient un élément fragmentValue, l’élément fragmentValue doit contenir la valeur indiquée dans la demande.

— REQ-ASIP-6.1.1.2-06-04-03 [CONDITIONNEL]: Dans le cas où fragmentVerificationResult renvoyé est http://uri.etsi.org/19478/VerificationResult/MatchWithVariation et où attributeVerificationResult contient un élément fragmentValue, l’élément fragmentValue doit contenir la valeur du fragment de l’attribut telle que stockée dans la source authentique.

b) les spécifications techniques énoncées dans la clause 6.2.3 de la norme ETSI TS 119 478  V1.1.1 (2026-01) - Signatures électroniques et infrastructures de confiance (ESI); Spécification des interfaces liées aux sources authentiques.

— REQ-ASIP-6.2.3.2.1-08-04: L’élement AttributeVerificationResponse peut contenir exactement un élément enfant au choix entre TextValue, XMLValue ou AttributeProperties.

Footnotes

  1. Règlement d’exécution (UE) 2024/482 de la Commission du 31 janvier 2024 portant modalités d’application du règlement (UE) 2019/881 du Parlement européen et du Conseil en ce qui concerne l’adoption du schéma européen de certification de cybersécurité fondé sur des critères communs (EUCC) (JO L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj). ↩

  2. Règlement d’exécution (UE) 2024/3144 de la Commission du 18 décembre 2024 modifiant le règlement d’exécution (UE) 2024/482 en ce qui concerne les normes internationales applicables et rectifiant ledit règlement d’exécution (JO L, 2024/3144, 19.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/3144/oj). ↩

  3. Règlement d’exécution (UE) 2024/2979 de la Commission du 28 novembre 2024 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne l’intégrité et les fonctionnalités essentielles des portefeuilles européens d’identité numérique (JO L, 2024/2979, 4.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2979/oj). ↩