Règlement d’exécution (UE) 2024/2980 de la Commission du 28 novembre 2024 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les notifications relatives à l’écosystème des portefeuilles européens d’identité numérique transmises à la Commission

Le présent règlement impose des obligations en ce qui concerne les notifications qui permettent la validation: 1) des registres électroniques utilisés par un État membre pour publier des informations sur les parties utilisatrices de portefeuille enregistrées dans cet État membre conformément à l’article 5 ter, paragraphe 5, du règlement (UE) no 910/2014 (ci-après les «registres des parties utilisatrices de portefeuille»), l’emplacement les registres des parties utilisatrices de portefeuille et l’identification des bureaux d’enregistrement des parties utilisatrices de portefeuille; 2) de l’identité des parties utilisatrices de portefeuille enregistrées; 3) de l’authenticité et de la validité des unités de portefeuille; 4) de l’identification des fournisseurs de portefeuille; 5) de l’authenticité des données d’identification personnelle; 6) de l’identification des fournisseurs de données d’identification personnelle. Le présent règlement doit être mis à jour régulièrement pour tenir compte de l’évolution des technologies et des normes ainsi que des travaux réalisés sur la base de la recommandation (UE) 2021/946, et en particulier l’architecture et le cadre de référence.

Aux fins du présent règlement, on entend par: 1) «fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille; 2) «fournisseur de données d’identification personnelle»: une personne physique ou morale chargée de délivrer et de révoquer les données d’identification personnelle et de veiller à ce que les données d’identification personnelle d’un utilisateur soient liées de manière cryptographique à une unité de portefeuille; 3) «partie utilisatrice de portefeuille»: une partie utilisatrice qui a l’intention de se fier à des unités de portefeuille pour la fourniture de services publics ou privés au moyen d’une interaction numérique; 4) «registre des parties utilisatrices de portefeuille»: un registre électronique utilisé par un État membre pour mettre à la disposition du public les informations relatives aux parties utilisatrices de portefeuille enregistrées dans cet État membre, conformément à l’article 5 ter, paragraphe 5, du règlement (UE) no 910/2014; 5) «bureau d’enregistrement des parties utilisatrices de portefeuille»: l’organisme désigné par un État membre et chargé de dresser et de tenir à jour la liste des parties utilisatrices de portefeuille enregistrées qui sont établies sur le territoire de cet État; 6) «unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné; 7) «solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille; 8) «instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille; 9) «application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions; 10) «dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques; 11) «actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises; 12) «utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille; 13) «fournisseur de certificats d’accès de partie utilisatrice de portefeuille»: une personne physique ou morale mandatée par un État membre pour délivrer des certificats d’accès de partie utilisatrice aux parties utilisatrices de portefeuille enregistrées dans cet État membre; 14) «certificat d’accès de partie utilisatrice de portefeuille»: un certificat de cachet électronique ou de signature électronique qui authentifie et valide la partie utilisatrice de portefeuille et qui est délivré par un fournisseur de certificats d’accès de partie utilisatrice de portefeuille.

1 Au plus tard douze mois après la publication du présent règlement au Journal officiel de l’Union européenne, la Commission met à la disposition des États membres un système de notification électronique sécurisé leur permettant de notifier les informations concernant les organismes et les mécanismes énumérés à l’article 5 bis, paragraphe 18, du règlement (UE) no 910/2014.

2 Le système de notification électronique sécurisé est conforme aux exigences techniques énoncées à l’annexe I.

1 Les États membres transmettent, au moyen du système de notification électronique sécurisé visé à l’article 3, paragraphe 1, au moins les informations énumérées à l’annexe II.

2 Les États membres transmettent les notifications au moins en anglais. Les États membres ne sont pas tenus de faire traduire les documents à l’appui des notifications si cela engendre une charge administrative ou financière déraisonnable.

3 La Commission peut demander aux États membres des informations ou des précisions supplémentaires afin de vérifier l’exhaustivité et la cohérence des informations notifiées.

1 La Commission établit, tient à jour et publie une liste reprenant les informations notifiées par les États membres concernant les bureaux d’enregistrement des parties utilisatrices de portefeuille et les registres des parties utilisatrices de portefeuille, telles qu’elles sont énumérées à l’annexe II, section 1.

2 La Commission établit, tient à jour et publie une liste reprenant les informations notifiées par les États membres concernant les fournisseurs de portefeuille, les fournisseurs de données d’identification personnelle et les fournisseurs de certificats d’accès de partie utilisatrice de portefeuille, telles qu’elles sont énumérées à l’annexe II, sections 2, 3 et 4.

3 La Commission veille à ce que les listes visées aux paragraphes 1 et 2 du présent article soient accessibles: a) tant sous une forme portant une signature électronique ou un cachet électronique adaptée au traitement automatisé que sur un site web lisible par l’être humain et disponible au moins en anglais; b) sans qu’il soit nécessaire de s’inscrire ou de s’authentifier pour obtenir ou consulter les listes; c) en toute sécurité grâce au protocole de chiffrement de la couche de transport le plus récent.

4 Outre les listes visées aux paragraphes 1 et 2, la Commission publie: a) les spécifications techniques qu’elle utilise pour structurer les listes; b) l’adresse URL à laquelle sont publiées les listes; c) les certificats à utiliser pour vérifier la signature ou le cachet des listes; d) les informations sur les mécanismes utilisés pour valider les modifications apportées à l’adresse mentionnée au point b) ou aux certificats mentionnés au point c).

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.