Règlement d’exécution (UE) 2024/2981 de la Commission du 28 novembre 2024 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne la certification des portefeuilles européens d’identité numérique

Le présent règlement définit des normes de référence et établit des spécifications et des procédures visant à mettre en place un cadre solide pour la certification des portefeuilles, qui devra être régulièrement actualisé afin de rester en adéquation avec l’évolution des technologies et des normes et avec les travaux menés sur la base de la recommandation (UE) 2021/946 concernant une boîte à outils commune de l’Union pour une approche coordonnée en vue d’un cadre européen relatif à une identité numérique, et en particulier l’architecture et le cadre de référence.

Aux fins du présent règlement, on entend par: 1) «solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille; 2) «propriétaire du schéma»: un organisme responsable de l’élaboration et de la maintenance d’un schéma de certification; 3) «objet de la certification»: les produits, processus et services, ou une combinaison de ceux-ci, auxquels s’appliquent des exigences précises; 4) «application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions; 5) «instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille, et dont l’utilisateur du portefeuille se sert pour interagir avec l’unité de portefeuille; 6) «dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques; 7) «registre des risques»: un enregistrement des informations pertinentes pour le processus de certification concernant les risques identifiés; 8) «fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille; 9) «organisme de certification»: un organisme tiers d’évaluation de la conformité exploitant des schémas de certification; 10) «unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné; 11) «actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises; 12) «utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille; 13) «incident»: un incident au sens de l’article 6, point 6, de la directive (UE) 2022/2555 du Parlement européen et du Conseil ; 14) «politique de divulgation intégrée»: un ensemble de règles, intégrées dans une attestation électronique d’attributs par le fournisseur de ces derniers, qui indique les conditions qu’une partie utilisatrice de portefeuille doit remplir pour accéder à l’attestation électronique d’attributs.

1 Les États membres désignent un propriétaire du schéma pour chaque schéma national de certification.

2 L’objet de la certification défini dans les schémas nationaux de certification est la fourniture et l’exploitation de solutions de portefeuille et des schémas d’identification électronique dans le cadre duquel elles sont fournies.

3 Conformément au règlement d’exécution (UE) 2015/1502, l’objet de la certification dans les schémas nationaux de certification comprend les éléments suivants: a) les composants logiciels, y compris les paramètres et les configurations d’une solution de portefeuille et du schéma d’identification électronique dans le cadre duquel les solutions de portefeuille sont fournies; b) les composants matériels et les plateformes sur lesquels les composants logiciels visés au point b) fonctionnent ou dont ils dépendent pour des opérations d’importance critique, dans les cas où ils sont fournis directement ou indirectement par la solution de portefeuille et le schéma d’identification électronique dans le cadre desquels ils sont fournis et lorsqu’ils sont tenus d’atteindre le niveau de garantie souhaité pour ces composants logiciels. Lorsque les composants matériels et les plateformes ne sont pas fournis par le fournisseur de portefeuille, les schémas nationaux de certification formulent des hypothèses pour l’évaluation des composants matériels et des plateformes en vertu de laquelle une résistance peut être opposée aux attaquants à potentiel d’attaque élevé conformément au règlement d’exécution (UE) 2015/1502, et précisent les activités d’évaluation visant à confirmer ces hypothèses, visées à l’annexe IV; c) les processus qui soutiennent la fourniture et le fonctionnement d’une solution de portefeuille, y compris le processus d’enrôlement des utilisateurs visé à l’article 5 bis du règlement (UE) no 910/2014, couvrant au moins l’inscription, la gestion des moyens électroniques et l’organisation conformément aux sections 2.1, 2.2 et 2.4 de l’annexe I du règlement d’exécution (UE) 2015/1502.

4 Les schémas nationaux de certification comprennent une description de l’architecture spécifique des solutions de portefeuille et du schéma d’identification électronique dans le cadre duquel elles sont fournies. Lorsque les schémas nationaux de certification couvrent plus d’une architecture spécifique, ils incluent un profil pour chacune de ces architectures.

5 Pour chaque profil, les schémas nationaux de certification définissent au moins les éléments suivants: a) l’architecture spécifique d’une solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie; b) les contrôles de sécurité associés aux niveaux de garantie énoncés à l’article 8 du règlement (UE) no 910/2014; c) un plan d’évaluation établi conformément au point 7.4.1 de la norme EN ISO/IEC 17065:2012; d) les exigences de sécurité nécessaires pour faire face aux risques et menaces de cybersécurité énumérés dans le registre des risques figurant à l’annexe I du présent règlement, jusqu’au niveau de garantie requis, et pour atteindre, le cas échéant, les objectifs définis à l’article 51 du règlement (UE) 2019/881; e) une mise en correspondance des contrôles visés au point b) du présent paragraphe avec les composantes de l’architecture; f) une description de la manière dont les contrôles de sécurité, la mise en correspondance, les exigences de sécurité et le plan d’évaluation visés aux points b) à c) permettent aux fournisseurs de solutions de portefeuille et au schéma d’identification électronique dans le cadre duquel elles sont fournies de faire face de manière adéquate aux risques et menaces de cybersécurité identifiés dans le registre des risques visé au point d), jusqu’au niveau de garantie requis, en s’appuyant sur une analyse de risque permettant d’affiner et de compléter le registre des risques avec des risques et des menaces propres à l’architecture.

6 Le plan d’évaluation visé au paragraphe 5, point c), énumère les activités d’évaluation à inclure dans l’évaluation des solutions de portefeuille et du schéma d’identification électronique dans le cadre duquel elles sont fournies.

7 L’activité d’évaluation visée au paragraphe 6 exige des fournisseurs de solutions de portefeuille et du schéma d’identification électronique dans le cadre duquel ces solutions sont fournies qu’ils communiquent des informations répondant aux exigences énumérées à l’annexe II.

1 Les schémas nationaux de certification couvrent les exigences fonctionnelles, de cybersécurité et de protection des données en utilisant les schémas de certification suivants, lorsqu’ils sont disponibles et applicables: a) les schémas européens de certification de cybersécurité établis en vertu du règlement (UE) 2019/881, notamment le schéma européen de certification de cybersécurité fondé sur des critères communs (EUCC); b) les schémas nationaux de certification de cybersécurité couverts par l’EUCC, conformément à l’article 49 du règlement d’exécution (UE) 2024/482.

2 Les schémas nationaux de certification peuvent en outre faire référence, lorsqu’ils sont disponibles et applicables: a) à d’autres schémas nationaux de certification pertinents; b) à des normes internationales, européennes et nationales; c) à des spécifications techniques qui satisfont aux exigences énoncées à l’annexe II du règlement (UE) no 1025/2012 du Parlement européen et du Conseil .

3 Les schémas nationaux de certification: a) précisent les éléments énumérés au point 6.5 de la norme EN ISO/IEC 17067:2013; b) sont mis en œuvre sous la forme d’un schéma de type 6, conformément au point 5.3.8 de la norme EN ISO/IEC 17067:2013.

4 Les schémas nationaux de certification satisfont aux exigences suivantes: a) seuls les fournisseurs visés à l’article 5 bis, paragraphe 2, du règlement (UE) no 910/2014 peuvent se voir délivrer des certificats dans le cadre des schémas nationaux de certification; b) seul le label de confiance est utilisé comme marque de conformité; c) les fournisseurs de solutions de portefeuille et le schéma d’identification électronique dans le cadre duquel ces solutions sont fournies mentionnent des références au règlement (UE) no 910/2014 et au présent règlement lorsqu’ils font référence au schéma; d) les fournisseurs de solutions de portefeuille et le schéma d’identification électronique dans le cadre duquel ces solutions sont fournies complètent l’évaluation des risques du schéma visée à l’article 3, paragraphe 5, point f), afin de recenser les risques et les menaces propres à leur mise en œuvre de la solution et de proposer des mesures de traitement appropriées pour tous les risques et menaces pertinents; e) les responsabilités et les recours juridictionnels sont établis et comprennent des références à la législation nationale applicable, qui définit les responsabilités et les voies de recours en cas d’utilisation frauduleuse de la certification relevant du schéma.

5 L’évaluation visée au paragraphe 4, point d), est communiquée à l’organisme de certification pour évaluation.

1 Les schémas nationaux de certification contiennent des exigences en matière de gestion des incidents et des vulnérabilités conformément aux paragraphes 2 à 9.

2 Le titulaire du certificat de conformité d’une solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie notifie sans retard injustifié à son organisme de certification toute violation ou altération de la solution de portefeuille, ou du schéma d’identification électronique dans le cadre duquel elle est fournie, susceptible d’avoir une incidence sur sa conformité aux exigences des schémas nationaux de certification.

3 Le titulaire d’un certificat de conformité établit, tient à jour et applique une politique et des procédures en matière de gestion des vulnérabilités, compte tenu des procédures établies dans les normes internationales et européennes existantes, notamment EN ISO/IEC 30111:2019.

4 Le titulaire du certificat de conformité notifie à l’organisme de certification émetteur les vulnérabilités et les modifications affectant la solution de portefeuille, sur la base de critères définis concernant l’incidence de ces vulnérabilités et modifications.

5 Le titulaire du certificat de conformité établit un rapport d’analyse d’impact des vulnérabilités pour toute vulnérabilité affectant les composants logiciels de la solution de portefeuille. Le rapport comporte les informations suivantes: a) l’impact de la vulnérabilité sur la solution de portefeuille certifiée; b) les risques éventuels liés à la proximité ou à la probabilité d’une attaque; c) les éventuelles possibilités de remédier à la vulnérabilité à l’aide des moyens disponibles; d) lorsqu’il est possible de remédier à la vulnérabilité à l’aide des moyens disponibles, les manières envisageables pour y remédier.

6 Lorsqu’une notification est requise au paragraphe 4, le titulaire du certificat de conformité transmet sans retard injustifié à l’organisme de certification le rapport d’analyse d’impact des vulnérabilités mentionné au paragraphe 5.

7 Le titulaire d’un certificat de conformité établit, tient à jour et applique une politique de gestion des vulnérabilités satisfaisant aux exigences énoncées à l’annexe I du règlement sur la cyberrésilience .

8 Les schémas nationaux de certification établissent les exigences en matière de divulgation des vulnérabilités applicables aux organismes de certification.

9 Le titulaire d’un certificat de conformité divulgue et enregistre toute vulnérabilité connue du public et corrigée dans la solution de portefeuille ou dans l’un des répertoires en ligne visés à l’annexe V.

1 Les schémas nationaux de certification prévoient un processus de réexamen périodique de leur fonctionnement. Ce processus vise à confirmer leur caractère adéquat et à recenser les aspects à améliorer, en tenant compte des retours d’information des parties prenantes.

2 Les schémas nationaux de certification prévoient des dispositions relatives à leur maintenance. Ces dispositions comprennent au moins les exigences suivantes: a) des règles concernant la gouvernance de la définition et des exigences des schémas nationaux de certification; b) l’établissement de calendriers pour la délivrance des certificats à la suite de l’adoption de versions actualisées des schémas nationaux de certification, tant pour les nouveaux certificats de conformité que pour les certificats précédemment délivrés; c) un réexamen périodique des schémas nationaux de certification, afin de veiller à l’application cohérente de leurs exigences, en tenant compte au moins des aspects suivants: les demandes de clarification adressées au propriétaire du schéma national de certification en ce qui concerne les exigences de ce schéma, le retour d’information des parties prenantes et des autres parties intéressées, la réactivité du propriétaire du schéma national de certification aux demandes d’informations; d) les règles relatives au suivi des documents de référence et des procédures pour l’évolution des versions de référence des schémas nationaux de certification, y compris au moins les périodes de transition; e) un processus visant à garantir que les risques et menaces les plus récents en matière de cybersécurité énumérés dans le registre des risques figurant à l’annexe I du présent règlement sont couverts; f) un processus relatif à la gestion d’autres modifications dans les schémas nationaux de certification.

3 Les schémas nationaux de certification contiennent des exigences relatives à la réalisation d’évaluations des produits actuellement certifiés dans un certain délai après la révision du schéma, ou après la publication de nouvelles spécifications ou normes, ou de nouvelles versions de celles-ci, auxquelles les solutions de portefeuille et le schéma d’identification électronique dans le cadre duquel elles sont fournies doivent être conformes.

1 Les propriétaires de schémas élaborent et maintiennent des schémas nationaux de certification et régissent leurs activités.

2 Les propriétaires de schémas peuvent sous-traiter tout ou partie de leurs tâches à un tiers. Lorsqu’ils sous-traitent à une partie privée, les propriétaires de schémas définissent par contrat les obligations et les responsabilités de toutes les parties. Les propriétaires de schémas restent responsables de toutes les activités sous-traitées réalisées par leurs sous-traitants.

3 Les propriétaires de schémas exercent leurs activités de surveillance, le cas échéant, au moins sur la base des informations suivantes: a) informations provenant des organismes de certification, des organismes nationaux d’accréditation et des autorités compétentes de surveillance du marché; b) informations issues de leurs propres audits et enquêtes ou de ceux d’une autre autorité; c) réclamations et recours introduits en application de l’article 15.

4 Les propriétaires de schémas informent le groupe de coopération des révisions des schémas nationaux de certification. Cette notification fournit au groupe de coopération des informations adéquates lui permettant de formuler des recommandations à l’intention des propriétaires de schémas et des avis sur les schémas nationaux de certification mis à jour.

1 Les schémas nationaux de certification contiennent des exigences en matière de cybersécurité fondées sur une évaluation des risques pour chaque architecture prise en charge. Ces exigences en matière de cybersécurité visent à traiter les risques et menaces de cybersécurité identifiés, tels qu’énumérés dans le registre des risques figurant à l’annexe I.

2 Conformément à l’article 5 bis, paragraphe 23, du règlement (UE) no 910/2014, les schémas nationaux de certification exigent que les solutions de portefeuille et les schémas d’identification électronique dans le cadre desquels elles sont fournies résistent à des attaquants à potentiel d’attaque élevé et présentent donc un niveau de garantie élevé, conformément au règlement d’exécution (UE) 2015/1502.

3 Les schémas nationaux de certification établissent des critères de sécurité qui comprennent les exigences suivantes: a) celles du règlement sur la cyberrésilience, le cas échéant, ou les exigences répondant aux objectifs de sécurité énoncés à l’article 51 du règlement (UE) 2019/881; b) l’établissement et la mise en œuvre de politiques et de procédures concernant la gestion des risques liés à l’exploitation d’une solution de portefeuille, y compris l’identification et l’évaluation des risques et l’atténuation des risques identifiés; c) l’établissement et la mise en œuvre de politiques et de procédures relatives à la gestion des modifications et à la gestion des vulnérabilités conformément à l’article 5 du présent règlement; d) l’établissement et la mise en œuvre de politiques et de procédures de gestion des ressources humaines, y compris des exigences en matière d’expertise, de fiabilité, d’expérience, de formation en matière de sécurité et de qualifications du personnel participant au développement ou à l’exploitation de la solution de portefeuille; e) les exigences relatives à l’environnement d’exploitation de la solution de portefeuille, notamment sous la forme d’hypothèses concernant la sécurité des dispositifs et plateformes sur lesquels fonctionnent les composants logiciels de la solution de portefeuille, y compris les WSCD et, si nécessaire et le cas échéant, les exigences en matière d’évaluation de la conformité permettant de confirmer que ces hypothèses sont vérifiées sur les dispositifs et plateformes concernés; f) pour toute hypothèse qui n’est pas étayée par un certificat de conformité ou d’autres informations acceptables en matière de garantie, une description du mécanisme que le fournisseur de portefeuille utilise pour étayer l’hypothèse, ainsi qu’une justification du fait que le mécanisme est suffisant pour faire en sorte que l’hypothèse soit vérifiée; g) la mise en place et l’application de mesures qui garantissent que la version de la solution de portefeuille actuellement utilisée est certifiée.

4 Les schémas nationaux de certification contiennent des exigences fonctionnelles relatives aux mécanismes de mise à jour pour chaque composant logiciel des solutions de portefeuille et du schéma d’identification électronique dans le cadre duquel ces solutions sont fournies pour les opérations énumérées à l’annexe III.

5 Les schémas nationaux de certification exigent que les informations et documents suivants soient fournis ou mis à la disposition de l’organisme de certification par le demandeur de la certification: a) les éléments de preuve relatifs aux informations visées à l’annexe IV, point 1, y compris, le cas échéant, des précisions sur la solution de portefeuille et son code source, telles que: des informations sur l’architecture: pour chaque composant de la solution de portefeuille (y compris les composants de produits, de processus et de services), une description de ses propriétés essentielles de sécurité, notamment ses dépendances externes, des contrôles et des niveaux de garantie: pour chaque contrôle de sécurité de la solution de portefeuille, une description du contrôle et du niveau de garantie requis, sur la base de l’annexe du règlement d’exécution (UE) 2015/1502, qui définit un certain nombre de spécifications techniques et de procédures applicables aux différents contrôles mis en œuvre par les moyens d’identification électronique, une mise en correspondance des contrôles avec les composantes de l’architecture: une description de la manière dont les contrôles du portefeuille sont mis en œuvre à l’aide des différents composants de la solution de portefeuille, fondée sur un exposé des motifs pour lesquels un certain niveau de garantie est requis, et une explication de la manière dont le contrôle est mis en œuvre avec tous les aspects de sécurité requis au niveau approprié, une motivation et une justification de la couverture des risques: une justification: de la mise en correspondance des contrôles avec les composants, de la pertinence du plan d’évaluation proposé pour que tous les contrôles soient couverts de manière appropriée, la couverture fournie par les contrôles des risques et menaces liés à la cybersécurité recensés dans le registre des risques, complétés par des contrôles des risques et des menaces spécifiques à la mise en œuvre, au niveau de garantie approprié; b) les informations énumérées à l’annexe V; c) une liste complète des certificats de conformité et des autres informations en matière de garantie utilisées comme preuves au cours des activités d’évaluation; d) toute autre information pertinente pour les activités d’évaluation.

1 Les organismes de certification sont accrédités par des organismes nationaux d’accréditation désignés en application du règlement (CE) no 765/2008 du Parlement européen et du Conseil conformément à la norme EN ISO/IEC 17065:2012, pour autant qu’ils satisfassent aux exigences énoncées dans les schémas nationaux de certification conformément au paragraphe 2.

2 Aux fins de l’accréditation, les organismes de certification satisfont à toutes les exigences de compétence suivantes: a) connaissance détaillée et technique des architectures pertinentes d’une solution de portefeuille et du schéma d’identification électronique dans le cadre duquel celle-ci est fournie, ainsi que des menaces et des risques pertinents pour ces architectures; b) connaissance des solutions de sécurité disponibles et de leurs propriétés conformément à l’annexe du règlement d’exécution (UE) 2015/1502; c) connaissance des activités exécutées au titre des certificats de conformité appliqués aux composants de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel celle-ci est fournie, comme faisant l’objet de la certification; d) connaissance détaillée du schéma national de certification applicable établi conformément au chapitre II.

3 Les organismes de certification exercent leurs activités de surveillance notamment sur la base des informations suivantes: a) informations provenant des organismes nationaux d’accréditation et des autorités compétentes de surveillance du marché; b) informations issues de leurs propres audits et enquêtes ou de ceux d’une autre autorité; c) réclamations et recours introduits en application de l’article 15.

Les organismes de certification peuvent sous-traiter les activités d’évaluation visées à l’article 13 à des tiers. Lorsque les activités d’évaluation sont sous-traitées, les schémas nationaux de certification établissent: 1) que tous les sous-traitants de l’organisme de certification effectuant des activités d’évaluation satisfont, le cas échéant et en fonction des activités à réaliser, aux exigences de normes harmonisées telles que EN ISO/IEC 17025:2017 pour les essais, EN ISO/IEC 17020:2012 pour l’inspection, EN ISO/IEC 17021-1:2015 pour l’audit et EN ISO/IEC 17029:2019 pour la validation et la vérification; 2) que les organismes de certification assument la responsabilité de toutes les activités d’évaluation sous-traitées à d’autres organismes et démontrent qu’ils ont pris les mesures appropriées au cours de leur accréditation, y compris en s’appuyant, le cas échéant, sur leur propre accréditation de leurs sous-traitants; 3) dans quelle mesure un accord préalable à la sous-traitance doit être obtenu auprès des propriétaires de schémas ou du client dont la solution de portefeuille est certifiée dans le cadre du schéma de certification.

Les organismes de certification notifient à l’organe de contrôle visé à l’article 46 bis, paragraphe 1, du règlement (UE) no 910/2014 la délivrance, la suspension et l’annulation des certificats de conformité d’une solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie.

1 Les organismes de certification suspendent, sans retard injustifié, le certificat de conformité des solutions de portefeuille et du schéma d’identification électronique dans le cadre duquel elles sont fournies après avoir confirmé que l’atteinte à la sécurité ou l’altération notifiée a un impact sur la conformité avec les exigences des schémas nationaux de certification de la solution de portefeuille ou du schéma d’identification électronique dans le cadre duquel elle est fournie.

2 Les organismes de certification annulent le certificat de conformité qui a été suspendu à la suite d’une atteinte à la sécurité ou d’une altération à laquelle il n’a pas été remédié en temps utile.

3 Les organismes de certification annulent les certificats de conformité lorsqu’il n’a pas été remédié en temps utile à une vulnérabilité identifiée de manière proportionnée à sa gravité et à son impact potentiel, conformément à l’article 5 quater, paragraphe 4, et à l’article 5 sexies, paragraphe 2, du règlement (UE) no 910/2014.

1 Les schémas nationaux de certification contiennent les méthodes et procédures à utiliser par les organismes d’évaluation de la conformité dans le cadre de leurs activités d’évaluation conformément à la norme EN ISO/IEC 17065:2012, qui couvrent au moins les aspects suivants: a) les méthodes et procédures permettant d’exécuter les activités d’évaluation, y compris celles liées au WSCD, comme indiqué à l’annexe IV; b) l’audit de la mise en œuvre de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie, sur la base du registre des risques figurant à l’annexe I complété, si nécessaire, par des risques propres à la mise en œuvre; c) les activités de test fonctionnel, fondées, lorsqu’elles sont disponibles et appropriées, sur des suites d’essais définies conformément aux spécifications ou normes techniques; d) l’évaluation de l’existence et de l’adéquation des processus de maintenance, y compris au moins la gestion de la version, la gestion des mises à jour et la gestion des vulnérabilités; e) l’évaluation de l’efficacité opérationnelle des processus de maintenance, y compris au moins la gestion de la version, la gestion des mises à jour et la gestion des vulnérabilités; f) l’analyse des dépendances communiquée par le fournisseur de portefeuille, notamment une méthode d’évaluation de l’acceptabilité des informations en matière de garantie, qui comprend les éléments énoncés à l’annexe VI; g) l’évaluation des vulnérabilités, au niveau approprié, y compris: un examen de la conception de la solution de portefeuille et, le cas échéant, de son code source, des tests de résistance de la solution de portefeuille à des attaquants à potentiel d’attaque élevé pour le niveau de garantie «élevé» conformément à la section 2.2.1 de l’annexe du règlement d’exécution (UE) 2015/1502; h) l’évaluation de l’évolution de l’environnement de menaces et de son impact sur la couverture des risques par la solution de portefeuille, afin de déterminer les activités d’évaluation à exécuter sur les différents composants de la solution de portefeuille.

2 Les schémas nationaux de certification contiennent une évaluation visant à déterminer si la mise en œuvre de solutions de portefeuille et le schéma d’identification électronique dans le cadre duquel ces solutions sont fournies correspondent à l’architecture définie à l’article 3, paragraphe 5, point a), ainsi qu’une évaluation visant à déterminer si le plan d’évaluation proposé conjointement avec la mise en œuvre correspond au plan d’évaluation visé à l’article 3, paragraphe 5, point c).

3 Les schémas nationaux de certification définissent des règles d’échantillonnage de manière à éviter de reproduire des activités d’évaluation identiques et afin de se concentrer sur des activités spécifiques à une variante donnée. Ces règles d’échantillonnage permettent de ne réaliser des tests fonctionnels et des tests de sécurité que sur un échantillon de variantes d’un composant cible de solution de portefeuille et du schéma d’identification électronique dans le cadre duquel la solution est fournie et sur un échantillon de dispositifs cibles. Les schémas nationaux de certification exigent de tous les organismes de certification qu’ils justifient leur recours à l’échantillonnage.

4 Les schémas nationaux de certification exigent que l’organisme de certification évalue la WSCA sur la base des méthodes et procédures décrites à l’annexe IV.

1 Les schémas nationaux de certification prévoient une activité d’attestation pour la délivrance d’un certificat de conformité, conformément à la norme EN ISO/IEC 17067:2013, tableau 1, section V a), portant notamment sur: a) le contenu du certificat de conformité prévu à l’annexe VII; b) la manière dont les résultats de l’évaluation doivent être consignés dans le rapport public de certification, y compris au moins un résumé du plan préliminaire d’audit et de validation, comme indiqué à l’annexe VIII; c) le contenu des résultats de l’évaluation consignés dans le rapport d’évaluation de la certification, y compris les éléments énoncés à l’annexe VIII.

2 Le rapport d’évaluation de la certification peut être mis à la disposition du groupe de coopération et de la Commission.

Les schémas nationaux de certification contiennent des procédures ou des références à la législation nationale applicable, qui définissent le mécanisme relatif à l’introduction et au traitement efficaces de réclamations et de recours liés à leur mise en œuvre du schéma de certification ou à un certificat de conformité délivré. Ces procédures comprennent la communication à l’auteur de la réclamation d’informations sur l’état d’avancement de la procédure et sur la décision prise ainsi que sur le droit à un recours juridictionnel effectif. Les schémas nationaux de certification exigent que toutes les réclamations et tous les recours qui n’ont pas été résolus ou qui ne peuvent pas être résolus par l’organisme de certification soient envoyés au propriétaire du schéma pour évaluation et résolution.

1 Les schémas nationaux de certification exigent que les organismes de certification mettent en œuvre des activités de surveillance consistant en une évaluation de processus combinée à des tests ou inspections aléatoires.

2 Les schémas nationaux de certification contiennent des exigences imposant aux propriétaires de schémas de contrôler le respect, par les organismes de certification, des obligations qui leur incombent en vertu du règlement (UE) no 910/2014 et des schémas nationaux de certification, le cas échéant.

3 Les schémas nationaux de certification contiennent des exigences imposant aux organismes de certification de contrôler les éléments suivants: a) le respect, par les titulaires d’un certificat de conformité délivré dans le cadre de schémas nationaux de certification, des obligations qui leur incombent en matière de certification en vertu du règlement (UE) no 910/2014 et des schémas nationaux de certification; b) la conformité de la solution de portefeuille certifiée aux exigences énoncées dans les schémas nationaux de certification.

Les schémas nationaux de certification définissent les conséquences de la non-conformité d’une solution de portefeuille certifiée et du schéma d’identification électronique dans le cadre duquel elle est fournie avec les exigences énoncées dans le présent règlement. Ces conséquences comprennent notamment: 1) l’obligation faite à l’organisme de certification d’informer le titulaire du certificat de conformité et de lui demander d’appliquer des mesures correctives; 2) l’obligation faite à l’organisme de certification d’informer les autres autorités de surveillance du marché concernées lorsque la non-conformité concerne la législation pertinente de l’Union; 3) les conditions d’exécution des actions correctives par le titulaire du certificat de conformité; 4) les conditions de suspension d’un certificat de conformité par l’organisme de certification et de rétablissement du certificat de conformité après qu’il a été remédié à la non-conformité; 5) les conditions d’annulation d’un certificat de conformité par l’organisme de certification; 6) les conséquences du non-respect, par l’organisme de certification, des exigences du schéma national de certification.

1 La validité des certificats de conformité délivrés dans le cadre de schémas nationaux de certification fait l’objet d’activités d’évaluation régulières exécutées par l’organisme de certification conformément aux exigences énoncées à l’annexe IX.

2 Les schémas nationaux de certification contiennent un processus de recertification des solutions de portefeuille et du schéma d’identification électronique dans le cadre duquel elles sont fournies, à la demande du titulaire du certificat de conformité avant l’expiration du certificat de conformité initial. Ce processus de recertification comprend une évaluation complète de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie, y compris une évaluation des vulnérabilités, conformément aux principes énoncés à l’annexe IX.

3 Les schémas nationaux de certification contiennent une procédure pour la gestion des modifications apportées à une solution de portefeuille certifiée et au schéma d’identification électronique dans le cadre duquel elle est fournie. Cette procédure comprend des règles permettant de déterminer si une modification doit être soumise à l’évaluation spéciale mentionnée au paragraphe 4 ou à la vérification de l’efficacité opérationnelle des processus de maintenance mentionnée à l’annexe IV.

4 Les schémas nationaux de certification contiennent une procédure relative aux évaluations spéciales conforme à la norme EN ISO/IEC 17065:2012. Cette procédure comprend une série d’activités à réaliser pour résoudre le problème spécifique qui a rendu nécessaire l’évaluation spéciale.

5 Les schémas nationaux de certification établissent les règles applicables à l’annulation d’un certificat de conformité.

1 Les schémas nationaux de certification contiennent des dispositions applicables aux organismes de certification concernant un système permettant d’enregistrer toutes les informations pertinentes produites en lien avec les activités d’évaluation de la conformité qu’ils réalisent, y compris les données délivrées et reçues par les fournisseurs de solutions de portefeuille et les schémas d’identification électronique dans le cadre desquels ces solutions sont fournies. Les enregistrements de ces informations sont conservés de manière sécurisée. Les enregistrements peuvent être conservés sous forme électronique et restent accessibles aussi longtemps que le droit de l’Union ou le droit national l’exige, et pendant au moins cinq ans après l’annulation ou l’expiration du certificat de conformité correspondant.

2 Les schémas nationaux de certification imposent au titulaire du certificat de conformité de conserver de manière sécurisée les informations suivantes aux fins du présent règlement, et ce pendant au moins cinq ans après l’annulation ou l’expiration du certificat de conformité correspondant: a) les enregistrements des informations fournies à l’organisme de certification ou à l’un quelconque de ses sous-traitants au cours de la procédure de certification; b) des échantillons de composants matériels qui relèvent du champ d’application de la certification de la solution de portefeuille.

3 Les schémas nationaux de certification exigent du titulaire du certificat de conformité qu’il mette, sur demande, les informations visées au paragraphe 1 à la disposition de l’organisme de certification ou de l’organe de contrôle visé à l’article 46 bis, paragraphe 1, du règlement (UE) no 910/2014.

Dans le cadre des schémas nationaux de certification, toutes les personnes ou organisations qui se voient accorder l’accès à des informations au titre de l’exécution d’activités relevant du schéma national de certification sont tenues d’assurer la sécurité et la protection des secrets d’affaires et autres informations confidentielles, ainsi que de préserver les droits de propriété intellectuelle, et de prendre les mesures techniques et organisationnelles nécessaires et appropriées pour garantir cette confidentialité.

Le présent règlement fait l’objet d’un réexamen, lors de l’adoption du premier schéma européen de certification de cybersécurité pour les solutions de portefeuille et les schémas d’identification électronique dans le cadre desquels celles-ci sont fournies, dans le but de tenir compte de la contribution de ce schéma à la certification globale des solutions de portefeuille et des schémas d’identification électronique dans le cadre desquels elles sont fournies.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.