Règlement d’exécution (UE) 2025/847 de la Commission du 6 mai 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les réactions aux atteintes à la sécurité des portefeuilles européens d’identité numérique

Le présent règlement établit les règles applicables en ce qui concerne les réactions aux atteintes à la sécurité des portefeuilles, des mécanismes de validation visés à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014 et du schéma d’identification électronique dans le cadre duquel les portefeuilles sont fournis.

Aux fins du présent règlement, on entend par: 1) «solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille; 2) «utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille; 3) «partie utilisatrice de portefeuille»: une partie utilisatrice qui a l’intention de se fier à des unités de portefeuille pour fournir des services publics ou privés au moyen d’une interaction numérique; 4) «instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille; 5) «application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions; 6) «dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques; 7) «fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille; 8) «unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné; 9) «actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises; 10) «attestation d’unité de portefeuille»: un objet de données qui décrit les composants de l’unité de portefeuille ou permet l’authentification et la validation de ces composants.

1 Sans préjudice de la directive (UE) 2022/2555 et des règlements (UE) 2019/881 et (UE) 2024/2847, les États membres tiennent dûment compte des critères énoncés à l’annexe I afin d’évaluer si une atteinte à la sécurité ou une compromission d’une solution de portefeuille, des mécanismes de validation visés à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014 ou du schéma d’identification électronique dans le cadre duquel la solution de portefeuille est fournie affecte la fiabilité de cette solution, de ces mécanismes ou de ce schéma, ou la fiabilité d’autres solutions de portefeuille.

2 Lorsqu’un État membre constate, sur la base de l’évaluation prévue au paragraphe 1, qu’une atteinte à la sécurité ou une compromission affecte la fiabilité d’une solution de portefeuille et qu’il suspend la fourniture et l’utilisation de cette solution, il prend les mesures énoncées aux articles 4 et 5. Lorsqu’un État membre retire la solution de portefeuille, il prend les mesures énoncées aux articles 8 et 9.

3 Lorsqu’un État membre a connaissance d’informations relatives à une éventuelle atteinte à la sécurité ou à une éventuelle compromission susceptible d’affecter la fiabilité d’une ou de plusieurs solutions de portefeuille fournies par un autre État membre, il en informe sans retard injustifié la Commission et les points de contact uniques des États membres affectés, désignés conformément à l’article 46 quater, paragraphe 1, du règlement (UE) no 910/2014. Pour ce faire, il communique les informations mentionnées à l’article 5, paragraphe 2.

4 L’État membre qui reçoit des informations fournies conformément au paragraphe 3 prend les mesures énoncées aux paragraphes 1 et 2 sans retard injustifié.

1 Les États membres veillent à ce qu’aucune unité de portefeuille ne soit fournie, utilisée ou activée dans le cadre de la solution de portefeuille suspendue.

2 Les États membres évaluent la nécessité de révoquer des attestations d’unité de portefeuille des unités de portefeuille concernées par la suspension d’une solution de portefeuille, ou de prendre toute autre mesure correctrice supplémentaire, pour réagir de manière adéquate à l’atteinte à la sécurité ou à la compromission.

3 Les mesures énoncées aux paragraphes 1 et 2 sont prises sans retard injustifié et, en tout état de cause, au plus tard 24 heures après la suspension de la fourniture et de l’utilisation de la solution de portefeuille ayant subi une atteinte à la sécurité ou une compromission.

4 Les mesures énoncées aux paragraphes 1 et 2 n’empêchent pas les utilisateurs de portefeuille affectés d’exercer leur droit à la portabilité des données établi à l’article 5 bis, paragraphe 4, point g), du règlement (UE) no 910/2014, à condition que ce droit puisse être exercé par les utilisateurs de portefeuille sans compromettre la sécurité des actifs critiques des unités de portefeuille affectées, compte tenu notamment des raisons de la suspension et de la nécessité d’assurer une protection efficace de ces actifs contre toute utilisation abusive.

1 Des informations concernant la suspension de la fourniture et de l’utilisation d’une solution de portefeuille sont fournies d’une manière claire, complète et facilement accessible, sans retard injustifié et au plus tard 24 heures après cette suspension: a) aux points de contact uniques désignés conformément à l’article 46 quater, paragraphe 1, du règlement (UE) no 910/2014; b) à la Commission; c) aux utilisateurs de portefeuille affectés; d) aux parties utilisatrices de portefeuille enregistrées conformément à l’article 5 ter du règlement (UE) no 910/2014.

2 Les informations fournies conformément au paragraphe 1 incluent au moins les éléments suivants: a) le nom du fournisseur de la solution de portefeuille dont la fourniture et l’utilisation ont été suspendues; b) le nom et l’identifiant de référence de cette solution de portefeuille, tels qu’ils figurent sur la liste des portefeuilles certifiés établie conformément à l’article 5 quinquies du règlement (UE) no 910/2014 et, le cas échéant, les versions concernées; c) la date et l’heure auxquelles l’atteinte à la sécurité ou la compromission a été détectée; d) si elles sont connues, la date et l’heure auxquelles l’atteinte à la sécurité ou la compromission est devenue effective, sur la base des journaux du réseau ou du système ou d’autres sources de données; e) la date et l’heure de la suspension de la solution de portefeuille; f) les coordonnées, y compris au moins une adresse électronique et un numéro de téléphone, de l’État membre notifiant et, si elles sont différentes, du fournisseur de portefeuille visé au point a); g) une description de l’atteinte à la sécurité ou de la compromission; h) une description des données compromises, y compris, le cas échéant, les catégories de données à caractère personnel définies à l’article 9, paragraphe 1, et à l’article 10 du règlement (UE) 2016/679; i) dans la mesure du possible, une estimation du nombre approximatif d’utilisateurs de portefeuille et d’autres personnes physiques affectés; j) une description des incidences potentielles sur les parties utilisatrices de portefeuille ou sur les utilisateurs de portefeuille et, dans ce dernier cas, si nécessaire, une indication des mesures que les utilisateurs de portefeuille peuvent prendre pour atténuer ces incidences potentielles; k) une description des mesures prises ou prévues pour remédier à l’atteinte à la sécurité ou à la compromission, ainsi qu’un calendrier et un délai pour cette remédiation; l) le cas échéant et s’il y a lieu, une description des mesures prises ou prévues pour faire migrer les utilisateurs de portefeuille affectés vers d’autres solutions de portefeuille ou services.

Lorsque cela est nécessaire pour rétablir la fourniture, l’activation et l’utilisation d’une solution de portefeuille, les États membres procèdent, sans retard injustifié; 1) au rétablissement de la fourniture et de l’utilisation des unités de portefeuille fournies dans le cadre de cette solution de portefeuille en délivrant à tous les utilisateurs affectés une unité de portefeuille fournie dans le cadre d’une nouvelle version de cette solution de portefeuille; 2) à la délivrance de nouvelles attestations d’unité de portefeuille à de nouvelles unités de portefeuille ou, le cas échéant, à des unités de portefeuille précédemment délivrées, à condition que ces unités de portefeuille satisfassent aux exigences de sécurité en vigueur après qu’il a été remédié à l’atteinte à la sécurité ou à la compromission; 3) à l’abrogation de toute mesure mise en œuvre conformément à l’article 4 et empêchant la fourniture de nouvelles unités de portefeuille dans le cadre de la solution de portefeuille affectée, lorsque cette mesure était uniquement liée à l’atteinte à la sécurité ou à la compromission ayant fait l’objet d’une remédiation.

Lorsqu’un État membre rétablit une solution de portefeuille, il veille à ce que: 1) toutes les parties ayant reçu des informations sur la suspension de la fourniture et de l’utilisation de cette solution de portefeuille conformément à l’article 5, paragraphe 1, en soient informées sans retard injustifié; 2) les informations fournies conformément au point 1) comprennent au moins les éléments énumérés à l’article 5, paragraphe 2, points a), b) et f) à h), ainsi que les éléments suivants: a) la date et l’heure auxquelles il a été remédié à l’atteinte à la sécurité ou à la compromission; b) la date et l’heure du rétablissement de la solution de portefeuille affectée et, le cas échéant, des unités de portefeuille affectées fournies dans le cadre de cette solution de portefeuille; c) une description des mesures prises pour remédier à l’atteinte à la sécurité ou à la compromission; d) une description des incidences résiduelles potentielles sur les parties utilisatrices de portefeuille ou sur les utilisateurs de portefeuille et, dans ce dernier cas, si nécessaire, une indication des mesures que les utilisateurs de portefeuille peuvent prendre pour atténuer ces incidences résiduelles potentielles.

1 S’il n’est pas remédié à une atteinte à la sécurité ou à une compromission ayant conduit à la suspension de la fourniture et de l’utilisation d’une solution de portefeuille dans un délai de trois mois à compter de la date de cette suspension, l’État membre qui fournit la solution affectée veille à ce qu’elle soit retirée et à ce que sa validité soit révoquée, sans retard injustifié et, en tout état de cause, dans les 72 heures suivant l’expiration du délai de trois mois.

2 Lorsqu’un État membre retire une solution de portefeuille, il veille à ce que: a) les attestations d’unité de portefeuille de l’unité de portefeuille de la solution de portefeuille affectée soient révoquées; b) la validité des attestations d’unité de portefeuille ne puisse pas être restaurée; c) aucune nouvelle attestation d’unité de portefeuille ne puisse être délivrée aux unités de portefeuille existantes fournies dans le cadre de la solution de portefeuille affectée; d) aucune nouvelle unité de portefeuille ne puisse être fournie dans le cadre de la solution de portefeuille affectée.

3 Les mesures énoncées aux paragraphes 1 et 2 n’empêchent pas les utilisateurs de portefeuille affectés d’exercer leur droit à la portabilité des données établi à l’article 5 bis, paragraphe 4, point g), du règlement (UE) no 910/2014, à condition que ce droit puisse être exercé par les utilisateurs de portefeuille sans compromettre la sécurité des actifs critiques des unités de portefeuille affectées, compte tenu notamment des raisons du retrait et de la nécessité d’assurer une protection efficace de ces actifs contre toute utilisation abusive.

1 Des informations concernant le retrait d’une solution de portefeuille sont fournies d’une manière claire, complète et facilement accessible, sans retard injustifié et au plus tard 24 heures après ce retrait: a) aux points de contact uniques désignés conformément à l’article 46 quater, paragraphe 1, du règlement (UE) no 910/2014; b) à la Commission; c) aux utilisateurs de portefeuille affectés; d) aux parties utilisatrices de portefeuille enregistrées conformément à l’article 5 ter du règlement (UE) no 910/2014.

2 Les informations fournies conformément au paragraphe 1 incluent au moins les éléments suivants: a) le nom du fournisseur de la solution de portefeuille qui a été retirée; b) le nom et l’identifiant de référence de cette solution de portefeuille, tels qu’ils figurent sur la liste des portefeuilles certifiés établie conformément à l’article 5 quinquies du règlement (UE) no 910/2014 et, le cas échéant, les versions concernées; c) la date et l’heure de la détection de l’atteinte à la sécurité ou de la compromission qui a conduit au retrait de la solution de portefeuille affectée en raison de la gravité de ces incidents ou parce qu’ils n’ont pas fait l’objet d’une remédiation dans un délai de trois mois; d) si elles sont connues, la date et l’heure auxquelles l’atteinte à la sécurité ou la compromission est devenue effective, sur la base des journaux du réseau ou du système ou d’autres sources de données; e) la date et l’heure du retrait de la solution de portefeuille et de la révocation effective des attestations d’unité de portefeuille des unités de portefeuille fournies dans le cadre de la solution de portefeuille; f) une mention indiquant si le retrait résulte de la gravité de l’atteinte à la sécurité ou de la compromission ou du fait que celles-ci n’ont pas fait l’objet d’une remédiation; g) les coordonnées, y compris au moins une adresse électronique et un numéro de téléphone, de l’État membre notifiant et, si elles sont différentes, du fournisseur de portefeuille visé au point a); h) une description de l’atteinte à la sécurité ou de la compromission; i) une description des données compromises, y compris, le cas échéant, les catégories de données à caractère personnel précisées à l’article 9, paragraphe 1, et à l’article 10 du règlement (UE) 2016/679; j) dans la mesure du possible, une estimation du nombre approximatif d’utilisateurs de portefeuille et d’autres personnes physiques affectés; k) une description des incidences potentielles sur les parties utilisatrices de portefeuille ou sur les utilisateurs de portefeuille et, dans ce dernier cas, si nécessaire, une indication des mesures que les utilisateurs de portefeuille peuvent prendre pour atténuer ces incidences potentielles; l) une description des mesures prises ou prévues pour faire migrer les utilisateurs de portefeuille affectés vers d’autres solutions de portefeuille, ou le cas échéant et s’il y a lieu, vers d’autres services.

Les États membres transmettent les informations prévues aux articles 3, 5, 7 et 9 à la Commission et aux points de contact uniques des États membres désignés en vertu de l’article 46 quater, paragraphe 1, du règlement (UE) no 910/2014, par l’intermédiaire du CIRAS géré par l’ENISA, ou d’un système équivalent approuvé par les États membres et la Commission.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.