Règlement d’exécution (UE) 2025/848 de la Commission du 6 mai 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne l’enregistrement des parties utilisatrices de portefeuille

Le présent règlement établit les règles relatives à l’enregistrement des parties utilisatrices de portefeuille.

Aux fins du présent règlement, on entend par: 1) «partie utilisatrice de portefeuille»: une partie utilisatrice qui a l’intention de se fier à des unités de portefeuille pour la fourniture de services publics ou privés au moyen d’une interaction numérique; 2) «unité de portefeuille»: une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné; 3) «solution de portefeuille»: une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille; 4) «instance de portefeuille»: l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille; 5) «application cryptographique sécurisée de portefeuille»: une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions; 6) «dispositif cryptographique sécurisé de portefeuille»: un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques; 7) «actifs critiques»: les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises; 8) «fournisseur de portefeuille»: une personne physique ou morale qui fournit des solutions de portefeuille; 9) «utilisateur de portefeuille»: un utilisateur qui contrôle l’unité de portefeuille; 10) «registre national des parties utilisatrices de portefeuille»: un registre électronique national utilisé par un État membre pour mettre à la disposition du public les informations relatives aux parties utilisatrices de portefeuille enregistrées dans cet État membre, conformément à l’article 5 ter, paragraphe 5, du règlement (UE) no 910/2014; 11) «fournisseur de certificats d’accès de partie utilisatrice de portefeuille»: une personne physique ou morale mandatée par un État membre pour délivrer des certificats d’accès de partie utilisatrice de portefeuille aux parties utilisatrices de portefeuille enregistrées dans cet État membre; 12) «certificat d’accès de partie utilisatrice de portefeuille»: un certificat de cachet électronique ou de signature électronique qui authentifie et valide la partie utilisatrice de portefeuille et qui est délivré par un fournisseur de certificats d’accès de partie utilisatrice de portefeuille; 13) «fournisseur de données d’identification personnelle»: une personne physique ou morale chargée de délivrer et de révoquer les données d’identification personnelle et de veiller à ce que les données d’identification personnelle d’un utilisateur soient liées de manière cryptographique à une unité de portefeuille; 14) «bureau d’enregistrement des parties utilisatrices de portefeuille»: l’organisme désigné par un État membre et chargé de dresser et de tenir à jour la liste des parties utilisatrices de portefeuille enregistrées qui sont établies sur le territoire de cet État; 15) «certificat d’enregistrement de partie utilisatrice de portefeuille»: un objet de données qui décrit l’utilisation prévue de la partir utilisatrice et indique les attributs pour lesquels la partie utilisatrice a enregistré son intention de les demander aux utilisateurs; 16) «fournisseur de certificats d’enregistrement de partie utilisatrice de portefeuille»: une personne physique ou morale mandatée par un État membre pour délivrer des certificats d’enregistrement de partie utilisatrice de portefeuille aux parties utilisatrices de portefeuille enregistrées dans cet État membre.

1 Les États membres mettent en place et tiennent à jour au moins un registre national des parties utilisatrices de portefeuille contenant des informations relatives aux parties utilisatrices de portefeuille enregistrées qui sont établies sur leur territoire.

2 Ce registre comporte au moins les informations indiquées à l’annexe I.

3 Les États membres désignent au moins un bureau d’enregistrement chargé de gérer et d’exploiter au moins un registre national des parties utilisatrices de portefeuille.

4 Les États membres mettent les informations visées à l’annexe I sur les parties utilisatrices de portefeuille enregistrées à la disposition du public en ligne, à la fois sous une forme lisible par l’être humain et sous une forme adaptée à un traitement automatisé.

5 Les informations visées au paragraphe 2 sont consultables par l’intermédiaire d’une interface de programmation d’application (API) commune unique et d’un site web national. Elles portent la signature électronique ou le cachet électronique du bureau d’enregistrement, apposés par lui ou en son nom, conformément aux exigences communes relatives à une API unique énoncées à l’annexe II, section 1.

6 Les États membres veillent à ce que l’API visée au paragraphe 5 soit conforme aux exigences communes énoncées à l’annexe II, section 2.

7 Les États membres veillent à ce que les registres soient conformes aux politiques d’enregistrement communes visées à l’article 4.

1 Les États membres définissent et publient une ou plusieurs politiques d’enregistrement nationales applicables aux registres nationaux établis sur leur territoire.

2 Les États membres peuvent intégrer ou réutiliser des politiques d’enregistrement sectorielles ou nationales existantes.

3 La politique nationale d’enregistrement comprend au moins des informations sur: a) les procédures d’identification et d’authentification applicables aux parties utilisatrices de portefeuille lors de la procédure d’enregistrement; b) les pièces justificatives requises concernant l’identité, l’immatriculation au registre du commerce, les habilitations applicables et autres informations utiles sur la partie utilisatrice de portefeuille; c) les sources authentiques ou autres systèmes d’enregistrement électronique officiels, et dans quelle mesure il est possible de se fier à ces sources ou systèmes d’enregistrement pour l’obtention de données exactes; d) toute autre information ou tout autre élément de preuve requis dans le cadre de la procédure d’enregistrement; e) le cas échéant, les moyens automatisés permettant aux parties utilisatrices de portefeuille de s’enregistrer ou de mettre à jour un enregistrement existant; f) le mécanisme de recours dont disposent les parties utilisatrices de portefeuille en vertu des dispositions législatives et des procédures de l’État membre dans lequel le registre national est établi; g) les règles et procédures de vérification de l’identité des parties utilisatrices de portefeuille enregistrées et de toute autre information utile fournie par cette partie.

4 Les procédures et documents visés au paragraphe 3, points a) et b), permettent aux parties utilisatrices de portefeuille d’indiquer en vertu de quelles habilitations spécifiques elles agissent, comme indiqué à l’annexe I.

5 Le cas échéant, les exigences énoncées dans la politique d’enregistrement nationale ne font pas obstacle à un processus d’enregistrement automatisé.

1 Les parties utilisatrices de portefeuille fournissent au moins les informations mentionnées à l’annexe I aux registres nationaux.

2 Les parties utilisatrices de portefeuille veillent à ce que les informations fournies soient exactes au moment de l’enregistrement.

3 Les parties utilisatrices de portefeuille mettent à jour sans retard injustifié toute information précédemment enregistrée dans le registre national des parties utilisatrices de portefeuille.

1 Les bureaux d’enregistrement établissent des procédures d’enregistrement électroniques faciles à utiliser et, dans la mesure du possible, automatisées pour les parties utilisatrices de portefeuille.

2 Les bureaux d’enregistrement traitent les demandes d’enregistrement dans les meilleurs délais.et répondent à la demande d’enregistrement du demandeur dans le délai prévu par la politique d’enregistrement applicable, par des moyens appropriés et conformément aux dispositions législatives et aux procédures de l’État membre dans lequel le registre national est établi.

3 Dans la mesure du possible, les bureaux d’enregistrement vérifient de manière automatisée: a) l’exactitude, la validité, l’authenticité et l’intégrité des informations requises en vertu de l’article 5; b) le cas échéant, la procuration des représentants des parties utilisatrices de portefeuille, établie et présentée conformément aux dispositions législatives et aux procédures de l’État membre dans lequel le registre national est établi; c) le type d’habilitation des parties utilisatrices de portefeuille, tel que défini à l’annexe I; d) l’absence d’enregistrement existant dans un autre registre national.

4 Les bureaux d’enregistrement vérifient les informations énumérées au paragraphe 3 au regard des pièces justificatives fournies par les parties utilisatrices de portefeuille ou au regard de sources authentiques appropriées ou d’autres systèmes d’enregistrement électronique officiels dans l’État membre où le registre national est établi et auxquels les bureaux d’enregistrement ont accès conformément aux dispositions législatives et aux procédures nationales applicables.

5 La vérification des habilitations des parties utilisatrices de portefeuille visée au paragraphe 3, point c), est effectuée conformément à l’annexe III.

6 S’il n’est pas en mesure de vérifier les informations conformément aux paragraphes 3 à 5, le bureau d’enregistrement rejette l’enregistrement.

7 Lorsqu’une partie utilisatrice de portefeuille n’a plus l’intention de se fier à des unités de portefeuille pour la fourniture de services publics ou privés dans le cadre d’un enregistrement spécifique, elle en informe le bureau d’enregistrement compétent dans les meilleurs délais et demande l’annulation de cet enregistrement.

1 Les États membres autorisent au moins une autorité de certification à délivrer des certificats d’accès de partie utilisatrice de portefeuille.

2 Les États membres veillent à ce que les fournisseurs de certificats d’accès de partie utilisatrice de portefeuille délivrent lesdits certificats aux seules parties utilisatrices de portefeuille enregistrées.

3 Les États membres établissent des politiques en matière de certificats et des énoncés des pratiques de certification spécifiques pour les certificats d’accès de partie utilisatrice de portefeuille, conformément aux exigences énoncées à l’annexe IV.

1 Les États membres peuvent autoriser au moins une autorité de certification à délivrer des certificats d’enregistrement de partie utilisatrice de portefeuille.

2 Lorsqu’un État membre a autorisé la délivrance d’un certificat d’enregistrement de partie utilisatrice de portefeuille, cet État membre: a) impose aux fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille l’obligation de délivrer lesdits certificats aux seules parties utilisatrices de portefeuille enregistrées; b) veille à ce que chaque utilisation prévue soit exprimée dans les certificats d’enregistrement de partie utilisatrice de portefeuille; c) veille à ce que les certificats d’enregistrement de partie utilisatrice de portefeuille comportent une politique d’accès générale, dont l’harmonisation syntaxique et sémantique est assurée dans l’ensemble de l’Union, informant les utilisateurs que la partie utilisatrice de portefeuille est uniquement autorisée à demander les données spécifiées dans les certificats d’enregistrement pour l’utilisation prévue enregistrée dans lesdits certificats; d) veille à ce que les fournisseurs de solutions de portefeuille établis dans cet État membre se conforment à la politique d’accès générale en informant les utilisateurs lorsqu’une partie utilisatrice de portefeuille demande des données qui ne figurent pas dans les certificats d’enregistrement; e) met en œuvre les certificats d’enregistrement de partie utilisatrice de portefeuille en assurant leur harmonisation syntaxique et sémantique et dans le respect des exigences énoncées à l’annexe V; f) met en œuvre des politiques en matière de certificats et des énoncés des pratiques de certification spécifiques pour les certificats d’enregistrement de partie utilisatrice de portefeuille, conformément aux exigences énoncées à l’annexe V; g) veille à ce que les parties utilisatrices de portefeuille fournissent un URL pour la politique en matière de protection de la vie privée concernant l’utilisation prévue.

3 La politique visée au point g) est exprimée dans le certificat d’enregistrement de partie utilisatrice de portefeuille.

1 Les bureaux d’enregistrement suspendent ou annulent l’enregistrement d’une partie utilisatrice de portefeuille lorsque cette suspension ou cette annulation est demandée par un organe de contrôle en vertu de l’article 46 bis, paragraphe 4, point f), du règlement (UE) no 910/2014.

2 Les bureaux d’enregistrement peuvent suspendre ou annuler l’enregistrement d’une partie utilisatrice de portefeuille lorsqu’ils ont des raisons de croire que l’une des situations suivantes s’est produite: a) l’enregistrement contient des informations inexactes, obsolètes ou trompeuses; b) la partie utilisatrice de portefeuille ne respecte pas la politique d’enregistrement; c) la partie utilisatrice de portefeuille demande plus d’attributs qu’elle n’en a enregistré conformément à l’article 5 et à l’article 6; d) plus généralement, la partie utilisatrice de portefeuille agit en violation du droit de l’Union ou du droit national dans le cadre de son rôle de partie utilisatrice de portefeuille.

3 Les bureaux d’enregistrement suspendent ou annulent l’enregistrement d’une partie utilisatrice de portefeuille lorsque la demande d’annulation ou de suspension émane de cette même partie.

4 Lorsqu’il envisage la suspension ou l’annulation conformément au paragraphe 2, le bureau d’enregistrement procède à une évaluation de la proportionnalité, en tenant compte de l’incidence sur les droits fondamentaux, la sécurité et la confidentialité des utilisateurs de l’écosystème, ainsi que de la gravité des perturbations que devraient causer la suspension ou l’annulation et des coûts qui s’ensuivent, tant pour la partie utilisatrice de portefeuille que pour l’utilisateur. Sur la base des résultats de cette évaluation, le bureau d’enregistrement peut suspendre ou annuler l’enregistrement, avec ou sans préavis adressé à la partie utilisatrice de portefeuille concernée.

5 En cas de suspension ou d’annulation de l’enregistrement d’une partie utilisatrice de portefeuille, le bureau d’enregistrement en informe le fournisseur des certificats d’accès de partie utilisatrice de portefeuille concernés, le fournisseur des certificats d’enregistrement de partie utilisatrice de portefeuille concernés et la partie utilisatrice de portefeuille affectée dans les meilleurs délais et au plus tard 24 heures après la suspension ou l’annulation. Cette notification comprend des informations relatives aux motifs de la suspension ou de l’annulation ainsi qu’aux voies de recours disponibles.

6 Le fournisseur de certificats d’accès de partie utilisatrice de portefeuille et le fournisseur de certificats d’enregistrement de partie utilisatrice de portefeuille révoquent, le cas échéant, dans les meilleurs délais, les certificats d’accès de partie utilisatrice de portefeuille et les certificats d’enregistrement de partie utilisatrice de portefeuille, selon le cas, de la partie utilisatrice de portefeuille dont l’enregistrement a été suspendu ou annulé.

Les bureaux d’enregistrement conservent pendant 10 ans les informations fournies par les parties utilisatrices de portefeuille et enregistrées conformément à l’annexe I aux fins de l’enregistrement d’une partie utilisatrice de portefeuille et de la délivrance des certificats d’accès de partie utilisatrice de portefeuille et des certificats d’enregistrement de partie utilisatrice de portefeuille, ainsi que toute modification ultérieure de ces informations.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à partir du 24 décembre 2026. Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.