Règlement d’exécution (UE) 2025/1569 de la Commission du 29 juillet 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les attestations électroniques d’attributs qualifiées et les attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte

Le présent règlement établit les normes de référence, spécifications et procédures qui s’appliquent aux éléments ci-dessous et doivent être mises à jour régulièrement pour tenir compte de l’évolution des technologies et des normes ainsi que des travaux réalisés sur la base de la recommandation (UE) 2021/946, dont l’architecture et le cadre de référence: 1) aux attestations électroniques d’attributs qualifiées; 2) aux attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte; 3) à la liste des fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte; 4) au catalogue d’attributs et au catalogue de programmes d’attestation d’attributs visés aux points 1) et 2); 5) à la vérification des attributs par rapport aux sources authentiques ou via des intermédiaires désignés.

Aux fins du présent règlement, on entend par: 1) «unité de portefeuille», une configuration unique d’une solution de portefeuille comprenant des instances de portefeuille, des applications cryptographiques sécurisées de portefeuille et des dispositifs cryptographiques sécurisés de portefeuille, fournie par un fournisseur de portefeuille à un utilisateur de portefeuille donné; 2) «utilisateur de portefeuille», un utilisateur qui contrôle l’unité de portefeuille; 3) «catalogue d’attributs», un répertoire numérique d’attributs qui est tenu à jour et publié en ligne par la Commission; 4) «programme d’attestation d’attributs», un ensemble de règles applicables à un ou plusieurs types d’attestations électroniques d’attributs; 5) «type d’attestation électronique d’attributs», un groupe d’attestations électroniques d’attributs auquel sont attribués un nom spécifique et une description sémantique; 6) «catalogue de programmes d’attestation d’attributs», un répertoire numérique qui contient la liste des programmes d’attestation d’attributs enregistrés conformément au présent règlement et qui est tenu à jour [et publié en ligne] par la Commission; 7) «solution de portefeuille», une combinaison de logiciels, de matériel, de services, de paramètres et de configurations, y compris des instances de portefeuille, une ou plusieurs applications cryptographiques sécurisées de portefeuille et un ou plusieurs dispositifs cryptographiques sécurisés de portefeuille; 8) «instance de portefeuille», l’application installée et configurée sur l’appareil ou dans l’environnement d’un utilisateur de portefeuille, qui fait partie d’une unité de portefeuille et dont l’utilisateur de portefeuille se sert pour interagir avec l’unité de portefeuille; 9) «application cryptographique sécurisée de portefeuille», une application qui gère des actifs critiques en étant liée aux fonctions cryptographiques et non cryptographiques fournies par le dispositif cryptographique sécurisé de portefeuille et en utilisant ces fonctions; 10) «dispositif cryptographique sécurisé de portefeuille», un dispositif inviolable qui fournit un environnement lié à l’application cryptographique sécurisée de portefeuille et utilisé par celle-ci pour protéger les actifs critiques et fournir des fonctions cryptographiques pour l’exécution sécurisée d’opérations critiques; 11) «fournisseur de portefeuille», une personne physique ou morale qui fournit des solutions de portefeuille; 12) «actifs critiques», les actifs se trouvant à l’intérieur d’une unité de portefeuille ou en rapport avec celle-ci et dont l’importance est tellement exceptionnelle que la capacité de se fier à l’unité de portefeuille serait très sérieusement affaiblie si leur disponibilité, leur confidentialité ou leur intégrité étaient compromises; 13) «propriétaire d’un programme d’attestation d’attributs», une entité chargée de mettre en place et de tenir à jour un programme d’attestation d’attributs.

1 Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte respectent les normes de références et spécifications énumérées à l’annexe I et veillent à ce que les attestations électroniques d’attributs qu’ils délivrent soient conformes aux spécifications techniques énoncées à l’annexe II.

2 Lorsque les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte délivrent des attestations électroniques d’attributs qui sont couvertes par des programmes enregistrés dans le catalogue de programmes d’attestation d’attributs, ils se conforment aux exigences du programme d’attestation d’attributs correspondant. Les règles et procédures établies par les entités délivrant des attestations pour assurer la conformité avec les exigences des programmes d’attestation d’attributs sont prises en compte dans l’évaluation de la conformité prévue par le règlement (UE) no 910/2014.

1 Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte disposent de règles écrites et accessibles au public concernant la gestion du statut de validité ou de révocation. Ces règles devraient inclure, le cas échéant, les conditions dans lesquelles les attestations électroniques d’attributs peuvent être révoquées sans délai et les mesures permettant d’assurer la disponibilité des informations relatives au statut de validité.

2 Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte sont les seules entités capables de révoquer les attestations électroniques d’attributs qu’ils délivrent.

3 Lorsque la période de validité des attestations fournies par les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte est supérieure à 24 heures, les fournisseurs de ces attestations les révoquent au moins dans les cas suivants: a) à la demande explicite de la personne à laquelle l’attestation électronique d’attributs a été délivrée ou, le cas échéant, de la personne à laquelle l’attestation se rapporte; b) lorsque le fournisseur sait que la sécurité ou la fiabilité des attestations électroniques d’attributs qualifiées ou des attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte a été compromise; c) dans d’autres situations, couvertes par le droit de l’Union ou le droit national, ou définies par les fournisseurs dans leurs règles visées au paragraphe 1.

4 Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte mettent en place des techniques de révocation et des méthodes de gestion des révocations qui garantissent la protection de la vie privée et empêchent l’associabilité et la traçabilité.

5 Les fournisseurs d’attestations électroniques d’attributs qualifiées et les fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte mettent à la disposition des parties utilisatrices des informations sur le statut de validité ou de révocation des attestations électroniques d’attributs qu’ils ont délivrées d’une manière qui garantit l’intégrité et l’authenticité de ces informations.

1 Les États membres transmettent au moins les informations mentionnées à l’annexe III concernant les organismes du secteur public visés à l’article 45 septies, paragraphe 3, du règlement (UE) no 910/2014 au moyen d’un système de notification électronique sécurisé fourni par la Commission.

2 Les États membres notifient toute modification apportée aux informations transmises.

3 Les États membres transmettent les notifications au moins en anglais. Ils ne sont pas tenus de faire traduire les documents à l’appui des notifications si cela engendre une charge administrative ou financière déraisonnable.

4 La Commission peut, au besoin, demander aux États membres de fournir des informations complémentaires.

1 La Commission établit, tient à jour et publie une liste des fournisseurs d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte à partir des informations notifiées par les États membres au titre de l’article 5.

2 La Commission veille à ce que la liste visée au paragraphe 1 soit accessible: a) sous une forme portant une signature électronique ou un cachet électronique adaptée au traitement automatisé et sur un site web lisible par l’être humain; b) sans qu’il soit nécessaire de s’inscrire ou de s’authentifier; c) en utilisant uniquement le protocole «sécurité de la couche de transport» le plus récent.

3 La Commission publie, par l’intermédiaire d’un canal sécurisé et sans retard injustifié: a) les spécifications techniques de la liste; b) l’adresse URL à laquelle la liste est publiée; c) les certificats à utiliser pour vérifier la signature électronique ou le cachet électronique apposé(e) sur la liste; d) les informations relatives aux mécanismes utilisés pour valider les modifications apportées ultérieurement à l’adresse ou aux certificats mentionnés aux points b) et c).

1 La Commission établit et publie un catalogue d’attributs et met en place un système sécurisé permettant de demander l’inclusion ou la modification d’attributs dans ce catalogue.

2 La Commission évalue les demandes d’inclusion ou de modification d’un attribut dans le catalogue d’attributs faites au moyen du système visé au paragraphe 1 en tenant compte de tout éventuel avis donné par le groupe de coopération. Dans le cadre de cette évaluation, la Commission examine si l’inclusion de l’attribut contribue à former une base commune permettant des interactions électroniques sécurisées et respectueuses de la vie privée entre les citoyens, les entreprises et les pouvoirs publics et s’il contribue à l’interopérabilité. Le cas échéant, la Commission tient également compte de la réglementation sectorielle.

3 Les États membres demandent que des attributs énumérés à l’annexe VI du règlement (UE) no 910/2014 soient inclus dans le catalogue d’attributs lorsque la vérification de ces attributs par des prestataires de services de confiance qualifiés repose sur des sources authentiques.

4 En outre, les États membres peuvent demander l’inclusion d’attributs qui ne sont pas énumérés à l’annexe VI dans le catalogue d’attributs lorsque ces attributs reposent sur des sources authentiques du secteur public. Les entités privées qui sont considérées comme étant une source première d’informations ou reconnues comme authentiques conformément au droit de l’Union ou au droit national, y compris les pratiques administratives, peuvent demander l’inclusion d’attributs qui ne sont pas énumérés à l’annexe VI dans le catalogue d’attributs, à condition que l’entité à l’origine de la demande soit responsable de ces attributs.

5 La demande d’inclusion ou de modification d’un attribut dans le catalogue contient au moins les informations suivantes: a) l’identification de l’entité à l’origine de la demande; b) le cas échéant, une référence à la disposition du droit de l’Union, du droit national ou à la pratique administrative en vertu de laquelle l’entité à l’origine de la demande est considérée comme étant une source première d’informations ou reconnue comme une source authentique; c) si la demande porte sur un attribut déjà enregistré dans le catalogue ou sur un nouvel attribut; d) un espace de noms pour l’identifiant des attributs, dont la valeur est unique au sein du catalogue d’attributs; e) l’identifiant de l’attribut, unique au sein de l’espace de noms, et la version de l’attribut; f) une description sémantique de l’attribut; g) le type de données de l’attribut; h) le point de vérification de l’attribut au niveau national ou un lien renvoyant vers une description des modalités d’ouverture des demandes de vérification.

6 La demande d’inclusion ou de modification d’un attribut est signée ou cachetée par le demandeur au moyen d’une signature électronique qualifiée ou d’un cachet électronique qualifié, ou d’une signature électronique avancée ou d’un cachet électronique avancé reposant sur un certificat qualifié.

7 Après avoir effectué l’évaluation visée au paragraphe 2 et vérifié que les informations fournies dans la demande d’inclusion ou de modification d’un attribut comprennent tous les éléments énumérés au paragraphe 5, la Commission peut inclure ou modifier l’attribut faisant l’objet de la demande dans le catalogue d’attributs.

8 Le catalogue d’attributs, portant le cachet de la Commission, est accessible au public gratuitement, par l’intermédiaire d’un canal sécurisé, sans identification ou authentification préalables, et publié sous une forme lisible à la fois par la machine et par l’être humain. Le catalogue intègre également une fonction de recherche.

9 La Commission publie les spécifications techniques qu’elle utilise pour le catalogue d’attributs.

10 La Commission émet un identifiant unique pour chaque attribut enregistré.

1 La Commission établit et publie un catalogue de programmes d’attestation d’attributs et met en place un système sécurisé permettant de demander l’inclusion ou la modification de programmes d’attestation d’attributs dans ce catalogue.

2 La Commission évalue les demandes d’inclusion ou de modification de programmes d’attestation d’attributs dans le catalogue de programmes d’attestation d’attributs en tenant compte de tout éventuel avis donné par le groupe de coopération. Dans le cadre de cette évaluation, la Commission examine si le programme contribue à former une base commune favorisant des interactions électroniques sécurisées et respectueuses de la vie privée entre les citoyens, les entreprises et les pouvoirs publics et si elle contribue à l’interopérabilité. Le cas échéant, la Commission tient également compte de la réglementation sectorielle.

3 Les propriétaires d’un programme d’attestation d’attributs peuvent demander l’ajout de programmes au catalogue de programmes. Une demande d’inclusion ou de modification d’un programme dans le catalogue de programmes d’attestation d’attributs contient au moins: a) le nom du programme, choisi par le propriétaire du programme d’attestation d’attributs et unique au sein du catalogue de programmes d’attestation d’attributs; b) le nom et les coordonnées du propriétaire du programme d’attestation d’attributs; c) le statut et la version du programme; d) une référence aux lois, normes ou lignes directrices spécifiques desquelles dépendent la délivrance, la validation ou l’utilisation d’une attestation électronique d’attributs couverte par le programme; e) le ou les formats de l’attestation électronique d’attributs couverte par le programme; f) un ou plusieurs espaces de noms, identifiants d’attributs, descriptions sémantiques et types de données pour chaque attribut faisant partie d’une attestation électronique d’attributs couverte par le programme, soit par référence à un attribut figurant dans le catalogue d’attributs visé à l’article 7, soit par référence à un attribut défini de manière similaire dans le cadre du programme; g) une description du modèle de confiance et des mécanismes de gouvernance appliqués dans le cadre du programme, y compris des mécanismes de révocation; h) toute exigence concernant les fournisseurs d’attestations électroniques d’attributs ou les sources d’information sur lesquelles ces fournisseurs s’appuient lorsqu’ils délivrent des attestations électroniques d’attributs, y compris toute source authentique, le cas échéant; i) une déclaration indiquant si les attestations électroniques d’attributs couvertes par le programme doivent être délivrées sous la forme d’attestations électroniques d’attributs qualifiées, d’attestations électroniques d’attributs délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte, ou les deux.

4 Les programmes qui font l’objet d’une demande d’inclusion dans le catalogue ne contiennent que des attributs identifiables au moyen d’identifiants uniques. La demande d’inclusion ou de modification d’un programme d’attestation d’attributs est signée ou cachetée par le demandeur au moyen d’une signature électronique qualifiée ou d’un cachet électronique qualifié, ou d’une signature électronique avancée ou d’un cachet électronique avancé reposant sur un certificat qualifié.

5 Après avoir effectué l’évaluation visée au paragraphe 2 et vérifié que les informations fournies dans la demande d’inclusion ou de modification d’un programme d’attestation d’attributs comprennent tous les éléments énumérés aux paragraphes 3 et 4, la Commission peut inclure ou modifier le programme faisant l’objet de la demande dans le catalogue de programmes d’attestation d’attributs.

6 Le catalogue de programmes d’attestation d’attributs, portant le cachet de la Commission, est accessible au public gratuitement, par l’intermédiaire d’un canal sécurisé, sans identification ou authentification préalables, et est lisible par la machine et par l’être humain. Le catalogue intègre également une fonction de recherche et se présente dans un format qui garantit l’intégrité et l’authenticité.

7 La Commission publie les spécifications techniques qu’elle utilise pour le catalogue de programmes d’attestation d’attributs.

8 La Commission émet un identifiant unique pour chaque programme d’attestation d’attributs enregistré.

1 Pour permettre la vérification électronique des attributs à la demande de l’utilisateur, telle que prévue à l’article 45 sexies, paragraphe 1, du règlement (UE) no 910/2014, par des prestataires de services de confiance qualifiés délivrant des attestations électroniques d’attributs qualifiées, les États membres mettent en place des mécanismes permettant cette vérification et peuvent mettre à disposition des points de vérification uniques pour les attributs énumérés à l’annexe VI dudit règlement lorsque ces attributs reposent sur des sources authentiques du secteur public. Les États membres publient des informations relatives aux procédures d’ouverture des demandes de vérification et de réception des résultats de la vérification.

2 Le mécanisme de vérification fournit un point d’accès permettant aux prestataires de services de confiance qualifiés délivrant des attestations électroniques d’attributs qualifiées de demander, par voie électronique, la vérification des attributs visés à l’article 45 sexies, paragraphe 1, du règlement (UE) no 910/2014 par rapport aux sources authentiques ou via des intermédiaires désignés reconnus au niveau national. Les attributs faisant l’objet de la vérification seront fournis au point de vérification par le prestataire de services de confiance qualifié à la demande de l’utilisateur. L’organisme du secteur public ou l’intermédiaire désigné communique, par l’intermédiaire du point de vérification, les résultats de la vérification aux prestataires de services de confiance qualifiés délivrant des attestations électroniques d’attributs qualifiées.

3 La demande de vérification contient les attributs et les données d’identification de la personne à laquelle se rapporte l’attribut dont le prestataire de services de confiance qualifié demande la vérification.

4 Le résultat de la vérification indique uniquement si l’attribut a été vérifié ou non et précise l’organisme du secteur public responsable de la source authentique ou, le cas échéant, l’organisme du secteur public désigné pour agir pour le compte de la source authentique ayant servi à la vérification de l’attribut.

5 Les États membres peuvent imposer des contrôles d’accès ou d’autres mécanismes de vérification qui garantissent l’intégrité, l’authenticité et la confidentialité afin d’établir que le demandeur est un prestataire de services de confiance qualifié et qu’il agit à la demande d’un utilisateur légitime. Les États membres peuvent également imposer des mécanismes de contrôle de l’utilisation des méthodes de vérification, lorsqu’ils le jugent approprié, en tenant compte de facteurs pertinents, par exemple du fait que les sources authentiques contiennent des données à caractère personnel de nature confidentielle ou sensible. Lorsque les États membres mettent en place de tels mécanismes de contrôle, ils publient des informations relatives à l’étendue de ces mécanismes dans le cadre des informations visées au paragraphe 1.

1 Aux fins des articles 3 à 9, les États membres peuvent se référer aux services communs du système technique établi en vertu de l’article 14 du règlement (UE) 2018/1724 ainsi qu’aux composantes nationales qui y sont connectées, et les réutiliser.

2 Lorsqu’elle établit le système de notification sécurisé et la liste des organismes du secteur public visés aux articles 5 et 6 ainsi que les catalogues visés aux articles 7 et 8 du présent règlement, la Commission européenne se réfère aux services communs du système technique prévu par le règlement (UE) 2018/1724 et les réutilise, le cas échéant.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Les articles 6 à 9 sont applicables à partir du 19 août 2026.