Règlement d’exécution (UE) 2025/2160 de la Commission du 27 octobre 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence, les spécifications et les procédures applicables à la gestion des risques liés à la fourniture des services de confiance non qualifiés

Les normes de référence mentionnées à l’article 19 bis, paragraphe 2, du règlement (UE) no 910/2014 figurent à l’annexe du présent règlement.

1 Les procédures de gestion des risques visées à l’article 19 bis, paragraphe 1, du règlement (UE) no 910/2014 déterminent clairement les services de confiance auxquels elles s’appliquent, sont spécifiques aux services de confiance concernés et sont approuvées par l’organe de direction du prestataire de services de confiance non qualifié.

2 Les procédures de gestion des risques comprennent au moins l’ensemble des éléments suivants: a) le niveau global de tolérance au risque en fonction de la criticité et du niveau de sécurité requis des services de confiance, compte tenu des dernières évolutions technologiques; b) les critères de risque pertinents, comprenant au moins la probabilité, l’incidence et le niveau du risque, compte tenu des renseignements sur les cybermenaces et des vulnérabilités; c) une méthode pour l’identification et la documentation des risques liés à la fourniture des services de confiance, tenant compte de l’ensemble du champ d’activité du système d’information utilisé par le prestataire de services de confiance non qualifié, y compris les risques associés aux composantes du système ainsi qu’à toute partie active ou passive participant à la mise en œuvre du système ou à la fourniture des services de confiance; d) un processus d’évaluation des risques identifiés sur la base des critères de risque visés au point b); e) un processus d’identification, de hiérarchisation et de suivi continu de la mise en œuvre des mesures de traitement du risque appropriées; f) un processus de suivi continu de la mise en œuvre des procédures de gestion des risques.

3 Les prestataires de services de confiance non qualifiés établissent des procédures appropriées et conservent des documents permettant de garantir la mise en œuvre des exigences énoncées dans la législation applicable.

4 Les prestataires de services de confiance non qualifiés établissent des procédures documentées et appropriées pour assurer le suivi des modifications législatives et réglementaires au niveau national et de l’Union susceptibles d’avoir une incidence sur la fourniture des services de confiance.

Les prestataires de services de confiance non qualifiés identifient, documentent et évaluent tous les risques visés à l’article 19 bis, paragraphe 1, du règlement (UE) no 910/2014 conformément aux procédures de gestion des risques visées à l’article 2, et notamment: a) ils identifient les risques à l’égard des tiers; b) ils identifient les points uniques de défaillance potentiels dans la fourniture des services de confiance; c) ils évaluent les risques identifiés sur la base des critères de risque visés à l’article 2, paragraphe 2, point b).

1 Conformément aux procédures visées à l’article 2, les prestataires de services de confiance non qualifiés planifient, documentent et mettent en œuvre des mesures de traitement du risque et effectuent notamment les tâches suivantes: a) ils déterminent et hiérarchisent les mesures qu’il convient d’appliquer en matière de traitement des risques; b) ils sélectionnent, approuvent et documentent les mesures de traitement du risque choisies, comprenant leurs exigences de sécurité et procédures opérationnelles, dans un plan de traitement du risque, et déterminent qui est responsable de la mise en œuvre des mesures de traitement du risque et à quel moment elles doivent être mises en œuvre; c) ils suivent en continu la mise en œuvre des mesures de traitement du risque.

2 Le plan de traitement du risque visé au paragraphe 1, point b), indique les motifs justifiant l’acceptation des risques résiduels de manière compréhensible.

3 Dans le cadre des mesures de traitement du risque visées au paragraphe 1, les prestataires de services de confiance non qualifiés: a) vérifient, le cas échéant, l’identité des utilisateurs du service de confiance, directement ou par l’intermédiaire d’un tiers, et publient des informations sur les méthodes de vérification d’identité utilisées; b) enregistrent et conservent en lieu sûr, aussi longtemps que le prévoient le droit de l’Union ou le droit national, y compris après la cessation des activités du prestataire de services de confiance non qualifié, les informations suivantes, pour s’en servir comme preuve en justice et assurer la continuité du service: toutes les informations pertinentes recueillies dans le cadre du processus d’enregistrement et d’enrôlement des utilisateurs de services de confiance, y compris, le cas échéant, la vérification d’identité des utilisateurs, les données d’authentification assignées à l’utilisateur du service de confiance, le cas échéant, et tout changement de statut des certificats de clé publique ou de tout autre matériel cryptographique utilisé dans la fourniture du service de confiance; c) veillent, le cas échéant, à ce que les données d’authentification assignées à l’utilisateur du service de confiance soient uniques.

4 Lorsqu’ils identifient, sélectionnent, approuvent et hiérarchisent les mesures de traitement du risque appropriées, les prestataires de services de confiance non qualifiés tiennent compte des éléments suivants: a) les résultats de l’évaluation visée à l’article 3; b) l’efficacité des mesures de traitement du risque; c) les évaluations de la conformité; d) les incidents importants; e) le coût de la mise en œuvre par rapport à l’avantage escompté; f) le classement approprié des actifs applicable; g) l’analyse des incidences éventuelles des risques identifiés conformément à l’article 3 sur l’activité économique.

5 Les organes de direction des prestataires de services de confiance non qualifiés approuvent les risques résiduels qui subsistent après la mise en œuvre des mesures de traitement du risque prévues dans le plan de traitement du risque.

6 Les prestataires de services de confiance non qualifiés réexaminent, documentent et, le cas échéant, mettent à jour les résultats de l’évaluation des risques et le plan de traitement du risque à intervalles prédéfinis, et au moins une fois par an, ainsi qu’en cas de changements importants dans l’infrastructure, les opérations ou les risques, ou d’incidents importants.

7 Les prestataires de services de confiance non qualifiés veillent à la disponibilité, à l’intégrité et à la confidentialité des informations visées au paragraphe 3, point b).

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.