Règlement d’exécution (UE) 2025/2162 de la Commission du 27 octobre 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne l’accréditation des organismes d’évaluation de la conformité procédant à l’évaluation des prestataires de services de confiance qualifiés et des services de confiance qualifiés qu’ils fournissent, le rapport d’évaluation de la conformité et le système d’évaluation de la conformité

Aux fins du présent règlement, on entend par: 1) «propriétaire du système»: une entité ou un groupe d’entités qui est responsable de l’élaboration et de la maintenance d’un système d’évaluation de la conformité; 2) «décision de certification»: une décision de certification qui fait suite à une évaluation de la conformité effectuée par un organisme d’évaluation de la conformité, par laquelle cet organisme confirme ou infirme qu’un prestataire de services de confiance qualifié donné et le service de confiance qualifié qu’il fournit respectent les exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555; 3) «certificat de conformité»: un document par lequel un organisme d’évaluation de la conformité atteste une décision de certification qui confirme qu’un prestataire de services de confiance qualifié donné et le service de confiance qualifié qu’il fournit respectent les exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555; 4) «système d’évaluation de la conformité»: un ensemble des règles et procédures utilisées par les organismes d’évaluation de la conformité pour évaluer la conformité des prestataires de services de confiance qualifiés et des services de confiance qualifiés qu’ils fournissent aux exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555; 5) «rapport d’évaluation de la conformité»: un document qui fournit des informations détaillées, le cas échéant en complément de celles contenues dans une décision de certification et dans le certificat de conformité qui lui est associé, sur la méthode utilisée pour effectuer, conformément à un système d’évaluation de la conformité, une évaluation de la conformité d’un prestataire de services de confiance qualifié donné et du service de confiance qualifié qu’il fournit aux exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555, ainsi que sur les résultats de l’évaluation de la conformité; 6) «accréditation»: une accréditation au sens de l’article 2, point 10), du règlement (CE) no 765/2008; 7) «accréditation en portée flexible»: une accréditation dans laquelle les activités spécifiques d’évaluation de la conformité pour lesquelles l’accréditation est demandée, ou a été accordée, sont exprimées de manière à permettre aux organismes d’évaluation de la conformité d’apporter des modifications à leur méthodologie et à d’autres paramètres relevant de la compétence de l’organisme d’évaluation de la conformité, telle qu’elle a été confirmée par l’organisme national d’accréditation; 8) «organisme national d’accréditation»: un organisme national d’accréditation tel que défini à l’article 2, point 11), du règlement (CE) no 765/2008.

1 Pour pouvoir prendre des décisions de certification conformément à un système d’évaluation de la conformité donné, les organismes d’évaluation de la conformité sont accrédités conformément à la norme EN ISO/IEC 17065:2012 complétée par la norme ETSI EN 319403-1 v2.3.1.

2 L’accréditation des organismes d’évaluation de la conformité visés au paragraphe 1 est effectuée par un organisme national d’accréditation conformément à la norme EN ISO/IEC 17011:2017.

1 Les organismes nationaux d’accréditation veillent à ce que les certificats d’accréditation qu’ils délivrent aux organismes d’évaluation de la conformité contiennent au moins les informations suivantes: a) le code d’identification unique du certificat d’accréditation; b) la date de délivrance du certificat d’accréditation; c) le nom et le pays, tels qu’ils figurent dans les registres officiels nationaux, de l’organisme national d’accréditation délivrant le certificat d’accréditation; d) le nom et, le cas échéant, le numéro d’immatriculation de l’organisme d’évaluation de la conformité accrédité, tels qu’ils figurent dans les registres officiels nationaux; e) la portée de l’accréditation, en ce qui concerne un ou plusieurs des services de confiance qualifiés suivants: la délivrance de certificats qualifiés de signature électronique, la délivrance de certificats qualifiés de cachet électronique, la délivrance de certificats qualifiés d’authentification de site internet, le service de validation qualifié des signatures électroniques qualifiées, le service de validation qualifié des cachets électroniques qualifiés, le service qualifié de préservation des signatures électroniques qualifiées, le service qualifié de préservation des cachets électroniques qualifiés, la création d’horodatages électroniques qualifiés, la fourniture de services d’envoi recommandé électronique, le service qualifié de gestion de dispositifs de création de signature électronique qualifiés à distance, le service qualifié de gestion de dispositifs de création de cachet électronique qualifiés à distance, la fourniture de services d’archivage électronique qualifiés, la délivrance d’attestations électroniques d’attributs qualifiées, l’enregistrement de données électroniques dans un registre électronique qualifié; f) l’identification, y compris, le cas échéant, la version spécifique, du système d’évaluation de la conformité pour lequel l’organisme d’évaluation de la conformité a été accrédité; g) une mention indiquant que l’accréditation en portée flexible est utilisée, le cas échéant; h) le cas échéant, la mention du document décrivant le processus de conception et de mise en œuvre de l’accréditation en portée flexible.

2 Les organismes nationaux d’accréditation veillent à ce que la date de début et, le cas échéant, la date de fin de l’accréditation de l’organisme d’évaluation de la conformité pour la réalisation de l’évaluation de la conformité des services de confiance qualifiés visés au paragraphe 1, point e), y compris les dates spécifiques pour chaque service de confiance qualifié, le cas échéant, fassent partie des informations d’accréditation mentionnées à l’article 20, paragraphe 1 ter, du règlement (UE) no 910/2014.

3 Les organismes nationaux d’accréditation veillent à ce que toute modification pertinente apportée aux informations fournies conformément au paragraphe 1 apparaisse clairement dans le certificat d’accréditation.

4 Le certificat d’accréditation décrit clairement la portée de l’accréditation de l’organisme d’évaluation de la conformité, conformément à l’article 2, paragraphe 1.

1 Le propriétaire du système met en œuvre des procédures pour surveiller toute éventuelle modification apportée aux normes visées à l’article 2, paragraphe 1, ou à l’article 6, paragraphe 3, ou à un système d’évaluation de la conformité dont il est propriétaire et sur la base duquel un organisme d’évaluation de la conformité a été accrédité conformément à l’article 2.

2 Le propriétaire du système notifie en temps utile à l’organisme national d’accréditation les modifications constatées à l’issue des procédures prévues au paragraphe 1.

3 Lorsque l’organisme national d’accréditation n’a pas appliqué d’accréditation en portée flexible aux organismes d’évaluation de la conformité accrédités, il détermine si les modifications constatées à l’issue des procédures prévues au paragraphe 1 sont susceptibles d’affecter sensiblement la capacité des organismes d’évaluation de la conformité accrédités à effectuer des évaluations de la conformité conformément aux systèmes pour lesquels ils ont été accrédités.

4 Lorsque l’organisme national d’accréditation constate, conformément au paragraphe 3, que des modifications affectent la capacité des organismes d’évaluation de la conformité à effectuer des évaluations de la conformité, il demande à l’organisme d’évaluation de la conformité de prendre les mesures appropriées dans un délai raisonnable prescrit.

5 Si l’organisme d’évaluation de la conformité ne peut ou ne souhaite pas prendre les mesures visées au paragraphe 4 dans le délai prescrit, l’organisme national d’accréditation retire ou suspend immédiatement l’accréditation.

6 Lorsque l’organisme national d’accréditation détermine, conformément au paragraphe 3, que les modifications n’affectent pas la capacité des organismes d’évaluation de la conformité à effectuer des évaluations de la conformité, il peut, le cas échéant, étendre la validité et la portée de l’accréditation de l’organisme d’évaluation de la conformité évalué.

7 Le cas échéant, l’organisme national d’accréditation met à jour le certificat d’accréditation en temps voulu afin de tenir compte des résultats du réexamen de l’accréditation conformément au présent article.

8 Lorsqu’un organisme d’évaluation de la conformité reçoit une demande en vertu du paragraphe 4, il informe en temps utile tout prestataire de services de confiance qualifié qu’il a précédemment évalué dans le cadre du système d’évaluation de la conformité pertinent de toute incidence que le réexamen de l’accréditation de l’organisme d’évaluation de la conformité peut avoir sur ces prestataires de services de confiance qualifiés, y compris en ce qui concerne les futures décisions de certification prises par l’organisme d’évaluation de la conformité dans le cadre de ce système.

1 Les organismes d’évaluation de la conformité mettent à disposition les certificats de conformité qu’ils délivrent dans un répertoire public qu’ils tiennent à jour à cet effet.

2 Toute sous-traitance, par l’organisme d’évaluation de la conformité, de l’exécution des activités d’évaluation de la conformité tient dûment compte de la nature de l’activité à réaliser. L’organisme d’évaluation de la conformité s’assure que le sous-traitant respecte les normes énoncées à l’annexe I pour l’activité spécifique sous-traitée.

3 Lorsqu’ils adoptent une décision de certification, les organismes d’évaluation de la conformité veillent à ce que le prestataire de services de confiance qualifié auquel la décision se rapporte soit en mesure de soumettre aux organes de contrôle les rapports complets d’évaluation de la conformité correspondant à cette décision.

1 Chaque système d’évaluation de la conformité fournit des données d’identification du propriétaire du système.

2 Un système d’évaluation de la conformité est conforme au programme de type 6 de la norme EN ISO/IEC 17067:2013 et aux exigences énoncées dans le présent article.

3 Les propriétaires de systèmes veillent à ce que leurs systèmes d’évaluation de la conformité comprennent au moins les normes énoncées à l’annexe II, selon le cas, en indiquant l’année et le numéro de version de ces normes.

4 Les propriétaires de systèmes font en sorte que l’éventuelle application d’une accréditation en portée flexible soit indiquée dans le système d’évaluation de la conformité.

5 Les propriétaires de systèmes veillent à ce que leurs programmes d’évaluation de la conformité établissent des processus et des procédures concernant au moins les éléments suivants: a) la réception et le traitement des plaintes adressées au propriétaire du système concernant la mise en œuvre du système d’évaluation de la conformité; b) les notifications adressées par l’organisme d’évaluation de la conformité à l’organe de contrôle désigné conformément à l’article 46 ter, paragraphe 1, du règlement (UE) no 910/2014 concernant la délivrance des certificats de conformité et toute modification apportée à ceux-ci; c) le cas échéant, la sous-traitance de l’exécution des activités d’évaluation de la conformité par l’organisme d’évaluation de la conformité; d) la réalisation d’activités de surveillance annuelles sur la base des exigences applicables du paragraphe 7.9 de la norme ISO/IEC 17065:2012; e) la gestion et la notification par le prestataire de services de confiance qualifié à l’organisme d’évaluation de la conformité et à l’organe de contrôle compétent de toute modification ayant une incidence sur le fonctionnement des prestataires de services de confiance qualifiés ou des services de confiance qualifiés qu’ils fournissent; f) la vérification des éléments de preuve démontrant que l’organisme d’évaluation de la conformité: possède des connaissances et une expertise suffisantes en ce qui concerne l’application des normes spécifiques relatives au service de confiance qualifié fourni par le prestataire de services de confiance qualifié, tel que visé au paragraphe 3, possède une expérience professionnelle de l’évaluation de la conformité dans au moins trois évaluations de prestataires de services de confiance ou trois évaluations de systèmes de gestion de la sécurité de l’information, et peut garantir la disponibilité d’une équipe d’au moins deux personnes qualifiées possédant l’expertise nécessaire pour procéder à cette évaluation de la conformité.

6 Les propriétaires de systèmes veillent à ce que leurs systèmes d’évaluation de la conformité exigent des prestataires de services de confiance qualifiés qu’ils mettent en place des processus, des procédures et des instructions de travail pour faire en sorte que l’organisme d’évaluation de la conformité soit informé au moins un mois à l’avance lorsque les prestataires de services de confiance qualifiés mettent en œuvre une éventuelle modification importante dans la fourniture des services de confiance qualifiés certifiés dans le cadre de ce système et au moins trois mois à l’avance lorsqu’ils ont l’intention de mettre un terme à la fourniture de tout ou partie des services.

7 Les propriétaires de systèmes veillent à ce que leurs schémas d’évaluation de la conformité ne permettent pas la délivrance de décisions de certification positives ou de certificats de conformité lorsque l’évaluation de la conformité met en évidence une non-conformité des prestataires de services de confiance qualifiés évalués et du service de confiance qualifié qu’ils fournissent aux exigences du règlement (UE) no 910/2014 et de l’article 21 de la directive (UE) 2022/2555.

8 Les propriétaires de systèmes veillent à ce que leurs systèmes d’évaluation de la conformité définissent la procédure relative à la délivrance d’un certificat de conformité. Ils exigent notamment que les prestataires de services de confiance qualifiés informent immédiatement l’organe de contrôle compétent de toute modification apportée à un certificat de conformité. Ils exigent également que les prestataires de services de confiance qualifiés s’abstiennent de fournir les services de confiance qualifiés concernés ou de publier d’éventuelles références à ces services jusqu’à ce que l’organe de contrôle compétent confirme à nouveau le statut qualifié. Cette procédure est conforme aux exigences énoncées au paragraphe 7.11 de la norme ISO/IEC 17065:2012.

9 Les propriétaires de systèmes veillent à ce que leurs programmes d’évaluation de la conformité définissent le processus d’évaluation de la conformité à exécuter sur un nombre suffisant de personnes-jours et veillent à ce que les ressources et le temps alloués à l’évaluation de la conformité soient suffisants compte tenu de la portée et de la complexité de l’évaluation.

10 Les propriétaires de systèmes publient un résumé du système d’évaluation de la conformité à des fins de téléchargement. Le résumé contient une description de l’ensemble des règles et procédures suivies pour évaluer la conformité des prestataires de services de confiance qualifiés et des services de confiance qualifiés qu’ils fournissent aux exigences du règlement (UE) no 910/2014 et de l’article 21 de la directive (UE) 2022/2555.

11 Les propriétaires de systèmes veillent à ce que leurs programmes d’évaluation de la conformité exigent qu’au moins une évaluation de surveillance soit effectuée chaque année pour chaque service de confiance qualifié évalué.

1 Le rapport d’évaluation de la conformité visé à l’article 20, paragraphe 1, du règlement (UE) no 910/2014 est conforme aux spécifications énoncées à l’annexe III.

2 Le rapport d’évaluation de la conformité est considéré comme faisant partie de la documentation de certification figurant au paragraphe 7.7 de la norme ETSI EN 319403-1.

1 Toute partie intéressée peut demander gratuitement des informations actuelles et anciennes sur la portée, la date de début et, le cas échéant, la date de fin de l’accréditation des organismes d’évaluation de la conformité, pour chaque type de service de confiance qualifié que l’organisme d’évaluation de la conformité est ou a été accrédité pour évaluer. Ces informations sont mises à disposition par les organismes nationaux d’accréditation.

2 Les informations actuelles et anciennes visées au paragraphe 1 devraient être mises à disposition pendant une période d’au moins 6 ans après l’accréditation de l’organisme d’évaluation de la conformité.

Les organismes d’évaluation de la conformité qui, avant le 17 novembre 2025, ont été accrédités conformément à la norme ETSI EN 319403 version 2.2.2, ou à une version antérieure, aux fins de l’évaluation de la conformité au règlement (UE) no 910/2014 des prestataires de services de confiance qualifiés et des services de confiance qualifiés qu’ils fournissent, sont réputés satisfaire aux exigences de l’article 2, paragraphe 1, jusqu’au 17 mai 2027.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.