Règlement d’exécution (UE) 2025/2530 de la Commission du 16 décembre 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les exigences applicables aux prestataires de services de confiance qualifiés fournissant des services de confiance qualifiés

1 Dans les notifications visées à l’article 24, paragraphe 2, point a), du règlement (UE) no 910/2014, les prestataires de services de confiance qualifiés incluent au moins les modifications importantes apportées à l’ensemble des éléments suivants: a) les descriptions de services, les politiques, les énoncés des pratiques ou les conditions et modalités associées; b) l’architecture technique des services de confiance qualifiés ou les systèmes ou produits fiables visés à l’article 24, paragraphe 2, points e) et f), du règlement (UE) no 910/2014; c) l’hébergement des composants techniques nécessaires à la fourniture des services de confiance qualifiés ou les services techniques se rapportant à ces composants techniques; d) l’utilisation de techniques ou matériels cryptographiques pour la fourniture des services de confiance qualifiés; e) les procédures d’enregistrement et d’identification; f) la structure organisationnelle ou la gouvernance du prestataire de services de confiance; g) le plan d’arrêt d’activité; h) les ressources financières et l’assurance responsabilité visées à l’article 24, paragraphe 2, point c), du règlement (UE) no 910/2014; i) les éléments ayant une incidence sur le contenu de la liste nationale de confiance correspondante; j) les tiers intervenant dans la fourniture des services de confiance qualifiés, y compris les sous-traitants ou prestataires de services, ou les conditions contractuelles établies avec ces tiers.

2 Les notifications visées au paragraphe 1 comprennent: a) la description de la modification; b) la date et l’heure prévues de la modification; c) les raisons de la modification et, le cas échéant, les éléments inhérents à ces raisons; d) le cas échéant, les documents actualisés.

Les exigences énoncées aux articles 2, 3 et 4 du règlement d’exécution (UE) 2025/2160 s’appliquent par analogie aux prestataires de services de confiance qualifiés en ce qui concerne l’exigence de prévoir un cadre de gestion des risques fixée à l’article 24, paragraphe 2, point f bis), du règlement (UE) no 910/2014.

1 Les prestataires de services de confiance qualifiés établissent un plan d’arrêt d’activité pour chaque service de confiance qualifié qu’ils fournissent, établissant les dispositions nécessaires à l’application efficace et correcte de l’arrêt de tout ou partie du service, aux fins d’assurer la continuité du service et de pouvoir fournir des preuves en justice, y compris les modalités selon lesquelles les informations sont maintenues accessibles conformément à l’article 24, paragraphe 2, point h), du règlement (UE) no 910/2014.

2 Les prestataires de services de confiance qualifiés mettent en place des contrôles et des procédures visant à garantir la disponibilité, à des fins d’utilisation interne, de politiques, pratiques, procédures et accords avec des tiers documentés, ainsi que de tout autre document nécessaire pour assurer l’efficacité du plan d’arrêt d’activité.

3 Les prestataires de services de confiance qualifiés mettent en place des contrôles et des procédures visant à garantir que leur plan d’arrêt d’activité et tout document associé sont à jour.

4 Les prestataires de services de confiance qualifiés réexaminent le plan d’arrêt d’activité et tout document associé au moins tous les deux ans ainsi que lors de la mise en œuvre de toute modification apportée au prestataire de services de confiance qualifié ou aux services de confiance qualifiés qu’il fournit et mettent à jour le plan d’arrêt d’activité en conséquence.

5 Les prestataires de services de confiance qualifiés gèrent les risques propres à l’arrêt de la fourniture de leurs services de confiance qualifiés conformément au cadre de gestion des risques visé à l’article 2.

6 Les prestataires de services de confiance qualifiés garantissent le maintien de ressources financières suffisantes ou obtiennent des assurances suffisantes pour couvrir les coûts nécessaires à l’exécution efficace du plan d’arrêt d’activité, y compris en cas d’arrêt d’activité imprévu.

7 Les prestataires de services de confiance qualifiés veillent à ce que le plan d’arrêt d’activité précise les procédures et modalités appropriées sur les points suivants au minimum: a) l’arrêt des services de confiance qualifiés, y compris, le cas échéant, en ce qui concerne le déclassement de tout composant technique ou service utilisé pour fournir le service de confiance qualifié concerné; b) une mise à jour en temps utile des services connexes inscrits sur la liste nationale de confiance correspondante; c) la révocation de tout certificat qualifié existant et non révoqué qu’ils ont délivré avant de conclure l’arrêt du service de confiance qualifié pour la délivrance de certificats qualifiés, sauf si toutes les obligations pertinentes des services de confiance qualifiés dont l’activité a été arrêtée sont transférées à un autre prestataire de services de confiance qualifié d’une manière garantissant que les certificats qualifiés et tous les services connexes continuent de satisfaire aux exigences du règlement (UE) no 910/2014 de manière ininterrompue; d) la garantie qu’après l’arrêt de la fourniture des services de confiance qualifiés, aucun nouveau produit de services de confiance qualifiés ne pourra être créé ou rendu possible en utilisant les données de création de signature ou de cachet du prestataire de services de confiance qualifié; e) la garantie de l’accessibilité et de la facilité d’utilisation de tous les enregistrements pertinents détenus par le prestataire de services de confiance qualifié; f) la prise en charge des scénarios d’arrêt d’activité prévu, imprévu, partiel et complet; g) la garantie que les intérêts des abonnés des services de confiance qualifiés dont l’activité a été arrêtée soient préservés lors de l’arrêt d’activité, parmi lesquels la maintenance ininterrompue des informations nécessaires aux abonnés pour vérifier la validité juridique des produits des services de confiance qualifiés; h) le cas échéant, l’indication des dispositions prises pour permettre la fourniture de services de confiance qualifiés alternatifs par d’autres prestataires de services de confiance qualifiés afin de réduire au minimum les perturbations pour les abonnés; i) les notifications adressées aux parties connues du prestataire de services de confiance qualifié qui seront directement ou indirectement touchées par l’arrêt d’activité.

8 Les procédures et modalités visées au paragraphe 7, point e), garantissent l’accessibilité et la facilité d’utilisation des enregistrements nécessaires pour: a) apporter la preuve de la conformité des services de confiance qualifiés avec le règlement (UE) no 910/2014 et le règlement (UE) 2016/679; b) assurer la continuité des services de confiance qualifiés, en ce qui concerne les données de validation de signature ou de cachet du prestataire de services de confiance qualifié et en ce qui concerne les conditions de maintenance ininterrompue des informations nécessaires pour vérifier l’exactitude des produits de services de confiance créés antérieurement.

9 Les prestataires de services de confiance qualifiés veillent à ce que le plan d’arrêt d’activité et les enregistrements associés contiennent au moins les documents suivants: a) les procédures d’arrêt d’activité des services de confiance qualifiés; b) les procédures et les enregistrements relatifs au réexamen régulier du plan d’arrêt d’activité visé au paragraphe 4; c) les rapports d’audit relatifs au plan d’arrêt d’activité; d) les modalités d’arrêt d’activité établies avec les tiers intervenant dans la fourniture des services de confiance qualifiés dont il est prévu d’arrêter l’activité; e) les conditions et modalités, pratiques et documents sur les politiques se rapportant aux services de confiance qualifiés.

1 Outre les exigences énoncées aux articles 1er, 2 et 3, les normes de référence et spécifications visées à l’article 24, paragraphe 5, du règlement (UE) no 910/2014 figurent à l’annexe du présent règlement.

2 En cas de divergences entre les normes de référence et spécifications établies par les règlements d’exécution et figurant à l’annexe du présent règlement et les exigences énoncées aux articles 1er, 2 et 3 du présent règlement, les exigences énoncées aux articles 1er, 2 et3 du présent règlement prévalent.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.