Exigences applicables aux certificats d’accès de partie utilisatrice de portefeuille visés à l’article 7
1. La politique en matière de certificats d’accès de partie utilisatrice de portefeuille applicable à la fourniture de ces certificats décrit les exigences de sécurité et les règles d’applicabilité attachées à ces certificats afin que les parties utilisatrices de portefeuille puissent obtenir et utiliser ces certificats dans leurs interactions avec les solutions de portefeuille.
2. L’énoncé des pratiques de certification pour les certificats d’accès de partie utilisatrice de portefeuille applicable à la fourniture de certificats d’accès de partie utilisatrice de portefeuille décrit les pratiques auxquelles recourt un fournisseur de tels certificats pour les délivrer, les gérer, les révoquer et renouveler leur clé.
3. La politique en matière de certificats et l’énoncé des pratiques de certification applicables à la fourniture de certificats d’accès de partie utilisatrice de portefeuille font l’objet d’une harmonisation syntaxique et sémantique dans l’ensemble de l’Union, sont, le cas échéant, conformes à la norme ETSI TS 119 411-8 V1.1.1 (2025-10) et comprennent:
a) une description claire de la hiérarchie de l’infrastructure à clé publique et des chemins de certification depuis les certificats d’accès de partie utilisatrice de portefeuille de l’entité finale jusqu’au sommet de la hiérarchie utilisée pour les délivrer, en indiquant la ou les ancres de confiance prévues dans cette hiérarchie et ces chemins qui devraient s’appuyer sur le cadre de confiance établi conformément à l’article 5 bis, paragraphe 18, du règlement (UE) no 910/2014;
b) une description complète des procédures de délivrance des certificats d’accès de partie utilisatrice de portefeuille, y compris pour la vérification de l’identité et tout autre attribut de la partie utilisatrice de portefeuille à laquelle un certificat de partie utilisatrice de portefeuille doit être délivré;
c) l’obligation incombant aux fournisseurs de certificats d’accès de partie utilisatrice de portefeuille de vérifier, lors de la délivrance d’un tel certificat, que:
— la partie utilisatrice de portefeuille est inscrite et jouit d’un statut d’enregistrement valide dans un registre national des parties utilisatrices de portefeuille de l’État membre dans lequel elle est établie,
— toute information figurant dans le certificat d’accès de partie utilisatrice de portefeuille est exacte et compatible avec les données d’enregistrement disponibles dans ce registre;
d) une description complète des procédures de révocation des certificats d’accès de partie utilisatrice de portefeuille;
e) l’obligation incombant aux fournisseurs de certificats d’accès de partie utilisatrice de portefeuille de mettre en œuvre des mesures et des procédures pour:
— assurer un suivi permanent des modifications du registre national des parties utilisatrices de portefeuille dans lequel sont enregistrées les parties utilisatrices de portefeuille auxquelles ils ont délivré des certificats d’accès de partie utilisatrice,
— révoquer, lorsque ces modifications l’exigent, tout certificat de partie utilisatrice de portefeuille que le fournisseur a délivré à la partie utilisatrice de portefeuille concernée, en particulier lorsque le contenu du certificat n’est plus exact ni compatible avec les informations enregistrées ou lorsque l’enregistrement de la partie utilisatrice de portefeuille est suspendu ou annulé;
f) une description complète des procédures et mécanismes permettant la validation harmonisée des certificats d’accès de partie utilisatrice de portefeuille dans l’ensemble de l’Union;
g) l’obligation incombant aux fournisseurs de certificats d’accès de partie utilisatrice de portefeuille de permettre aux acteurs concernés, parmi lesquels les parties utilisatrices de portefeuille en ce qui concerne leurs propres certificats, les organes de contrôle compétents et les autorités chargées de la protection des données, de demander la révocation de certificats d’accès de partie utilisatrice de portefeuille;
h) l’obligation incombant aux fournisseurs de certificats d’accès de partie utilisatrice de portefeuille de consigner toutes ces révocations dans leur base de données sur les certificats et de publier le statut de révocation du certificat en temps utile, et en tout état de cause dans les 24 heures suivant la réception de la demande de révocation;
i) l’obligation incombant aux fournisseurs de certificats d’accès de partie utilisatrice de portefeuille de fournir des informations sur le statut de validité ou de révocation des certificats de partie utilisatrice de portefeuille qu’ils ont délivrés;
j) une description, le cas échéant, de la manière dont un fournisseur de certificats d’accès de partie utilisatrice de portefeuille journalise tous les certificats d’accès de partie utilisatrice de portefeuille qu’il a délivrés, conformément à la norme RFC 9162 version 2.0 de l’IETF sur la transparence des certificats;
k) l’obligation en vertu de laquelle les certificats d’accès de partie utilisatrice de portefeuille doivent comprendre:
— l’endroit où peut être obtenu le certificat sur lequel reposent la signature électronique avancée ou le cachet électronique avancé figurant sur ce certificat, pour l’ensemble du chemin de certification à constituer jusqu’à l’ancre de confiance prévue dans la hiérarchie de l’infrastructure à clé publique utilisée par le fournisseur,
— une référence pouvant être traitée par la machine à la politique en matière de certificats et à l’énoncé des pratiques de certification applicables,
— les informations visées à l’annexe I, points 1, 2, 3, 5, 6 et 7, a), b) et c), et 16,
— une référence au registre national des parties utilisatrices de portefeuille dans lequel la partie utilisatrice est enregistrée.
4. La révocation visée au point 3, g), prend effet dès sa publication.
5. Les informations visées au point 3, h), sont mises à disposition au moins à l’échelon du certificat, à tout moment et au moins au-delà de la période de validité du certificat, d’une manière automatisée, fiable, gratuite et efficace, conformément à la politique en matière de certificats.