Exigences applicables aux certificats d’enregistrement de partie utilisatrice de portefeuille visés à l’article 8
1. La politique en matière de certificats d’enregistrement de partie utilisatrice de portefeuille applicable à la fourniture de ces certificats décrit les exigences de sécurité et les règles d’applicabilité attachées à ces certificats aux fins de leur délivrance aux parties utilisatrices de portefeuille et de leur utilisation par celles-ci dans leurs interactions avec les solutions de portefeuille. La politique en matière de certificats d’enregistrement de partie utilisatrice de portefeuille est publiée dans un format lisible par l’être humain.
2. L’énoncé des pratiques de certification pour les certificats d’enregistrement de partie utilisatrice de portefeuille applicable à la fourniture de ces certificats décrit les pratiques auxquelles recourt un fournisseur de tels certificats pour les délivrer, les gérer, les révoquer et renouveler leur clé et, le cas échéant, les modalités de leur relation avec les certificats d’accès de partie utilisatrice de portefeuille délivrés aux parties utilisatrices de portefeuille. L’énoncé des pratiques de certification pour les certificats d’enregistrement de partie utilisatrice de portefeuille est publié dans un format lisible par l’être humain.
3. La politique en matière de certificats et l’énoncé des pratiques de certification pour les certificats d’enregistrement de partie utilisatrice de portefeuille applicables à la fourniture de ces certificats font l’objet d’une harmonisation syntaxique et sémantique dans l’ensemble de l’Union, sont conformes à la norme ETSI TS 119 475 V1.2.1 (2026-03) et comprennent:
a) une description claire de la hiérarchie de l’infrastructure à clé publique et des chemins de certification depuis les certificats d’enregistrement de partie utilisatrice de portefeuille de l’entité finale jusqu’au sommet de la hiérarchie utilisée pour les délivrer, en indiquant la ou les ancres de confiance prévues dans cette hiérarchie et ces chemins;
b) une description complète des procédures de délivrance des certificats d’enregistrement de partie utilisatrice de portefeuille, y compris pour la vérification de l’identité et de tout attribut de la partie utilisatrice de portefeuille à laquelle un certificat de partie utilisatrice de portefeuille doit être délivré;
c) l’obligation incombant au fournisseur de certificats d’enregistrement de partie utilisatrice de portefeuille de vérifier, lors de la délivrance d’un tel certificat, que:
— la partie utilisatrice de portefeuille est inscrite et jouit d’un statut d’enregistrement valide dans un registre national des parties utilisatrices de portefeuille de l’État membre dans lequel elle est établie,
— les informations figurant dans le certificat d’enregistrement de partie utilisatrice de portefeuille sont exactes et compatibles avec les données d’enregistrement disponibles dans ce registre,
— le certificat d’accès de partie utilisatrice de portefeuille est valide,
— la description des procédures de révocation des certificats d’enregistrement de partie utilisatrice de portefeuille est complète;
d) l’obligation incombant aux fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille de mettre en œuvre des mesures et des procédures pour:
— assurer un suivi permanent et automatisé des modifications du registre national des parties utilisatrices de portefeuille dans lequel sont enregistrées les parties utilisatrices de portefeuille auxquelles ils ont délivré des certificats d’enregistrement de partie utilisatrice,
— délivrer à nouveau le certificat d’enregistrement de partie utilisatrice de portefeuille,
— révoquer tout certificat d’enregistrement de partie utilisatrice de portefeuille qu’ils ont délivré à la partie utilisatrice de portefeuille concernée lorsque ces modifications l’exigent, en particulier lorsque le contenu du certificat n’est plus exact ni compatible avec les données enregistrées ou lorsque l’enregistrement de la partie utilisatrice de portefeuille est modifié, suspendu ou annulé;
e) une description complète des procédures et mécanismes permettant la validation harmonisée des certificats d’enregistrement de partie utilisatrice de portefeuille;
f) l’obligation incombant au fournisseur de certificats d’enregistrement de partie utilisatrice de portefeuille de permettre aux acteurs concernés, parmi lesquels les parties utilisatrices de portefeuille en ce qui concerne leurs propres certificats, les organes de contrôle compétents et les autorités chargées de la protection des données, de demander la révocation de certificats d’enregistrement de partie utilisatrice de portefeuille;
g) l’obligation incombant au fournisseur de certificats d’enregistrement de partie utilisatrice de portefeuille de consigner toutes ces révocations dans sa base de données sur les certificats et de publier le statut de révocation du certificat en temps utile, et en tout état de cause dans les 24 heures suivant la réception de la demande de révocation;
h) l’obligation incombant aux fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille de fournir des informations sur le statut de validité ou de révocation des certificats d’enregistrement de partie utilisatrice de portefeuille qu’ils ont délivrés;
i) une description, le cas échéant, de la manière dont un fournisseur de certificats d’enregistrement de partie utilisatrice de portefeuille journalise tous les certificats d’enregistrement de partie utilisatrice de portefeuille qu’il a délivrés;
j) l’obligation en vertu de laquelle les certificats d’enregistrement de partie utilisatrice de portefeuille doivent:
— comprendre l’endroit où peuvent être obtenues les données de validation de la signature électronique avancée ou du cachet électronique avancé pour le certificat ayant servi à apposer une signature ou un cachet sur le certificat d’enregistrement, pour l’ensemble de la chaîne de confiance à constituer jusqu’à l’ancre de confiance,
— comprendre une référence lisible par la machine à la politique en matière de certificats et à l’énoncé des pratiques de certification applicables,
— comprendre les informations visées à l’annexe I, points 1, 2, 3, 5, 6 et 8, 9, 10, 11, 12, 13, 14 et 15,
— comprendre l’URL de la politique en matière de protection de la vie privée visé à l’article 8, paragraphe 2, point g),
— inclure une politique d’accès générale au sens de l’article 8, paragraphe 2, point c).
4. Le format d’échange de données pour le certificat d’enregistrement de partie utilisatrice de portefeuille est signé aux formats JSON Web Tokens (IETF RFC 7519) et CBOR Web Tokens (IETF RFC 8392).
5. La révocation visée au point 3, g), prend effet dès sa publication.
6. Les informations visées au point 3, h), sont mises à disposition au moins à l’échelon du certificat, à tout moment et au moins au-delà de la période de validité du certificat, d’une manière automatisée, fiable, gratuite et efficace, conformément à la politique en matière de certificats.