La norme ETSI TS 119 461 V2.1.1 (2025-02) s’applique aux fins de la conformité avec l’annexe C, clause C.3, moyennant les adaptations suivantes:
1) 2.1 Références normatives
— [1] ETSI EN 319 401 V3.1.1 (2024-06): «Signatures électroniques et infrastructures de confiance; exigences de politique générale applicables des prestataires de services de confiance».
2) C.3 Cas d’utilisation pour la délivrance de certificats qualifiés ou d’attestations électroniques d’attributs qualifiées conformément à l’article 24, paragraphes 1, 1 bis et 1 ter, du règlement (UE) no 910/2014
— [CONDITIONNEL] QTS-C3-01: Si la vérification de l’identité pour un certificat qualifié ou une attestation électronique qualifiée est effectuée conjointement avec la vérification de l’identité afin de délivrer des preuves faisant autorité, ce processus de vérification de l’identité doit:
— avoir fait l’objet d’une évaluation par les pairs ou avoir été certifié par un organisme d’évaluation de la conformité accrédité pour être conforme au niveau de garantie élevé en vertu du règlement (UE) no 910/2014, ou
— être conforme aux exigences énoncées dans les clauses C3.1 à C3.6.
3) C.3.4 Cas d’utilisation pour la vérification de l’identité par d’autres moyens d’identification
— QTS-C.3.4-06A: L’organisme indépendant d’évaluation de la conformité visé au point [CONDITIONNEL] QTS-C.3.4-06, point c), est accrédité conformément à l’article 3, paragraphe 18, du règlement (UE) no 910/2014 et, si toutes les exigences applicables sont remplies, l’évaluation doit aboutir à un certificat de conformité fondé sur un audit de certification. Ce processus formel de certification repose sur un processus d’évaluation de la sécurité qui fait référence aux niveaux de garantie définis pour les moyens d’identification électronique notifiés ou les portefeuilles européens d’identité numérique certifiés au titre du règlement (UE) no 910/2014 et comprend des essais rigoureux visant à évaluer la résistance aux menaces potentielles pour la sécurité. Ces évaluations utilisent des normes techniques pertinentes pour démontrer la capacité de résistance à ce type d’attaques.
4) 9.2.3.4 Cas d’utilisation pour un fonctionnement automatisé
— USE-9.2.3.4-04: l’IPSP établit des valeurs cibles pour les FAR et les FRR, sur la base d’une analyse des risques et de sa procédure en matière de renseignement sur les menaces, en suivant la méthode établie dans le rapport de l’ENISA intitulé «Methodology for sectoral cybersecurity assessments» [i.28] ou une méthode équivalente, dans le cadre de processus entièrement automatisés de vérification de l’identité. Ces valeurs cibles sont égales ou inférieures à celles fixées pour les cas d’utilisation hybrides, lorsque ces derniers existent. L’IPSP maintient ces valeurs cibles pour les FAR et les FRR de manière cohérente, sur la base d’une analyse des risques et de sa procédure en matière de renseignement sur les menaces.
5) 8.3.3 Validation du document d’identité physique
— VAL-8.3.3-21: les tests concernant l’efficacité des mesures relatives à la conformité aux exigences VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A et VAL-8.3.3-07X sont effectués par un laboratoire accrédité ou une autorité nationale compétente, lorsque ceux-ci sont désignés, au plus tard le 19 août 2027 et sont ensuite renouvelés tous les deux ans.
6) 7.12. Arrêt d’activité et plans d’arrêt d’activité
— OVR-7.12-02: le plan d’arrêt d’activité satisfait aux exigences énoncées dans les actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014 [i.1].