ETSI TS 119 471 V1.1.1 (2025-05) s’applique, moyennant les adaptations suivantes:
1) 2.1 Références normatives
[1] ETSI EN 319 401 V3.2.1 (2026-01): «Signatures électroniques et infrastructures de confiance; exigences de politique générale applicables des prestataires de services de confiance»;
[2] Groupe européen de certification de cybersécurité, sous-groupe sur la cryptographie: «Agreed Cryptographic Mechanisms», publié par l’Agence de l’Union européenne pour la cybersécurité (ENISA);
[3] FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules»;
[4] Règlement d’exécution (UE) 2024/482 de la Commission;
[5] Règlement d’exécution (UE) 2024/3144 de la Commission;
[6] ISO/IEC 15408:2022 (parties 1 à 5): «Sécurité de l’information, cybersécurité et protection de la vie privée — Critères d’évaluation pour la sécurité des technologies de l’information».
2) 3.1 Termes
Le terme suivant est ajouté:
— Dispositif cryptographique sécurisé: dispositif qui contient la clé privée de l’utilisateur, protège cette clé contre toute compromission et exécute des fonctions de signature ou de déchiffrement pour le compte de l’utilisateur.
3) 4. Services de confiance de l’EAA
— La clause 4.2.2.2 «Vérification des attributs par rapport aux sources authentiques» ne s’applique pas.
— REQ-EAASP-4.2.2.3-02: Le prestataire de services d’attestation électronique d’attribut s’authentifie auprès de l’instance d’EUDIW en mettant en œuvre des mécanismes d’authentification mutuelle qui utilisent un certificat d’accès valide.
— REQ-EAASP-4.2.2.3-03: Le prestataire de services d’attestation électronique d’attribut valide l’unité d’EUDIW et vérifie si l’instance d’EUDIW est révoquée.
— La clause 4.3.2 «EUDIW Specific» ne s’applique pas.
4) 6.1 Énoncé de pratique de l’EAAS:
— REQ-EAASP-6.1-02: Le prestataire de services d’attestation électronique d’attribut (EAASP) expose le mécanisme de révocation dans l’énoncé de pratique du service d’attestation électronique d’attribut (EAAS).
5) 6.3 Politique en matière de sécurité de l’information:
— REQ-EAASP-6.3-02: Le prestataire de services d’attestation électronique d’attribut établit des procédures pour informer l’organe de contrôle de toute modification apportée à la fourniture du service de confiance pour l’attestation électronique d’attributs et de l’intention de cesser ces activités, conformément aux exigences opérationnelles et aux dispositions législatives et réglementaires applicables, y compris conformément aux exigences des actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014. Le prestataire de services d’attestation électronique d’attribut adresse une notification à l’organe de contrôle au moins:
— un mois avant la mise en œuvre de toute modification;
— trois mois avant la cessation prévue de la fourniture de services de confiance.
6) 7.5 Contrôles cryptographiques
— REQ-EAASP-7.5.2-05: néant
— REQ-EAASP-7.5.2-06: néant
— REQ-EAASP-7.5.3-01A: Des contrôles de sécurité appropriés sont mis en place pour la gestion de toutes les clés cryptographiques, de tous les algorithmes cryptographiques et de tous les dispositifs cryptographiques tout au long de leur cycle de vie, en adoptant, le cas échéant, une approche d’agilité cryptographique.
— REQ-EAASP-7.5.3-01B: Aux fins de la fourniture de ses services de confiance, le prestataire de services d’attestation électronique d’attribut sélectionne et utilise des techniques cryptographiques appropriées conformes aux mécanismes cryptographiques agréés approuvés par le groupe européen de certification de cybersécurité et publiés par l’ENISA [2].
— REQ-EAASP-7.5.3-02: Le prestataire de services d’attestation électronique d’attribut veille à ce que le dispositif cryptographique sécurisé qu’il utilise pour la signature ou le cachet numérique de l’attestation électronique d’attribut soit un dispositif de création de signature ou de cachet qualifié et à ce que tous les autres signatures ou cachets numériques utilisés pour fournir le service de confiance pour l’attestation électronique d’attributs correspondant, ou une partie de celui-ci, soient créés au moyen d’un dispositif cryptographique sécurisé qui est un système fiable certifié conformément:
(a) aux critères communs pour l’évaluation de la sécurité des technologies de l’information, tels qu’ils sont définis dans les critères communs pour l’évaluation de la sécurité des technologies de l’information, version 3.1 (CC3.1) jusqu’au 31.8.2027, ou dans la version CC:2022, parties 1 à 5, publiés par les participants à l’arrangement de reconnaissance mutuelle selon les critères communs dans le domaine de la sécurité informatique, ou dans la norme ISO/IEC 15408 [6], et certifiés au niveau EAL 4 ou supérieur; ou
(b) au schéma européen commun de certification de cybersécurité fondé sur des critères communs (EUCC) [4][5] et certifié au niveau EAL 4 ou supérieur; ou
(c) à la norme FIPS-140-2 niveau 3 à utiliser jusqu’au 31.8.2027 pour les systèmes certifiés existants ou à la norme FIPS PUB 140-3 [3] niveau 3 jusqu’au 31.12.2030.
Cette certification est faite par rapport à une cible de sécurité ou à un profil de protection, ou à une conception de module et une documentation de sécurité, répondant aux exigences du présent document, sur la base d’une analyse des risques et en prenant en compte des mesures de sécurité physiques et d’autres mesures de sécurité non techniques.
Si le dispositif cryptographique sécurisé bénéficie d’une certification EUCC [4] [5], ce dispositif doit être configuré et utilisé conformément à cette certification.
— REQ-EAASP-7.5.5-01: néant
— REQ-EAASP-7.5.5-02: néant
— REQ-EAASP-7.5.5-04: néant
7) 7.9 Vulnérabilités et gestion des incidents
— REQ-EAASP-7.9-02: Les activités de surveillance tiennent compte de la sensibilité de toute information collectée ou analysée.
8) 7.12 Cessation d’activité et plans de cessation de l’EAASP et de l’EAAS:
— REQ-EAASP-7.12-04: Le plan de cessation d’activité du prestataire de services d’attestation électronique d’attribut satisfait aux exigences énoncées dans les actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014 [i.1].