Article 1
Normes de référence
Les normes de référence mentionnées à l’article 19 bis, paragraphe 2, du règlement (UE) no 910/2014 figurent à l’annexe du présent règlement.
Droit de l'Union · Texte intégral
Règlement d’exécution (UE) 2025/2160 de la Commission du 27 octobre 2025 portant modalités d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil en ce qui concerne les normes de référence, les spécifications et les procédures applicables à la gestion des risques liés à la fourniture des services de confiance non qualifiés
Acte en vigueur, version d'origine.
Version d'origine : acte du 27/10/2025 tel que publié au JO de l'Union ; aucune consolidation en français. Si l'acte a été modifié depuis, ce texte n'en tient pas compte : vérifier sur EUR-Lex.
ActeRèglement d’exécution (UE) 2025/2160
Adopté le27 octobre 2025
VersionVersion d'origine
Contenu5 articles, 9 considérants, 1 annexe
CELEX32025R2160
Considérants (9)
(1)
(1) Les prestataires de services de confiance non qualifiés jouent un rôle important dans l’environnement numérique en fournissant des services de confiance qui facilitent les transactions électroniques sécurisées. Le règlement (UE) no 910/2014 impose moins d’exigences réglementaires aux prestataires de services de confiance non qualifiés qu’aux prestataires de services de confiance qualifiés. Tous les prestataires de services de confiance sont néanmoins soumis à des exigences en matière de sécurité et de responsabilité, pour assurer une diligence appropriée, la transparence et la responsabilité quant à leurs activités et à leurs services.
(2)
(2) Les prestataires de services de confiance non qualifiés peuvent être considérés comme des entités importantes ou essentielles au sens de l’article 3 de la directive (UE) 2022/2555 du Parlement européen et du Conseil. À ce titre, le règlement d’exécution (UE) 2024/2690 de la Commission établissant des exigences techniques et méthodologiques liées aux mesures de gestion des risques en matière de cybersécurité leur est applicable. Toutefois, le champ d’application des exigences énoncées à l’article 19 bis, paragraphe 1, point a), du règlement (UE) no 910/2014 se rapporte aux procédures de gestion des risques concernant les risques juridiques, commerciaux et opérationnels ainsi que les autres risques directs ou indirects liés à la fourniture des services de confiance non qualifiés. Afin de compléter le cadre de gestion des risques énoncé dans le règlement d’exécution (UE) 2024/2690 et de permettre une approche cohérente de la gestion de tous les types de risques pertinents, il convient de définir les spécifications et procédures relatives à la gestion de ces risques par les prestataires de services de confiance non qualifiés. Les orientations fournies par l’Agence de l’Union européenne pour la cybersécurité (ENISA) ou les autorités nationales compétentes en vertu de la directive (UE) 2022/2555 peuvent aider les prestataires de services de confiance non qualifiés à concevoir et à mettre en œuvre des politiques de gestion des risques appropriées.
(3)
(3) La présomption de conformité prévue à l’article 19 bis, paragraphe 2, du règlement (UE) no 910/2014 ne devrait s’appliquer que lorsque les prestataires de services de confiance non qualifiés respectent les exigences énoncées dans le présent règlement. Les normes de référence visées à l’annexe devraient tenir compte des pratiques établies et être largement reconnues dans les secteurs concernés. Afin de garantir que les prestataires de services de confiance non qualifiés gèrent les risques juridiques, commerciaux et opérationnels ainsi que les autres risques directs ou indirects liés à la fourniture des services de confiance non qualifiés conformément à l’article 19 bis, paragraphe 1, du règlement (UE) no 910/2014, lesdits prestataires devraient se conformer aux éléments des normes dont les références figurent dans l’annexe et aux exigences en matière de gestion des risques énoncées dans le présent règlement aux fins de la présomption de conformité.
(4)
(4) Si un prestataire de services de confiance non qualifié respecte les exigences énoncées dans le présent règlement d’exécution, les organes de contrôle devraient présumer que les exigences pertinentes du règlement (UE) no 910/2014 sont respectées. Toutefois, un prestataire de services de confiance non qualifié peut toujours s’appuyer sur d’autres pratiques pour démontrer le respect des exigences du règlement (UE) no 910/2014.
(5)
(5) Afin de garantir une prise en compte adéquate des risques identifiés, les politiques de gestion des risques appliquées par les prestataires de services de confiance non qualifiés devraient comprendre des procédures de documentation et d’évaluation des risques, ainsi que de définition, de sélection et de mise en œuvre de mesures de traitement du risque appropriées. La mise en œuvre des mesures de traitement du risque devrait faire l’objet d’un suivi continu. En ce qui concerne les informations que les prestataires de services de confiance non qualifiés enregistrent et conservent dans le cadre de leurs mesures de traitement du risque, lesdits prestataires devraient garantir l’intégrité et la confidentialité de ces données. En outre, afin de renforcer la transparence et de soutenir les activités de contrôle, les prestataires de services de confiance non qualifiés devraient publier les méthodes de vérification d’identité qu’ils appliquent. Étant donné que les risques identifiés ne peuvent pas tous être entièrement traités en les évitant, en les atténuant ou en les transférant à d’autres entités, tout risque résiduel devrait être approuvé par les organes de direction des prestataires de services de confiance non qualifiés. Les critères d’acceptation des risques résiduels devraient être justifiés de manière compréhensible.
(6)
(6) La Commission évalue régulièrement de nouvelles technologies, pratiques, normes ou spécifications techniques. Conformément au considérant 75 du règlement (UE) 2024/1183 du Parlement européen et du Conseil, la Commission devrait réexaminer et, si besoin est, mettre à jour le présent règlement d’exécution, afin de le maintenir en adéquation avec les évolutions générales, les nouvelles technologies, les pratiques et les normes ou spécifications techniques et de suivre les meilleures pratiques sur le marché intérieur.
(7)
(7) Le règlement (UE) 2016/679 du Parlement européen et du Conseil et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil s’appliquent à toutes les activités de traitement de données à caractère personnel au titre du présent règlement.
(8)
(8) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil et a rendu son avis le 8 août 2025.
(9)
(9) Les mesures prévues par le présent règlement sont conformes à l’avis du comité établi par l’article 48 du règlement (UE) no 910/2014,
Article 2
Procédures de gestion des risques
1. Les procédures de gestion des risques visées à l’article 19 bis, paragraphe 1, du règlement (UE) no 910/2014 déterminent clairement les services de confiance auxquels elles s’appliquent, sont spécifiques aux services de confiance concernés et sont approuvées par l’organe de direction du prestataire de services de confiance non qualifié.
2. Les procédures de gestion des risques comprennent au moins l’ensemble des éléments suivants:
a) le niveau global de tolérance au risque en fonction de la criticité et du niveau de sécurité requis des services de confiance, compte tenu des dernières évolutions technologiques;
b) les critères de risque pertinents, comprenant au moins la probabilité, l’incidence et le niveau du risque, compte tenu des renseignements sur les cybermenaces et des vulnérabilités;
c) une méthode pour l’identification et la documentation des risques liés à la fourniture des services de confiance, tenant compte de l’ensemble du champ d’activité du système d’information utilisé par le prestataire de services de confiance non qualifié, y compris les risques associés aux composantes du système ainsi qu’à toute partie active ou passive participant à la mise en œuvre du système ou à la fourniture des services de confiance;
d) un processus d’évaluation des risques identifiés sur la base des critères de risque visés au point b);
e) un processus d’identification, de hiérarchisation et de suivi continu de la mise en œuvre des mesures de traitement du risque appropriées;
f) un processus de suivi continu de la mise en œuvre des procédures de gestion des risques.
3. Les prestataires de services de confiance non qualifiés établissent des procédures appropriées et conservent des documents permettant de garantir la mise en œuvre des exigences énoncées dans la législation applicable.
4. Les prestataires de services de confiance non qualifiés établissent des procédures documentées et appropriées pour assurer le suivi des modifications législatives et réglementaires au niveau national et de l’Union susceptibles d’avoir une incidence sur la fourniture des services de confiance.
Article 3
Identification, documentation et évaluation des risques
Les prestataires de services de confiance non qualifiés identifient, documentent et évaluent tous les risques visés à l’article 19 bis, paragraphe 1, du règlement (UE) no 910/2014 conformément aux procédures de gestion des risques visées à l’article 2, et notamment:
a) ils identifient les risques à l’égard des tiers;
b) ils identifient les points uniques de défaillance potentiels dans la fourniture des services de confiance;
c) ils évaluent les risques identifiés sur la base des critères de risque visés à l’article 2, paragraphe 2, point b).
Article 4
Mesures de traitement du risque
1. Conformément aux procédures visées à l’article 2, les prestataires de services de confiance non qualifiés planifient, documentent et mettent en œuvre des mesures de traitement du risque et effectuent notamment les tâches suivantes:
a) ils déterminent et hiérarchisent les mesures qu’il convient d’appliquer en matière de traitement des risques;
b) ils sélectionnent, approuvent et documentent les mesures de traitement du risque choisies, comprenant leurs exigences de sécurité et procédures opérationnelles, dans un plan de traitement du risque, et déterminent qui est responsable de la mise en œuvre des mesures de traitement du risque et à quel moment elles doivent être mises en œuvre;
c) ils suivent en continu la mise en œuvre des mesures de traitement du risque.
2. Le plan de traitement du risque visé au paragraphe 1, point b), indique les motifs justifiant l’acceptation des risques résiduels de manière compréhensible.
3. Dans le cadre des mesures de traitement du risque visées au paragraphe 1, les prestataires de services de confiance non qualifiés:
a) vérifient, le cas échéant, l’identité des utilisateurs du service de confiance, directement ou par l’intermédiaire d’un tiers, et publient des informations sur les méthodes de vérification d’identité utilisées;
b) enregistrent et conservent en lieu sûr, aussi longtemps que le prévoient le droit de l’Union ou le droit national, y compris après la cessation des activités du prestataire de services de confiance non qualifié, les informations suivantes, pour s’en servir comme preuve en justice et assurer la continuité du service:
— toutes les informations pertinentes recueillies dans le cadre du processus d’enregistrement et d’enrôlement des utilisateurs de services de confiance, y compris, le cas échéant, la vérification d’identité des utilisateurs,
— les données d’authentification assignées à l’utilisateur du service de confiance, le cas échéant, et
— tout changement de statut des certificats de clé publique ou de tout autre matériel cryptographique utilisé dans la fourniture du service de confiance;
c) veillent, le cas échéant, à ce que les données d’authentification assignées à l’utilisateur du service de confiance soient uniques.
4. Lorsqu’ils identifient, sélectionnent, approuvent et hiérarchisent les mesures de traitement du risque appropriées, les prestataires de services de confiance non qualifiés tiennent compte des éléments suivants:
a) les résultats de l’évaluation visée à l’article 3;
b) l’efficacité des mesures de traitement du risque;
c) les évaluations de la conformité;
d) les incidents importants;
e) le coût de la mise en œuvre par rapport à l’avantage escompté;
f) le classement approprié des actifs applicable;
g) l’analyse des incidences éventuelles des risques identifiés conformément à l’article 3 sur l’activité économique.
5. Les organes de direction des prestataires de services de confiance non qualifiés approuvent les risques résiduels qui subsistent après la mise en œuvre des mesures de traitement du risque prévues dans le plan de traitement du risque.
6. Les prestataires de services de confiance non qualifiés réexaminent, documentent et, le cas échéant, mettent à jour les résultats de l’évaluation des risques et le plan de traitement du risque à intervalles prédéfinis, et au moins une fois par an, ainsi qu’en cas de changements importants dans l’infrastructure, les opérations ou les risques, ou d’incidents importants.
7. Les prestataires de services de confiance non qualifiés veillent à la disponibilité, à l’intégrité et à la confidentialité des informations visées au paragraphe 3, point b).
Article 5
Entrée en vigueur
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Annexes
Annexe
ANNEXE — Liste des normes de référence applicables aux prestataires de services de confiance non qualifiés
Les exigences des clauses suivantes de la norme ETSI EN 319 401 V3.1.1 (2024-06) «Signatures électroniques et infrastructures de confiance — Exigences de politique générale des prestataires de service de confiance» s’appliquent:
5. Évaluation du risque
6. Politiques et méthodes
7. 1 Organisation interne
7. 2 Ressources humaines
7. 3 Gestion des actifs
7. 4 Contrôle d’accès
7. 6 Sécurité physique et environnementale