Spécifications relatives aux rapports d’évaluation de la conformité
Le rapport d’évaluation de la conformité visé à l’article 7, paragraphe 1,
1) est accompagné d’une décision de certification claire conformément au paragraphe 7.6 de la norme ETSI EN 319403-1 v2.3.1 («ETSI EN 319403-1»), indiquant si le prestataire de services de confiance évalué et les services de confiance qualifiés évalués qu’il fournit ou vise à fournir satisfont aux exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555;
2) précise le nom du prestataire de services de confiance qualifié et, le cas échéant, son numéro d’immatriculation, tel qu’il figure dans les registres officiels, son adresse postale officielle et son adresse électronique, ainsi que, le cas échéant, les mêmes informations pour toutes les filiales, entités juridiques affiliées, contractants et sous-traitants qui exploitent des composantes de services de confiance relevant de la fourniture des services de confiance qualifiés par le prestataire de services de confiance qualifié;
3) comprend une description détaillée de la portée de l’évaluation du prestataire de services de confiance qualifié, y compris des services de confiance qualifiés spécifiques couverts par l’évaluation;
4) contient suffisamment d’éléments démontrant que le prestataire de services de confiance et les services de confiance qualifiés qu’il a l’intention de fournir respectent les exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555;
5) le nom de l’organisme d’évaluation de la conformité et, le cas échéant, son numéro d’immatriculation, tels qu’ils figurent dans les registres officiels, son adresse postale enregistrée et son adresse électronique;
6) précise les informations suivantes:
a) le nom et le pays de l’organisme national d’accréditation ayant accrédité l’organisme d’évaluation de la conformité;
b) le nom des personnes physiques que l’organisme d’évaluation de la conformité charge de participer à l’évaluation de la conformité et leur rôle respectif dans cette évaluation;
c) le lien vers le site internet officiel de l’organisme national d’accréditation, contenant le certificat d’accréditation délivré par l’organisme national d’accréditation à l’organisme d’évaluation de la conformité;
d) le cas échéant, le symbole d’accréditation numérique;
e) le système d’évaluation de la conformité pour lequel l’organisme d’évaluation de la conformité a été accrédité conformément à l’article 2, paragraphe 1;
f) les renseignements relatifs à l’évaluation de la conformité demandés dans le cadre de l’évaluation de la conformité effectuée, les motifs justifiant leur sélection et la méthodologie utilisée, y compris la méthode d’échantillonnage et les procédures d’essai;
g) le système d’évaluation de la conformité accrédité et les documents pertinents ou un lien vers l’endroit où ce système d’évaluation de la conformité et les documents pertinents sont disponibles;
7) contient au moins une signature électronique qualifiée, si le rapport est fourni sous forme électronique, ou une signature manuscrite, s’il est fourni sur support papier, indiquant le nom et le titre de la ou des personnes responsables qui ont été habilitées à adopter la décision de certification au nom de l’organisme d’évaluation de la conformité;
8) concerne un prestataire de services de confiance qualifié;
9) énumère, conformément au paragraphe 5.5.3 de la norme ETSI TS 119612 v.2.4.1, les identités numériques du service par type de service de confiance qualifié pour lequel il confirme la conformité aux exigences énoncées dans le règlement (UE) no 910/2014 et à l’article 21 de la directive (UE) 2022/2555, en fournissant les informations suivantes:
a) lorsque le service de confiance qualifié n’est pas fondé sur une technologie d’infrastructure à clé publique, un identifiant exprimé sous la forme d’un URI qui identifie de manière unique le service de confiance qualifié;
b) lorsque le service de confiance qualifié est fondé sur une technologie d’infrastructure à clé publique, au moins les éléments suivants:
— l’identifiant de clé de l’objet (Subject Key identifier) tel que défini dans le RFC 5280 de l’IETF;
— la représentation en Base64 PEM du certificat numérique X.509v3 associé;
— le cas échéant, une mention indiquant si des ensembles ou sous-ensembles spécifiques de certificats d’entité finale délivrés par l’identité numérique du service ou dans le cadre de celle-ci sont exclus de la décision de certification ou expressément inclus dans cette décision et sur la base de quels critères ils peuvent être identifiés;
— une mention indiquant si l’identité numérique du service concerne une entité finale ou une autorité de certification, précisant s’il s’agit d’un certificat émis, intermédiaire ou racine;
— une description de la manière dont l’identité numérique du service est utilisée dans le cadre du service de confiance qualifié correspondant;
10) fournit, le cas échéant, une description détaillée de la hiérarchie fonctionnelle de l’infrastructure à clé publique, par type de service de confiance qualifié et pour toutes les identités numériques du service identifiées conformément au point 11, comprenant au moins:
a) l’illustration de la hiérarchie des infrastructures à clé publique identifiant les autorités de certification racine, les autorités de certification intermédiaires, les autorités de certification émettrices et les chemins de certification qui les relient;
b) l’identification de chaque autorité de certification illustrée au point a) au moyen de l’identifiant de la clé du sujet tel que défini dans le RFC 5280 de l’IETF;
c) pour chacune des autorités de certification émettrices identifiées conformément au point b), la liste des différents ensembles de certificats que chaque autorité de certification délivre en fonction de ses politiques de certification, ainsi que, pour chacun de ces ensembles:
— des critères qui identifient sans ambiguïté les certificats de l’ensemble, qui sont soit une liste d’identifiants de la politique de certification correspondant au contenu de l’extension concernant la politique de certification, telle que définie dans le RFC 5280 de l’IETF, soit d’autres critères définis dans les actes d’exécution adoptés en vertu de l’article 22, paragraphe 5, du règlement (UE) no 910/2014,
— une mention indiquant si les certificats de l’ensemble sont qualifiés ou non,
— une mention indiquant si les certificats de l’ensemble sont destinés à des signatures électroniques, à des cachets électroniques, à une authentification de site internet ou à aucune de ces fins et, dans ce dernier cas, à quelles autres fins leur utilisation est prévue,
— une mention indiquant si la clé privée correspondant à la clé publique certifiée dans les certificats des ensembles réside dans un dispositif de création de signature qualifiée ou de cachet qualifié local ou à distance;
11) comprend, conformément au point 2
a) une liste exhaustive des tiers, y compris de sous-traitants, qui fournissent des composants de services de confiance qualifiés ou des composants de services, indiquant leur nom, tel que prévu au point 2, ainsi que l’emplacement des sites où les composants de services correspondants sont exploités;
b) une mention indiquant si ces tiers et sites ont fait l’objet de l’évaluation de la conformité et dans quelle mesure;
12) décrit, le cas échéant, le contenu de l’inscription à ajouter ou à mettre à jour dans la liste de confiance nationale pertinente, en fonction du résultat de l’évaluation;
13) inclut une liste exhaustive des documents internes des prestataires de services de confiance publics et qualifiés, dûment identifiés, y compris les versions, qui ont été couverts par la portée de l’évaluation de la conformité, y compris au moins les documents suivants visés au point 8, pour lesquels une copie est soit fournie en même temps que le rapport d’évaluation de la conformité, soit mise à la disposition de l’organe de contrôle compétent à sa demande:
a) la déclaration des pratiques utilisées par le prestataire de services de confiance qualifié pour fournir les services de confiance qualifiés;
b) l’ensemble de règles indiquant l’applicabilité des services de confiance qualifiés à une communauté ou à une catégorie d’application particulière ayant des exigences communes en matière de sécurité («politiques en matière de services de confiance qualifiés»);
c) les modalités et conditions relatives aux accords d’abonnés;
d) le plan d’arrêt des services de confiance qualifiés;
e) la documentation liée à l’évaluation des risques, qui vise à démontrer que les exigences de l’article 24, paragraphe 2, points f bis) et f ter), du règlement (UE) no 910/2014 et de l’article 21 de la directive (UE) 2022/2555 ont été respectées;
f) le plan de notification des atteintes à la sécurité, qui vise à démontrer que les exigences de l’article 24, paragraphe 2, points f bis) et f ter), du règlement (UE) no 910/2014 et de l’article 21 de la directive (UE) 2022/2555 ont été respectées;
g) la liste de tous les documents internes étayant la mise en œuvre effective des pratiques déclarées et utilisées par le prestataire de services de confiance qualifié pour fournir les services de confiance qualifiés;
h) l’acte constitutif et les statuts du prestataire de services de confiance qualifié, conformément au droit national applicable, ainsi que les éléments suivants:
— une déclaration d’activités commerciales non liées à la fourniture de services de confiance,
— un organigramme,
— des informations sur la structure de propriété,
— le cas échéant et s’il est disponible, le rapport du contrôleur des comptes de l’entreprise pour les deux exercices financiers précédents, ou de la date de la constitution de l’entreprise jusqu’à la date de signature du rapport d’évaluation de la conformité, la période la plus courte étant retenue;
i) la preuve que le prestataire de services de confiance qualifié, conformément au droit national applicable, dispose de ressources financières suffisantes et, le cas échéant, a obtenu une assurance de responsabilité civile appropriée en ce qui concerne la fourniture des services de confiance qualifiés;
j) la liste des normes auxquelles les opérations sont déclarées conformes;
k) la liste des normes au regard desquelles les opérations sont auditées, évaluées, certifiées ou jugées conformes, ainsi que des détails sur le système d’audit, d’évaluation, de certification ou d’évaluation de conformité sous-jacent, selon le cas;
l) la liste des dispositifs de création de signature électronique qualifiés ou des dispositifs de création de cachet électronique qualifiés et leurs informations relatives à la certification lorsque le prestataire de services de confiance qualifié fournit ces dispositifs à ses utilisateurs ou les met à leur disposition;
m) la liste des dispositifs que le prestataire de services de confiance qualifié utilise en tant que système ou produit fiable, y compris les modules de sécurité matériels ou les dispositifs cryptographiques sécurisés, pour protéger ses propres clés, et les informations relatives à leur certification, lorsque le prestataire de services de confiance qualifié utilise ces dispositifs pour sécuriser les processus soutenant les services de confiance qualifiés qu’il fournit;
14) contient une évaluation du respect des exigences qui s’appliquent aux services de confiance qualifiés concernés en vertu du règlement (UE) no 910/2014 et, le cas échéant, telles qu’énoncées dans les actes d’exécution et les actes délégués qui s’appliquent à ce service de confiance qualifié, telles qu’adoptées conformément à:
— l’article 24, paragraphe 1 quater, du règlement (UE) no 910/2014 en ce qui concerne la vérification de l’identité et des attributs des personnes auxquelles le certificat qualifié ou l’attestation électronique qualifiée doit être délivré,
— l’article 24, paragraphe 5, du règlement (UE) no 910/2014 en ce qui concerne les exigences applicables aux prestataires de services de confiance qualifiés fournissant des services de confiance qualifiés,
— l’article 28, paragraphe 6, du règlement (UE) no 910/2014 en ce qui concerne la délivrance de certificats qualifiés de signature électronique,
— l’article 38, paragraphe 6, du règlement (UE) no 910/2014 en ce qui concerne la délivrance de certificats qualifiés de cachets électroniques,
— l’article 45, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne la délivrance de certificats qualifiés d’authentification de site internet,
— l’article 33, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne le service de validation qualifié des signatures électroniques qualifiées,
— l’article 33, paragraphe 2, et l’article 40 du règlement (UE) no 910/2014 en ce qui concerne le service de validation qualifié des cachets électroniques qualifiés,
— l’article 34, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne le service qualifié de préservation des signatures électroniques qualifiées,
— l’article 34, paragraphe 2, et l’article 40 du règlement (UE) no 910/2014 en ce qui concerne le service qualifié de préservation des cachets électroniques qualifiés,
— l’article 42, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne la création d’horodatages électroniques qualifiés,
— l’article 44, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne la fourniture de services d’envoi recommandé électronique qualifiés,
— l’article 29 bis, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne les services qualifiés de gestion de dispositifs de création de signature électronique qualifiés à distance,
— l’article 29 bis, paragraphe 2, et l’article 39 bis du règlement (UE) no 910/2014 en ce qui concerne les services qualifiés de gestion de dispositifs de création de cachet électronique qualifiés à distance,
— l’article 45 undecies, paragraphe 2, du règlement (UE) no 910/2014 en ce qui concerne la fourniture de services d’archivage électronique qualifiés,
— l’article 45 quinquies, paragraphe 5, du règlement (UE) no 910/2014 en ce qui concerne la délivrance d’attestations électroniques qualifiées d’attributs,
— l’article 45 terdecies, paragraphe 3, du règlement (UE) no 910/2014 en ce qui concerne l’enregistrement de données électroniques dans un registre électronique qualifié;
15) contient une évaluation du respect des exigences applicables au prestataire de services de confiance qualifié et aux services de confiance qualifiés pertinents en vertu de l’article 21 de la directive (UE) 2022/2555 et des actes d’exécution qui s’appliquent à ce service de confiance qualifié, tels qu’adoptés conformément à l’article 21, paragraphe 5, de ladite directive;
16) contient une déclaration établissant, le cas échéant, l’absence de toute non-conformité, quel que soit son niveau de criticité; lorsqu’une non-conformité est constatée dans le rapport, celui-ci fournit un plan de mesures correctives et leur calendrier, communiqué par le prestataire de services de confiance qualifié et approuvé par l’organisme d’évaluation de la conformité, accompagné de la description des tâches d’évaluation que l’organisme d’évaluation de la conformité doit effectuer pour établir que ces non-conformités ont été corrigées;
17) contient, lorsque cela est approprié et nécessaire, une indication des possibilités d’amélioration en ce qui concerne le respect des exigences pertinentes par le prestataire de services de confiance qualifié et les services de confiance qualifiés qu’il fournit;
18) détermine, pour chaque étape de l’évaluation de la conformité, y compris l’audit documentaire, l’évaluation de la mise en œuvre et les inspections sur place, la période au cours de laquelle l’évaluation a été réalisée et le temps pris par l’organisme d’évaluation de la conformité, exprimé en personnes-jours, pour procéder à l’évaluation;
19) indique, dans chaque rapport relatif à une exigence spécifique, les contrôles et objectifs détaillés de l’évaluation de la conformité qui ont été effectués au cours de l’évaluation ou inclut une référence aux rapports d’évaluation disponibles séparément dans lesquels figurent ces informations, pour autant que ces rapports d’évaluation distincts soient:
a) délivrés par des organismes d’évaluation de la conformité accrédités conformément au règlement (UE) no 910/2014;
b) avalisés par les organismes d’évaluation de la conformité délivrant le rapport d’évaluation de la conformité;
20) comprend la portée, la description et les résultats d’un ensemble significatif d’essais ou d’échantillons de production ainsi que leur évaluation pour tous les types pertinents et applicables de produits des services de confiance qualifiés évalués;
21) indique les délais suivants:
a) le délai dans lequel la prochaine évaluation de la conformité de surveillance doit être effectuée;
b) le délai dans lequel la prochaine évaluation de la conformité doit être effectuée conformément à l’article 20, paragraphe 1, du règlement (UE) no 910/2014;
22) contient une déclaration indiquant explicitement que les documents de certification, y compris le rapport d’évaluation de la conformité, sont également destinés à être utilisés par l’organe national de contrôle compétent.