Considérants (11)
(1)(1) Les prestataires de services de confiance qualifiés jouent un rôle essentiel pour assurer des interactions numériques sûres et fiables en fournissant des services de confiance qualifiés conformément au règlement (UE) no 910/2014.
(2)(2) La présomption de conformité prévue à l’article 24, paragraphe 5, du règlement (UE) no 910/2014 ne devrait s’appliquer que lorsque les services de confiance qualifiés respectent les exigences et les normes de référence et spécifications énoncées dans le présent règlement. Ces exigences et ces normes de référence et spécifications devraient tenir compte des pratiques établies et être largement reconnues dans les secteurs concernés. Les normes de référence devraient faire l’objet d’adaptations visant à y inclure des contrôles supplémentaires qui garantissent la sécurité et la fiabilité du service de confiance qualifié et des prestataires de services de confiance qualifiés qui fournissent ce service.
(3)(3) Si un prestataire de services de confiance respecte les exigences et les normes de référence et spécifications énoncées dans le présent règlement, les organes de contrôle devraient présumer que les exigences pertinentes du règlement (UE) no 910/2014 sont respectées et tenir dûment compte de cette présomption pour l’octroi ou la confirmation du statut qualifié du service de confiance. Toutefois, un prestataire de services de confiance qualifiés peut toujours s’appuyer sur d’autres pratiques pour démontrer le respect des exigences du règlement (UE) no 910/2014.
(4)(4) La Commission évalue régulièrement de nouvelles technologies, pratiques, normes ou spécifications techniques. Conformément au considérant 75 du règlement (UE) 2024/1183 du Parlement européen et du Conseil, la Commission devrait réexaminer et, si besoin est, mettre à jour le présent règlement d’exécution, afin de le maintenir en adéquation avec les évolutions générales, les nouvelles technologies, les pratiques et les normes ou spécifications techniques et de suivre les meilleures pratiques sur le marché intérieur.
(5)(5) Il incombe aux prestataires de services de confiance qualifiés d’adresser une notification aux organes de contrôle avant d’apporter quelque modification que ce soit à la fourniture de leurs services de confiance qualifiés. Ces notifications devraient permettre aux organes de contrôle d’exiger des prestataires de services de confiance qualifiés qu’ils prennent des mesures appropriées pour atténuer les éventuelles incidences négatives des modifications notifiées quant au respect des exigences du règlement (UE) no 910/2014 et à l’octroi du statut qualifié. Afin de fournir des précisions et des orientations aux prestataires de services de confiance qualifiés sur les modifications qu’il leur incombe de notifier aux organes de contrôle, le présent règlement devrait comprendre une liste non exhaustive de ces modifications.
(6)(6) Nonobstant l’article 21 de la directive (UE) 2022/2555 du Parlement européen et du Conseil, l’article 24, paragraphe 2, du règlement (UE) no 910/2014 prévoit des exigences supplémentaires en ce qui concerne les procédures de gestion des risques en matière de risques juridiques, commerciaux et opérationnels et autres risques directs ou indirects liés à la fourniture du service de confiance qualifié, qui ne relèvent pas du règlement d’exécution (UE) 2024/2690 de la Commission. Afin de garantir qu’ils évaluent et documentent structurellement et systématiquement ces risques liés à la fiabilité de leurs services de confiance qualifiés, les prestataires de services de confiance qualifiés devraient mettre en œuvre un cadre de gestion des risques adapté aux services de confiance qualifiés qu’ils fournissent. Afin de garantir la cohérence des procédures de gestion des risques mises en œuvre par les prestataires de services de confiance non qualifiés et les prestataires de services de confiance qualifiés, ce cadre devrait être conforme aux exigences énoncées dans le règlement d’exécution (UE) 2025/2160 de la Commission.
(7)(7) La continuité des services de confiance qualifiés ou l’arrêt dans de bonnes conditions des services de confiance qualifiés lorsque leur continuité ne peut être assurée est un élément essentiel pour renforcer la fiabilité des services de confiance qualifiés. Des plans d’arrêt d’activité suffisamment détaillés constituent un outil important pour garantir que les abonnés et les parties utilisatrices peuvent se fier aux produits des services de confiance qualifiés en cas d’arrêt de ces services. Les plans d’arrêt d’activité devraient couvrir à la fois l’arrêt prévu d’un service de confiance qualifié, comme la vente d’un service de confiance qualifié à un autre prestataire de services de confiance qualifié, et l’arrêt imprévu, comme la faillite ou d’autres cas d’insolvabilité. Les plans d’arrêt d’activité devraient contenir des dispositions appropriées pour garantir que les effets de l’arrêt peuvent être gérés sans incidence négative sur la validité ou la valeur des produits générés par le service de confiance qualifié avant l’arrêt de son activité. En outre, les plans d’arrêt d’activité devraient garantir l’impossibilité d’obtenir de nouveaux produits d’un service de confiance qualifié dont l’activité a été arrêtée lorsqu’il ne satisfait plus aux exigences applicables aux services de confiance qualifiés ou aux prestataires de services de confiance qualifiés énoncées dans le règlement (UE) no 910/2014. Les prestataires de services de confiance qualifiés devraient tenir à jour les plans d’arrêt d’activité et analyser l’incidence de toute modification apportée au prestataire de services de confiance qualifié ou aux services de confiance qualifiés qu’il fournit, telle qu’un changement de nom, une fusion, une acquisition, une faillite, un redressement judiciaire, une mise sous tutelle ou une modification technique, sur les plans d’arrêt d’activité avant de mettre en œuvre cette modification.
(8)(8) La Commission a adopté des règlements d’exécution comprenant des références aux normes et spécifications techniques applicables aux services de confiance qualifiés. Ces règlements d’exécution, visés à l’annexe du présent règlement, précisent les modalités d’application et d’interprétation des exigences applicables aux prestataires de services de confiance qualifiés énoncées à l’article 24, paragraphe 2, du règlement (UE) no 910/2014 compte tenu des spécificités de ces services de confiance qualifiés. Pour que la présomption de conformité énoncée à l’article 24, paragraphe 5, du règlement (UE) no 910/2014 s’applique au prestataire de services qualifié, toutes les exigences mentionnées à l’annexe devraient être mises en œuvre telles qu’elles s’appliquent au service de confiance qualifié concerné.
(9)(9) Le règlement (UE) 2016/679 du Parlement européen et du Conseil et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil s’appliquent à toutes les activités de traitement de données à caractère personnel au titre du présent règlement.
(10)(10) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil et a rendu son avis le 21 octobre 2025.
(11)(11) Les mesures prévues par le présent règlement sont conformes à l’avis du comité établi par l’article 48 du règlement (UE) no 910/2014,
Notifications à l’organe de contrôle
1. Dans les notifications visées à l’article 24, paragraphe 2, point a), du règlement (UE) no 910/2014, les prestataires de services de confiance qualifiés incluent au moins les modifications importantes apportées à l’ensemble des éléments suivants:
a) les descriptions de services, les politiques, les énoncés des pratiques ou les conditions et modalités associées;
b) l’architecture technique des services de confiance qualifiés ou les systèmes ou produits fiables visés à l’article 24, paragraphe 2, points e) et f), du règlement (UE) no 910/2014;
c) l’hébergement des composants techniques nécessaires à la fourniture des services de confiance qualifiés ou les services techniques se rapportant à ces composants techniques;
d) l’utilisation de techniques ou matériels cryptographiques pour la fourniture des services de confiance qualifiés;
e) les procédures d’enregistrement et d’identification;
f) la structure organisationnelle ou la gouvernance du prestataire de services de confiance;
g) le plan d’arrêt d’activité;
h) les ressources financières et l’assurance responsabilité visées à l’article 24, paragraphe 2, point c), du règlement (UE) no 910/2014;
i) les éléments ayant une incidence sur le contenu de la liste nationale de confiance correspondante;
j) les tiers intervenant dans la fourniture des services de confiance qualifiés, y compris les sous-traitants ou prestataires de services, ou les conditions contractuelles établies avec ces tiers.
2. Les notifications visées au paragraphe 1 comprennent:
a) la description de la modification;
b) la date et l’heure prévues de la modification;
c) les raisons de la modification et, le cas échéant, les éléments inhérents à ces raisons;
d) le cas échéant, les documents actualisés.
Cadre de gestion des risques
Les exigences énoncées aux articles 2, 3 et 4 du règlement d’exécution (UE) 2025/2160 s’appliquent par analogie aux prestataires de services de confiance qualifiés en ce qui concerne l’exigence de prévoir un cadre de gestion des risques fixée à l’article 24, paragraphe 2, point f bis), du règlement (UE) no 910/2014.
Plan d’arrêt d’activité
1. Les prestataires de services de confiance qualifiés établissent un plan d’arrêt d’activité pour chaque service de confiance qualifié qu’ils fournissent, établissant les dispositions nécessaires à l’application efficace et correcte de l’arrêt de tout ou partie du service, aux fins d’assurer la continuité du service et de pouvoir fournir des preuves en justice, y compris les modalités selon lesquelles les informations sont maintenues accessibles conformément à l’article 24, paragraphe 2, point h), du règlement (UE) no 910/2014.
2. Les prestataires de services de confiance qualifiés mettent en place des contrôles et des procédures visant à garantir la disponibilité, à des fins d’utilisation interne, de politiques, pratiques, procédures et accords avec des tiers documentés, ainsi que de tout autre document nécessaire pour assurer l’efficacité du plan d’arrêt d’activité.
3. Les prestataires de services de confiance qualifiés mettent en place des contrôles et des procédures visant à garantir que leur plan d’arrêt d’activité et tout document associé sont à jour.
4. Les prestataires de services de confiance qualifiés réexaminent le plan d’arrêt d’activité et tout document associé au moins tous les deux ans ainsi que lors de la mise en œuvre de toute modification apportée au prestataire de services de confiance qualifié ou aux services de confiance qualifiés qu’il fournit et mettent à jour le plan d’arrêt d’activité en conséquence.
5. Les prestataires de services de confiance qualifiés gèrent les risques propres à l’arrêt de la fourniture de leurs services de confiance qualifiés conformément au cadre de gestion des risques visé à l’article 2.
6. Les prestataires de services de confiance qualifiés garantissent le maintien de ressources financières suffisantes ou obtiennent des assurances suffisantes pour couvrir les coûts nécessaires à l’exécution efficace du plan d’arrêt d’activité, y compris en cas d’arrêt d’activité imprévu.
7. Les prestataires de services de confiance qualifiés veillent à ce que le plan d’arrêt d’activité précise les procédures et modalités appropriées sur les points suivants au minimum:
a) l’arrêt des services de confiance qualifiés, y compris, le cas échéant, en ce qui concerne le déclassement de tout composant technique ou service utilisé pour fournir le service de confiance qualifié concerné;
b) une mise à jour en temps utile des services connexes inscrits sur la liste nationale de confiance correspondante;
c) la révocation de tout certificat qualifié existant et non révoqué qu’ils ont délivré avant de conclure l’arrêt du service de confiance qualifié pour la délivrance de certificats qualifiés, sauf si toutes les obligations pertinentes des services de confiance qualifiés dont l’activité a été arrêtée sont transférées à un autre prestataire de services de confiance qualifié d’une manière garantissant que les certificats qualifiés et tous les services connexes continuent de satisfaire aux exigences du règlement (UE) no 910/2014 de manière ininterrompue;
d) la garantie qu’après l’arrêt de la fourniture des services de confiance qualifiés, aucun nouveau produit de services de confiance qualifiés ne pourra être créé ou rendu possible en utilisant les données de création de signature ou de cachet du prestataire de services de confiance qualifié;
e) la garantie de l’accessibilité et de la facilité d’utilisation de tous les enregistrements pertinents détenus par le prestataire de services de confiance qualifié;
f) la prise en charge des scénarios d’arrêt d’activité prévu, imprévu, partiel et complet;
g) la garantie que les intérêts des abonnés des services de confiance qualifiés dont l’activité a été arrêtée soient préservés lors de l’arrêt d’activité, parmi lesquels la maintenance ininterrompue des informations nécessaires aux abonnés pour vérifier la validité juridique des produits des services de confiance qualifiés;
h) le cas échéant, l’indication des dispositions prises pour permettre la fourniture de services de confiance qualifiés alternatifs par d’autres prestataires de services de confiance qualifiés afin de réduire au minimum les perturbations pour les abonnés;
i) les notifications adressées aux parties connues du prestataire de services de confiance qualifié qui seront directement ou indirectement touchées par l’arrêt d’activité.
8. Les procédures et modalités visées au paragraphe 7, point e), garantissent l’accessibilité et la facilité d’utilisation des enregistrements nécessaires pour:
a) apporter la preuve de la conformité des services de confiance qualifiés avec le règlement (UE) no 910/2014 et le règlement (UE) 2016/679;
b) assurer la continuité des services de confiance qualifiés, en ce qui concerne les données de validation de signature ou de cachet du prestataire de services de confiance qualifié et en ce qui concerne les conditions de maintenance ininterrompue des informations nécessaires pour vérifier l’exactitude des produits de services de confiance créés antérieurement.
9. Les prestataires de services de confiance qualifiés veillent à ce que le plan d’arrêt d’activité et les enregistrements associés contiennent au moins les documents suivants:
a) les procédures d’arrêt d’activité des services de confiance qualifiés;
b) les procédures et les enregistrements relatifs au réexamen régulier du plan d’arrêt d’activité visé au paragraphe 4;
c) les rapports d’audit relatifs au plan d’arrêt d’activité;
d) les modalités d’arrêt d’activité établies avec les tiers intervenant dans la fourniture des services de confiance qualifiés dont il est prévu d’arrêter l’activité;
e) les conditions et modalités, pratiques et documents sur les politiques se rapportant aux services de confiance qualifiés.
Normes de référence et spécifications pour les services de confiance qualifiés
1. Outre les exigences énoncées aux articles 1er, 2 et 3, les normes de référence et spécifications visées à l’article 24, paragraphe 5, du règlement (UE) no 910/2014 figurent à l’annexe du présent règlement.
2. En cas de divergences entre les normes de référence et spécifications établies par les règlements d’exécution et figurant à l’annexe du présent règlement et les exigences énoncées aux articles 1er, 2 et 3 du présent règlement, les exigences énoncées aux articles 1er, 2 et3 du présent règlement prévalent.
Entrée en vigueur
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Annexes
ANNEXE — Liste des normes de référence et des spécifications mentionnées à l’article 4
1) En ce qui concerne les services de confiance qualifiés pour la délivrance de certificats qualifiés de signature électronique: paragraphes 5.2, 6.1, 6.4, 6.5, 6.8 et 6.9 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe I du règlement d’exécution (UE) 2025/1943 de la Commission.
2) En ce qui concerne les services de confiance qualifiés pour la délivrance de certificats qualifiés de cachet électronique: paragraphes 5.2, 6.1, 6.4, 6.5, 6.8 et 6.9 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe II du règlement d’exécution (UE) 2025/1943.
3) En ce qui concerne les services de confiance qualifiés pour la délivrance de certificats qualifiés d’authentification de site internet: paragraphes 5.2, 6.1, 6.4, 6.5, 6.8 et 6.9 de la norme, tels que mentionnés et adaptés à l’annexe du règlement d’exécution (UE) 2025/1943.
4) En ce qui concerne les services de validation qualifiés des signatures électroniques qualifiées: paragraphes 5, 6 et 7 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe du règlement d’exécution (UE) 2025/1942 de la Commission.
5) En ce qui concerne les services de validation qualifiés des cachets électroniques qualifiés: paragraphes 5, 6 et 7 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe du règlement d’exécution (UE) 2025/1942.
6) En ce qui concerne les services qualifiés de préservation des signatures électroniques qualifiées: paragraphes 5, 6 et 7 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe du règlement d’exécution (UE) 2025/1946 de la Commission.
7) En ce qui concerne les services qualifiés de préservation des cachets électroniques qualifiées: paragraphes 5, 6 et 7 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe du règlement d’exécution (UE) 2025/1946.
8) En ce qui concerne les services de confiance qualifiés pour la création d’horodatages électroniques qualifiés: paragraphes 5, 6 et 7 de la norme, tels que mentionnés et adaptés au point 1 de l’annexe du règlement d’exécution (UE) 2025/1929 de la Commission.
9) En ce qui concerne les services d’envoi recommandé électronique qualifiés: paragraphes 4, 6 et 7 de la norme, tels que mentionnés et adaptés à l’annexe I du règlement d’exécution (UE) 2025/1944 de la Commission.
10) En ce qui concerne les services qualifiés de gestion de dispositifs de création de signature électronique qualifiés à distance: paragraphes 5, 6.1, 6.4, 6.5, 6.7 et 6.8 de la norme, tels que mentionnés et adaptés à l’annexe du règlement d’exécution (UE) 2025/1567 de la Commission.
11) En ce qui concerne les services qualifiés de gestion de dispositifs de création de cachet électronique qualifiés à distance: paragraphes 5, 6.1, 6.4, 6.5, 6.7 et 6.8 de la norme, tels que mentionnés et adaptés à l’annexe du règlement d’exécution (UE) 2025/1567.
12) En ce qui concerne les services d’archivage électronique qualifiés: paragraphes 6 et 7 de la norme, tels que mentionnés et adaptés à l’annexe du règlement d’exécution (UE) 2025/2532 de la Commission.
13) En ce qui concerne les services de confiance qualifiés pour la délivrance d’attestations électroniques d’attributs qualifiées: la norme mentionnée à l’annexe I du règlement d’exécution (UE) 2025/1569 de la Commission.
14) En ce qui concerne les services de confiance qualifiés pour l’enregistrement de données électroniques dans un registre électronique qualifié: la norme mentionnée et adaptée au point 3, a), de l’annexe du règlement d’exécution (UE) 2025/2531 de la Commission.