La norme CEN/TS 18170:2025 («CEN/TS 18170») s’applique moyennant les adaptations suivantes:
a) Références normatives (clause 2)
— ETSI EN 319 401 V3.1.1 (2024-06) «Signatures électroniques et infrastructures de confiance (ESI) — Exigences de politique générale applicables des prestataires de services de confiance».
— ETSI EN 319 421 V1.3.1 (2025-07) «Signatures électroniques et infrastructures (ESI) — Exigences de politique et de sécurité applicables aux prestataires de services de confiance délivrant des certificats».
— ISO 14721: 2025, Systèmes de transfert des informations et données spatiales — Système ouvert d’archivage d’information (SOAI) — Modèle de référence.
— Groupe européen de certification de cybersécurité, sous-groupe sur la cryptographie: «Agreed Cryptographic Mechanisms», publié par l’Agence de l’Union européenne pour la cybersécurité (ENISA).
— Règlement d’exécution (UE) 2024/482 de la Commission.
— Règlement d’exécution (UE) 2024/3144 de la Commission.
— ISO/IEC 15408: 2022 (parties 1 à 5) «Sécurité de l’information, cybersécurité et protection de la vie privée — Critères d’évaluation pour la sécurité des technologies de l’information».
— FIPS PUB 140-3 (2019), «Security Requirements for Cryptographic Modules».
b) Énoncé des pratiques et des politiques (paragraphe 6.1)
— Les exigences du paragraphe 6.1 de la norme CEN/TS 18170 s’appliquent.
— Les exigences du paragraphe 5 de la norme ETSI EN 319 401 s’appliquent.
— Le prestataire de service de confiance pour l’archivage électronique (EATSP) établit des procédures pour informer l’organe de contrôle de toute modification apportée à la fourniture du service de confiance pour l’archivage électronique et de l’intention de cesser ces activités, conformément aux exigences opérationnelles et aux dispositions législatives et réglementaires applicables, y compris conformément aux exigences des actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014 [i.2].
— L’EATSP informe l’organe de contrôle au moins:
— un mois avant la mise en œuvre de toute modification,
— trois mois avant la cessation prévue d’une prestation de services de confiance.
c) Termes et conditions (paragraphe 6.2)
— Les exigences du paragraphe 6.2 de la norme CEN/TS 18170 s’appliquent.
— Les abonnés et les parties utilisatrices du service de confiance pour l’archivage électronique reçoivent individuellement des informations claires, complètes et facilement accessibles, dans un espace accessible au public, relatives aux modalités et conditions précises, avant de nouer une relation contractuelle.
d) Ressources humaines (paragraphe 7.3)
— Les exigences du paragraphe 7.3 de la norme CEN/TS 18170 s’appliquent.
— Le personnel de l’EATSP intervenant dans des rôles de confiance et, le cas échéant, ses sous-traitants intervenant dans des rôles de confiance doivent pouvoir satisfaire à l’exigence en matière de «connaissances spécialisées, expérience et qualifications» grâce à une formation formelle et à des certificats, ou de manière empirique, ou par une combinaison des deux. Cela implique des mises à jour régulières (au moins tous les 12 mois) sur les nouvelles menaces et les pratiques actuelles en matière de sécurité.
e) Contrôles cryptographiques et surveillance (paragraphe 7.6)
— Le système d’archivage doit garantir la confidentialité des données et des documents pendant tout le cycle de vie de l’archive, du dépôt à l’élimination.
— Les exigences du paragraphe 7.5 «Contrôles cryptographiques» de la norme ETSI EN 319 401 s’appliquent.
— L’origine des données à archiver dans le système d’archivage électronique est établie par l’EATSP. Si des signatures ou des cachets électroniques sont utilisés à cette fin, ces signatures ou cachets doivent être qualifiés.
— Lorsque l’EATSP signe numériquement (une partie d’) un objet ou d’un enregistrement numérique, la clé de signature privée de l’EATSP est conservée et utilisée soit dans un dispositif de création de signature ou de cachet électronique qualifié, soit dans un dispositif cryptographique sécurisé qui est un système fiable certifié conformément:
a) aux critères communs pour l’évaluation de la sécurité des technologies de l’information, tels qu’ils sont définis dans la norme ISO/IEC 15408 ou dans les critères communs pour l’évaluation de la sécurité des technologies de l’information, version CC:2022, parties 1 à 5, publiés par les participants à l’arrangement de reconnaissance mutuelle selon les critères communs dans le domaine de la sécurité informatique et certifiés au niveau EAL 4 ou supérieur; ou
b) au schéma européen commun de certification de cybersécurité fondé sur des critères communs [règlements (UE) 2024/482 et (UE) 2024/3144] et certifié au niveau EAL 4 ou supérieur; ou
c) jusqu’au 31.12.2030, à la norme FIPS PUB 140-3 niveau 3.
— Cette certification est faite par rapport à une cible de sécurité ou à un profil de protection, ou à une conception de module et une documentation de sécurité, répondant aux exigences du présent document, sur la base d’une analyse des risques et en prenant en compte des mesures de sécurité physiques et d’autres mesures de sécurité non techniques.
— Si le dispositif cryptographique sécurisé bénéficie d’une certification EUCC [règlements (UE) 2024/482 et (UE) 2024/3144], ce dispositif est configuré et utilisé conformément à cette certification.
— L’EATSP contrôle la robustesse de l’algorithme cryptographique qui a été et est utilisé. Si l’un des algorithmes ou paramètres utilisés n’est plus jugé approprié au regard de la définition figurant dans la gestion des risques, l’EATSP met à jour la politique d’archivage correspondante ou crée un nouveau profil d’archivage pour traiter les AIP et définir et mettre en œuvre les mesures appropriées.
— L’évaluation des algorithmes cryptographiques et leur utilisation par l’EATSP sont conformes aux mécanismes cryptographiques agréés approuvés par le groupe européen de certification de cybersécurité et publiés par l’ENISA (ASM-ECCG).
— Les composants techniques de l’EATS s’authentifient mutuellement sur la base de techniques cryptographiques avant de communiquer.
f) Réseau (paragraphe 7.9)
— Les exigences du paragraphe 7.8 «Sécurité du réseau» de la norme ETSI EN 319 401 s’appliquent.
— L’analyse de vulnérabilité requise en vertu du REQ-7.8-13 de la norme ETSI EN 319 401 est effectuée au moins une fois par trimestre.
— Le test d’intrusion requis en vertu du REQ-7.8-17X de l’ETSI EN 319 401 est effectué au moins une fois par an.
— Les pare-feu sont configurés de manière à empêcher tous les protocoles et accès non nécessaires au fonctionnement de l’EATSP.
g) Collecte de preuves (paragraphe 7.11)
— Les exigences énoncées au paragraphe 7.10 «Collecte de preuves» de la norme ETSI EN 319 401, s’appliquent, y compris pour les événements critiques et non critiques (voir paragraphe 13.2).
h) Plan de résiliation et de résiliation de l’EATSP (paragraphe 7.13)
— Les exigences du paragraphe 7.13 de la norme CEN/TS 18170 s’appliquent.
— Le plan d’arrêt d’activité de l’EATSP satisfait aux exigences énoncées dans les actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014.
i) Fiabilité de l’heure des événements (paragraphe 13.3.1)
— Les exigences du paragraphe 13.3.1 de la norme CEN/TS 18170 s’appliquent.
— Lorsqu’il utilise des horodatages, l’EATSP utilise un horodatage qualifié.