Des transactions plus sécurisées sur l’internet

POINTS CLÉS

Portefeuilles d’identité numérique européens

• Les États membres doivent mettre en place les portefeuilles européens d’identité numérique d’ici décembre 2026. Les portefeuilles permettront aux utilisateurs de s’identifier en toute sécurité ou de confirmer certaines données personnelles pour accéder à des services publics et privés, en ligne comme hors ligne, ainsi que de stocker, présenter et partager des documents numériques dans toute l’UE.
• La conformité des portefeuilles d’identité numérique européens et du schéma d’identification électronique au titre duquel ils sont fournis est certifiée par des organismes d’évaluation de la conformité désignés par les États membres.

Identification électronique

• L’eID délivrée par un État membre est reconnue dans l’ensemble des États membres. Ceci s’applique seulement si l’eID répond aux exigences du règlement et si la Commission en a été notifiée et que cette dernière l’a publiée sur une liste. Cette reconnaissance mutuelle des eID deviendra obligatoire à partir du 28 septembre 2018 et facilitera les transactions électroniques sécurisées à l’échelle de l’UE.
• Un schéma d’eID doit mentionner l’un des trois niveaux de garantie (faible, substantiel, élevé) pour la forme d’identification électronique délivrée dans le cadre de ce schéma. La reconnaissance mutuelle est uniquement obligatoire lorsque les organismes du secteur public concernés ont recours aux niveaux «substantiel» ou «élevé» pour accéder à ce service en ligne.
  • Lorsqu’ils notifient à la Commission des schémas d’eID, les États membres doivent fournir des informations sur les aspects suivants:
  • le niveau de garantie et l’entité qui délivre l’eID relevant de ce schéma;
  • les régimes de contrôle et de responsabilité applicables; et
  • les organismes qui gèrent l’enregistrement des données d’identification personnelle uniques.

Services de confiance

Ce règlement concernant un cadre européen relatif à une identité numérique définit les services de confiance comme des services payés comprenant:

• la délivrance de certificats de signature électronique, de certificats de cachet électronique, de certificats pour l’authentification de site internet ou de certificats pour la fourniture d’autres services de confiance;
• la validation de certificats de signature électronique, de certificats de cachet électronique, de certificats pour l’authentification de site internet ou de certificats pour la fourniture d’autres services de confiance;
• la création de signatures électroniques ou de cachets électroniques;
• la validation de signatures électroniques ou de cachets électroniques;
• la préservation de signatures électroniques, de cachets électroniques, de certificats de signature électronique ou de certificats de cachet électronique;
• la gestion de dispositifs de création de signature électronique à distance ou de dispositifs de création de cachet électronique à distance;
• la délivrance d’attestations électroniques d’attributs;
• la validation d’attestations électroniques d’attributs;
• la création d’horodatages électroniques;
• la validation d’horodatages électroniques;
• la fourniture de services d’envoi recommandé électronique;
• la validation de données transmises au moyen de services d’envoi recommandé électronique, ainsi que de preuves connexes;
• l’archivage électronique de données électroniques et de documents électroniques;
• l’enregistrement de données électroniques dans un registre électronique.

Les prestataires de services de confiance établis dans l’UE sont considérés comme «qualifiés» s’ils répondent aux exigences applicables du règlement concernant un cadre européen relatif à une identité numérique. Ils sont légalement autorisés à prester des services de confiance qualifiés (par exemple des signatures, cachets ou certificats électroniques qualifiés) dans tous les États membres.

En ce qui concerne les aspects internationaux, les services de confiance offerts par des prestataires établis dans des pays tiers peuvent être considérés comme juridiquement équivalents aux services de confiance qualifiés fournis par des prestataires de services de confiance qualifiés établis dans l’UE, soit au moyen d’actes d’exécution, soit à la suite d’un accord conclu entre l’UE et le pays tiers concerné ou une organisation internationale.

Contrôle

• Les États membres désignent un ou plusieurs organismes de contrôle chargés d’exercer les activités de supervision relatives aux portefeuilles européens d’identité numérique et aux services de confiance au titre du présent règlement. Ces organes doivent coopérer avec les autorités chargées de la protection des données et les autorités chargées de la cybersécurité, le cas échéant.
• Tous les prestataires de services de confiance sont soumis aux obligations de notification en matière de contrôle, de gestion des risques et d’atteinte à la sécurité.
• Les prestataires de services de confiance qualifiés établis dans l’UE sont soumis à un contrôle strict. Cela comprend notamment l’obtention d’une autorisation préalable délivrée par les organismes de contrôle, ainsi qu’un audit réalisé au moins une fois tous les deux ans par un organisme d’évaluation de la conformité afin de vérifier le respect des exigences du présent règlement.
• Les prestataires de services de confiance non qualifiés sont soumis à une supervision «légère», c’est-à-dire que l’organe de contrôle n’intervient que lorsqu’il est informé que les prestataires de services de confiance non qualifiés, ou les services de confiance qu’ils fournissent, ne satisfont prétendument pas aux exigences énoncées dans le présent règlement.

Gouvernance

Le groupe de coopération européen en matière d’identité numérique (ci-après dénommé «groupe de coopération») est institué afin de soutenir et de faciliter la coopération transfrontalière et l’échange d’informations entre les États membres concernant les services de confiance, les portefeuilles européens d’identité numérique et les systèmes d’identification électronique notifiés.

Actes d’exécution

Pour garantir la mise en œuvre uniforme et correcte du règlement concernant un cadre européen relatif à une identité numérique dans l’ensemble de l’UE, la Commission a adopté des actes d’exécution établissant des règles techniques, procédurales et organisationnelles détaillées.

Pris ensemble, ces actes d’exécution complètent et mettent en œuvre le règlement dans un large éventail de domaines et précisent, entre autres, les exigences en matière d’interopérabilité, les normes de sécurité et de certification, les procédures de notification et d’échange d’informations, les formats des listes de confiance, les mesures à prendre en cas d’atteinte à la sécurité, les dispositions de gouvernance et de contrôle, ainsi que les modalités opérationnelles applicables aux systèmes d’identification électronique, aux services de confiance et aux portefeuilles européens d’identité numérique.

Les actes d’exécution couvrent un large éventail d’aspects techniques et opérationnels et ne se limitent pas aux domaines énumérés ci-dessus. Ils sont régulièrement mis à jour afin de refléter les évolutions technologiques, les risques de sécurité émergents et les normes en évolution; ils couvrent l’architecture et le cadre de référence élaborés conjointement par la Commission et les États membres et s’appliquent directement dans tous les États membres.