Suis-je un prestataire de services de confiance au sens de NIS2 ?
Les prestataires de services de confiance se situent dans l'annexe I secteur 8 de NIS2. L'article 2(2)(a)(ii) les inclut indépendamment de la taille, qualifiés et non qualifiés. La taille ne décide que de la catégorie : les prestataires qualifiés sont toujours des entités essentielles. eIDAS se place en parallèle et régit le service de confiance lui-même.
En bref
Un prestataire de services de confiance est quiconque fournit un ou plusieurs services de confiance au sens de l'article 3(16) du règlement eIDAS (UE) 910/2014 : signatures électroniques, cachets électroniques, horodatages électroniques, envois recommandés électroniques, certificats d'authentification de site internet, ou la conservation de l'un quelconque de ceux-ci. L'annexe I secteur 8 de NIS2 nomme explicitement les prestataires de services de confiance dans le cadre de l'Infrastructure numérique.
L'article 2(2)(a)(ii) de NIS2 actionne ensuite un levier qui ne s'applique pas à la plupart des autres secteurs : les prestataires de services de confiance relèvent du champ d'application indépendamment de la taille. Les prestataires de services de confiance qualifiés, au sens de l'article 3(20) eIDAS, sont en outre toujours des entités essentielles (article 3(1)(b) NIS2). Un prestataire de services de confiance qualifié de deux personnes qui délivre des certificats qualifiés pour signatures électroniques est lié de la même manière qu'une autorité de certification de 500 personnes. Le seuil de l'entreprise moyenne de l'article 2(1) ne les conditionne pas.
Les prestataires de services de confiance non qualifiés relèvent eux aussi du champ d'application, quelle que soit leur taille. Un grand prestataire non qualifié est une entité essentielle, un plus petit une entité importante (article 3(1)(a) et 3(2) NIS2). En Allemagne, le §28 BSIG fait des prestataires qualifiés des besonders wichtige Einrichtungen et des autres prestataires des wichtige Einrichtungen. Deux régimes fonctionnent en parallèle dans les deux cas : eIDAS pour le service de confiance lui-même, NIS2 pour les obligations cyber transversales à l'organisation (formation de l'organe de direction de l'article 20, notification d'incident important du §32 BSIG, mesures de gestion des risques de l'article 21).
Directive NIS2 (2022/2555), annexe I secteur 8 (Infrastructure numérique)
Fournisseurs de points d'échange internet; Fournisseurs de services DNS, à l'exclusion des opérateurs de serveurs racines de noms de domaine; Registres de noms de domaine de premier niveau; Fournisseurs de services d'informatique en nuage; Fournisseurs de services de centres de données; Fournisseurs de réseaux de diffusion de contenu; Prestataires de services de confiance; Fournisseurs de réseaux de communications électroniques publics; Fournisseurs de services de communications électroniques accessibles au public
Verbatim issu du JO L 333/146. Le secteur 8 est l'Infrastructure numérique. Les prestataires de services de confiance figurent parmi les types d'entités énumérés. La liste sectorielle ne sépare pas le qualifié du non qualifié ; cette séparation est opérée par l'article 3 de NIS2 et par eIDAS.
Article 2(2)(a)(ii) et 3(1)(b) NIS2 + article 3(16) et 3(20) eIDAS
Article 2(2) NIS2 : La présente directive s'applique également aux entités d'un type visé à l'annexe I ou II, quelle que soit leur taille, dans les cas suivants: a) les services sont fournis par: […] ii) des prestataires de services de confiance; […] Article 3(1)(b) NIS2 : les prestataires de services de confiance qualifiés et les registres de noms de domaine de premier niveau ainsi que les fournisseurs de services DNS, quelle que soit leur taille; Article 3(20) eIDAS : «prestataire de services de confiance qualifié», un prestataire de services de confiance qui fournit un ou plusieurs services de confiance qualifiés et a obtenu de l'organe de contrôle le statut qualifié; Article 3(16) eIDAS (modifié par le règlement (UE) 2024/1183) : «service de confiance», un service électronique normalement fourni contre rémunération qui consiste en l'une des activités suivantes: a) la délivrance de certificats de signature électronique, de certificats de cachet électronique, de certificats pour l'authentification de site internet ou de certificats pour la fourniture d'autres services de confiance; […] n) l'enregistrement de données électroniques dans un registre électronique;
Deux définitions empilées. L'article 3(16) eIDAS vous indique ce qui constitue un service de confiance. L'article 3(20) vous indique qui est un prestataire qualifié : celui qui a obtenu de l'organe de contrôle le statut qualifié. NIS2 dit ensuite : tout prestataire de services de confiance relève du champ d'application indépendamment de l'effectif ou du chiffre d'affaires (article 2(2)(a)(ii)), et un prestataire qualifié est toujours une entité essentielle (article 3(1)(b)).
§28 BSIG + Vertrauensdienstegesetz (Allemagne)
Le §28 BSIG transpose le champ d'application de l'annexe I en droit allemand et fait des prestataires de services de confiance qualifiés des « besonders wichtige Einrichtungen » (§28(1) n° 2) et des autres prestataires de services de confiance des « wichtige Einrichtungen » (§28(2) n° 1), indépendamment de la taille. Le Vertrauensdienstegesetz (VDG) est la loi nationale d'accompagnement du règlement eIDAS ; il désigne la Bundesnetzagentur comme organe de contrôle des services de confiance et exploite la liste de confiance allemande.
Le règlement eIDAS s'applique directement sans transposition allemande. Le VDG n'ajoute que le dispositif de contrôle. NIS2 se place séparément par-dessus les deux : le §28 BSIG place les prestataires de services de confiance qualifiés dans le niveau le plus élevé (besonders wichtige Einrichtung) et les autres prestataires dans le niveau wichtige Einrichtung, indépendamment de la taille, avec le BSI comme régulateur cyber.
Fournissez-vous un service de confiance ?
Confrontez votre offre à l'article 3(16) eIDAS. La liste fermée est : signatures électroniques, cachets électroniques, horodatages électroniques, services d'envoi recommandé électronique, certificats d'authentification de site internet, et la conservation de l'un quelconque de ceux-ci. Le service est normalement fourni contre rémunération. Si votre offre ne correspond à aucune de ces catégories, vous n'êtes pas un prestataire de services de confiance au sens d'eIDAS, peu importe la quantité de cryptographie que vous livrez.
Êtes-vous le prestataire ou seulement un utilisateur ?
Un prestataire de services de confiance délivre ou exploite le service de confiance pour autrui. Une entreprise qui signe ses propres factures au moyen d'un service de signature qualifié externe est un utilisateur de ce service, et non un prestataire. Un cabinet de conseil qui aide un client à déployer des flux de signature est également un utilisateur. Le statut de prestataire dépend de la question de savoir si vous créez, validez, transmettez ou conservez le service de confiance lui-même, pour quelqu'un d'autre, contre rémunération.
Qualifié ou non qualifié ?
Vérifiez la liste de confiance nationale (en Allemagne : la liste de confiance de la Bundesnetzagentur au titre du VDG). Si vous y êtes inscrit en tant que prestataire qualifié, vous êtes une entité essentielle indépendamment de la taille (article 3(1)(b) NIS2). Si vous n'y êtes pas inscrit, vous êtes non qualifié : toujours dans le champ d'application indépendamment de la taille (article 2(2)(a)(ii)), en tant qu'entité essentielle si vous êtes grand et en tant qu'entité importante sinon. Les prestataires de services de confiance de deux ou trois personnes sont courants dans ce secteur, et ils relèvent tous du champ d'application.
La taille ne décide pas du champ d'application
L'article 2(2) NIS2 énumère les cas où le test de la taille ne s'applique pas, et les prestataires de services de confiance en font partie (point a) ii)). Les services de confiance figurent sur la liste parce que le préjudice résultant d'un certificat qualifié compromis est structurel : chaque signature, cachet ou horodatage délivré sous celui-ci perd son effet juridique. La taille du prestataire n'a aucune incidence sur l'ampleur du dommage en aval. Une autorité de certification de deux personnes peut rompre toute la chaîne de signature d'un État membre. C'est pourquoi le test de la taille est désactivé.
Les prestataires de services de confiance qualifiés relèvent de deux régimes parallèles
L'article 19 eIDAS, qui fixait autrefois les obligations de sécurité des services de confiance, a été supprimé par l'article 42 NIS2 avec effet au 18 octobre 2024. Les mesures de sécurité et la notification des incidents découlent désormais de NIS2. eIDAS régit toujours le service lui-même : les prestataires qualifiés font l'objet d'un audit au moins tous les 24 mois par un organisme d'évaluation de la conformité, et cet audit confirme aussi le respect de l'article 21 NIS2 (article 20(1) eIDAS). NIS2 ajoute les obligations cyber transversales à l'organisation : formation de l'organe de direction de l'article 20, mesures de gestion des risques de l'article 21, notification d'incident important de l'article 23. L'article 4 NIS2 ne désactive pas NIS2 ici. Les deux régimes s'appliquent intégralement. L'organe de contrôle eIDAS et l'autorité compétente NIS2 peuvent être différents (en Allemagne : la Bundesnetzagentur pour eIDAS, le BSI pour NIS2).
BSI / §28 BSIG (volet NIS2)
Le BSI est l'autorité compétente NIS2. Il exploite le portail d'enregistrement du §33 BSIG, reçoit les notifications d'incident important du §32 BSIG et contrôle les mesures de gestion des risques du §30 BSIG. Les prestataires de services de confiance qualifiés atterrissent dans le niveau « besonders wichtige Einrichtung » par le §28(1) BSIG, les autres prestataires dans le niveau « wichtige Einrichtung » par le §28(2), ce qui implique un contrôle plus strict et les mêmes délais de notification d'incident que les opérateurs KRITIS.
Bundesnetzagentur (volet eIDAS)
La Bundesnetzagentur est l'organe de contrôle des services de confiance au titre du Vertrauensdienstegesetz. Elle exploite la liste de confiance allemande, accrédite le statut qualifié, reçoit les rapports d'évaluation de la conformité issus de l'audit de 24 mois au titre de l'article 20(1) eIDAS. Lorsqu'un incident est à la fois un incident important au sens du §32 BSIG et une atteinte que les prestataires qualifiés doivent notifier au titre de l'article 24, paragraphe 2, point f ter), eIDAS, vous notifiez les deux, aux deux autorités.
ENISA Technical Implementation Guidance + travaux sur le portefeuille EUDI
L'ENISA publie l'orientation technique de mise en œuvre du CIR, qui couvre aussi les prestataires de services de confiance, et rédige le socle de cybersécurité qui alimente les attentes des contrôleurs nationaux. Le même organisme rédige désormais le lot de travail relatif aux services de confiance pour le portefeuille européen d'identité numérique (EUDI Wallet), qui étend le périmètre des prestataires de services de confiance qualifiés à partir de 2026.
Lois nationales de transposition
eIDAS est un règlement, de sorte que les règles relatives aux services de confiance sont uniformes dans toute l'UE. NIS2 est une directive, de sorte que chaque État membre la transpose : les Pays-Bas via la Cyberbeveiligingswet, l'Autriche via la NISG, tandis qu'en France la transposition est encore un projet de loi devant le Parlement. L'annexe I secteur 8 et la règle d'indépendance de la taille de l'article 2(2)(a)(ii) sont identiques dans toutes ces transpositions. L'autorité compétente pour le volet NIS2 diffère d'un pays à l'autre.
Les services de confiance non qualifiés sont hors de NIS2.
Faux. Les prestataires de services de confiance non qualifiés relèvent toujours de l'annexe I secteur 8, et l'article 2(2)(a)(ii) NIS2 les inclut indépendamment de la taille. La qualification ne décide que de la catégorie. Un prestataire d'horodatage non qualifié de 60 salariés relève de NIS2 en tant qu'entité importante ; un grand prestataire non qualifié est une entité essentielle.
eIDAS couvre déjà la cybersécurité, NIS2 n'ajoute donc rien.
L'article 19 eIDAS, qui fixait autrefois le socle de sécurité, a été supprimé par l'article 42 NIS2 avec effet au 18 octobre 2024. Le socle de sécurité découle désormais de NIS2. Les articles 20, 21 et 23 de NIS2 ajoutent des obligations transversales à l'organisation : formation de l'organe de direction, l'intégralité du catalogue de gestion des risques, de la cryptographie à la chaîne d'approvisionnement, et la notification d'incident important au titre du §32 BSIG avec une alerte précoce de 24 heures. La règle lex specialis de l'article 4 NIS2 ne désactive pas NIS2 pour les services de confiance. Deux régimes parallèles, aucun ne remplace l'autre.
Nous sommes trop petits pour NIS2.
Pour un prestataire de services de confiance, la taille est la mauvaise question. L'article 2(2)(a)(ii) vous inclut indépendamment de l'effectif, du chiffre d'affaires ou du total du bilan, qualifié ou non. Une autorité de certification qualifiée de deux personnes relève du même niveau NIS2 qu'une autorité de certification multinationale. La raison se situe en aval : chaque signature délivrée sous un certificat qualifié compromis perd son effet juridique, quel qu'en soit l'émetteur.
Cas type : un prestataire de services de confiance qualifié de 12 personnes délivrant des certificats qualifiés pour signatures électroniques, avec un cycle d'évaluation de la conformité eIDAS de 24 mois et une inscription sur la liste de confiance nationale par la Bundesnetzagentur. Le champ d'application de NIS2 est automatique par l'article 2(2)(a)(ii). Le §28 BSIG place l'entreprise dans le niveau « besonders wichtige Einrichtung ». Deux régulateurs, deux canaux de notification, une entreprise.
Ce que font réellement les praticiens : prendre les éléments de preuve de l'audit de l'article 20(1) eIDAS, qui vérifie déjà l'article 21 NIS2, et les réutiliser pour les mesures pertinentes de l'article 21 NIS2 (cryptographie, contrôle d'accès, gestion des incidents, continuité d'activité). Effectuer l'enregistrement du §33 BSIG auprès du BSI. Ajouter les éléments qu'eIDAS ne couvre pas : formation de l'organe de direction de l'article 20, risque fournisseur de l'article 21(2)(d), le canal d'incident important du §32 BSIG. Les deux régimes se recoupent sur la cryptographie et la réponse aux incidents ; tout le reste est additionnel.
- Directive (UE) 2022/2555 (NIS2), annexe I secteur 8, article 2(2)(a)(ii), article 3(1)(b) et article 42: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement (UE) 910/2014 (eIDAS) modifié par le règlement (UE) 2024/1183, article 3(16), 3(19), 3(20), article 20(1) et article 24: eur-lex.europa.eu/eli/reg/2014/910/oj
- Loi BSI (BSIG), §28 (Anwendungsbereich), §32 (Meldepflichten) et §33 (Registrierung) telle que modifiée par la loi de mise en œuvre de NIS2 et de renforcement de la cybersécurité
- Vertrauensdienstegesetz (VDG): gesetze-im-internet.de/vdg
- Liste de confiance allemande de la Bundesnetzagentur au titre de l'article 22 eIDAS
- ENISA Technical Implementation Guidance pour le règlement d'exécution (UE) 2024/2690, qui couvre les prestataires de services de confiance: enisa.europa.eu
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
