ETSI EN 319 401 : la référence européenne des services de confiance

Apporter un cadre de confiance dans un monde numérique sans frontières passe par une réglementation européenne commune. Le règlement eIDAS a posé ces bases en 2014 et eIDAS 2, entré en vigueur en 2024, les a considérablement élargies, notamment avec l'introduction des portefeuilles d'identité numérique européens (EUDI Wallets). 

L'application des exigences eIDAS passe par les normes techniques de l'organisme ETSI (European Telecommunications Standards Institute). Parmi elles, l'ETSI EN 319 401 est la norme “pivot” qui encadre les pratiques de gestion et d'exploitation d'un PSCo (Prestataire de Services de Confiance). 

En quoi consiste cette norme et quel est son intérêt pour un acteur de la confiance numérique ? Décryptage avec Oppida, organisme validé par l'ANSSI pour l'évaluation des PSCo, et Docaposte, filiale numérique du groupe La Poste, reconnue conforme à cette norme. 

Analyse de la norme ETSI EN 319 401 

La norme couvre trois grands domaines : 

1. La maîtrise par le PSCo des compétences et de l'intégrité du personnel qui intervient sur les services de confiance. 
2. La sécurité logique et physique des équipements qui composent les services de confiance.
3. La gestion appropriée du cycle de vie des services de confiance (continuité de service, fin de vie) et des données à caractère personnel des utilisateurs. 

Cette norme « pivot » couvre un spectre très large des bonnes pratiques de sécurité : approche légale et réglementaire par les risques (analyse de risque, traitement RGPD), gouvernance et organisation, sécurité et robustesse des systèmes d'information relatifs aux services de confiance et aux secrets cryptographiques. 

À l'instar de la norme ISO 27002, il existe des adhérences entre les deux normes sur les thèmes des sous-traitants et fournisseurs, la sécurité des ressources humaines, la gestion des actifs, le contrôle d'accès, la cryptographie, la sécurité physique, le réseau et l'exploitation, la gestion des incidents de sécurité ou encore la continuité de service. 

Pour être conforme à la norme ETSI EN 319 401, le PSCo doit avoir une approche globale de la sécurité, afin de pouvoir démontrer à un organisme indépendant comme Oppida l'efficacité de son organisation humaine et technique, et sa capacité à répondre en permanence aux exigences. 

La conformité à la norme ETSI EN 319 401 revêt plusieurs enjeux significatifs. Elle permet aux utilisateurs finaux d'apporter davantage de confiance dans les services proposés en termes de sécurité, de respect du RGPD, et d'intégrité du personnel qui exploite et administre le service. 

L'expérience d'Oppida sur les normes ISO 27002 et ETSI EN 319 401 indique que la seconde répond davantage aux besoins actuels des PSCo. L'effort de mise en conformité à la norme ETSI EN 319 401 constitue un jalon significatif pour un PSCo souhaitant aboutir à une certification ISO 27001, ou justifier le niveau de maturité de son organisation SSI auprès de ses clients. 

Pourquoi viser la conformité à la norme ETSI EN 319 401 ? 

Un parcours numérique de confiance repose avant tout sur la garantie de l'identité de ses utilisateurs et de l'authenticité des informations transmises. S'assurer de l'identité des utilisateurs d'un service en ligne (entrée en relation, signature d'un document, réception d'une lettre recommandée électronique) permet de lutter contre la fraude identitaire et documentaire. 

La maîtrise de ce risque est d'autant plus importante qu'elle peut couvrir le blanchiment de capitaux et le financement du terrorisme, et ainsi jouer un rôle essentiel pour la protection de l'ensemble des acteurs de la société : entreprises, services publics, citoyens. 

L'acte d'identification et d'authentification à distance implique de traiter des données sensibles : identité, données personnelles, et selon les cas, données biométriques. 

En tant qu'expert de la confiance numérique et de l'identité numérique, Docaposte s'est imposée un niveau d'exigence élevé en matière de sécurité et de protection des données avec, comme élément central, la conformité ETSI EN 319 401. 

Notre plateforme d'identification à distance a par ailleurs obtenu la conformité aux exigences de la norme ETSI EN 319 411-1 et -2, nous permettant d'être reconnus en qualité d'autorité d'enregistrement.

Docaposte a concentré ses efforts sur la sécurité et la gestion des données personnelles en définissant un plan d'actions intégrant notamment : une analyse de risque métier, une analyse de risques SI basée sur la méthode EBIOS, un audit de code, des tests d'intrusion et une analyse d'impact sur la vie privée. 

La plateforme continue de faire évoluer ses capacités : davantage de documents couverts, davantage de fonctionnalités et de modalités. Une attention particulière est portée à trois axes stratégiques :

• L'inclusion : conformité au RGAA (Référentiel général d'amélioration de l'accessibilité) et alternatives physiques aux parcours d'identification, en s'appuyant sur le maillage territorial du groupe La Poste.
• La réduction de l'empreinte carbone : adaptation des ressources et de la puissance de calcul à la demande, optimisation de l'architecture et du code.
• L'internationalisation : couverture de près de 195 pays pour répondre aux enjeux d'un monde numérique sans frontières. 

 ETSI EN 319 401 et eIDAS 2 : une cohérence renforcée 

L'entrée en vigueur d'eIDAS 2 en 2024 renforce la pertinence de la norme ETSI EN 319 401. Le nouveau règlement élargit les obligations des Prestataires de Services de Confiance et introduit de nouvelles catégories de services, dont les portefeuilles d'identité numérique européens (EUDI Wallets). 

Pour les PSCo déjà conformes à la norme ETSI EN 319 401, cette évolution s'inscrit dans la continuité : les exigences de sécurité, de gouvernance et de protection des données posées par la norme sont précisément celles qu'eIDAS 2 renforce à l'échelle européenne. 

Docaposte se prépare à cette évolution en participant aux travaux européens d'interopérabilité autour du wallet européen, avec l'objectif d'assurer la continuité entre les solutions existantes, dont L'Identité Numérique La Poste et les futurs standards européens.