Normes ETSI et signature électronique : la série EN 319

Ce qu'il faut retenir

• Les normes ETSI déclinent le règlement eIDAS en exigences techniques concrètes pour les prestataires de confiance.
• Elles couvrent les services de signature, la gestion des clés, l'horodatage et les certificats.
• La conformité à ces normes se vérifie par des audits et des attestations, souvent utilisées comme critère de choix.
• La série ETSI EN 319 est la référence pour les services de confiance européens.

Derrière le règlement eIDAS se trouvent des normes techniques qui définissent « comment faire » : les normes ETSI. Cet article explique leur rôle et les plus importantes à connaître.

Le rôle des normes ETSI

ETSI (European Telecommunications Standards Institute) publie des normes qui précisent :

• les exigences des prestataires de services de confiance ;
• les formats de signatures et de certificats ;
• les profils de conformité pour les services qualifiés ;
• les mécanismes de validation.

Ces normes donnent un contenu technique au cadre eIDAS : un prestataire « conforme eIDAS » l'est en pratique via les normes ETSI.

La série ETSI EN 319

La série 319 structure les services de confiance de bout en bout.

Les formats de signature : CAdES, XAdES, PAdES

Les normes ETSI définissent des formats de signature selon le type de document :

• CAdES : signature de données génériques (CMS).
• XAdES : signature de documents XML.
• PAdES : signature de documents PDF.

Ces formats embarquent les informations de preuve (horodatage, certificats) pour rester vérifiables dans le temps.

Les profils « baseline »

Les profils baseline (B, T, LT, LTA) définissent des niveaux de complétude :

• B : signature de base ;
• T : avec horodatage ;
• LT : avec chaîne de certification complète ;
• LTA : avec éléments de conservation à long terme.

Plus le profil est complet, plus la preuve résiste au temps. C'est un choix clé pour l'archivage.

Audit et attestations de conformité

La conformité aux normes ETSI se démontre par :

• des audits par des organismes accrédités ;
• des attestations de conformité publiées ;
• l'inscription dans les listes de confiance nationales.

Avant de choisir un prestataire, ces attestations se vérifient dans sa documentation et dans la trusted list.

Erreurs fréquentes à éviter

• Confondre eIDAS (règlement) et ETSI (normes) : les deux sont complémentaires.
• Choisir un format sans prévoir l'archivage long terme.
• Ignorer les profils baseline : la portabilité et la vérifiabilité en dépendent.
• Ne pas vérifier les attestations du prestataire.

Checklist de la conformité ETSI

1. Identifier les normes pertinentes pour vos services.
2. Vérifier les attestations et audits de vos prestataires.
3. Choisir les formats et profils (PAdES-LTA par exemple).
4. Planifier la vérification à long terme.
5. Documenter les choix dans la politique.

Pour aller plus loin

• Archivage électronique — les profils long terme (programmé).
• La chaîne de confiance — les certificats et la PKI (programmé).
• PKI et certificats — le socle des services qualifiés.

Questions fréquentes

Les normes ETSI sont-elles obligatoires ?

Elles ne sont pas directement obligatoires, mais elles sont le moyen reconnu de démontrer la conformité eIDAS des services.

Quel format choisir pour des PDF ?

PAdES est le format adapté aux PDF, avec un profil complet (LT/LTA) pour l'archivage.

Comment vérifier la conformité d'un prestataire ?

Par ses attestations d'audit et sa présence dans les listes de confiance nationales.

Sources officielles

• ETSI — standards et publications
• ETSI EN 319 401 — exigences générales
• Trusted List Browser — listes de confiance

Pour aller plus loin

Les formats de signature conditionnent l'archivage. Les règles de conservation à long terme sont détaillées dans l'article sur l'archivage électronique.

Ce contenu fournit une information générale. Les versions exactes des normes doivent être vérifiées sur le site d'ETSI.