eIDAS V2 - Archivage Electronique Qualifié

La CEN/TS 18170 (publiée en mai 2025) est la spécification technique européenne de référence qui définit les exigences fonctionnelles pour les services d'archivage électronique. Elle a été élaborée spécifiquement pour répondre à l'introduction du service d'archivage électronique (qualifié ou non) par le nouveau règlement eIDAS v2 (Règlement UE 2024/1183).

Son rôle principal est de fournir un cadre technique harmonisé permettant aux prestataires de services de confiance (PSCo) de démontrer leur conformité. Elle détaille les procédures et technologies nécessaires pour garantir la durabilité, la lisibilité, l'intégrité, la confidentialité et la preuve d'origine des données et documents électroniques durant toute leur période de conservation.

Le règlement eIDAS v2 distingue clairement deux types de services de confiance qui ne doivent pas être confondus:

• L’archivage électronique (au cœur de la CEN/TS 18170) : Introduit par l'article 3(48) d'eIDAS v2, il vise la conservation globale du contenu même du document ou de la donnée (durabilité, lisibilité, intégrité) sur le long terme.
• La préservation des signatures, cachets ou certificats électroniques : Régie par l'article 3(16)(e) (et couverte par les normes ETSI TS 119 511 et TS 119 512), elle sert uniquement à prolonger la validité technologique d'une signature ou d'un cachet apposé sur un document.

La spécification CEN/TS 18170 précise qu'un service d'archivage électronique peut toutefois inclure ou s'appuyer sur un composant de préservation de signature si nécessaire.

Pour garantir la confiance et la conformité eIDAS v2, un prestataire de services d’archivage électronique (EATSP) doit respecter des critères stricts :

• Localisation européenne : Tous les composants de l’infrastructure de traitement et de stockage doivent être impérativement situés au sein de l’Union européenne (UE).
• Redondance géographique : Les paquets d'informations archivés (AIP) doivent être stockés en permanence dans au moins deux sites géographiquement distincts pour prévenir les risques physiques ou climatiques communs.
• Intégrité et Traçabilité (Piste d'audit) : Le système doit générer des journaux d'événements « critiques » (comme l'ingest, les conversions de format ou les suppressions). Ces journaux forment une piste d'audit qui doit elle-même être scellée et protégée contre toute altération par des techniques de signatures numériques ou de chaînes d'intégrité (ex. arbres de Merkle).

Conformément à l'article 45j de l'eIDAS v2 et aux exigences de la CEN/TS 18170, le service d'archivage doit être capable de générer de manière entièrement automatisée un rapport d'intégrité des données. Ce rapport est mis à disposition au moment de la récupération du document (et à tout moment durant la période de conservation).

Pour un Prestataire Qualifié (EAQTSP), ce rapport doit obligatoirement être revêtu d'un cachet électronique qualifié ou d'une signature électronique qualifiée de l'EATSP. Il atteste formellement, par un recalcul de l'empreinte (hash) du document comparé à l'historique de la piste d'audit, que les données n'ont subi aucune altération ou modification non autorisée depuis le tout début de leur période de conservation.

L'acte d'exécution propre à l'archivage électronique qualifié est le Règlement d'exécution (UE) 2025/2532 de la Commission européenne. Publié officiellement au Journal officiel de l’UE le 17 décembre 2025, ce texte vient compléter l'article 45j du règlement eIDAS v2.

Il fixe les conditions de mise en œuvre uniformes dans toute l'Europe. C'est ce texte obligatoire qui transforme les lignes directrices d'eIDAS en critères d'audit stricts. Pour être inscrit sur la Trust List européenne (liste des prestataires qualifiés), un PSCo d'archivage doit obligatoirement valider un audit de conformité aligné sur ce règlement d'exécution et s'appuyant techniquement sur la spécification CEN/TS 18170.

Le Règlement d'exécution (UE) 2025/2532 introduit un avantage juridique historique : la présomption d'intégrité et d'exactitude de l'origine au niveau transfrontalier. En pratique, cela signifie que :

• Inversion de la charge de la preuve : En cas de litige ou de contrôle, un document extrait d'un système qualifié est légalement présumé authentique et intact depuis le jour de son versement. C'est à la partie adverse d'apporter la preuve d'une éventuelle altération.
• Reconnaissance mutuelle automatique : Un archivage qualifié certifié en France par LSTI est automatiquement reconnu avec la même force probante devant les tribunaux et administrations des 26 autres pays de l'Union européenne.

Oui, absolument. Le Règlement d'exécution (UE) 2025/2532, en parfaite adéquation avec la clause 10.5 de la CEN/TS 18170, prévoit explicitement l'hypothèse de la migration de support (changement de serveurs, passage au cloud sécurisé) et de la conversion de format (ex: migrer un vieux fichier Word en PDF/A) pour lutter contre l'obsolescence technologique.
L'acte d'exécution impose cependant que ces opérations soient encadrées par une procédure stricte :

• Zéro perte d'information : La conversion doit préserver l'intégrité informationnelle et les propriétés significatives du document d'origine.
• Traçabilité totale : Chaque migration ou conversion est classée comme un événement critique. L'ancien format, le nouveau format, l'outil utilisé et l'empreinte numérique (hash) avant/après doivent être inscrits de manière immuable dans la piste d'audit (audit trail).
• Maintien des preuves : Si le document d'origine comportait une signature ou un cachet électronique, le système doit appliquer des techniques d'augmentation (par exemple via des formats de type Evidence Record de la CEN/TS 18170) pour étendre la validité de la preuve sur toute la durée de conservation.