eIDAS - Attestations d'Attributs Qualifiés (QEAA)
À qui s'adresse la certification eIDAS v2 sur les Attestations d'Attributs ?
Ce nouveau service de confiance qualifié s’adresse à un large écosystème d'acteurs, publics comme privés, responsables de la garantie de ces attributs ou agissant en tant que fournisseurs de données de confiance :
- Administrations Publiques et Services de l'État : Ministères, préfectures ou organismes gérant des sources authentiques de données (registres de l'état civil, permis de conduire, cartes professionnelles).
- Établissements d'Enseignement et Universités : Pour l'émission de diplômes certifiés et de statuts d'étudiants nativement vérifiables partout en Europe.
- Ordres Professionnels et Fédérations : Ordre des médecins, des avocats, des experts-comptables, ou chambres de commerce pour l'émission de mandats de représentation (Kbis).
- Entreprises Privées et Éditeurs de Logiciels : Banques, compagnies d'assurance ou tiers de confiance technologiques souhaitant opérer des infrastructures d’identité numérique interopérables.
Quels sont les enjeux de la certification pour les émetteurs ?
Pour les prestataires de services de confiance (PSCo), l'obtention de la certification qualifiée eIDAS v2 présente trois enjeux stratégiques :
- Valeur juridique de plein droit : Conformément au règlement européen eIDAS v2, une attestation électronique d'attributs qualifiée bénéficie d'une validité juridique absolue et ne peut être refusée au seul motif de son format électronique. Elle assure une garantie légale uniforme dans les 27 pays de l'UE.
- Interopérabilité native avec l'EUDI Wallet : Les QEAA sont le carburant de l'identité numérique. Les exigences techniques garantissent qu'une attestation certifiée pourra être intégrée et partagée via tous les portefeuilles d'identité membres, conformément au Règlement d'exécution (UE) 2024/2979.
- Protection de la vie privée (Privacy by Design) : Contrairement à la transmission d'un document papier entier, les solutions d'émissions qualifiées permettent la divulgation sélective. L’utilisateur peut prouver un seul attribut (ex: "être majeur") sans révéler le reste de ses données personnelles.
Cadre Réglementaire et Normes d'Évaluation des Attestations Electroniques d'Attributs Qualifiés (QEAA)
Une Attestation Électronique d’Attribut est qualifiée lorsqu’elle est délivrée par un Prestataire de Services de Confiance (PSCo) audité selon un référentiel strict. Le prestataire doit contrôler l'origine de l'attribut, garantir son authenticité, assurer sa traçabilité et maintenir un dispositif cryptographique robuste.
| Référence | Objet | Portée pour les Attestations d'Attributs (QEAA) | ||
| ETSI EN 319 401 | Exigences générales | Gouvernance, organisation, sécurité et contrôle interne du prestataire. | ||
| ETSI EN 319 412-1 à 5 | Profils et formats | Modélisation structurée, profils de certificats et formats de données des attributs qualifiés. | ||
| ETSI TS 119 461 | Vérification d’identité | Procédures d’enrôlement sécurisées et validation du raccordement aux sources d’attributs authentiques. | ||
| CEN/TS 17489 (série) | Gestion des attributs | Gestion du cycle de vie, publication, révocation, pérennité des preuves | ||
| AI 2025/1569 | Acte d'Exécution (UE) | Règle de droit imposant les exigences techniques et de sécurité pour l'émission des QEAA. |
Vos questions sur le service eIDAS : Attestation Electronique Qualifié
-
Qu'est-ce qu'une Attestation Electronique d'Attributs Qualifiés (QEAA) ?
Une Attestation Electronique d'Attributs Qualifiés (QEAA) est un document ou un jeu de données sous forme électronique qui est officiellement lié à l'identité d'une personne physique ou morale. Émise par un Prestataire de Services de Confiance Qualifié (PSCo) audité selon le Règlement d'exécution (UE) 2025/1569, elle permet d'attester de manière infalsifiable des caractéristiques spécifiques (diplôme, statut professionnel, identifiant d'entreprise) directement extraites de registres officiels ou de sources authentiques. -
Quels sont les avantages des Attestations d'Attributs Qualifiés ?
Les attestations d'attributs qualifiés (QEAA) offrent une valeur juridique européenne incontestable, équivalente aux documents papier officiels, tout en éliminant les risques de fraude documentaire. Émises par des Prestataires de Services de Confiance Qualifiés (PSDCQ), elles garantissent un niveau de sécurité maximal validé par un organisme d'évaluation de la conformité. Elles bénéficient d'une reconnaissance mutuelle transfrontalière automatique, ce qui oblige tous les États membres de l'UE à les accepter sans formalité supplémentaire. Enfin, elles optimisent la protection de la vie privée (RGPD) en permettant la minimisation des données grâce à la divulgation sélective : l'utilisateur prouve une information (comme sa majorité) sans dévoiler le reste de son identité. -
Quels sont les cas d'usages des Attestations d'Attributs Qualifiés ?
Ces attestations sont au cœur du futur Portefeuille européen d'identité numérique (EUDI Wallet) pour simplifier et sécuriser les démarches administratives transfrontalières en Europe. Elles permettent de prouver instantanément des statuts certifiés, tels qu'un diplôme, des habilitations professionnelles, un permis de conduire ou une attestation de droits, sans divulguer l'identité complète de l'utilisateur. C'est également un outil indispensable pour automatiser le KYC (Know Your Customer) dans les secteurs bancaires, financiers et pour la vérification d'âge en ligne. -
Quel est le lien entre les Attestations d'Attributs et l'EUDI Wallet (Portefeuille européen d'identité numérique) ?
Le Portefeuille Européen d'Identité Numérique (EUDI Wallet) fait office de conteneur mobile et sécurisé sur le smartphone du citoyen, tandis que les Attestations Électroniques d'Attributs Qualifiées (QEAA) en constituent le contenu vérifiable. L'EUDI Wallet s'appuie sur le Règlement d'exécution (UE) 2024/2982 pour stocker ces attributs certifiés et permettre à l'utilisateur de les partager de manière sélective avec des administrations ou des tiers dans toute l'Union européenne. -
Quels types d'attributs ou de cas d'usage sont couverts par ce service qualifié ?
Le champ d'application des services d'émission d'attestations d'attributs qualifiées couvre de nombreux cas d'usage : l'émission de mandats sociaux ou de pouvoirs de représentation d’une entreprise (KBIS), de titres et d'ordres professionnels (médecins, avocats), la validation instantanée de diplômes universitaires, ainsi que la dématérialisation transfrontalière des permis de conduire, d'attestations d'assurance ou de droits sociaux. -
Quelle est la différence entre une attestation d'attributs qualifiée (QEAA) et une attestation standard ?
La différence majeure réside dans le niveau de sécurité juridique. Pour délivrer des attestations qualifiées, le prestataire doit obligatoirement valider un audit de conformité eIDAS v2 mené par un organisme tiers accrédité comme LSTI. Contrairement aux attestations standards, seules les attestations qualifiées bénéficient d'une validité de plein droit et d'une reconnaissance transfrontalière automatique devant les tribunaux et administrations des 27 pays membres de l'UE. -
Comment LSTI intervient-il dans le processus de qualification ?
LSTI intervient exclusivement en tant qu’Organisme d’Évaluation de la Conformité (OEC). Les auditeurs de LSTI examinent l'infrastructure logique, la sécurité cryptographique des clés d'émission et la conformité des pratiques. À l'issue de l'audit, LSTI délivre un certificat et un Rapport d'Évaluation de la Conformité (CAR), qui sert de preuve factuelle à l'autorité de supervision nationale (l'ANSSI) pour prononcer la qualification officielle du service.
Pourquoi choisir LSTI ?
Expertise reconnue
Avec plus de vingt ans d’expérience, LSTI accompagne plus de 300 organisations en France et en Europe en tant qu’organisme de certification et centre d’évaluation de référence, intervenant dans les domaines de la cybersécurité, de la confiance numérique et de la sécurité de l’information.
Auditeurs spécialisés
Nos équipes d’auditeurs sont composées de professionnels confirmés, maîtrisant les référentiels de cybersécurité de l’ANSSI, les pratiques de management de la sécurité de l’information et les cadres de confiance numérique européens. Leur approche garantit des évaluations exigeantes, équilibrées et adaptées aux contextes opérationnels de chaque organisation.
Tiers indépendant et accompagnement dédié
Habilité par l’ANSSI, LSTI garantit impartialité, transparence et cohérence sur l’ensemble du cycle : préparation, audits, surveillances et renouvellements. Un interlocuteur dédié assure la continuité et la lisibilité du parcours de certification.