Notice d’utilisation
Ce formulaire unifie les exigences du périmètre PKI et du périmètre de signature électronique. Le formulaire sépare clairement les volets organisation, référentiel documentaire, cycle de vie des certificats, création/validation de signature, sécurité technique et conformité normative.
Les réponses attendues suivent un modèle homogène : Oui / Non / Partiel / Non applicable, avec commentaire du demandeur, preuves attendues et pièces à joindre. Les exigences critiques déclenchent des alertes visuelles.
1
Informations générales du prestataire
12 points
Documents attendus
2
Périmètre du service de confiance
14 points
2.1
Services sollicités
majeur2.2
Cible évaluée
majeur3
Gouvernance, management et organisation
18 points
3.1
L’organisme dispose-t-il d’un organe de management responsable de l’approbation des politiques, pratiques et CPS ?
critiqueAligné sur les exigences de gouvernance et d’approbation des pratiques du TSP.
Absence de gouvernance formalisée : non-conformité critique.
3.2
Séparation des rôles critiques et contrôle à plusieurs personnes (dual control / m-of-n)
critiqueLa séparation des rôles et le contrôle multi-personnes sont attendus pour les opérations sensibles.
Documents attendus
4
Référentiel documentaire et publication
20 points
4.1
La CPS / DPC existe-t-elle et est-elle structurée de manière exploitable ?
critiqueLa checklist ETSI 319 411-1 exige une CPS structurée, avec hiérarchie AC et algorithmes, et une publication en ligne continue.
Sans CPS exploitable, le dossier ne peut pas être instruit correctement.
4.2
La CPS décrit-elle la hiérarchie complète AC racine / AC subordonnée(s), algorithmes, paramètres et services associés ?
majeurDocuments attendus
5
Enrôlement, vérification d’identité et enregistrement
16 points
5.1
Une procédure d’identification et de vérification d’identité est-elle formalisée selon le niveau de garantie visé ?
critiqueL’absence de procédure d’enrôlement formalisée est critique pour l’émission de certificats et la valeur probante.
5.2
La délégation éventuelle à des RA / agents d’enregistrement externes est-elle documentée avec obligations et contrôles ?
majeurDocuments attendus
6
PKI, certificats, clés et services de statut
22 points
6.1
La hiérarchie PKI, les AC, les clés, les algorithmes et les paramètres cryptographiques sont-ils définis et maîtrisés ?
critiqueArchitecture PKI ou paramètres crypto non maîtrisés : point critique.
6.2
Les mécanismes de révocation, publication CRL et/ou OCSP sont-ils disponibles, documentés et surveillés ?
critiqueL’absence de révocation ou de service de statut exploitable est rédhibitoire.
7
Création de signature électronique (SCA / SCD)
26 points
7.1
Formats de signature supportés
majeur7.2
Niveaux de signature supportés
majeur7.3
Le système garantit-il la visualisation préalable du document, l’invariance sémantique et le principe “What You See Is What You Sign” ?
critiqueLe Word met en avant l’affichage du document, la détection de contenu dynamique et l’unicité d’encodage/sémantique.
L’absence de garanties WYSIWYS / invariance du document est critique pour la signature électronique.
7.4
Le consentement du signataire est-il recueilli par un acte positif clair, libre, spécifique, éclairé et univoque avant signature ?
critiqueLe consentement explicite du signataire doit être démontrable.
8
Validation de signature électronique
14 points
8.1
Le système de validation produit-il un rapport de validation complet avec statut global et sous-statuts ?
critiqueLa validation sans rapport détaillé ne permet pas une exploitation fiable du service.
8.2
Statuts gérés
majeur9
Sécurité technique, exploitation, continuité et incidents
18 points
9.1
Le prestataire a-t-il défini les dispositions de terminaison de service et de continuité ?
majeur10
Conformité normative et matrice de contrôle
16 points
Référence
Applicabilité
État
Action
11
Pièces jointes consolidées et commentaires du demandeur
10 points
Pièces globales
12
Déclarations et engagement final
14 points