Règlement de supervision, de contrôle et de service public de confiance électronique, approuvé par le Décret du 1-7-2015

Article 1. Finalité, objet et champ d'application

1. Le présent Règlement régit dans la Principauté d'Andorre, entre autres :

• La supervision et le contrôle des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés, en application de l'article 33 de la Loi sur les services de confiance électronique, ainsi que le régime juridique de la Commission nationale d'accréditation en sa qualité d'organe de supervision.
• Le système de certification volontaire des services de confiance électronique qualifiés.
• Le Bureau des services de confiance électronique de la Principauté d'Andorre, et les OID.

2. La finalité du présent Règlement est de développer la Loi sur les services de confiance électronique afin de garantir un degré adéquat de sécurité, de qualité et de confiance dans la prestation de services de confiance électronique qualifiés, et de protéger dûment les droits des utilisateurs, en établissant les systèmes de supervision, de contrôle et de certification relatifs aux prestataires de services de confiance électronique et à leurs services et produits.

3. Le système de supervision et de contrôle défini dans le présent Règlement est obligatoire, et il constitue une condition requise d'efficacité administrative pour le démarrage et le maintien de l'activité des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés.

4. La certification définie dans le présent Règlement est volontaire, et elle concerne les entités prestataires de services de confiance électronique qualifiés qui souhaitent obtenir une preuve du respect des conditions requises légales, à des fins procédurales.

Article 2. Organisme d'accréditation, de supervision et de contrôle

En application de l'article 33.1 de la Loi sur les services de confiance électronique, l'entité publique qui exerce les fonctions d'entité d'accréditation et de supervision des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés est, de manière exclusive, la Commission nationale d'accréditation, dont l'organisation et le fonctionnement sont régis au chapitre deux du présent titre.

Article 3. Fonctions de la Commission nationale d'accréditation en tant qu'organe de supervision

1. La Commission nationale d'accréditation veille à ce que les prestataires de services de confiance électronique qui s'adressent au public et ceux qui sont qualifiés respectent les obligations établies par la Loi sur les services de confiance électronique. À cette fin, la Commission nationale d'accréditation dispose d'un pouvoir d'inspection dans le cadre de ses compétences.

2. Les fonctions de la Commission nationale d'accréditation sont les suivantes :

a) Vérifier la conformité des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés, au moyen du contrôle des audits visés à l'article 35.1, et de la prise de connaissance de l'audit de sécurité visé à l'article 36.1 de la Loi sur les services de confiance électronique.

b) Intervenir dans la procédure de certification volontaire du respect des conditions requises applicables aux services de confiance électronique qualifiés et la vérifier, dans les termes de l'article 38 de la Loi sur les services de confiance électronique, avec l'émission ultérieure de la proposition non contraignante au Gouvernement.

c) Accréditer les organismes indépendants reconnus suivants :

1. Ceux qui peuvent émettre les rapports d'audit visés aux articles 27.1, 35.1 et 36.1 de la Loi sur les services de confiance électronique.

2. Ceux qui peuvent émettre la proposition de certification non contraignante visée à l'article 38 de la Loi sur les services de confiance électronique.

3. Les laboratoires d'évaluation de produits qui certifient les dispositifs de création de signature électronique qualifiée et de cachets électroniques qualifiés visés à l'article 11 de la Loi sur les services de confiance électronique. L'accréditation des organismes visés aux points 2 et 3 s'effectue par délégation de la compétence du Gouvernement à la Commission nationale d'accréditation, laquelle inclut le pouvoir de révoquer l'accréditation.

3. Les fonctions spécifiques de la Commission nationale d'accréditation sont, outre celles indiquées dans la Loi sur les services de confiance électronique, les suivantes :

a) Informer les autorités de protection des données des résultats de ses audits en cas de violation des règles relatives à la protection des données personnelles.

b) Participer à l'élaboration des listes de confiance électronique du Gouvernement comportant des informations relatives aux prestataires de services de confiance électronique qui s'adressent au public et à ceux qui sont qualifiés.

Article 4. Pouvoir d'inspection de la Commission nationale d'accréditation

1. La Commission nationale d'accréditation peut effectuer des inspections d'office ou à la suite des réclamations qu'elle reçoit concernant la qualité de l'activité des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés.

2. À cet effet, la Commission nationale d'accréditation désigne les agents du Gouvernement chargés d'exercer les fonctions d'inspection, lesquels sont considérés comme des agents de l'autorité dans l'exercice de leurs fonctions.

3. De même, chaque fois que la Commission nationale d'accréditation l'estime opportun, les agents du Gouvernement désignés peuvent, dans l'exercice de leurs fonctions d'inspection, être accompagnés des personnes qu'ils jugent nécessaires. En tout état de cause, avant le début des inspections, ces accompagnateurs doivent s'identifier.

4. Les prestataires de services de confiance électronique qui s'adressent au public et ceux qui sont qualifiés doivent permettre aux inspecteurs et, le cas échéant, à leurs accompagnateurs l'accès aux installations et la consultation de toute la documentation qu'ils jugent pertinente pour pouvoir mener à bien efficacement leur mission de contrôle.

5. La Commission nationale d'accréditation doit effectuer, au minimum, une intervention d'inspection annuelle pour chacun des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés.

Article 5. Obligations des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés

Les prestataires de services de confiance électronique qui s'adressent au public et ceux qui sont qualifiés sont soumis aux obligations d'information et de collaboration visées aux articles 34 et 36 de la Loi sur les services de confiance électronique. Les informations visées à l'article 34.2 de la Loi sur les services de confiance électronique doivent être mises à jour annuellement par les prestataires de services de confiance, et elles font l'objet d'une publication sur le site web de la Commission nationale d'accréditation afin de leur assurer la plus large diffusion et connaissance, dans le respect de la confidentialité des données personnelles conformément à la législation en vigueur.

Article 6. Procédure de sanction

La procédure de sanction est celle régie par le Code de l'Administration, avec les spécificités suivantes découlant de la Loi sur les services de confiance électronique : La Commission nationale d'accréditation est compétente pour décider l'ouverture des dossiers de sanction et désigner l'instructeur du dossier concerné. L'organe compétent pour statuer sur le dossier de sanction est le Gouvernement, en ce qui concerne les infractions graves ou très graves, et le ministre de l'Administration publique, des Transports et des Télécommunications en ce qui concerne les infractions légères. Pendant l'instruction du dossier, La Commission nationale d'accréditation peut décider les mesures conservatoires qu'elle estime nécessaires prévues par la Loi sur les services de confiance électronique. Dans ce cas, elle doit publier sur son site web que le prestataire de services de confiance électronique fait l'objet de mesures conservatoires et en quoi elles consistent.

Article 7. Infractions et gravité des infractions

En cas d'infractions graves et très graves, la décision de sanction doit être publiée, outre dans l'espace indiqué à l'article 40.3 de la Loi sur les services de confiance électronique, sur le site web de la Commission nationale d'accréditation, avec les informations prévues par la Loi sur les services de confiance électronique.

Article 8.

Définition

1. La Commission nationale d'accréditation, qui relève organiquement du Ministère de l'Administration publique, des Transports et des Télécommunications, lequel peut déléguer cette tutelle organique, est l'entité publique qui doit veiller à atteindre un degré adéquat de sécurité, de qualité et de confiance dans la prestation de services de confiance électronique destinés au public et de ceux qui sont qualifiés, ainsi qu'à protéger dûment les droits des utilisateurs.

2. Les fonctions de la Commission nationale d'accréditation sont celles indiquées aux articles 3, 4 et 13 du présent Règlement.

Article 9. Composition

La Commission nationale d'accréditation est composée de cinq membres, tous représentant le Gouvernement. Les membres de la Commission nationale d'accréditation désignés par le Gouvernement, pour une période de quatre ans, sont :

a) Une personne désignée par le chef du Gouvernement.

b) Le responsable de la sécurité industrielle du ministère chargé de l'industrie.

c) Le responsable du département chargé des systèmes d'information du Gouvernement.

d) Une personne du département chargé de la sécurité industrielle.

e) Un secrétaire désigné par le chef du Gouvernement, qui peut être la même personne que celle visée au paragraphe a).

Article 10. Président

1. La présidence de la Commission nationale d'accréditation revient au responsable du département chargé des systèmes d'information.

2. Les fonctions du président sont les suivantes :

a) Représenter la Commission.

b) Convoquer la Commission, établir l'ordre du jour et présider les séances.

c) Départager les égalités de voix par sa voix.

d) Signer les procès-verbaux, les certifications d'accords, les rapports, les autorisations de contrôle et les avis.

Article 11. Vice-président

1. La vice-présidence de la Commission nationale d'accréditation revient au responsable de la sécurité industrielle du ministère chargé de l'industrie.

2. Les fonctions du vice-président sont les suivantes :

a) Remplacer le président en cas d'absence, de maladie ou pour toute autre cause empêchant le président d'exercer ses fonctions.

b) Se charger de l'expédition des affaires courantes et des affaires que le président lui délègue.

Article 12.

Secrétaire

1. Le secrétaire de la Commission nationale d'accréditation assiste la Commission sur les plans technique et administratif.

2. Les fonctions du secrétaire sont les suivantes :

a) Dresser les procès-verbaux des séances de la Commission, les signer et les soumettre au visa du président.

b) Présenter chaque année un rapport à la Commission nationale d'accréditation sur le fonctionnement de la Commission.

c) Toute autre fonction que lui confie le président.

Article 13. Compétences

Outre les compétences et fonctions qui lui reviennent en sa qualité d'organisme de supervision et de contrôle conformément à ce qui est indiqué aux articles 3 et 4 du présent Règlement, relèvent également de la compétence de la Commission nationale d'accréditation :

a) Proposer au Gouvernement l'approbation ou la modification du chapitre deuxième, titre I, du Règlement de supervision, de contrôle et de service public de confiance électronique.

b) Rendre des rapports au Gouvernement sur les questions prévues par la Loi sur les services de confiance électronique.

c) Désigner les agents superviseurs du Gouvernement et autoriser les personnes qui peuvent les accompagner lors des contrôles.

d) Désigner les agents du Gouvernement instructeurs des dossiers de sanction.

e) Adopter les mesures conservatoires nécessaires.

f) Statuer sur les dossiers de sanction portant sur une infraction qualifiée de légère ou de grave, par délégation du ministre de l'Administration publique, des Transports et des Télécommunications et du Gouvernement, respectivement.

g) Proposer au Gouvernement, en vue de sa publication au Bulletin officiel de la Principauté d'Andorre, la liste des normes techniques applicables aux procédures d'accréditation, de supervision et de contrôle, et de certification, ainsi que la liste des organismes indépendants reconnus visés à l'article 3.2.c du présent Règlement qui souhaitent opérer sur le territoire de la Principauté d'Andorre.

h) Publier sur son site web la liste des normes techniques applicables aux procédures d'accréditation, de supervision et de contrôle, et de certification, et la liste des organismes indépendants reconnus visés à l'article 3.2.c du présent Règlement.

i) Les autres compétences que lui attribue la législation en vigueur.

Article 14. Organisation interne

1. La Commission nationale d'accréditation peut constituer des sous-commissions et des groupes de travail pour préparer les affaires sur lesquelles elle doit ensuite rendre un rapport.

2. La Commission nationale d'accréditation, ses sous-commissions et les groupes de travail constitués peuvent solliciter l'avis de techniciens et d'experts.

Article 15. Séances

1. Les séances de la Commission nationale d'accréditation sont convoquées par le président au moins cinq jours ouvrables à l'avance, avec indication du jour, du lieu et de l'heure de la réunion, ainsi que de l'ordre du jour. La convocation peut prévoir une seconde convocation de la séance.

2. Le président fixe l'ordre du jour des séances. Avant la convocation de la séance correspondante, trois membres de la Commission peuvent demander au président d'inscrire une question déterminée à l'ordre du jour.

3. Il ne peut être délibéré, voté ni pris de décisions sur des questions non inscrites à l'ordre du jour de la réunion, sauf si tous les membres de la Commission nationale d'accréditation sont présents et qu'ils en décident ainsi à l'unanimité.

4. La constitution valable d'une réunion de la Commission nationale d'accréditation requiert la présence de trois de ses membres, parmi lesquels doivent figurer, au minimum, le président ou le vice-président.

5. Le secrétaire dresse le procès-verbal des séances, dans lequel il consigne le jour, l'heure et le lieu de la réunion, l'ordre du jour, les personnes présentes, les décisions adoptées et les principales questions ayant fait l'objet de délibérations. Le procès-verbal de la séance doit être approuvé par la Commission lors d'une séance ultérieure et doit être signé par le président.

Article 16. Régime de décision

1. La Commission nationale d'accréditation décide à la majorité simple de ses membres.

2. En cas de partage des voix, la voix du président est prépondérante.

3. Les membres en désaccord avec les décisions adoptées peuvent faire consigner leur désaccord au procès-verbal et peuvent joindre des opinions dissidentes aux décisions.

Article 17. Procédure d'émission de rapports et d'avis

1. Dès réception de la demande d'un rapport ou d'un avis, le président la transmet à tous les membres de la Commission nationale d'accréditation et, dans un délai de trois jours ouvrables et après avoir entendu le vice-président, désigne un rapporteur.

2. Le rapporteur doit présenter le projet de rapport ou d'avis dans un délai de dix jours ouvrables à compter de sa désignation. Le président, lorsque la nature de la question l'exige, peut proroger ce délai de dix jours ouvrables supplémentaires au maximum. En cas d'urgence, le président peut réduire ce délai à cinq jours ouvrables.

3. Le projet de rapport ou d'avis élaboré par les rapporteurs est distribué aux membres de la Commission nationale d'accréditation dans un délai de trois jours ouvrables à compter de sa remise.

4. Le projet de rapport ou d'avis est soumis à la délibération et à l'approbation de la Commission nationale d'accréditation dans un délai qui ne peut être inférieur à cinq jours ouvrables ni supérieur à quinze, à compter de sa remise.

5. En tout état de cause, l'émission du rapport ou de l'avis a lieu dans le délai de deux mois à compter de la demande.

6. Les membres de la Commission nationale d'accréditation en désaccord peuvent joindre des opinions dissidentes aux rapports et aux avis approuvés. À cet effet, ils disposent de deux jours ouvrables pour remettre au secrétaire leur opinion dissidente, à compter du moment où la rédaction définitive du rapport ou de l'avis est arrêtée. Si le délai maximal de deux mois pour émettre le rapport ou l'avis est dépassé, ce rapport ou cet avis est envoyé à son demandeur avec l'indication qu'une ou plusieurs opinions dissidentes ont été formulées. Le secrétaire de la Commission nationale d'accréditation les transmet au demandeur dès leur réception.

Article 18. Entités de certification

1. Sont compétentes pour intervenir dans la procédure de certification des services de confiance électronique qualifiés conformément au contenu de l'article 38 de la Loi sur les services de confiance électronique : - la Commission nationale d'accréditation, et - d'autres entités publiques ou privées accréditées par le Gouvernement, ou par la Commission nationale d'accréditation elle-même.

2. Pour que ces entités publiques ou privées accréditées par le Gouvernement ou par la Commission nationale d'accréditation puissent intervenir dans la Principauté d'Andorre, il est nécessaire d'en assurer la publicité par une publication au Bulletin officiel de la Principauté d'Andorre et, le cas échéant, sur le site web de la Commission nationale d'accréditation.

Article 19. Indépendance des entités de certification

Les entités de certification de services de confiance électronique qualifiés doivent garantir leur pleine indépendance et impartialité à l'égard de ces prestataires de services de confiance électronique, ainsi que des fabricants ou des importateurs de produits liés aux services de confiance électronique qualifiés qui sollicitent l'intervention dans le processus de certification.

Article 20. Demande d'accréditation des entités de certification

1. L'entité intéressée par le commencement de la prestation d'un service de confiance électronique ou ayant l'intention de commencer une telle prestation, conformément à l'article 36 de la Loi 35/2014, du 27 novembre, et d'être accréditée en tant qu'entité de certification, doit présenter, dûment remplie, la demande officielle « Demande de commencement de l'activité des prestataires de services de confiance électronique qualifiés » portant le numéro de référence A3-T0036, conformément au modèle joint à l'annexe 1 du présent Règlement. Cette demande est également disponible sur le site web contenant les démarches du Gouvernement et sur le site web de la Commission nationale d'accréditation, et doit être présentée via e-tràmits.ad, site habilité pour formuler la demande.

2. L'entité intéressée par le commencement de la prestation du service de Numérisation qualifiée ou ayant l'intention de commencer une telle prestation, conformément à l'article 36 de la Loi 35/2014, du 27 novembre, des services de confiance électronique (ci-après « LCCE »), ainsi que par l'homologation de ce service conformément au Décret 89/2023 de numérisation qualifiée, et d'être accréditée en tant qu'entité de certification, doit remplir la demande officielle « Demande d'homologation et de commencement d'activité du service de numérisation qualifiée » portant le numéro de référence A3-T0034, conformément au modèle joint à l'annexe 2 du présent Règlement. Cette demande est également disponible sur le site web contenant les démarches du Gouvernement et sur le site web de la Commission nationale d'accréditation, et doit être présentée via e-tràmits.ad, site habilité pour formuler la demande.

3. L'entité intéressée par le commencement de la prestation du service de confiance électronique d'archivage qualifié ou ayant l'intention de commencer une telle prestation doit remplir la demande officielle « Demande de commencement d'activité du service d'archivage qualifié » portant le numéro de référence A3-T0034, conformément au modèle joint à l'annexe 3 du présent Règlement. Cette demande est également disponible sur le site web contenant les démarches du Gouvernement et sur le site web de la Commission nationale d'accréditation, et doit être présentée via e-tràmits.ad, site habilité pour formuler la demande.

Article 21. Rapport d'accréditation des entités de certification

En cas d'accréditation par le Gouvernement, et après avoir examiné la demande et la documentation qui l'accompagne, la Commission nationale d'accréditation élabore un rapport non contraignant pour le Gouvernement, qui prend une décision motivée sous forme de décision et la communique à l'entité demanderesse. En cas de désaccord de la part de l'entité, cette entité peut former un recours gracieux devant le Gouvernement selon ce que stipule le Code de l'Administration.

Article 22. Conditions requises minimales des entités de certification accréditées

1. L'accréditation est octroyée aux entités demanderesses lorsqu'elles sont suffisamment qualifiées pour mener à bien la certification des services de confiance électroniques qualifiés et qu'elles remplissent les conditions requises exigées, en particulier celles visées à l'article 20.2.f.

2. Les entités de certification accréditées doivent remplir les conditions requises minimales établies ci-après :

a) L'entité et son personnel doivent être capables d'évaluer la conformité des services de confiance électroniques qualifiés, tels que définis dans la législation en vigueur relative aux services de confiance électronique, avec un niveau élevé d'intégrité professionnelle, de fiabilité et de compétence technique.

b) L'entité doit démontrer qu'elle dispose d'au moins deux techniciens pour exercer les tâches de certification. Les compétences minimales que ces personnes doivent posséder sont : i. CISA (Certified Information Systems Auditor) ou certification professionnelle équivalente, délivrés par l'ISACA (Information Systems Audit and Control Association), ou diplôme équivalent attestant de connaissances dans le domaine des services de confiance électronique. ii. Cinq ans d'expérience justifiable dans le domaine des services de confiance électronique.

Article 23. Obligations des entités de certification accréditées

1. Tant que l'habilitation demeure en vigueur, les entités de certification accréditées sont tenues de remplir, à tout moment, les conditions requises sur la base desquelles elles ont obtenu l'habilitation et celles du point 2 de l'article précédent, ainsi que de notifier toute modification des données spécifiées à l'article 20 du présent règlement.

2. La Commission nationale d'accréditation peut effectuer les contrôles pertinents pour s'assurer que les entités de certification remplissent les conditions requises de leur accréditation.

Article 24. Validité des accréditations

1. Les accréditations d'entités de certification de prestataires de services de confiance électronique qualifiés ont une durée de validité de cinq ans.

2. L'accréditation peut être révoquée d'office par la Commission nationale d'accréditation et par le Gouvernement sur proposition de la Commission nationale d'accréditation, lorsque, pendant le délai indiqué, surviennent des changements fondamentaux ou substantiels dans l'entité de certification concernée, de l'avis de la Commission nationale d'accréditation. À ces fins, l'entité de certification de prestataires de services de confiance électronique qualifiés, chaque fois que survient un changement de ce type, est tenue de le communiquer à la Commission nationale d'accréditation dans un délai d'un mois à compter de la survenance du changement. En cas de révocation de l'accréditation, le représentant légal de l'entité de certification peut former le recours administratif correspondant conformément aux dispositions du Code de l'Administration en vigueur.

Article 25. Extinction des accréditations

L'accréditation de l'entité de certification de services de confiance électronique qualifiés peut s'éteindre pour les causes suivantes :

a) L'expiration du délai pour lequel elle a été octroyée.

b) La renonciation expresse de l'entité de certification de services de confiance électronique qualifiés avant le délai de cinq ans. Dans ce cas, l'entité de certification de services de confiance électronique qualifiés doit en aviser la Commission nationale d'accréditation par écrit avec un préavis de trois mois.

c) La cessation de l'activité de l'entité de certification de services de confiance électronique qualifiés.

d) La révocation par le Gouvernement ou par la Commission nationale d'accréditation. Dans ce cas, le représentant de l'entité de certification peut former le recours administratif correspondant conformément aux dispositions du Code de l'Administration en vigueur.

Article 26. Notion de prestataire de services de confiance électronique qualifiés

Le prestataire de services de confiance électronique qualifiés est la personne physique ou morale qui fournit un ou plusieurs des services de confiance électronique régis par la Loi sur les services de confiance électronique, dans le respect des conditions requises établies par cette même Loi.

Article 27. Certification des prestataires de services de confiance électronique qualifiés

1. Les prestataires de services de confiance électronique qualifiés qui souhaitent être certifiés peuvent demander la certification pour un ou plusieurs des services électroniques relatifs au cycle de vie de l'authentification électronique, des signatures électroniques, des cachets électroniques, des horodatages électroniques, des documents électroniques, de l'envoi recommandé électronique, de l'authentification de sites internet, de la fourniture de certificats électroniques et du chiffrement, y compris les certificats de signature électronique et de cachet électronique. Cette certification peut également être demandée en ce qui concerne les produits des services de confiance électronique qualifiés.

2. Pour la certification des services de confiance électronique qualifiés, le respect des obligations établies par la Loi sur les services de confiance électronique en vigueur est exigé.

3. Un prestataire de services de confiance électronique qualifiés qui demande à être certifié comme qualifié doit présenter à une entité de certification la documentation définie à l'article 20 du présent règlement, à l'exception de celle demandée à la lettre e), afin qu'elle évalue sa capacité à fournir des services de confiance électronique qualifiés et émette une déclaration en sa faveur sur cette capacité.

4. Le prestataire a l'obligation de remettre aux entités de certification tous les éléments nécessaires au bon déroulement de la procédure d'évaluation.

5. Le processus d'évaluation que fournissent les entités de certification ne présuppose pas la certification favorable du prestataire de services de confiance électronique qualifiés.

Article 28.

Demande de certification

1. Le prestataire de services de confiance électronique qualifiés qui souhaite obtenir une certification doit remplir le formulaire de demande de certification des prestataires de services de confiance électronique qualifiés et l'adresser à l'entité de certification.

2. À ladite demande, le prestataire de services de confiance électronique qualifiés doit joindre :

a) La déclaration préalable des pratiques de confiance électronique, qui comprend les obligations et les garanties auxquelles ils s'engagent en ce qui concerne la gestion des services de confiance électronique et les données concernées par ces mêmes services, les conditions applicables aux demandes, l'utilisation, la suspension de la validité, l'extinction et les mesures de sécurité applicables, ainsi que les autres données et informations établies en relation avec chaque service de confiance électronique, conformément aux exigences de la Loi sur les services de confiance électronique.

b) Les informations complémentaires exigées par la Loi sur les services de confiance électronique en ce qui concerne les prestataires de services de confiance électronique qualifiés.

c) Une déclaration sur l'honneur des personnes représentant le prestataire de services attestant que l'entité est à jour de ses obligations fiscales et ne se trouve dans aucun des cas d'incompatibilité prévus à l'article 7 de la Loi sur les marchés publics, du 09-11-2000.

Article 29.

Décision sur la demande de certification

1. L'entité de certification, après examen de la demande et de la documentation présentées, émet un rapport non contraignant, indépendant et objectif, qu'elle transmet au Gouvernement. Le Gouvernement statue dans un sens favorable ou défavorable. Le Gouvernement informe le prestataire de services de confiance électronique qualifiés de sa décision par la notification de la décision rendue par le Gouvernement.

2. La liste des prestataires de services de confiance électronique qualifiés, et de leurs produits, ayant obtenu une certification de leurs services, est publiée au Bulletin officiel de la Principauté d'Andorre. À cette fin, le Gouvernement est tenu de transmettre mensuellement la liste des certificats émis au Bulletin officiel de la Principauté d'Andorre.

Article 30.

Contenu et validité de la certification

1. L'émission d'une certification à caractère favorable en faveur d'un prestataire de services de confiance électronique qualifié l'oblige à maintenir, à tout moment, les conditions requises sur la base desquelles il a obtenu la certification.

2. La certification a une durée de validité de trois ans. Toutefois, ce délai est plus court dans les circonstances suivantes :

a) Si des changements importants interviennent dans le champ d'application des services de confiance électronique qualifiés ;

b) S'il y a des changements importants dans les types de services fournis par le prestataire de services de confiance électronique qualifiés ayant obtenu la certification ;

c) Chaque fois qu'un nouveau service est inclus par le prestataire de services de confiance électronique qualifiés ;

d) Si un changement important intervient dans les systèmes informatiques et les processus métier utilisés par le prestataire de services.

3. Une fois la certification expirée, elle peut être renouvelée pour la même période, à condition qu'il soit constaté, au moyen d'un rapport favorable d'une entité de certification habilitée, que le prestataire continue de remplir les conditions exigibles pour l'accréditation.

Article 31. Création de l'Office des services de confiance électronique de la Principauté d'Andorre

Il est créé l'Office des services de confiance électronique de la Principauté d'Andorre en relation avec les services de confiance électronique fournis par l'entité de certification du Gouvernement, avec les fonctions suivantes :

a) Assurer le suivi, l'impulsion et la coordination des services de confiance électronique.

b) Protéger les droits des utilisateurs des services de confiance électronique.

c) Promouvoir l'utilisation des services de confiance électronique.

d) Développer les activités de l'entité de certification du Gouvernement.

e) Gérer le respect des conditions requises d'équivalence établies par la Loi sur les services de confiance électronique avec d'autres prestataires de services de confiance électronique.

f) Tenir à jour et actualiser les instructions générales ou politiques de signature, de chiffrement, d'authentification, de preuve, de certification numérique, d'horodatage et de gestion des clés, ainsi que de tout autre type jugé opportun.

g) Gérer et tenir à jour les numéros d'attribution d'identifiants d'objet.

h) Veiller à l'obtention d'un niveau de sécurité, de qualité et de confiance adéquat, conformément à la réglementation applicable en la matière.

i) Coordonner les entités d'enregistrement.

j) Élaborer et gérer son budget.

k) Gérer les relations avec les fournisseurs.

l) Recevoir, évaluer et, le cas échéant, mettre en œuvre les initiatives relatives à l'exercice de ses fonctions formulées par les organes, entités, organismes, organisations sectorielles et toutes autres associations ou entités publiques ou privées.

m) Accomplir les tâches correspondant à l'Autorité nationale d'enregistrement des OID.

n) Les autres fonctions que lui confie le Gouvernement.

Article 32. Responsable de l'Office des services de confiance électronique de la Principauté d'Andorre

L'Office des services de confiance électronique de la Principauté d'Andorre est rattaché organiquement au Secrétariat d'État à la Transformation numérique et aux Télécommunications.

Article 33. Rapports au secrétaire général du Gouvernement

Si la compétence relative à l'Office des services de confiance électronique de la Principauté d'Andorre a été déléguée par le ministre de la Présidence, de l'Économie et de l'Entreprise, le nouveau titulaire doit élaborer trimestriellement un rapport qui contient, au minimum, un résumé du niveau d'exécution des compétences visées à l'article 31 et qu'il doit transmettre au ministre de la Présidence, de l'Économie et de l'Entreprise afin que celui-ci évalue le degré d'accomplissement des services de confiance électronique.

Article 34. Structure et fonctionnement de l'Office des services de confiance électronique de la Principauté d'Andorre

L'Office des services de confiance électronique de la Principauté d'Andorre est doté, pour l'exercice de ses fonctions, des moyens administratifs et matériels appropriés et est structuré hiérarchiquement de la manière suivante :

1. Une personne responsable de l'Office des services de confiance électronique de la Principauté d'Andorre (OSCEPA), nommée par le Gouvernement.

2. Une personne chef de projet technique, rattachée fonctionnellement aux services techniques du Département de la Transformation numérique.

3. Une personne chargée de l'accueil des citoyens et de la gestion du changement.

Article 35. Objet

Le présent chapitre a pour objet l'attribution et la gestion des OID qui relèvent de la branche principale correspondant à la Principauté d'Andorre, et qui sont gérés par le Gouvernement d'Andorre.

Article 36. Définitions

L'OID est un mécanisme d'identification internationale développé par les organismes ITU-T et ISO/IEC, consistant en l'attribution d'un numéro univoque, et de manière globale, à tout type d'objet, de concept ou de chose, de manière persistante dans le temps. Ce mécanisme d'identification est structuré de manière hiérarchique en un arbre de numéros, au moyen d'une séquence, de niveau supérieur (ou nœud), et de niveaux inférieurs (ou sous-nœuds) ultérieurs.

Article 37. OID de la Principauté d'Andorre

La Principauté d'Andorre, en sa qualité d'État, dispose de l'identification « 2.16.20 ».

Article 38. Autorité nationale d'enregistrement d'OID

L'entité compétente pour l'attribution et l'enregistrement des branches principales des OID, sous la numérotation correspondant à la Principauté d'Andorre déjà indiquée, est l'Office des services de confiance électronique de la Principauté d'Andorre. L'Autorité nationale d'enregistrement d'OID dispose d'une compétence exclusive dans ses fonctions. En tout état de cause, la gestion matérielle de ces mêmes fonctions peut être déléguée conformément aux dispositions du Code de l'Administration.

Article 39. Branches principales

L'Autorité nationale d'enregistrement d'OID peut créer et attribuer librement :

• Toute branche principale de numéros.
• Toute branche sectorielle de numéros ultérieurs, afin de préciser une appartenance au secteur spécifié.

Article 40. Hiérarchie des niveaux inférieurs

La gestion et l'attribution des numéros d'identifiant d'objet ultérieurs aux numéros principaux attribués par l'Autorité nationale d'enregistrement d'OID relèvent de la responsabilité du titulaire de l'identifiant d'objet attribué, et doivent être régies par les normes génériques applicables par les organismes ITU-T et ISO/IEC, à l'exclusion de tout type de responsabilité du Gouvernement.

Article 41. Demande de numéro d'OID

Peuvent présenter des demandes de numéros d'OID toutes les personnes, entités ou organismes ayant leur résidence légale dans la Principauté d'Andorre. La procédure pour demander un OID doit faire l'objet, à tout moment, d'une publicité adéquate sur le site électronique de l'Autorité nationale d'enregistrement d'OID. De même, les motifs de refus des demandes doivent être publiés.

Article 42. Attribution d'OID

L'attribution d'OID doit être notifiée par l'Autorité nationale d'enregistrement d'OID sur le site électronique de l'organisme, et par courrier électronique au destinataire de la demande, s'il en dispose et l'a communiqué comme moyen approprié. L'attribution du numéro d'OID confère les droits prévus par les organismes ITU-T et ISO/IEC.

Article 43. Interdiction de réattribution

Les numéros d'OID déjà attribués ne peuvent en aucun cas être réattribués par l'Autorité nationale d'enregistrement d'OID, pas même en cas de renonciation du titulaire de l'OID attribué.

Disposition additionnelle première.

L'Autorité nationale d'enregistrement d'OID créera la branche « .1 » ('OID 2.16.20.1), qui correspondra aux entités et aux organismes appartenant au secteur public andorran.

Disposition additionnelle deuxième.

L'Autorité nationale d'enregistrement d'OID créera la branche « .2 » (OID 2.16.20.2), qui correspondra aux personnes, aux entités et aux organismes appartenant au secteur privé andorran.

Disposition abrogatoire unique. Abrogation normative

Sont abrogées toutes les dispositions de rang égal ou inférieur contraires au présent Règlement et, en particulier, le Décret portant approbation du Règlement de supervision et de contrôle des prestataires de services de certification, du 2 juin 2010.

Disposition finale. Entrée en vigueur

Le présent Règlement entrera en vigueur le lendemain de sa publication au Bulletin officiel de la Principauté d'Andorre.