5. Cybersécurité 
5.3. Sécurité informatique et de l'information
5.3. Sécurité informatique et de l'information
Règlement d'exécution (UE) 2026/1730 de la Commission du 15 juillet 2026 modifiant le règlement d’exécution (UE) 2025/848 en ce qui concerne les normes et spécifications applicables
| Date de signature : | 15/07/2026 | Statut du texte : | En vigueur |
| Date de publication : | 22/07/2026 | Emetteur : | |
| Consolidée le : | Source : | JOUE Série L du 22 juillet 2026 | |
| Date d'entrée en vigueur : | 12/08/2026 |
Règlement d'exécution (UE) 2026/1730 de la Commission du 15 juillet 2026 modifiant le règlement d’exécution (UE) 2025/848 en ce qui concerne les normes et spécifications applicables
LA COMMISSION EUROPÉENNE,
(1) Afin de garantir le niveau d’harmonisation le plus élevé possible entre les États membres pour le développement des portefeuilles européens d’identité numérique, les spécifications techniques applicables aux portefeuilles s’appuient sur les travaux réalisés sur la base de la recommandation (UE) 2021/946 de la Commission (2) et, en particulier, sur l’architecture et le cadre de référence. Étant donné que l’architecture et le cadre de référence ont considérablement évolué depuis l’adoption du règlement d’exécution (UE) 2025/848 de la Commission (3), il convient à présent de modifier ledit règlement d’exécution afin de l’aligner sur les nouvelles normes, spécifications et procédures. En outre, afin de favoriser l’interopérabilité entre les registres des parties utilisatrices de portefeuille, les spécifications techniques pertinentes applicables à un format commun et à une interface de programmation d’application (API) commune pour les informations relatives à l’enregistrement des parties utilisatrices de portefeuille ont été élaborées dans le cadre de l’architecture et du cadre de référence.
(2) Conformément aux objectifs du règlement (UE) n°910/2014, un certain nombre de normes ont été sélectionnées pour satisfaire aux exigences applicables à l’enregistrement des parties utilisatrices de portefeuille. Ces normes devraient tenir compte des pratiques établies et être largement reconnues dans les secteurs concernés. Si nécessaire, ces normes devraient être adaptées ou complétées afin de garantir un niveau élevé de sécurité et de fiabilité dans l’enregistrement et l’identification des parties utilisatrices de portefeuille, tout en facilitant l’interopérabilité transfrontière et le bon fonctionnement du marché intérieur. Conformément à cet objectif, le présent règlement met à jour les normes techniques et les exigences en matière d’information applicables à l’enregistrement du lien entre les intermédiaires et les parties utilisatrices de portefeuille pour le compte desquelles ils agissent et harmonise les profils de certificat pour les certificats régis par le présent règlement.
(3) Afin de permettre à l’unité de portefeuille de confirmer que les données demandées par une partie utilisatrice de portefeuille relèvent du champ d’application de l’utilisation prévue enregistrée, les fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille devraient délivrer les certificats d’enregistrement de partie utilisatrice de portefeuille de manière automatisée et sans retard injustifié après l’enregistrement.
(4) Le règlement (UE) 2016/679 du Parlement européen et du Conseil (4) et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil (5) s’appliquent à toutes les activités de traitement de données à caractère personnel au titre du présent règlement.
(5) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (6) et a rendu son avis le 17 avril 2026 (7).
(6) Les mesures prévues par le présent règlement sont conformes à l’avis du comité établi par l’article 48 du règlement (UE) n°910/2014,
A ADOPTÉ LE PRÉSENT RÈGLEMENT:
Article premier
Modification du règlement d’exécution (UE) 2025/848
Le règlement d’exécution (UE) 2025/848 est modifié comme suit:
1) À l’article 6, paragraphe 3, le point a) est remplacé par le texte suivant:
3) À l’article 6, le paragraphe 3 bissuivant est inséré:
6) L’annexe IV est modifiée conformément à l’annexe II du présent règlement.
7) L’annexe V est modifiée conformément à l’annexe III du présent règlement.
Article 2
Entrée en vigueur
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Fait à Bruxelles, le 15 juillet 2026.
Par la Commission
La présidente
Ursula VON DER LEYEN
(1) JO L 257 du 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
(2) Recommandation (UE) 2021/946 de la Commission du 3 juin 2021 concernant une boîte à outils commune de l’Union pour une approche coordonnée en vue d’un cadre européen relatif à une identité numérique (JO L 210 du 14.6.2021, p. 51, ELI: http://data. europa.eu/eli/reg/2021/946/oj).
(3) Règlement d’exécution (UE) 2025/848 de la Commission du 6 mai 2025 portant modalités d’application du règlement (UE) n°910/2014 du Parlement européen et du Conseil en ce qui concerne l’enregistrement des parties utilisatrices de portefeuilles (JO L, 2025/848, 7.5.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/848/oj).
(4) Règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(5) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
(6) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE (JO L 295 du 21.11.2018, p. 39, ELI: http:// data.europa.eu/eli/reg/2018/1725/oj).
(7) EDPS Formal comments on the draft Implementing Regulation amending Implementing Regulation (EU) 2025/848 as regards applicable standards and specifications.[Commentaires formels du CEPD sur le projet de règlement d’exécution modifiant le règlement d’exécution (UE) 2025/848 en ce qui concerne les normes et spécifications applicables]. | Contrôleur européen de la protection des données.
ANNEXE I
À l’annexe I du règlement d’exécution (UE) 2025/848, le point suivant est ajouté:
L’annexe IV du règlement d’exécution (UE) 2025/848 est modifiée comme suit:
1) au point 3, le premier alinéa est modifié comme suit:
L’annexe V du règlement d’exécution (UE) 2025/848 est modifiée comme suit:
1) au point 3, le premier alinéa est modifié comme suit:
LA COMMISSION EUROPÉENNE,
- vu le traité sur le fonctionnement de l’Union européenne,
- vu le règlement (UE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (1), et notamment son article 5 ter, paragraphe 11,
(1) Afin de garantir le niveau d’harmonisation le plus élevé possible entre les États membres pour le développement des portefeuilles européens d’identité numérique, les spécifications techniques applicables aux portefeuilles s’appuient sur les travaux réalisés sur la base de la recommandation (UE) 2021/946 de la Commission (2) et, en particulier, sur l’architecture et le cadre de référence. Étant donné que l’architecture et le cadre de référence ont considérablement évolué depuis l’adoption du règlement d’exécution (UE) 2025/848 de la Commission (3), il convient à présent de modifier ledit règlement d’exécution afin de l’aligner sur les nouvelles normes, spécifications et procédures. En outre, afin de favoriser l’interopérabilité entre les registres des parties utilisatrices de portefeuille, les spécifications techniques pertinentes applicables à un format commun et à une interface de programmation d’application (API) commune pour les informations relatives à l’enregistrement des parties utilisatrices de portefeuille ont été élaborées dans le cadre de l’architecture et du cadre de référence.
(2) Conformément aux objectifs du règlement (UE) n°910/2014, un certain nombre de normes ont été sélectionnées pour satisfaire aux exigences applicables à l’enregistrement des parties utilisatrices de portefeuille. Ces normes devraient tenir compte des pratiques établies et être largement reconnues dans les secteurs concernés. Si nécessaire, ces normes devraient être adaptées ou complétées afin de garantir un niveau élevé de sécurité et de fiabilité dans l’enregistrement et l’identification des parties utilisatrices de portefeuille, tout en facilitant l’interopérabilité transfrontière et le bon fonctionnement du marché intérieur. Conformément à cet objectif, le présent règlement met à jour les normes techniques et les exigences en matière d’information applicables à l’enregistrement du lien entre les intermédiaires et les parties utilisatrices de portefeuille pour le compte desquelles ils agissent et harmonise les profils de certificat pour les certificats régis par le présent règlement.
(3) Afin de permettre à l’unité de portefeuille de confirmer que les données demandées par une partie utilisatrice de portefeuille relèvent du champ d’application de l’utilisation prévue enregistrée, les fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille devraient délivrer les certificats d’enregistrement de partie utilisatrice de portefeuille de manière automatisée et sans retard injustifié après l’enregistrement.
(4) Le règlement (UE) 2016/679 du Parlement européen et du Conseil (4) et, le cas échéant, la directive 2002/58/CE du Parlement européen et du Conseil (5) s’appliquent à toutes les activités de traitement de données à caractère personnel au titre du présent règlement.
(5) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (6) et a rendu son avis le 17 avril 2026 (7).
(6) Les mesures prévues par le présent règlement sont conformes à l’avis du comité établi par l’article 48 du règlement (UE) n°910/2014,
A ADOPTÉ LE PRÉSENT RÈGLEMENT:
Article premier
Modification du règlement d’exécution (UE) 2025/848
Le règlement d’exécution (UE) 2025/848 est modifié comme suit:
1) À l’article 6, paragraphe 3, le point a) est remplacé par le texte suivant:
- «a)l’exactitude, la validité, l’authenticité et l’intégrité des informations requises en vertu de l’annexe I, points 1 à 6 et 11 à 16;».
3) À l’article 6, le paragraphe 3 bissuivant est inséré:
- «3 bis. Les bureaux d’enregistrement recueillent les informations visées à l’annexe I, points 7 à 10, de manière automatisée uniquement à des fins de transparence et, sans préjudice de l’article 5 ter, paragraphe 4, du règlement (UE) n°910/2014, n’appliquent aucune procédure d’autorisation préalable à ces informations.».
- a) le paragraphe 1 est remplacé par le texte suivant:
- «1. Les États membres autorisent au moins une autorité de certification à délivrer des certificats d’enregistrement de partie utilisatrice de portefeuille. Les États membres veillent à ce que les fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille délivrent ces certificats de manière automatisée et sans retard injustifié après l’enregistrement.»;
- b) le paragraphe 2 est remplacé par le texte suivant:
- «2. Les États membres:
- a) imposent aux fournisseurs de certificats d’enregistrement de partie utilisatrice de portefeuille l’obligation de délivrer lesdits certificats aux seules parties utilisatrices de portefeuille enregistrées;
- b) veillent à ce que chaque utilisation prévue soit exprimée dans les certificats d’enregistrement de partie utilisatrice de portefeuille;
- c) veillent à ce que les certificats d’enregistrement de partie utilisatrice de portefeuille comportent une politique d’accès générale, dont l’harmonisation syntaxique et sémantique est assurée dans l’ensemble de l’Union, informant les utilisateurs que la partie utilisatrice de portefeuille est uniquement autorisée à demander les données spécifiées dans les certificats d’enregistrement pour l’utilisation prévue enregistrée dans lesdits certificats;
- d) veillent à ce que les fournisseurs de solutions de portefeuille établis dans cet État membre se conforment à la politique d’accès générale en informant les utilisateurs lorsqu’une partie utilisatrice de portefeuille demande des données qui ne figurent pas dans les certificats d’enregistrement;
- e) mettent en oeuvre les certificats d’enregistrement de partie utilisatrice de portefeuille en assurant leur harmonisation syntaxique et sémantique et dans le respect des exigences énoncées à l’annexe V;
- f) mettent en oeuvre des politiques en matière de certificats et des énoncés des pratiques de certification spécifiques pour les certificats d’enregistrement de partie utilisatrice de portefeuille, conformément aux exigences énoncées à l’annexe V;
- g) veillent à ce que les parties utilisatrices de portefeuille fournissent un URL pour la politique en matière de protection de la vie privée concernant l’utilisation prévue.».
- «2. Les États membres:
6) L’annexe IV est modifiée conformément à l’annexe II du présent règlement.
7) L’annexe V est modifiée conformément à l’annexe III du présent règlement.
Article 2
Entrée en vigueur
Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Fait à Bruxelles, le 15 juillet 2026.
Par la Commission
La présidente
Ursula VON DER LEYEN
(1) JO L 257 du 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
(2) Recommandation (UE) 2021/946 de la Commission du 3 juin 2021 concernant une boîte à outils commune de l’Union pour une approche coordonnée en vue d’un cadre européen relatif à une identité numérique (JO L 210 du 14.6.2021, p. 51, ELI: http://data. europa.eu/eli/reg/2021/946/oj).
(3) Règlement d’exécution (UE) 2025/848 de la Commission du 6 mai 2025 portant modalités d’application du règlement (UE) n°910/2014 du Parlement européen et du Conseil en ce qui concerne l’enregistrement des parties utilisatrices de portefeuilles (JO L, 2025/848, 7.5.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/848/oj).
(4) Règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(5) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
(6) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE (JO L 295 du 21.11.2018, p. 39, ELI: http:// data.europa.eu/eli/reg/2018/1725/oj).
(7) EDPS Formal comments on the draft Implementing Regulation amending Implementing Regulation (EU) 2025/848 as regards applicable standards and specifications.[Commentaires formels du CEPD sur le projet de règlement d’exécution modifiant le règlement d’exécution (UE) 2025/848 en ce qui concerne les normes et spécifications applicables]. | Contrôleur européen de la protection des données.
ANNEXE I
À l’annexe I du règlement d’exécution (UE) 2025/848, le point suivant est ajouté:
- «16.Le cas échéant, un lien d’association avec la partie utilisatrice de portefeuille qui recourt à l’intermédiaire auquel le certificat d’accès de partie utilisatrice de portefeuille a été délivré et qui agit pour le compte de la partie utilisatrice qui a l’intention de se fier au portefeuille.».
L’annexe IV du règlement d’exécution (UE) 2025/848 est modifiée comme suit:
1) au point 3, le premier alinéa est modifié comme suit:
- a) Le texte «sont, le cas échéant, au moins conformes aux exigences de la politique de certification normalisée énoncées dans la norme ETSI EN 319 411-1 version 1.4.1 (2023-10)» est remplacé par le texte «sont, le cas échéant, conformes à la norme ETSI TS 119 411-8 V1.1.1 (2025-10)»;
- a) le troisième tiret est remplacé par le texte suivant:
- «—les informations visées à l’annexe I, points 1, 2, 3, 5, 6 et 7, a), b) et c), et 16;»;
- b) le quatrième tiret suivant est ajouté:
- «—une référence au registre national des parties utilisatrices de portefeuille dans lequel la partie utilisatrice est enregistrée.».
L’annexe V du règlement d’exécution (UE) 2025/848 est modifiée comme suit:
1) au point 3, le premier alinéa est modifié comme suit:
- a) le texte «sont au moins conformes aux exigences de la politique de certification normalisée énoncées dans la norme ETSI EN 319 411-1 version 1.4.1 (2023-10)» est remplacé par le texte «sont conformes à la norme ETSI TS 119 475 V1.2.1 (2026-03)»;
- a) le cinquième tiret est remplacé par le texte suivant:
- «—inclure une politique d’accès générale au sens de l’article 8, paragraphe 2, point c).».