French 
English 
Archivage électronique qualifié Ce n'est plus seulement un concept, même si, dans plusieurs États membres de l'Union européenne, cela allait déjà bien au-delà d'un simple concept.
Avec la publication du règlement d'exécution (UE) 2025/2532 de la Commission, en vigueur depuis le 6 janvier 2026, l'Europe dispose désormais d'un cadre juridique et technique complet pour l'archivage des données et documents électroniques, assorti de présomptions légales quant à leur intégrité et à leur origine.
Pourtant, de nombreuses organisations ont encore du mal à comprendre comment ces différentes couches s'articulent entre elles. Permettez-moi de vous présenter cette architecture.
Niveau 1 : Le règlement définit le “ quoi ”
La directive eIDAS 2 (règlement (UE) 2024/1183, modifiant le règlement (UE) n° 910/2014) introduit Archivage électronique en tant que service de confiance à part entière.
L'article 45j définit l'objectif : les services d'archivage électronique qualifiés doivent garantir la pérennité et la lisibilité des données et documents électroniques au-delà de leur durée de validité technique, et au moins pendant toute la durée de conservation légale ou contractuelle, tout en préservant leur intégrité et leur traçabilité.
C'est là tout l'intérêt d'une réglementation : des résultats juridiquement contraignants, délibérément neutres sur le plan technologique. Elle vous indique ce qui doit être réalisé, mais pas comment.
Le fait que l'archivage électronique fasse l'objet d'un règlement a pour conséquence importante que les exigences fondamentales sont harmonisées au niveau de l'Union européenne. Les réglementations nationales peuvent certes continuer à définir des obligations de conservation ou des obligations spécifiques à certains secteurs, mais elles ne peuvent pas aller à l'encontre du règlement directement applicable.
Le règlement reste la norme juridique de référence : la législation locale, les normes et les solutions techniques doivent s'y conformer.
Niveau 2 : L'acte d'application définit les normes
Les règlements délèguent les détails techniques à des actes d’exécution. C’est précisément ce que fait le règlement d’exécution (UE) 2025/2532 de la Commission en matière d’archivage électronique qualifié : il définit les normes et spécifications de référence auxquelles doit se conformer un prestataire de services de confiance en matière d’archivage électronique qualifié (QEATSP).
Ce point est formulé de manière plus explicite dans le règlement eIDAS 2 qu’auparavant : l’acte d’exécution fait directement référence aux exigences et aux contrôles issus des normes qui doivent être respectés.
L'annexe de l'acte d'exécution fait office de passerelle. Elle transpose les exigences légales de l’article 45j en dispositions concrètes issues de normes reconnues, principalement la norme CEN/TS 18170:2025 pour les exigences spécifiques à l’archivage et la norme ETSI EN 319 401 pour les exigences générales applicables aux prestataires de services de confiance.
Elle fait également référence à la norme ISO 14721:2025, le modèle de référence OAIS, pour les concepts de conservation à long terme.
Couche 3 : la norme CEN/TS 18170:2025 définit la “ manière de procéder ”
La norme CEN/TS 18170:2025, élaborée par le CEN/TC 468 avec la participation active de la Commission européenne et d’experts de toute l’Europe, définit les exigences fonctionnelles, opérationnelles et procédurales applicables aux services de confiance en matière d’archivage électronique (EATS).
Elle couvre l'ensemble du cycle de vie : réception, ingestion, stockage, consultation et suppression des données et documents électroniques, qu'ils soient d'origine numérique ou numérisés à partir de documents papier.
Il s'agit de la première norme européenne rédigée spécifiquement pour le service de confiance en matière d'archivage électronique dans le cadre de la directive eIDAS 2, et elle s'applique aussi bien aux services qualifiés qu'aux services non qualifiés.
La matrice de contrôle : là où l'audit rencontre l'architecture
C'est là que cela prend tout son sens pour les professionnels. La loi d'application ne se contente pas de stipuler “ se conformer à la norme CEN/TS 18170 ”.
Son annexe attribue des clauses spécifiques à des obligations précises : la gestion des risques fait l'objet d'une clause, les contrôles cryptographiques d'une autre, la planification de la résiliation d'une autre encore, les clauses de la norme ETSI EN 319 401 venant s'y ajouter pour définir les obligations générales des fournisseurs de services de télécommunications (TSP).
Le résultat correspond en fait à une matrice de contrôle. Les organismes d’évaluation de la conformité (OEC), accrédités en vertu du règlement d’exécution (UE) n° 2025/2162, procéderont à l’audit des QEATSP au regard de cette matrice. Pour les prestataires, cela signifie que chaque choix architectural et procédural doit pouvoir être rattaché à un contrôle.
Pour les clients, cela signifie une comparabilité : deux services d'archivage agréés situés dans des États membres différents sont évalués selon les mêmes critères de contrôle, ce qui permet précisément leur reconnaissance juridique transfrontalière.
Quel est le lien entre la norme CEN/TS 18170 et les normes OAIS, ETSI TS 119 511 et ISO 14641 ?
Ces normes sont complémentaires plutôt que concurrentes, mais elles répondent à des questions différentes :
L'OAIS (ISO 14721) est le modèle de référence conceptuel pour la conservation numérique à long terme. Elle nous fournit le vocabulaire commun des normes SIP, AIP et DIP, ainsi que le modèle fonctionnel d’une archive. Elle décrit ce qu’est un système de conservation, et non la manière de l’auditer. La norme CEN/TS 18170 s’aligne délibérément sur l’OAIS tout en traduisant ses concepts en exigences vérifiables.
La norme ETSI TS 119 511 traite de la conservation de signatures numériques: garantir la validité des signatures et des cachets qualifiés au-delà de la durée de vie de la cryptographie sous-jacente. Dans le cadre de la directive eIDAS 2, il s’agit toujours d’un service distinct : la conservation au titre de l’article 34, par opposition à l’archivage au titre de l’article 45j.
L’acte d’exécution le reconnaît même : un QEATSP peut s’appuyer sur un service de conservation qualifié pour maintenir la fiabilité des documents signés dans les archives.
La norme ISO 14641 définit les exigences relatives à la conception et à l'exploitation des systèmes d'archivage électronique et a servi de référence à plusieurs dispositifs nationaux d'archivage, notamment en France et en Belgique. Elle reste une norme opérationnelle solide, mais elle n'a pas été élaborée pour le modèle de service de confiance eIDAS 2.
La norme CEN/TS 18170 rassemble ces différents aspects : la philosophie OAIS, la gouvernance des services de confiance selon le modèle de la norme ETSI EN 319 401, et la rigueur des systèmes d'archivage dans la lignée de la norme ISO 14641, le tout sous la forme d'exigences qu'un organisme de certification (CAB) peut vérifier au regard de l'article 45j.
Quelles sont les véritables nouveautés de la norme CEN/TS 18170:2025 ?
Certains éléments se distinguent par rapport aux normes antérieures :
- Rapports d'intégrité automatisés. Les parties autorisées à se fier aux données doivent pouvoir obtenir, de manière automatisée, un rapport confirmant que les données extraites des archives ont conservé leur intégrité depuis le début de la période de conservation. Il s'agit d'une avancée significative pour les situations d'audit, de contentieux et de conformité.
- Indépendance vis-à-vis des formats et des supports. Exigences explicites en matière de gestion de l'obsolescence technologique : migration des formats, conservation des métadonnées et vérification de l'intégrité à long terme, afin de garantir la lisibilité au-delà de la durée de vie de toute technologie donnée.
- La suppression en tant que fonction à part entière. Une suppression contrôlée et documentée à l'issue de la période de conservation est une exigence, et non une simple formalité. Dans le contexte du RGPD, cela revêt une importance capitale.
- Conçue pour une reconnaissance transfrontalière. Étant donné que la norme a été élaborée en application de l’article 45j et qu’elle est mentionnée dans la loi d’application, la conformité à celle-ci permet de s’appuyer sur des présomptions juridiques européennes harmonisées en matière d’intégrité et d’origine, plutôt que sur un ensemble disparate de dispositifs nationaux.
La situation actuelle de Docbyte
Docbyte est un prestataire de services de confiance qualifié figurant sur la liste de confiance européenne, où deux services de confiance qualifiés de conservation sont inscrits au niveau de l'Union européenne :
- Conservation qualifiée des signatures électroniques qualifiées
- Conservation qualifiée des cachets électroniques qualifiés
Outre ces deux services de conservation qualifiés, la « Trust List » belge reconnaît Docbyte au niveau national pour l’archivage électronique qualifié en Belgique, dans le cadre d’un dispositif fondé sur les normes ETSI EN 319 401, ISO 14641 et ETSI TS 119 511. Cette combinaison s'avère efficace : gouvernance des services de confiance, rigueur du système d'archivage et conservation des signatures au sein d'un même cadre.
Cela signifie que notre qualification actuelle s'inscrit dans le cadre national belge et ne constitue pas encore une qualification eIDAS 2 au sens du règlement d'exécution (UE) n° 2025/2532. Le cadre européen est nouveau pour tout le monde ; aucun prestataire ne pouvait détenir une qualification eIDAS 2 QEATS avant janvier 2026.
Notre ambition est tout aussi claire : nous avons l’intention d’aligner notre service sur la norme CEN/TS 18170:2025 et d’obtenir la qualification au titre du cadre eIDAS 2 dès que possible. La bonne nouvelle, c’est que le chemin à parcourir est court. Un dispositif fondé sur les normes ETSI EN 319 401, ISO 14641 et ETSI TS 119 511 couvre déjà la majeure partie de la matrice de contrôle ; il s’agit désormais de procéder à la mise en correspondance, de combler les lacunes et de démontrer la conformité auprès de l’organisme de certification (CAB).
Pourquoi cela est-il important pour les secteurs réglementés ?
Si vous exercez votre activité dans le domaine des sciences de la vie, des services financiers ou du secteur public, la question n’est plus de savoir s’il faut accorder de l’importance à l’archivage électronique qualifié, mais à quel moment votre stratégie d’archivage doit s’orienter vers cette solution. Un archivage qualifié, bénéficiant de présomptions juridiques européennes en matière d’intégrité et d’origine, modifie la rentabilité de mise hors service d’applications, la mise hors service des systèmes hérités et la conservation à long terme des documents.
Comment votre organisation se prépare-t-elle au passage des systèmes d'archivage nationaux au cadre harmonisé eIDAS 2 ?
