LSTI / eIDAS / AUDITS DE CERTIFICATION
Depuis plus de dix ans, Stelau accompagne LSTI dans ses audits de certification eIDAS. Nos ingénieurs consultants apprennent à porter un regard exigeant, à comprendre les organisations et à documenter des constats qui engagent.
01 / Un métier qui s’apprend
La responsabilité d’un auditeur est considérable. Un constat peut peser sur un service de confiance, ses utilisateurs et une décision de certification. Le métier demande une compétence technique solide, une méthode et une maturité dans la relation.
Nos jeunes ingénieurs peuvent relever ce défi en se formant, en pratiquant et en développant trois qualités indissociables.
Relever un écart majeur réel exige de relier une exigence précise à des faits vérifiables et d’en apprécier l’impact sur le service. L’auditeur étaye sa proposition de classement selon les règles du dispositif ; LSTI en assure le classement dans son processus de certification.
Quelle exigence ? Quels faits ? Quelle portée ?Écouter ce que l’audité présente et défend, accepter de revoir une hypothèse, comprendre une solution différente de ses propres habitudes. L’évaluation reste attachée à l’esprit et à la lettre de l’exigence, avec impartialité et indépendance.
Que démontre réellement ce qui m’est présenté ?Cinq jours consécutifs d’audit peuvent être éprouvants. Il faut maintenir son attention, recouper les explications et revenir sur les points ouverts. Les outils soutiennent la traçabilité ; le jugement reste un travail humain, attentif et responsable.
Ai-je assez d’éléments pour conclure ?LE CŒUR DU TRAVAIL
La relation humaine rend cette évaluation possible : une écoute réelle, des questions justes et l’envie de comprendre. L’auditeur revient à l’exigence, recherche les éléments qui l’éclairent et poursuit le sujet jusqu’à pouvoir en rendre compte avec précision, y compris lorsque des limites subsistent.
02 / Des ingénieurs qui deviennent auditeurs
Les ingénieurs consultants de Stelau connaissent les systèmes qu’ils examinent. Cette capacité technique les aide à approfondir les parties cybersécurité des audits : protection des clés, contrôle des accès, exploitation, traçabilité ou continuité des services.
PKI, HSM, cryptographie, systèmes et protocoles : connaître les mécanismes aide à examiner ce qu’une mesure de sécurité assure réellement.
Étudier les référentiels, préparer les entretiens, recueillir des éléments vérifiables et rédiger des constats précis : la méthode se travaille.
Formation, partage d’expérience et pratique encadrée nourrissent la progression. L’affectation aux missions tient compte des compétences évaluées et des procédures de l’organisme.
03 / Une démarche structurée
ISO 19011 fournit des lignes directrices pour la conduite des audits et les compétences des auditeurs. Notre animation en illustre une lecture simple : préparer les investigations, recueillir des éléments, les évaluer et documenter les conclusions.
ISO 19011:2026ISO 19011 / LA DÉMARCHE EN MOUVEMENT
Définir objectifs, périmètre et critères d’audit.
Étudier les documents et organiser les investigations.
Croiser entretiens, observations et éléments vérifiables.
Comparer les preuves aux exigences et discuter les constats.
Présenter les conclusions et rédiger le rapport.
Examiner les actions et leur efficacité lorsque prévu.
Démarche pédagogique inspirée des lignes directrices ISO 19011:2026. Le périmètre et les règles du dispositif encadrent chaque mission.
04 / Une pratique qui traverse les référentiels
Notre expérience s’est construite au fil des référentiels français et européens. Le périmètre, les versions et les exigences applicables sont précisés pour chaque mission ; chaque cadre garde sa fonction propre.
Gouvernance, risques, pratiques et sécurité de l’exploitation : le socle général des prestataires de services de confiance.
Exigences applicables aux prestataires qui délivrent des certificats, dont les exigences propres aux certificats qualifiés de l’Union européenne.
Politique et sécurité des services d’horodatage : examiner les mécanismes, les pratiques et les garanties du service.
L’identity proofing des services de confiance et le référentiel français de vérification d’identité à distance : des cadres dont il faut préciser la portée et l’articulation.
Des référentiels de qualification portant sur les prestataires d’audit et sur les services d’informatique en nuage. Les exigences techniques et organisationnelles se vérifient ensemble.
Du Référentiel général de sécurité au Guide d’hygiène informatique : une expérience des exigences de confiance et des mesures de sécurité concrètes. Le GHI est un guide de bonnes pratiques.
05 / Sur le terrain, en Europe
Auditer donne accès à des structures dont le niveau d’exigence est élevé. Comprendre leurs pratiques, échanger avec leurs équipes et confronter les explications à la réalité du terrain fait aussi le plaisir de ce métier.
Nos missions conduisent les ingénieurs de Stelau en France et à l’étranger, notamment en Europe. Les déplacements, les échanges en anglais et la découverte d’organisations différentes enrichissent leur expérience autant que leur regard technique.
Lorsqu’une mission s’étend sur cinq jours, il faut préserver sa disponibilité intellectuelle : préparer, écouter, noter, vérifier, partager les points ouverts et reprendre les investigations. La durée dépend du périmètre ; l’exigence d’attention, elle, accompagne toute la mission.
La confidentialité des missions nous conduit à conserver les photographies des audits comme archives professionnelles. Les images de travail de cette page présentent la démarche ; la dernière photographie montre un moment de convivialité. Aucun dossier ni lieu d’audit confidentiel n’est présenté.
06 / Les exigences évoluent
Le cadre européen s’étend aux attestations électroniques d’attributs. Les Pub-EAA sont délivrées par un organisme public responsable d’une source authentique, ou pour son compte ; les QEAA sont des attestations qualifiées. Leurs cadres respectifs doivent être distingués pour préparer les futures évaluations.
Cette évolution prolonge notre travail : comprendre l’origine des attributs, les mécanismes de preuve et les exigences applicables à leurs émetteurs. La veille et la formation accompagnent le passage des nouveaux textes aux pratiques d’audit.
DES INGÉNIEURS. DES AUDITEURS. DES EXPERTS.
Notre pratique de l’audit se nourrit de la technique et du collectif. Parlons de ce métier, de ses exigences et de la manière dont nos ingénieurs y prennent leur place.
