e-Evidence Compliance Checklist: Is Your Organisation Ready Now the Regulation Applies?

Le Règlement (UE) 2023/1543 relatif aux preuves électroniques has applied directly across the participating Member States since 18 août 2026. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.

Si votre organisation offre des services de communication électronique, d'hébergement, de cloud, de réseautage social, de place de marché, de domaine ou de numérotation IP à des utilisateurs dans l'UE, vous entrez très certainement dans le champ d'application, même si votre siège social se trouve en dehors de l'Union. Le non-respect de cette obligation peut entraîner des amendes allant jusqu'à 2% du chiffre d'affaires annuel mondial, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.

Cet ouvrage complet Liste de contrôle de la conformité à e-Evidence walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.

Qu'est-ce que le règlement de l'UE sur les preuves électroniques ?

Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.

Le règlement introduit deux instruments principaux. Le European Production Order oblige un fournisseur à produire des données électroniques spécifiques, tandis que le European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-CODEX, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.

Qui entre dans le champ d'application du règlement relatif aux preuves électroniques ?

Le règlement jette un filet délibérément large. Vous êtes probablement un prestataire de services désigné si vous offrez l'un des services suivants à des utilisateurs situés dans l'UE :

• Services de communications électroniques - téléphonie, messagerie, courrier électronique, VoIP et communications interpersonnelles indépendantes du numéro.
• Services de noms de domaine Internet et de numérotation IP - les registres, les bureaux d'enregistrement, les RIR, les services de protection de la vie privée/proxy et les fournisseurs de DNS.
• Services de la société de l'information où le stockage des données est un élément déterminant - réseaux sociaux, marchés en ligne, outils de collaboration et plateformes de contenu.
• Informatique en nuage et fournisseurs d'hébergement - IaaS, PaaS, SaaS, hébergement géré et réseaux de diffusion de contenu.

Il est essentiel que le champ d'application suive la “Critère du ”lien substantiel: if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).

Les quatre catégories de preuves électroniques

Le règlement distingue quatre catégories de données, chacune étant assortie de seuils et de garanties différents. Vos processus d'inventaire et de divulgation des données doivent être en mesure de les différencier précisément :

1. Données relatives à l'abonné - identité, coordonnées, informations de facturation et type de service utilisé.
2. Données demandées dans le seul but d'identifier l'utilisateur — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
3. Données sur le trafic (autres que ceux de la catégorie 2) - journaux de connexion, horodatage, source/destination, identifiants des appareils.
4. Données de contenu - le contenu des communications, des fichiers stockés, des messages, des photos et des documents.

Les données relatives à l'abonné et à l'identification peuvent être demandées pour toute infraction pénale. Les données relatives au trafic et au contenu sont réservées aux infractions passibles d'une peine privative de liberté maximale d'au moins trois ans, ou à une liste définie d'infractions graves liées à la cybercriminalité, au terrorisme et aux abus sexuels sur les enfants. L'une des étapes les plus importantes - et souvent négligée - de la préparation consiste à déterminer quels sont les systèmes qui appartiennent à telle ou telle catégorie.

Préparation juridique et organisationnelle

Votre première tâche est une évaluation du champ d'application. Indiquez, en les justifiant, lesquels de vos services relèvent du règlement, quelles entités de votre groupe recevront des ordres et quel État membre sera votre “État d'exécution”. Cette évaluation doit être approuvée par votre directeur juridique ou votre délégué à la protection des données et revue chaque année.

Next, designate one of your own EU establishments as the établissement agréé (if you are established in the EU) or appoint a représentant légal in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the Bundesamt für Justiz (BfJ) (Office fédéral de la justice); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.

• Nomination d'une personne nommée Responsable de la conformité e-Evidence avec une autorité transversale sur les services juridiques, la sécurité, l'ingénierie et les opérations.
• Construire ou conserver expertise juridique spécialisée capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
• Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
• Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
• Mise à jour conditions de service, avis de confidentialité et lignes directrices pour l'application de la loi pour refléter le nouveau cadre.

Exigences en matière d'infrastructure technique

Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-CODEX-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the ICS Plate-forme de conformité e-Evidence supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.

• Interface d'admission sécurisée — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
• Validation de l'identité et de la commande - des contrôles automatisés des signatures numériques, des références de l'autorité émettrice, de l'intégrité du certificat et de l'alignement des catégories.
• Découverte et extraction de données - un outil capable de localiser les données relatives aux abonnés, à l'identification, au trafic et au contenu dans tous les systèmes pertinents en quelques heures, et non en quelques jours.
• Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
• Canaux de distribution cryptés — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
• Piste d'audit inviolable - des registres signés cryptographiquement de chaque action, de la réception à la livraison, ce qui permet d'assurer l'intégrité de la preuve et de procéder à un examen a posteriori.
• Résilience et haute disponibilité - une infrastructure redondante capable de respecter le délai d'intervention d'urgence de 8 heures, 24 heures sur 24, 7 jours sur 7 et 365 jours par an.
• Contrôles de minimisation des données et de limitation des finalités - s'assurer que vous ne divulguez que ce qui a été spécifiquement commandé, conformément à l'article 5 du GDPR.

Processus opérationnels et temps de réponse

Le règlement impose des délais de réponse stricts et non négociables qui doivent guider la conception de votre modèle opérationnel :

• Commandes de production standard : les données doivent être transmises dans un délai de 10 jours de réception.
• Ordres de production d'urgence : en cas de menace imminente pour la vie, l'intégrité physique ou les infrastructures critiques, les données doivent être transmises dans les délais suivants 8 heures.
• Ordres de préservation : les données doivent être conservées pour 60 jours, Ce délai peut être prolongé de 30 jours supplémentaires, dans l'attente d'une ordonnance de production ou d'une demande de LBA.

Pour respecter ces délais, il faut plus que de la technologie : il faut des processus bien documentés. Votre cahier des charges opérationnel doit couvrir les points suivants

• Accueil et triage 24 heures sur 24, 7 jours sur 7 avec des intervenants juridiques et techniques de garde nommés.
• Classification de la gravité la distinction entre les ordonnances d'urgence, les ordonnances standard et les ordonnances de préservation.
• Voies d'escalade pour les ordonnances soulevant des questions de droits fondamentaux, d'immunités, de liberté de la presse ou lorsque l'autorité émettrice semble agir ultra vires.
• Assurance qualité avec un examen à quatre yeux avant que les données ne quittent votre environnement.
• Suivi du remboursement des coûts lorsque la législation nationale autorise le remboursement des coûts de mise en conformité.
• Exercices sur table simuler des scénarios d'urgence au moins deux fois par an.
• Formation continue pour le personnel des services juridiques, de sécurité, d'assistance à la clientèle et d'ingénierie qui peut être confronté à des commandes.

Motifs de refus et protection de l'utilisateur

The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.

Interaction avec le GDPR, le NIS2 et la DSA

Les preuves électroniques n'existent pas isolément. Les divulgations doivent rester compatibles avec les GDPR (licéité, minimisation, registres de traitement et obligations en matière d'analyse d'impact sur le développement durable), le Directive NIS2 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the Loi sur les services numériques (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.

Sanctions en cas de non-conformité

Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 2% du chiffre d'affaires annuel mondial total du fournisseur in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.

A Practical 6-Month Remediation Roadmap

1. Mois 1-2 - Découverte et évaluation des lacunes. Confirmer le champ d'application, cartographier les données, auditer les processus d'application de la loi existants, évaluer les performances par rapport aux exigences du règlement.
2. Mois 2-3 - Fondements juridiques. Désigner l'établissement/le représentant, s'enregistrer auprès de l'autorité nationale, finaliser les politiques et mettre à jour les contrats.
3. Mois 3-4 - Construction technique. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
4. Mois 4-5 - Préparation opérationnelle. Recruter et former l'équipe d'intervention, finaliser le cahier des charges, organiser des exercices sur table et des exercices d'urgence.
5. Mois 6 - Assurance. Independent compliance audit, board-level sign-off and a go-live rehearsal.

Questions fréquemment posées

Pour une référence plus détaillée, voir notre site dédié FAQ e-Evidence.

Quand le règlement européen sur les preuves électroniques s'applique-t-il ?

Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 18 août 2026. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.

Le règlement s'applique-t-il aux prestataires de services non européens ?

Oui. Tout prestataire offrant des services dans l'UE entre dans le champ d'application, quel que soit son lieu d'établissement. Les prestataires non européens doivent désigner un représentant légal dans un État membre pour recevoir les commandes et y donner suite.

Que se passe-t-il si je ne respecte pas le délai d'urgence de 8 heures ?

Le non-respect d'un délai peut entraîner l'application de la loi par l'autorité compétente de l'État d'exécution, y compris des amendes administratives pouvant atteindre 2% du chiffre d'affaires annuel mondial. Des efforts documentés et proportionnés pour se mettre en conformité - et des preuves claires de la cause de tout retard - sont essentiels pour atténuer l'exposition.

Puis-je avertir les utilisateurs lorsque leurs données sont demandées ?

No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.

Comment ICS peut vous aider à vous préparer

Si vous n'êtes pas en mesure de maintenir une préparation 24/7 en interne, ou si vous souhaitez simplement obtenir une assurance indépendante que votre programme résistera à un examen minutieux, ICS offre une solution complète de gestion de l'information et de la communication. Service d'évaluation de la conformité et d'opérations gérées e-Evidence. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.

Contactez ICS aujourd'hui pour planifier votre évaluation de l'état de préparation à e-Evidence and put a clear, defensible remediation plan in place.