Contexte réglementaire
Le Conseil CCSA est une initiative privée et non un régulateur d'État. La norme s'inscrit sous la réglementation (ЦБ, ФСТЭК, ГОСТ), et non au-dessus.
Nature juridique
Le Conseil CCSA est une initiative privée et non un régulateur d'État. Légalement : une société anonyme de droit russe ; la norme est protégée par le droit d'auteur (Art. 1259 du Code Civil) ; marques déposées auprès de Rospatent et de l'Office eurasien des brevets.
Un organisme étatique.
Un organisme d'autorégulation (SRO) au sens de la loi fédérale 315.
Une activité autorisée.
Brouillon v0.2 -> v1.0. Sous réserve de modifications avant 2027-01-01.
Comment CCSA s'inscrit dans la réglementation RF
L'objectif est de devenir une méthodologie reconnue pour évaluer le respect des exigences techniques déléguées à la Banque de Russie dans le cadre de la loi sur la monnaie numérique (projet de loi n° 1194918-8, rôles d'acteur du marché 5). Le modèle : comme le règlement de la Banque de Russie 779-P fait référence à ГОСТ 57580.
Banque de Russie
| Norme/autorité | Comment CCSA s'intègre |
|---|---|
Banque de Russie | L'objectif est de devenir une méthodologie reconnue pour évaluer le respect des exigences techniques déléguées à la Banque de Russie dans le cadre de la loi sur la monnaie numérique (projet de loi n° 1194918-8, rôles d'acteur du marché 5). Le modèle : comme le règlement de la Banque de Russie 779-P fait référence à ГОСТ 57580. |
FSTEC | Une demande d'inscription de CCSA au registre des méthodologies d'évaluation ; FSTEC Commandez 21 pour les systèmes de données personnelles du Conseil. |
ГОСТ Р 57580.1/.3 | Une référence pour les clients RF via le mappage (Section A.2). Spécificités du RF : СКЗИ certifié FSB, algorithmes ГОСТ pour ЦФА, connexion à FinCERT. |
Loi fédérale 152 (données personnelles) | Localisation des données personnelles au sein de RF pour les clients russes ; Les jetons de session de catégorie D sont protégés. |
Loi fédérale 149 (informations) | La diffusion ouverte de la norme répond aux exigences générales de la loi. |
Loi fédérale 161 (système national de paiement) | Comptabilisé dans les crypto-échanges intégrés aux acquéreurs NPS (Section A. Cartographie 2). |
Loi fédérale 187 (infrastructures critiques) | Les systèmes certifiés ЦФА sont souvent eux-mêmes des objets d'infrastructure critique importants ; pris en compte dans la cartographie. |
Explicitement hors de portée de CCSA. Le Conseil ne fait pas double emploi avec les fonctions du Rosfinmonitoring.
L'enregistrement du CCSA auprès de Rosstandart en tant que STO (norme de l'organisation) donnerait un statut officiel sans être obligatoire.
Chemins de reconnaissance dans le CIS
АРРФР et AIFC (loi anglaise, Astana). Un TOO ouvert à Almaty (2027) ; une marque chez Kazpatent ; l’objectif – une « méthodologie approuvée » via l’autorité AIFC.
Le Parc High-Tech (Décret n° 8). CCSA comme « norme acceptable » pour les résidents cryptographiques ; une marque via un brevet BY.
NAPP — la voie la plus réaliste vers une reconnaissance formelle rapide ; une marque via un brevet ouzbek.
Arménie, Kirghizistan et Tadjikistan — priorité inférieure, phase 3.
Les EU et MiCA : où CCSA complète la régulation
MiCA (Règlement (EU) 2023/1114) et le régime de gestion des risques DORA ICT associé (Règlement (EU) 2022/2554) définissent les attentes en matière de sécurité, de protection et de résilience ICT pour les fournisseurs de services de crypto-actifs (CASP). CCSA propose une méthodologie technique détaillée pour évaluer la protection cryptographique des clés et des portefeuilles que ces régimes ne spécifient pas au niveau du contrôle. CCSA complète MiCA ; il ne le remplace pas.
CCSA n'est pas un système de certification reconnu par EU et n'apparaît sur aucune liste ESMA, EBA ou d'autorité nationale compétente. Une certification CCSA ne dispense pas un CASP de son obligation de se conformer aux normes MiCA et DORA et ne remplace pas l'autorisation MiCA. Il s’agit d’une méthodologie référençable, adoptée volontairement.
| Attente MiCA / DORA | Domaine CCSA | Relation | Comment CCSA complète |
|---|---|---|---|
Sauvegarde des actifs des clients (MiCA Art. 75) | B.3 | Compléments | B.3 « Stockage du matériel cryptographique » fixe les exigences techniques en matière de stockage frigorifique, de séparation des clés et de protection contre un point de défaillance unique sur lesquelles repose l'obligation de sauvegarde. |
Gestion des risques ICT (DORA Art. 5–15) | B.6 | Compléments | B.6 « Architecture de portefeuille » décrit les limites de confiance, l'isolement des signatures et la résilience aux compromissions de composants – la substance technique des exigences de gestion des risques du ICT. |
Génération et protection de clé (DORA Art. 9) | B.2 | Compléments | B.2 « Génération de matériel cryptographique » fixe des exigences en matière de sources d'entropie, de cérémonies et d'un environnement de génération fiable que les régimes ne précisent pas. |
Gestion des incidents ICT (DORA Art. 17–23) | B.7 | Partiel | B.7 « Détection et surveillance des compromissions » couvre la partie technique ; les délais de notification et de reporting des régulateurs restent une obligation DORA. |
Contrôle d'accès et personnel (DORA Art. 9) | B.8 | Compléments | B.8 « Personnel et contrôle d'accès » fixe la séparation des tâches, la règle de deux personnes et le contrôle des privilèges pour les opérations sur le matériel cryptographique. |
Gouvernance et capital (MiCA Art. 68, 67) | Différé au régime | Les exigences relatives aux organes de direction, aux garanties prudentielles et aux fonds propres CASP restent du ressort du MiCA ; CCSA ne les évalue pas. | |
AML/CFT (AMLD / TFR) | Différé au régime | La lutte contre le blanchiment d'argent et la règle de voyage ne relèvent pas du champ d'application du CCSA et sont régies par des régimes EU distincts. |
Relation : « compléments » (＋) — CCSA opérationnalise l'attente au niveau du contrôle technique ; « partiel » (◐) — le chevauchement est incomplet, le régime va plus loin ou diffère ; « reporté au régime » (–) — la zone reste avec MiCA / DORA et se situe en dehors du champ d'application de CCSA.
En pratique, un CASP est autorisé et supervisé sous MiCA, tandis que le CCSA sert de référence d'ingénierie interne et de preuve à l'appui lors de la préparation des revues de surveillance des risques ICT : le vocabulaire de contrôle partagé B.1–B.8, les niveaux L1–L3 et le format AOC facilitent le dialogue avec un un évaluateur et un régulateur.
Le US : les régimes étatiques et le cadrage du NIST
Le US n'a pas de régime fédéral unique de garde de crypto-monnaie : la supervision est répartie entre les licences d'État de transfert de fonds, les chartes de fiducie et les directives fédérales. CCSA peut être utilisé comme méthodologie privée qui correspond à des vocabulaires de contrôle reconnus, principalement NIST. Aucune reconnaissance par aucune autorité n’est implicite.
CCSA n'est approuvé ou reconnu par aucune autorité fédérale ou étatique US (y compris NYDFS, OCC, SEC et NIST) et ne remplace pas une licence, une charte ou toute exigence obligatoire. Il s’agit d’une méthodologie volontaire et référençable.
La conservation et la gestion des crypto-actifs sont réglementées différemment selon les États et selon les activités ; il n’existe pas de « étalon-or » unique en matière de garde. CCSA fournit un vocabulaire technique commun en plus de cette fragmentation.
Le régime de New York fixe des exigences en matière de cybersécurité et de garde. Les contrôles CCSA B.3 et B.6 peuvent être présentés comme des preuves à l’appui lors de la préparation des contrôles prudentiels – mais pas comme une conformité au régime lui-même.
Les dépositaires titulaires d'une charte de fiducie (au niveau de l'État ou du OCC) ont des obligations de sauvegarde fiduciaire. CCSA structure la partie technique de ces tâches sans se substituer à la supervision.
Les domaines CCSA correspondent au vocabulaire de NIST pour la gestion des clés et la cyber-résilience, ce qui facilite le dialogue avec les évaluateurs de US habitués à NIST.
De nombreuses contreparties US s'appuient sur les rapports SOC 2. CCSA les complète par une évaluation spécialisée des contrôles cryptographiques qu'un audit générique ne couvre pas (voir la cartographie, Section A.2).
Comment s'appuyer sur une certification CCSA
Cette section s'adresse aux banques, aux assureurs et aux régulateurs qui traitent la certification CCSA d'une contrepartie comme un facteur de réduction des risques. Il explique comment rédiger l'exigence dans un contrat, comment lire un AOC, ce que signifie un niveau dans la pratique et les limites de la fiabilité.
- 01
Écrivez l'exigence dans le contrat
Réaliser une certification CCSA valide — dans le segment concerné (C.1–C.4) et à au moins le niveau cible — une condition d'intégration ou un engagement contractuel, avec l'obligation pour la contrepartie de maintenir son statut et de vous informer de tout changement.
- 02
Vérifiez l'état dans le registre
Vérifiez le certificat par rapport au registre public LVCS : statut « actif », correspondance sur le produit et le segment, validité non expirée. Un papier AOC sans inscription au registre n’a aucune force probante.
- 03
Lisez le AOC sur ses mérites
Étudier le périmètre d'évaluation, les exclusions et les éventuels écarts CC constatés : un AOC atteste de la conformité du système décrit et non de l'ensemble de l'activité de la contrepartie.
- 04
Faites correspondre le niveau au risque
Choisir le Niveau minimum acceptable parmi le risque de la relation : pour les volumes matériels ou la garde fiduciaire, cibler L2 – L3 plutôt que L1.
- 05
Surveiller pendant toute la durée
Une certification est ponctuelle. Mettez en place des revérifications périodiques du registre et une réponse aux indicateurs de suspension, d’expiration ou d’incident pendant la durée du contrat.
Ce que cela signifie pour chaque partie
Pour une banque, une certification CCSA est un filtre d'admission lors de l'intégration d'un dépositaire ou d'un émetteur de crypto : elle structure la diligence raisonnable sur la sécurité technique des clés, mais ne remplace pas votre propre évaluation des risques, les contrôles AML/CFT et l'examen de la solidité financière de la contrepartie.
Pour un assureur (polices contre la criminalité/espèces sur les actifs numériques), le niveau CCSA et le périmètre AOC fournissent une base claire pour la souscription des contrôles de conservation et pour l'encadrement des conditions et des exclusions des polices. Le certificat ouvre le dialogue ; ce n'est pas une garantie contre la perte.
Pour un régulateur ou un superviseur, CCSA est une méthodologie volontaire et référençable avec un vocabulaire de contrôle et un format de reporting communs qui peuvent être cités dans des orientations. Il ne remplace pas les pouvoirs de contrôle et ne constitue pas un système officiellement reconnu.
Comment lire un AOC
Une AOC (Attestation de Conformité) est l'attestation finale d'une évaluation. Avant de vous y fier, vérifiez les champs suivants.
| Champ AOC | Que rechercher |
|---|---|
Qui a été évalué | L'entité juridique et le produit exacts. Confirmez qu'il s'agit de votre contrepartie et non d'un affilié ou d'un produit différent. |
Périmètre d'évaluation | Quels systèmes, environnements et processus ont été évalués et ce qui est expressément exclu. Vous pouvez vous fier uniquement à ce qui est couvert. |
Segment (C.1–C.4) | Si le segment correspond au rôle de la contrepartie (conservation, portefeuille, bourse, émetteur). Une inadéquation de segment annule la conclusion de votre scénario. |
Niveau (L1 – L3) | Le Niveau atteint et ses seuils. Comparez-le au niveau minimum acceptable pour le risque de votre relation. |
Qui a réalisé l'évaluation | Un cabinet CCSAC accrédité ou un CCSA-QSA qualifié. Une auto-déclaration (SAQ) et une évaluation indépendante (ROC) ont un poids différent. |
Validité et date | La date d'évaluation et la durée de validité. Un AOC expiré ou presque expiré nécessite une nouvelle vérification du registre. |
Écarts CC (contrôles compensateurs) | La liste des écarts constatés et des mesures compensatoires. Jugez s’ils sont acceptables par rapport à votre appétit pour le risque. |
Que signifie un niveau en pratique
| Niveau | Signification opérationnelle | Généralement suffisant pour |
|---|---|---|
| L1 | Conformité de base : au moins 90 % de contrôles en place, jusqu'à 10 % via des mesures compensatoires, aucun « non en place » sur une exigence critique. | Contreparties à faible risque ou en phase de démarrage, volumes limités, intégrations pilotes. |
| L2 | Conformité améliorée : au moins 95 % des contrôles en place, jusqu'à 5% CC, toutes les exigences critiques sont satisfaites. | Contreparties avec des volumes importants, conservation fiduciaire régulière, relations d'entreprise. |
| L3 | Conformité maximale : 100% de contrôles en place, CC jusqu'à 2.5%, couverture complète des exigences critiques. | Conservation d'importance systémique, volumes institutionnels importants, exigences élevées des assureurs ou des régulateurs. |
Une certification reflète l'état au moment de l'évaluation et ne garantit pas que les contrôles restent en vigueur en permanence.
La conclusion n'est valable que dans le cadre de l'évaluation ; les processus et systèmes hors du champ d’application ne sont pas couverts.
CCSA n'est un système officiellement reconnu dans aucune juridiction ; un certificat ne remplace pas les licences, autorisations ou surveillances obligatoires.
La certification réduit le risque mais ne l'élimine pas et ne constitue pas une garantie contre toute compromission ou perte.
Ne vous y fier qu'après avoir vérifié la validité du AOC dans le registre LVCS ; l’inscription au registre prévaut sur un document papier.
Propriété intellectuelle et marques déposées
À enregistrer : CCSA (mot + logo), CCSA Council, CCSA-QSA, CCSAC, LVCS, CCSA Listed Logo — RF et le brevet eurasien (CCSA-QSA en plus EU/USA).
Politique de licence : gratuit — lecture, citation et utilisation pédagogique ; payant — normes dérivées, distribution commerciale du texte et utilisation de la marque CCSAC/LVCS.
Posture antitrust
CCSA est un normalisateur privé. Atténuation des risques : un texte de norme ouvert, des critères d'accréditation CCSAC transparents, le droit de faire appel d'un refus et aucun blocage de normes alternatives — un client est libre d'utiliser ou non CCSA.
Juridiction : le FAS de Russie pour les opérations russes ; organismes antitrust locaux pour le CIS.
Cette section est informative et ne constitue pas un conseil juridique. Les voies de reconnaissance spécifiques dépendent du texte final de la loi sur la monnaie numérique et des décisions des régulateurs.
Nature juridique
Le Conseil CCSA est une initiative privée et non un régulateur d'État. La norme s'inscrit sous la réglementation (ЦБ, ФСТЭК, ГОСТ), et non au-dessus.