CSAM est l'ensemble fédéral d'accords et de règles pour la gestion des identités et des accès au sein des pouvoirs\npublics, mis en place par six instances fédérales. Le Federal Authentication Service (FAS) en est le service\nd'authentification : les citoyens s'authentifient avec une clé numérique, comme l'eID, itsme ou l'application\nMyGov.be, et chaque clé a un niveau de fiabilité selon le cadre eIDAS. La loi du 18 juillet 2017 charge le SPF BOSA\nde ce service. Des applications de soins s'y appuient également, comme le service d'identité de la plate-forme\neHealth et l'application Masanté.
", "last_verified": "2026-10-08", "verification_outdated": false, "sections": [ { "id": "en-bref", "title": "En bref", "kind": "tekst", "html": "Quoi : le FAS est le service au sein de CSAM qui permet aux citoyens de s'authentifier avec des clés numériques, de sorte que les pouvoirs publics savent qui demande l'accès[1][2].
\nComment : chaque clé a un niveau de fiabilité[1], selon un cadre qui applique les niveaux eIDAS sans dérogation[1].
\nClés : l'eID atteint le niveau élevé, itsme et l'application MyGov.be le niveau élevé avec code PIN et substantiel avec biométrie, et le nom d'utilisateur avec mot de passe seulement le niveau faible[2].
\nGestion : la loi du 18 juillet 2017 charge le SPF BOSA des services d'authentification pour les applications publiques[3] ; CSAM lui-même est une initiative de six instances fédérales[4].
\nSoins : l'eHealth IDP et l'application Masanté s'appuient sur le FAS pour l'authentification[5][6].
\nPlus grande incertitude : la version la plus récente trouvée du FAS Assurance Framework est la 1.2 du 26 septembre 2022[1], antérieure à MyGov.be et Smart-ID comme clé[7][8].
\nCSAM (Common Secure Access Management) est un ensemble d'accords et de règles destiné à organiser la gestion des identités et des accès au sein de l'e-Government[4]. Le Federal Authentication Service (FAS) est l'un des services au sein de CSAM[1]. Avec le FAS, les citoyens s'authentifient au moyen de clés numériques, de sorte que les pouvoirs publics savent qui demande l'accès à leurs applications et peuvent accorder cet accès[2].
\nLe FAS est la plate-forme qui offre un service d'authentification avec plusieurs clés numériques, chacune liée à un niveau de fiabilité (Level of Assurance)[1]. Le FAS Assurance Framework (version 1.2, 26 septembre 2022) est basé sur le cadre eIDAS pour les niveaux de fiabilité et l'applique sans dérogation au contexte belge[1] (voir règlement eIDAS (910/2014, modifié par 2024/1183)). Le niveau final d'une clé est le score le plus bas parmi les différents facteurs : l'enregistrement, la gestion des moyens, l'authentification et la gouvernance[1].
\nLe FAS n'authentifie que des personnes physiques ; celui qui agit au nom d'une entreprise le fait via un système de rôles et de mandats de personnes physiques[1]. La manière dont le secteur des soins utilise le FAS à côté des certificats eHealth et des tokens figure sur Authentification dans les soins de santé.
" }, { "id": "quels-services", "title": "Quels services ?", "kind": "tekst", "html": "| Service | \nQuoi | \nPour qui | \nPreuve | \n
|---|---|---|---|
| Authentification avec des clés numériques | \nse connecter avec l'eID, une clé privée reconnue, l'application MyGov.be, un nom d'utilisateur et un mot de passe avec ou sans code de sécurité, ou une clé reconnue au niveau européen | \ncitoyens, y compris en tant que prestataire de soins ou au nom d'une entreprise | \n[2][1] | \n
| Mijn digitale sleutels | \nportail fédéral où des clés telles qu'une application TOTP sont enregistrées, en 2019 avec une seule connexion via l'eID | \ncitoyens | \n[9] | \n
| Nœud eIDAS | \nintégration des systèmes et des clés notifiés et mutuellement reconnus d'autres États membres | \ncitoyens d'autres États membres de l'UE | \n[1] | \n
| Single sign-on | \nau sein du même « circle of trust » ; selon la version de 2022, pas simultanément pour des services publics et privés | \napplications derrière le FAS | \n[1] | \n
| Transmission du numéro d'identification | \nl'application reçoit le numéro de registre national, ou un autre numéro si l'organisation n'y est pas autorisée | \napplications connectées | \n[2] | \n
| Audit trail | \nles authentifications et les tentatives sont enregistrées et conservées 10 ans | \nSPF BOSA | \n[2] | \n
| Clé | \nNiveau dans le FAS | \n
|---|---|
| eID | \nélevé[2] | \n
| Clé d'un prestataire de services reconnu, comme itsme | \nélevé avec code PIN, substantiel avec biométrie[2] | \n
| Application MyGov.be | \nélevé avec code PIN, substantiel avec biométrie[2] | \n
| Clé reconnue au niveau européen (eIDAS) | \nélevé ou substantiel[2] | \n
| Nom d'utilisateur, mot de passe et code de sécurité via application mobile, sms ou courriel | \nsubstantiel[2] | \n
| Nom d'utilisateur et mot de passe | \nfaible[2] | \n
Selon ITdaily, depuis le 16 mars 2026, les citoyens peuvent aussi se connecter aux services publics belges avec l'application Smart-ID, après une reconnaissance au niveau élevé en janvier 2026[8]. Selon une source secondaire de décembre 2023, la clé « code via token », un document comportant 24 codes personnels, a été annoncée comme n'étant plus disponible à partir du 31 janvier 2024[10]. Depuis le 14 octobre 2025, l'application MyGov.be est une clé numérique[7] ; ce que l'application fait par ailleurs figure sur Authentification dans les soins de santé.
\nL'arrêté royal du 22 octobre 2017 distingue les services d'identification reconnus de niveau de fiabilité substantiel et élevé[11]. Une reconnaissance vaut trois ans, et un renouvellement exige une nouvelle demande[11]. Un prestataire privé reconnu ne peut utiliser le numéro de registre national que pour offrir le service reconnu via le service d'authentification[3].
\nSelon itsme, la Commission européenne a approuvé le 18 décembre 2019 la notification du système belge FAS/itsme sous eIDAS[12], au niveau de fiabilité élevé[12]. Selon un communiqué de presse d'itsme sans date visible, l'autorité fédérale a prolongé de trois ans la reconnaissance d'itsme comme moyen de connexion pour le FAS[13]. Une liste officielle du BOSA des services actuellement reconnus, avec date de reconnaissance et date d'expiration, n'a pas été trouvée.
" }, { "id": "ou-est-il-utilise", "title": "Où est-il utilisé ?", "kind": "tekst", "html": "Selon CSAM, la sécurité sociale, diverses institutions des soins de santé, la Justice, les régions et les administrations locales, entre autres, font appel à CSAM pour l'accès à leurs services en ligne[4]. Selon itsme, en 2023, près de 68% de toutes les authentifications FAS se sont faites via itsme, 16% via l'eID et 16% via d'autres méthodes[13].
\n| Domaine | \nUtilisation du FAS ou de CSAM | \nPage | \n
|---|---|---|
| Plate-forme eHealth, applications web | \npour l'authentification, l'eHealth IDP s'appuie sur BOSA FAS[5] | \nI.AM et I.AM Connect (Identity & Access Management) | \n
| Plate-forme eHealth, REST | \npour IAM eXchange, I.AM Connect s'appuie sur le FAS[14] | \nI.AM et I.AM Connect (Identity & Access Management) | \n
| Citoyens, santé | \nl'application Masanté n'est accessible que via une authentification forte avec CSAM-FAS[6] | \nMasanté (Mijngezondheid) | \n
| Dépistage organisé | \naccès à My eBox via la plate-forme CSAM[15] | \nDépistage organisé et prévention : systèmes numériques et échanges | \n
| Dépistage du cancer du sein | \nprocédure d'identification unique sur la plate-forme CSAM pour Heracles[16] | \nHeracles (base de données de dépistage et application web du CvKO) | \n
| Médecins généralistes | \nOrgadon via le portail eHealth après identification via CSAM[17] | \nOrgadon – déclaration de volonté don de matériel corporel humain | \n
| Soins à distance | \nla téléconsultation et la télésurveillance de l'insuffisance cardiaque exigent un moyen FAS ou un système propre, sous conditions[18][19] | \nTéléconsultation et soins à distance (hors télésurveillance), Télésurveillance en cas d'insuffisance cardiaque | \n
CSAM est une initiative de six instances fédérales : l'ONSS, le SPF BOSA (DG DT), le SPF Finances, la Banque Carrefour de la Sécurité Sociale (Banque Carrefour de la Sécurité Sociale), le SPF Économie et le SPF Intérieur[4]. La gestion stratégique relève d'un Comité de gestion réunissant les plus hauts responsables de chaque sponsor ; il existe en outre un Groupe de gestion et un Comité stratégique des utilisateurs[4].
\nL'article 9 de la loi du 18 juillet 2017 relative à l'identification électronique charge le SPF BOSA d'offrir des services de connexion électronique pour les applications publiques au sein du service d'authentification[3]. Le traitement de données à caractère personnel au sein du FAS, qu'exécute le DG Vereenvoudiging en Digitalisering du SPF BOSA, s'appuie également sur cet article[2].
" }, { "id": "qu-est-ce-que-cela-signifie-pour-un-hopital", "title": "Qu'est-ce que cela signifie pour un hôpital ?", "kind": "tekst", "html": "Dépendance indirecte : la connexion des prestataires de soins et des patients via l'eHealth IDP, I.AM Connect et l'application Masanté passe par le FAS[5][14][6] ; une panne ou une modification d'une clé FAS touche de ce fait aussi des applications de soins (interprétation).
\nNuméro d'identification : une application derrière le FAS ne reçoit le numéro de registre national que si l'organisation y est autorisée[2].
\nAuthentification propre dans les soins à distance : pour la téléconsultation, un prestataire peut utiliser un système propre qui satisfait à des conditions cumulatives, dont un enregistrement unique avec un moyen FAS d'au moins le niveau que fixe le Comité de gestion de la Plate-forme eHealth[18] (les autres conditions figurent sur Authentification dans les soins de santé).
\nCadre possiblement périmé : la version la plus récente trouvée du FAS Assurance Framework est la 1.2 du 26 septembre 2022[1], antérieure à l'application MyGov.be et à Smart-ID comme clé[7][8] ; la question de savoir s'il existe une version plus récente n'a pas été examinée.
\nSingle sign-on : la limitation aux services publics ou privés figure dans la version de 2022[1] ; la question de savoir si elle vaut encore n'a pas été examinée.
\nClés privées reconnues : la reconnaissance d'itsme et de Smart-ID n'est connue que via itsme lui-même et un article de presse[13][8] ; une source primaire du BOSA n'a pas été trouvée.
\nCode via token : la fin au 31 janvier 2024 repose sur une annonce dans un blog secondaire de décembre 2023[10].
\nNiveau de MyGov.be : le FAS donne élevé avec code PIN et substantiel avec biométrie[2], la spécification de l'eHealth IDP uniquement élevé[5].
\n