Service fédéral d'authentification (FAS) au sein de CSAM

• Quoi : le FAS est le service au sein de CSAM qui permet aux citoyens de s'authentifier avec des clés numériques, de sorte que les pouvoirs publics savent qui demande l'accès^[1][2].

• Comment : chaque clé a un niveau de fiabilité^[1], selon un cadre qui applique les niveaux eIDAS sans dérogation^[1].

• Clés : l'eID atteint le niveau élevé, itsme et l'application MyGov.be le niveau élevé avec code PIN et substantiel avec biométrie, et le nom d'utilisateur avec mot de passe seulement le niveau faible^[2].

• Gestion : la loi du 18 juillet 2017 charge le SPF BOSA des services d'authentification pour les applications publiques^[3] ; CSAM lui-même est une initiative de six instances fédérales^[4].

• Soins : l'eHealth IDP et l'application Masanté s'appuient sur le FAS pour l'authentification^[5][6].

• Plus grande incertitude : la version la plus récente trouvée du FAS Assurance Framework est la 1.2 du 26 septembre 2022^[1], antérieure à MyGov.be et Smart-ID comme clé^[7][8].

CSAM (Common Secure Access Management) est un ensemble d'accords et de règles destiné à organiser la gestion des identités et des accès au sein de l'e-Government^[4]. Le Federal Authentication Service (FAS) est l'un des services au sein de CSAM^[1]. Avec le FAS, les citoyens s'authentifient au moyen de clés numériques, de sorte que les pouvoirs publics savent qui demande l'accès à leurs applications et peuvent accorder cet accès^[2].

Le FAS est la plate-forme qui offre un service d'authentification avec plusieurs clés numériques, chacune liée à un niveau de fiabilité (Level of Assurance)^[1]. Le FAS Assurance Framework (version 1.2, 26 septembre 2022) est basé sur le cadre eIDAS pour les niveaux de fiabilité et l'applique sans dérogation au contexte belge^[1] (voir règlement eIDAS (910/2014, modifié par 2024/1183)). Le niveau final d'une clé est le score le plus bas parmi les différents facteurs : l'enregistrement, la gestion des moyens, l'authentification et la gouvernance^[1].

Le FAS n'authentifie que des personnes physiques ; celui qui agit au nom d'une entreprise le fait via un système de rôles et de mandats de personnes physiques^[1]. La manière dont le secteur des soins utilise le FAS à côté des certificats eHealth et des tokens figure sur Authentification dans les soins de santé.

Clés numériques et niveaux

Selon ITdaily, depuis le 16 mars 2026, les citoyens peuvent aussi se connecter aux services publics belges avec l'application Smart-ID, après une reconnaissance au niveau élevé en janvier 2026^[8]. Selon une source secondaire de décembre 2023, la clé « code via token », un document comportant 24 codes personnels, a été annoncée comme n'étant plus disponible à partir du 31 janvier 2024^[10]. Depuis le 14 octobre 2025, l'application MyGov.be est une clé numérique^[7] ; ce que l'application fait par ailleurs figure sur Authentification dans les soins de santé.

Reconnaissance des clés privées

L'arrêté royal du 22 octobre 2017 distingue les services d'identification reconnus de niveau de fiabilité substantiel et élevé^[11]. Une reconnaissance vaut trois ans, et un renouvellement exige une nouvelle demande^[11]. Un prestataire privé reconnu ne peut utiliser le numéro de registre national que pour offrir le service reconnu via le service d'authentification^[3].

Selon itsme, la Commission européenne a approuvé le 18 décembre 2019 la notification du système belge FAS/itsme sous eIDAS^[12], au niveau de fiabilité élevé^[12]. Selon un communiqué de presse d'itsme sans date visible, l'autorité fédérale a prolongé de trois ans la reconnaissance d'itsme comme moyen de connexion pour le FAS^[13]. Une liste officielle du BOSA des services actuellement reconnus, avec date de reconnaissance et date d'expiration, n'a pas été trouvée.

Selon CSAM, la sécurité sociale, diverses institutions des soins de santé, la Justice, les régions et les administrations locales, entre autres, font appel à CSAM pour l'accès à leurs services en ligne^[4]. Selon itsme, en 2023, près de 68% de toutes les authentifications FAS se sont faites via itsme, 16% via l'eID et 16% via d'autres méthodes^[13].

Qui le gère

CSAM est une initiative de six instances fédérales : l'ONSS, le SPF BOSA (DG DT), le SPF Finances, la Banque Carrefour de la Sécurité Sociale (Banque Carrefour de la Sécurité Sociale), le SPF Économie et le SPF Intérieur^[4]. La gestion stratégique relève d'un Comité de gestion réunissant les plus hauts responsables de chaque sponsor ; il existe en outre un Groupe de gestion et un Comité stratégique des utilisateurs^[4].

L'article 9 de la loi du 18 juillet 2017 relative à l'identification électronique charge le SPF BOSA d'offrir des services de connexion électronique pour les applications publiques au sein du service d'authentification^[3]. Le traitement de données à caractère personnel au sein du FAS, qu'exécute le DG Vereenvoudiging en Digitalisering du SPF BOSA, s'appuie également sur cet article^[2].

• Dépendance indirecte : la connexion des prestataires de soins et des patients via l'eHealth IDP, I.AM Connect et l'application Masanté passe par le FAS^[5][14][6] ; une panne ou une modification d'une clé FAS touche de ce fait aussi des applications de soins (interprétation).

• Numéro d'identification : une application derrière le FAS ne reçoit le numéro de registre national que si l'organisation y est autorisée^[2].

• Authentification propre dans les soins à distance : pour la téléconsultation, un prestataire peut utiliser un système propre qui satisfait à des conditions cumulatives, dont un enregistrement unique avec un moyen FAS d'au moins le niveau que fixe le Comité de gestion de la Plate-forme eHealth^[18] (les autres conditions figurent sur Authentification dans les soins de santé).

1. Cadre possiblement périmé : la version la plus récente trouvée du FAS Assurance Framework est la 1.2 du 26 septembre 2022^[1], antérieure à l'application MyGov.be et à Smart-ID comme clé^[7][8] ; la question de savoir s'il existe une version plus récente n'a pas été examinée.

2. Single sign-on : la limitation aux services publics ou privés figure dans la version de 2022^[1] ; la question de savoir si elle vaut encore n'a pas été examinée.

3. Clés privées reconnues : la reconnaissance d'itsme et de Smart-ID n'est connue que via itsme lui-même et un article de presse^[13][8] ; une source primaire du BOSA n'a pas été trouvée.

4. Code via token : la fin au 31 janvier 2024 repose sur une annonce dans un blog secondaire de décembre 2023^[10].

5. Niveau de MyGov.be : le FAS donne élevé avec code PIN et substantiel avec biométrie^[2], la spécification de l'eHealth IDP uniquement élevé^[5].