Un prestataire de services de certification électronique qui demande à être reconnu comme qualifié choisit un ou plusieurs organismes accrédités pour procéder à l'évaluation des services qu'il propose.
Le prestataire est tenu de fournir aux organismes qu'il a choisis tous les éléments nécessaires au bon accomplissement de la procédure d'évaluation.

L'évaluation est effectuée par l'organisme aux frais du prestataire de services de certification. Son objet est notamment de vérifier que les services offerts par le prestataire respectent en tous points les exigences fixées par l'article 6 du décret du 30 mars 2001 susvisé ainsi que les normes, prescriptions techniques et règles de bonne pratique applicables en matière de certification électronique.
A l'issue de la procédure d'évaluation, l'organisme accrédité établit un rapport qui est notifié au prestataire afin que celui-ci puisse, le cas échéant, formuler des observations sur son contenu.

Les rapports d'évaluation sont communiqués par les organismes accrédités à la direction centrale de la sécurité des systèmes d'information si celle-ci le demande.

L'organisme accrédité reconnaît ou non la qualification du prestataire de services de certification électronique au vu du rapport d'évaluation et des éventuelles observations du prestataire.
Lorsqu'il reconnaît la qualification d'un prestataire, l'organisme accrédité délivre une attestation qui décrit les prestations de services couvertes par la qualification ainsi que la durée, qui ne peut excéder un an, pendant laquelle l'attestation est valable.
Les prestataires dont la qualification est reconnue communiquent à toute personne qui en fait la demande une copie de l'attestation délivrée par l'organisme accrédité.

La directrice générale de l'industrie, des technologies de l'information et des postes est chargée de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.