Si un texte réglementaire est nécessaire pour préciser les caractéristiques attendues d’un tiers de confiance et faciliter l’élaboration d’un guide de bonnes pratiques, un arrêté semble néanmoins plus pertinent pour garantir l’adaptabilité de la norme aux situations nouvelles et aux évolutions technologiques, tout en préservant l’avis de la Commission nationale de l’informatique et des libertés (CNIL).