Elément sécurisé (100) configuré pour être intégré dans un dispositif hôte (200) et pour mettre en œuvre des services exécutés par un système d’exploitation (122) lorsque le système d’exploitation est chargé dans l’élément sécurisé, l’élément sécurisé comportant un chargeur de système d’exploitation (110) et au moins une clé cryptographique maître (MSK), l’élément sécurisé étant configuré pour : - obtenir, d’un serveur (250), un package de système d’exploitation (120) et installer le système d’exploitation (122), et - en réponse à l’installation du système d’exploitation, faire générer, par le chargeur de système d’exploitation, une clé de dérivation (MSK n ) par diversification de la clé cryptographique maître. Elément sécurisé selon la revendication 1, dans lequel le package de système d’exploitation comprend des données de pré-personnalisation (124), et l’élément sécurisé est configuré pour générer des données personnalisées (130) par dérivation des données de pré-personnalisation avec la clé de dérivation. Elément sécurisé selon la revendication 1 ou 2, dans lequel le chargeur de système d’exploitation est configuré pour générer la clé de dérivation à partir de la clé cryptographique maître (MSK), d’un identifiant unique du chargeur de système d’exploitation (ID loader ), d’un identifiant unique du package de système d’exploitation ou du système d’exploitation chargé et installé (ID package ), et d’un compteur de dérivation (V deriv ) mis à jour à chaque génération de la clé de dérivation. Elément sécurisé selon la revendication 3, configuré en outre pour, postérieurement à la génération de la clé de dérivation, envoyer à un serveur (250) l’identifiant unique du chargeur de système d’exploitation (ID loader ), l’identifiant unique du package de système d’exploitation ou du système d’exploitation chargé et installé (ID package ), le compteur de dérivation (V deriv ) et optionnellement un label désignant la clé cryptographique maître. Elément sécurisé selon l’une des revendications précédentes, configuré en outre pour envoyer, au serveur, une requête (308) d’obtention du package de système d’exploitation, la requête comprenant un identifiant unique du chargeur de système d’exploitation (ID loader ) et un identifiant unique (ID package ) d’un package de système d’exploitation ou d’un système d’exploitation déjà installé s’il y en a un, et l'obtention du package de système d’exploitation est en réponse à la requête. Elément sécurisé selon l’une des revendications 1 à 5, configuré pour générer la clé de dérivation en réponse à un événement de fin d’installation du système d’exploitation. Elément sécurisé selon l’une des revendications 1 à 5, configuré pour générer la clé de dérivation en réponse à un premier démarrage du système d’exploitation installé. Elément sécurisé selon l’une des revendications précédentes, comprenant un drapeau (116) mis à une première valeur d’état non diversifié (E 1 ) lors de l’installation du système d’exploitation et à une seconde valeur d’état diversifié (E 2 ) lors de la génération de la clé de dérivation. Elément sécurisé selon l’une des revendications précédentes, dans lequel la clé cryptographique maître est stockée en mémoire sécurisée et accessible par le chargeur de système d’exploitation uniquement. Procédé de personnalisation d’un élément sécurisé (100) configuré pour être intégré dans un dispositif hôte (200) et pour mettre en œuvre des services exécutés par un système d’exploitation lorsque le système d’exploitation est chargé dans l’élément sécurisé, l’élément sécurisé comportant un chargeur de système d’exploitation (110) et au moins une clé cryptographique maître (MSK), ledit procédé comportant les étapes suivantes : - obtenir (318, 320) d’un serveur (250) un package de système d’exploitation (120) et installer (322) le système d’exploitation (122), - en réponse à l’installation du système d’exploitation, faire générer (328), par le chargeur de système d’exploitation (110), une clé de dérivation (MSK n ) par diversification de la clé cryptographique maître (MSK). Procédé selon la revendication 10, comprenant en outre l’étape suivante : générer (332) des données personnalisées (130) par dérivation de données de pré-personnalisation stockées dans l’élément sécurisé, avec la clé de dérivation.