eIDAS 2Le nouveau cadre européen de l’identité numérique et des services de confiance
Le cadre européen de l’identité numérique et des services de confiance, avec le portefeuille européen d’identité numérique comme pièce maîtresse.
Qu’est-ce qu’eIDAS 2 ?
La confiance numérique est le fondement de toute transaction électronique. Signature d’un contrat, ouverture d’un compte bancaire, accès à un service public en ligne, authentification auprès d’une plateforme : chacun de ces actes repose sur la capacité à identifier de façon fiable les parties prenantes et à garantir l’intégrité des échanges. C’est précisément l’objet du règlement eIDAS, qui encadre depuis 2014 l’identification électronique et les services de confiance au sein de l’Union européenne.
Le règlement (UE) 2024/1183, dit eIDAS 2, révise en profondeur ce cadre. Entré en vigueur le 20 mai 2024, il introduit une nouveauté structurante : le Portefeuille Européen d’Identité Numérique (EUDIW), que chaque État membre devra proposer à ses citoyens d’ici fin 2026. Il élargit également la liste des services de confiance reconnus, renforce les exigences de sécurité pour les prestataires qualifiés, et étend les obligations d’acceptation au secteur privé.
L’ANSSI, qui se félicite de l’entrée en vigueur du règlement, est l’organe de contrôle chargé de qualifier les prestataires de services de confiance en France et contribue aux groupes de travail européens pour accompagner la Commission dans la mise en œuvre technique du règlement. Cette page vous présente les exigences clés d’eIDAS 2, son calendrier d’application, les sanctions applicables et les étapes pour engager votre mise en conformité.
Le règlement (UE) 2024/1183 modifie le règlement eIDAS initial (n°910/2014) pour répondre aux évolutions du numérique depuis 2014 : explosion des services en ligne, développement du cloud, émergence de nouvelles formes d’identité numérique, et besoin croissant d’interopérabilité transfrontalière. Il s’applique directement dans l’ensemble des États membres, sans nécessiter de transposition nationale.
eIDAS 2 repose sur deux piliers complémentaires :
- Le Portefeuille Européen d’Identité Numérique (EUDIW) : une application mobile que chaque État membre doit proposer à ses citoyens, permettant de stocker et de présenter des données d’identité et des attestations numériques certifiées
- Les services de confiance : un cadre élargi de neuf services qualifiés, couvrant la signature électronique, le cachet électronique, l’horodatage, l’archivage électronique, et quatre nouveaux services introduits par eIDAS 2
Les trois niveaux de garantie de l’identification électronique
eIDAS 2 maintient les trois niveaux de garantie des schémas d’identification électronique définis par eIDAS 1 :
- Niveau faible : identification avec un niveau de confiance limité
- Niveau substantiel : identification avec un niveau de confiance substantiel, réduisant significativement le risque d’utilisation abusive
- Niveau élevé : identification avec un niveau de confiance élevé, permettant de prévenir l’utilisation abusive ou l’altération de l’identité
L’EUDIW doit atteindre le niveau de garantie élevé, ce qui implique des exigences strictes de certification de ses composants de sécurité.
Qui doit accepter l’EUDIW ?
eIDAS 2 étend l’obligation d’acceptation de l’EUDIW au secteur privé, là où eIDAS 1 se concentrait principalement sur le secteur public. Les entités soumises à l’obligation d’acceptation incluent notamment :
- Les très grandes plateformes en ligne au sens du règlement sur les services numériques (DSA)
- Les services soumis aux réglementations anti-blanchiment (AML) : banques, établissements de paiement, assureurs…
- Les opérateurs de télécommunications
- Les prestataires de services de transport et de services de santé
L’obligation d’acceptation s’applique progressivement entre 2026 et 2027, selon le type d’entité et les actes d’exécution adoptés par la Commission européenne.
Les cinq services de confiance existants (eIDAS 1)
eIDAS 2 porte à neuf le nombre de services de confiance reconnus au niveau européen, en ajoutant quatre nouveaux services aux cinq existants.
-
La signature électronique
Simple (SES), avancée (AES) et qualifiée (QES). La signature électronique qualifiée a la même valeur légale qu’une signature manuscrite dans toute l’UE. Les signatures qualifiées émises avant l’entrée en vigueur d’eIDAS 2 restent valides et conformes.
-
Le cachet électronique
Pour les personnes morales, garantissant l’origine et l’intégrité des données.
-
L’horodatage électronique
Attestation de l’existence d’une donnée à un instant précis.
-
Le service d’envoi recommandé électronique
Équivalent de la lettre recommandée avec accusé de réception.
-
L’authentification de site web
Garantissant l’identité d’un site web.
Les quatre nouveaux services de confiance (eIDAS 2)
-
L’archivage électronique qualifié
Garantissant la réception, le stockage, la récupération et la suppression de données ou documents électroniques, avec présomption d’intégrité et d’origine. Les documents archivés dans un service qualifié bénéficient d’une valeur probante renforcée devant les juridictions.
-
Les registres électroniques qualifiés (grands livres électroniques)
Pour l’enregistrement de données de façon immuable et vérifiable.
-
Les attestations électroniques qualifiées d’attributs (QEAA)
Certifiant des données liées à l’identité d’une personne ou d’une organisation, comme un diplôme ou une habilitation professionnelle.
-
La gestion à distance des dispositifs de création de signature qualifiés (QSCD)
Permettant aux prestataires de gérer les dispositifs cryptographiques utilisés pour créer des signatures électroniques qualifiées.
Les exigences clés pour les organisations
-
Pour les fournisseurs de services soumis à l’obligation d’acceptation
Les entités soumises à l’obligation d’acceptation de l’EUDIW doivent planifier l’intégration du portefeuille dans leurs processus d’authentification et de vérification d’identité. Cette intégration implique des adaptations techniques de leurs systèmes d’information, la formation de leurs équipes, et la mise à jour de leurs politiques de gestion des identités.
-
Pour les organisations utilisant des signatures électroniques
eIDAS 2 renforce les exigences applicables aux signatures électroniques avancées et qualifiées. Les organisations doivent vérifier que leurs pratiques de signature sont conformes aux profils renforcés définis par les actes d’exécution de la Commission européenne, et anticiper la période de coexistence entre les méthodes traditionnelles de QES et celles basées sur l’EUDIW (2025-2027).
-
Pour les prestataires de services de confiance
Les prestataires de services de confiance qualifiés sont soumis à des exigences renforcées de sécurité et d’audit :
- Des audits réguliers par des organismes accrédités pour maintenir la qualification
- Des obligations de notification d’incidents aux autorités compétentes en cas d’incident affectant la sécurité ou l’intégrité des services
- Un rapport de conformité annuel démontrant le maintien des exigences de qualification
- La protection renforcée des données personnelles dans l’ensemble des services de confiance
En France, l’ANSSI est l’organe de contrôle chargé de qualifier les prestataires de services de confiance. Elle contribue également aux groupes de travail de la Commission européenne pour la mise en œuvre technique du règlement.
eIDAS 2 face aux exigences transverses
Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.
Calendrier d’application d’eIDAS 2
-
Passé
Publication au Journal Officiel de l’UE
Le règlement (UE) 2024/1183 est publié au Journal Officiel de l’Union Européenne le 30 avril 2024 et entre en vigueur le 20 mai 2024.
-
Passé
Adoption des premiers actes d’exécution
Cinq actes d’exécution sont adoptés le 28 novembre 2024, établissant les règles relatives aux fonctionnalités essentielles et à la certification des portefeuilles d’identité numérique.
-
Passé
Actes d’exécution sur les services de confiance
Les nouveaux actes d’exécution relatifs aux services de confiance sont adoptés au plus tard le 21 mai 2025, précisant les exigences techniques applicables aux neuf services de confiance qualifiés.
-
En cours
Déploiement de l’EUDIW
Chaque État membre doit mettre à disposition au moins un portefeuille européen d’identité numérique d’ici novembre 2026. Les États membres ont 24 mois après l’adoption des spécifications techniques pour délivrer ces portefeuilles.
-
En cours
Obligation d’acceptation par les grandes plateformes
Les grandes plateformes numériques et les services soumis aux réglementations AML doivent accepter l’EUDIW comme moyen d’identification dans les délais définis par les actes d’exécution. La période de coexistence entre les méthodes traditionnelles de QES et celles basées sur l’EUDIW s’étend de 2025 à 2027.
-
À venir
Objectif d’adoption massive
La Commission européenne vise que 80 % des citoyens et entreprises de l’UE utilisent activement l’EUDIW d’ici 2030.
Sanctions et risques
Pour les entités soumises à l’obligation d’acceptation
Le refus d’accepter l’EUDIW par les entités qui y sont obligées expose à des sanctions nationales, dont le cadre français est en cours d’adaptation. Les sanctions sont prononcées par les autorités compétentes nationales selon les législations de chaque État membre.
Pour les prestataires de services de confiance
Les prestataires de services de confiance non qualifiés ne peuvent pas utiliser le label « qualifié » pour leurs services. L’utilisation abusive de ce label est sanctionnée par les autorités nationales compétentes. Les prestataires qualifiés qui ne maintiennent pas les exigences de leur qualification peuvent se voir retirer leur statut qualifié, avec un impact commercial immédiat.
Responsabilité civile des prestataires qualifiés
eIDAS 2 maintient et renforce le régime de responsabilité civile des prestataires qualifiés : ils sont responsables des dommages causés à toute personne physique ou morale en raison d’un manquement à leurs obligations. Cette responsabilité est présumée, sauf si le prestataire prouve qu’il n’a pas agi de façon négligente.
Les étapes de mise en conformité à eIDAS 2
-
Veille réglementaire
Le cadre technique d’eIDAS 2 est encore en cours de finalisation, avec des actes d’exécution publiés progressivement par la Commission européenne. La première action consiste à mettre en place une veille réglementaire active pour suivre l’avancement des actes d’exécution et anticiper les évolutions applicables à votre organisation.
-
Évaluation de l’impact
L’organisation doit identifier si elle est soumise à l’obligation d’acceptation de l’EUDIW, selon sa nature et les actes d’exécution applicables. Cette évaluation doit couvrir l’ensemble des services numériques proposés et les processus d’authentification et de vérification d’identité en place.
-
Revue des signatures électroniques
Les organisations utilisant des signatures électroniques doivent vérifier la conformité de leurs pratiques actuelles aux exigences renforcées d’eIDAS 2, et anticiper la période de transition vers les nouveaux profils de signature. Les signatures qualifiées émises avant l’entrée en vigueur d’eIDAS 2 restent valides.
-
Adaptation des systèmes
Pour les entités soumises à l’obligation d’acceptation, la planification de l’intégration de l’EUDIW dans les systèmes d’authentification doit démarrer dès maintenant. Cette intégration implique des développements techniques, des tests d’interopérabilité, et la mise à jour des politiques de gestion des identités.
-
Qualification prestataire
Pour les prestataires de services de confiance, la vérification ou l’obtention de la qualification auprès de l’ANSSI est une étape clé. La qualification doit couvrir les nouveaux services de confiance introduits par eIDAS 2 si l’organisation souhaite les proposer sous label qualifié.
eIDAS 2 en 4 questions
Qu’est-ce que l’EUDIW et en quoi diffère-t-il des solutions d’identité numérique existantes ?
L’EUDIW est un portefeuille d’identité numérique standardisé au niveau européen, fourni gratuitement par chaque État membre. Il se distingue des solutions existantes par son interopérabilité transfrontalière garantie, son niveau de garantie élevé certifié, et le principe de contrôle exclusif par l’utilisateur qui permet la divulgation sélective des attributs. Contrairement aux solutions nationales actuelles, l’EUDIW sera reconnu dans l’ensemble des États membres de l’UE.
Quelle est la différence entre signature électronique simple, avancée et qualifiée ?
La signature électronique simple (SES) est toute donnée sous forme électronique jointe à d’autres données. La signature avancée (AES) est liée de manière unique au signataire, permet de l’identifier, est créée à partir de données sous son contrôle exclusif, et permet de détecter toute modification ultérieure. La signature qualifiée (QES) est une signature avancée créée par un dispositif de création de signature qualifié et reposant sur un certificat qualifié : elle a la même valeur légale qu’une signature manuscrite dans toute l’UE.
Mon organisation est-elle obligée d’accepter l’EUDIW ?
L’obligation d’acceptation s’applique aux très grandes plateformes en ligne au sens du DSA, aux services soumis aux réglementations AML (banques, assureurs, établissements de paiement), aux opérateurs de télécommunications et aux prestataires de services de transport et de santé. Les actes d’exécution de la Commission européenne précisent les cas d’usage et les délais applicables à chaque catégorie d’entité.
Qu’est-ce que l’archivage électronique qualifié introduit par eIDAS 2 ?
L’archivage électronique qualifié est un nouveau service de confiance qui garantit la réception, le stockage, la récupération et la suppression de données ou documents électroniques, en préservant leur intégrité, leur lisibilité, leur confidentialité et la preuve de leur origine. Les documents archivés dans un service qualifié bénéficient d’une présomption d’intégrité et d’origine, renforçant leur valeur probante devant les juridictions. Ce service doit être fourni par un prestataire qualifié par l’ANSSI en France.
Votre projet eIDAS 2 avec Fidens
Qualification de services de confiance, intégration du portefeuille d’identité, sécurité des parcours : nos consultants vous accompagnent dans la mise en œuvre d’eIDAS 2.
