EIDAS : Comment cette nouvelle réglementation va révolutionner la sécurité numérique ?

EIDAS 2 : une réforme, pas une identité unique imposée

EIDAS désigne le règlement européen sur l’identification électronique et les services de confiance. Son premier texte, le règlement (UE) n° 910/2014, a posé des règles communes pour les signatures, cachets, horodatages et identités électroniques. La révision adoptée en 2024, souvent appelée eIDAS 2, étend ce cadre avec le portefeuille européen d’identité numérique.

Un règlement européen s’applique directement dans les États membres, mais son déploiement concret dépend encore d’applications nationales, de normes techniques et des services qui choisiront ou devront l’accepter. Il ne crée donc pas un compte européen obligatoire, ni une base de données centrale contenant toutes les démarches des habitants.

L’objectif est pragmatique : prouver son identité, un attribut ou son accord en ligne avec un niveau de confiance comparable d’un pays à l’autre. Aujourd’hui, une personne qui s’installe, étudie, travaille ou achète dans un autre État de l’Union doit souvent répéter les mêmes vérifications d’identité. EIDAS 2 vise à réduire ces frictions sans retirer à l’utilisateur le choix d’utiliser ou non le portefeuille.

Ce qu’EIDAS garantit — et ce qu’il ne garantit pas

Le cœur d’EIDAS est la confiance vérifiable. Une signature peut attester l’accord d’un signataire, un cachet électronique peut prouver l’origine d’un document émis par une organisation, et un horodatage peut établir qu’une donnée existait à un instant donné. Ces mécanismes reposent sur des certificats, des clés cryptographiques et des preuves techniques auditables.

La réglementation n’est pas une protection magique contre les arnaques. Si vous validez une demande frauduleuse après avoir été redirigé vers un faux site, la technologie ne peut pas deviner votre intention. De même, une identité correctement vérifiée n’empêche pas un destinataire légitime de mal gérer ses données, ce que le RGPD et les règles de cybersécurité continuent d’encadrer.

Il faut aussi distinguer authentification et signature. Se connecter à un espace client prouve que vous contrôlez un moyen d’accès à cet instant. Signer engage davantage : il faut pouvoir relier l’acte à une personne, garantir l’intégrité du document et conserver des éléments de preuve adaptés au risque.

Le portefeuille européen d’identité numérique : à quoi servira-t-il ?

Le portefeuille européen d’identité numérique, souvent désigné par l’acronyme EUDI Wallet, sera proposé par chaque État membre selon les règles communes européennes. Il doit permettre à une personne de présenter des informations vérifiées depuis un téléphone ou un autre appareil : identité, âge, permis de conduire, diplôme, justificatif professionnel ou autre attribut reconnu selon les services disponibles.

Son intérêt est de partager uniquement ce qui est nécessaire. Pour justifier un âge minimum, un service pourrait avoir besoin d’une confirmation « majeur » plutôt que de votre date de naissance complète. Cette minimisation des données dépendra toutefois du service conçu et de l’attribut demandé : lisez toujours l’écran de validation avant d’accepter.

Les États membres doivent mettre un portefeuille à disposition des citoyens, résidents et entreprises dans le calendrier prévu par la réforme, avec une montée en charge attendue à partir de 2026. En France, les outils nationaux existants peuvent évoluer pour s’articuler avec ce cadre. L’expérience ne sera pas identique partout dès le premier jour : administrations, banques, universités et entreprises devront intégrer progressivement les interfaces nécessaires.

Le portefeuille doit être fourni gratuitement aux personnes physiques pour les fonctions prévues par le règlement. En revanche, une entreprise peut supporter des frais d’intégration, de vérification ou de signature auprès d’un prestataire. Et un service soumis à des règles sectorielles, notamment bancaires, peut conserver des contrôles complémentaires de lutte contre la fraude ou le blanchiment.

Signature électronique : choisir le niveau adapté au document

Toutes les signatures électroniques ne se valent pas, même si elles peuvent toutes être recevables comme éléments de preuve. Une case cochée ou une signature dessinée peut suffire pour un accord à faible risque si le parcours conserve des traces cohérentes. Pour un contrat important, il faut pouvoir démontrer plus solidement qui a signé, quel document a été accepté et si ce document a changé ensuite.

La signature électronique qualifiée est le niveau le plus protecteur dans le cadre eIDAS. Elle repose sur un certificat qualifié et un dispositif de création de signature qualifié, souvent fourni à distance par un prestataire qualifié. Elle a, par principe, l’effet juridique d’une signature manuscrite dans l’Union européenne.

Cette équivalence ne dispense pas de vérifier le contrat. Une signature qualifiée ne rend pas valable une clause illégale, ne corrige pas une erreur sur le prix et ne remplace pas les formalités spécifiques exigées pour certains actes. Pour un acte immobilier, familial, notarié ou réglementé, le professionnel compétent confirme la procédure applicable.

Ce que cela peut changer dans les démarches du quotidien

Le bénéfice le plus tangible sera la réduction des pièces à envoyer et des comptes à créer. Une démarche transfrontalière pourra, lorsqu’elle accepte le portefeuille, demander une preuve d’identité vérifiée plutôt qu’une photo de carte d’identité déposée dans un formulaire. Cela limite les scans stockés chez de multiples organismes, qui sont souvent mal protégés ou conservés trop longtemps.

Pour les études, l’emploi ou la mobilité, des justificatifs vérifiables peuvent accélérer une inscription ou une vérification. Pour une location, une assurance ou un contrat télécom, une preuve d’identité plus fiable peut réduire certains délais. Mais l’organisme restera libre de demander les éléments réellement nécessaires à son obligation légale ou à l’exécution du contrat.

Les entreprises y gagnent surtout lorsqu’elles traitent des clients dans plusieurs pays. Elles peuvent s’appuyer sur des standards communs plutôt que d’empiler des méthodes nationales. Pour une petite entreprise qui ne vend qu’en France et signe peu de documents, changer immédiatement d’outil n’a pas forcément d’intérêt : un parcours de signature fiable, proportionné et conforme à ses besoins reste préférable à une migration coûteuse.

Utiliser une identité numérique sans créer une nouvelle faille

Le portefeuille réduit le besoin de communiquer des copies de documents, mais votre téléphone devient un point sensible. Protégez-le avec un code robuste, un verrouillage automatique court et les mises à jour du système. La biométrie facilite le déverrouillage, mais elle ne transforme pas à elle seule une action en signature qualifiée : c’est le service complet et sa preuve qui comptent.

La fraude la plus probable restera l’ingénierie sociale. Un message prétendant venir d’une banque, d’une administration ou d’un livreur peut vous pousser à scanner un QR code ou à approuver une demande d’identité. N’autorisez jamais une demande que vous n’avez pas initiée vous-même depuis le site ou l’application officielle.

Ce que les entreprises et administrations doivent préparer

Accepter une identité numérique n’est pas seulement ajouter un bouton de connexion. Il faut définir les démarches concernées, le niveau d’assurance requis et les données minimales à demander. Un vendeur de billets n’a pas le même besoin qu’un établissement financier, une université ou une administration délivrant un droit.

Pour les signatures, l’organisation doit choisir le niveau de preuve en fonction du risque juridique et financier. Elle doit aussi conserver les journaux de preuve, organiser l’accès aux documents et prévoir la révocation des droits internes. Un prestataire de services de confiance qualifié figure sur une liste de confiance nationale et européenne : cette vérification est essentielle avant de promettre une signature « qualifiée ».

Les obligations exactes varieront selon le secteur et les textes nationaux d’application. EIDAS ne signifie pas que toutes les entreprises devront accepter immédiatement tous les portefeuilles, ni qu’un outil estampillé « conforme » couvre à lui seul le RGPD, la cybersécurité, la conservation comptable ou les règles de connaissance client. Pour un déploiement sensible, l’avis d’un juriste, d’un délégué à la protection des données ou d’un prestataire qualifié évite les fausses promesses.

Données personnelles, perte du téléphone et recours : les limites à garder en tête

EIDAS et le RGPD se complètent sans se confondre. Le premier organise la fiabilité des identités et des services de confiance ; le second impose notamment une finalité précise, la minimisation des données, la sécurité et des droits pour les personnes. Un organisme ne peut pas exiger davantage d’informations que nécessaire sous prétexte qu’un portefeuille permet techniquement de les fournir.

En cas de perte ou de vol du téléphone, utilisez sans attendre le mécanisme de blocage ou de révocation prévu par le fournisseur du portefeuille, puis changez les accès associés si nécessaire. Préparez ce scénario à l’avance : notez le canal officiel de récupération, gardez vos coordonnées à jour et n’enregistrez jamais votre code de déverrouillage avec l’appareil.

Enfin, la reconnaissance européenne ne transforme pas un document électronique en preuve incontestable. Un litige peut toujours porter sur le consentement, l’identité, le contenu, la capacité juridique d’une personne ou une fraude. La qualité des traces techniques, l’information donnée au signataire et la proportion entre le niveau de sécurité et l’enjeu restent déterminantes.