eIDAS 2.0 : comprendre le nouveau règlement européen sur l'identité numérique

Le règlement eIDAS (Electronic IDentification, Authentication and trust Services) de 2014 a posé les bases juridiques de la signature électronique, du cachet électronique et des services de confiance en Europe. Il a instauré un principe de non-discrimination des signatures électroniques devant les tribunaux et garanti l'acceptation transfrontalière des signatures qualifiées dans l'ensemble des États membres de l'Union.

Mais ce texte présentait une limite majeure : il encadrait les services de confiance, sans proposer de solution d'identification numérique harmonisée et universelle pour les citoyens européens. C'est précisément ce vide que vient combler eIDAS 2.0.

Le règlement eIDAS 2.0 correspond au règlement (UE) 2024/1183 du Parlement européen et du Conseil, publié au Journal officiel de l'Union européenne le 30 avril 2024 et entré en vigueur le 20 mai 2024. Il ne se substitue pas au règlement de 2014 : il le modifie et l'enrichit, notamment en y ajoutant le cadre juridique du portefeuille européen d'identité numérique.

La Commission européenne encadre ensuite la mise en œuvre technique du texte via des actes d'exécution, qui précisent les normes, les protocoles et les modalités de certification des futurs portefeuilles.

Cette disposition, pilier du règlement eIDAS initial, reste pleinement valable sous eIDAS 2.0. Elle illustre la continuité du cadre juridique : les entreprises qui utilisent déjà des solutions conformes eIDAS n'ont pas à craindre une remise en cause de la valeur probante de leurs documents signés.

Le tableau ci-dessous synthétise les évolutions apportées par le nouveau texte :

La mesure la plus visible d'eIDAS 2.0 est la création du portefeuille européen d'identité numérique, aussi appelé EUDI Wallet (European Digital Identity Wallet). Il s'agit d'une application sécurisée permettant à chaque citoyen de centraliser ses documents d'identification et de les présenter en ligne comme dans la vie réelle, ainsi que le détaille la Commission européenne dans sa présentation du règlement.

Concrètement, le Wallet européen permet de :

• Stocker des données d'identification personnelles de manière chiffrée et sécurisée.
• Signer des documents électroniques avec une signature électronique qualifiée, gratuite pour les particuliers dans un cadre non professionnel.
• Partager des justificatifs (diplôme, permis de conduire, attestation professionnelle) de façon sélective : prouver que l'on a plus de 18 ans, par exemple, sans dévoiler l'intégralité de sa pièce d'identité.
• S'authentifier auprès de services publics ou privés dans n'importe quel État membre.

Chaque État membre de l'Union européenne doit proposer à ses citoyens, résidents et entreprises au moins un portefeuille européen d'identité numérique gratuit d'ici le 24 décembre 2026, soit vingt-quatre mois après l'entrée en vigueur des premiers actes d'exécution de la Commission. Ce déploiement s'appuie sur une architecture technique commune, l'ARF (Architecture and Reference Framework), qui fixe les standards et protocoles partagés par l'ensemble de l'écosystème.

En France, l'application France Identité a été désignée comme le futur portefeuille national, tandis que France Titres pilote le consortium européen Aptitude, successeur du projet pilote Potential, qui réunit plus d'une centaine de partenaires dans une douzaine de pays.

Au-delà du Wallet, eIDAS 2.0 élargit la liste des services de confiance reconnus au niveau européen : quatre nouveaux services qualifiés viennent s'ajouter au cadre existant, portant leur nombre total à neuf, comme le rappelle l'ANSSI.

• Les attestations électroniques d'attributs : elles permettent de certifier une information précise (âge, qualification professionnelle, statut) sans dévoiler l'ensemble d'un document d'identité.
• L'archivage électronique : il encadre la conservation à long terme des documents électroniques et, dans sa version qualifiée, bénéficie d'une présomption d'intégrité des données archivées.
• Les registres électroniques : ils garantissent l'enregistrement séquentiel et horodaté de données, avec une présomption d'exactitude chronologique.
• La gestion à distance des dispositifs qualifiés de création de signature et de cachet (QSCD), qui sécurise les usages en mobilité.

Ces nouveaux services devront être délivrés par des prestataires de services de confiance qualifiés (Qualified Trust Service Providers, ou QTSP), soumis aux mêmes exigences de sécurité, de supervision et d'audit que les prestataires actuels de signature et de cachet électronique.

Les institutions financières sont parmi les premières concernées : la banque et les services financiers figurent explicitement parmi les secteurs visés par l'obligation d'acceptation du portefeuille. L'identification électronique via le Wallet pourrait simplifier les processus d'entrée en relation client, aujourd'hui encadrés par des obligations de vérification d'identité strictes — un enjeu que partagent également les acteurs de l'assurance, soumis aux mêmes exigences de connaissance client.

Imaginez un client qui ouvre un compte bancaire en ligne : au lieu de photographier sa carte d'identité et d'attendre une validation manuelle, il pourrait partager une attestation d'identité vérifiée directement depuis son Wallet européen, en quelques secondes. C'est tout l'enjeu de l'articulation entre eIDAS 2.0 et les processus de KYC (Know Your Customer) déjà en place dans le secteur financier.

À compter du 24 décembre 2027, les parties utilisatrices tenues d'authentifier fortement leurs utilisateurs devront accepter le portefeuille européen. Cela concerne les très grandes plateformes en ligne au sens du Digital Services Act, mais aussi des secteurs désignés comme les télécoms, l'énergie, le transport, la santé ou l'éducation, ainsi que les administrations publiques pour l'accès aux démarches en ligne.

Une nuance essentielle : cette obligation s'applique lorsque l'utilisateur choisit volontairement de présenter son portefeuille, et les parties utilisatrices ne peuvent exiger que les données strictement nécessaires au service demandé. Il ne s'agit donc pas d'imposer le Wallet à tous les parcours, mais de garantir qu'il soit toujours accepté lorsqu'un citoyen souhaite s'en servir.

Pour les entreprises qui utilisent déjà la signature électronique, eIDAS 2.0 ne bouleverse pas les fondamentaux : les trois niveaux de signature (simple, avancée, qualifiée) restent inchangés, tout comme leur valeur juridique. Une évolution mérite toutefois d'être suivie : le nouvel article 26 du règlement prévoit que la Commission évalue, d'ici le 21 mai 2026, l'opportunité d'adopter des normes de référence harmonisées pour la signature électronique avancée — un point susceptible de clarifier les pratiques aujourd'hui hétérogènes entre États membres.

Le règlement ouvre par ailleurs de nouvelles perspectives :

• Une identification du signataire potentiellement plus rapide grâce au Wallet européen.
• Des parcours de signature simplifiés pour les documents nécessitant une vérification d'identité renforcée.
• Une interopérabilité accrue entre les outils de contractualisation et les nouveaux services de confiance qualifiés.

Chez Youtrust, nous suivons de près ces évolutions réglementaires pour que nos solutions restent pleinement conformes et anticipent les usages de demain. Nos clients bénéficient déjà :

• D'une signature électronique conforme aux exigences eIDAS, quel que soit le niveau choisi.
• D'une solution de vérification d'identité (Verify) adaptée aux besoins de conformité KYC et LCB-FT.
• D'un archivage sécurisé des documents signés, dans la perspective des futures exigences d'archivage électronique qualifié.
• D'un accompagnement pour anticiper les évolutions réglementaires européennes.

Le règlement eIDAS 2.0 marque une étape structurante dans la construction d'une identité numérique européenne unifiée. Au-delà du portefeuille numérique, c'est tout un écosystème de confiance qui se renforce, avec des implications concrètes pour les entreprises des secteurs financier, numérique et public. Avec une première échéance fixée à décembre 2026 pour les États membres et une seconde à décembre 2027 pour les parties utilisatrices, se préparer dès maintenant permet d'aborder sereinement cette transformation réglementaire.