Le guide simple d'eIDAS 2.0 et du portefeuille d'identité numérique européen

eIDAS 2.0 est le nom courant du règlement (UE) 2024/1183, le texte qui modifie le règlement eIDAS original (910/2014) et bâtit par-dessus le cadre de l'identité numérique européenne. Ce n'est pas un remplacement, c'est un amendement. Le système à trois niveaux de signature électronique que vous connaissez déjà (SES, AES, QES) reste exactement identique. Ce qu'ajoute eIDAS 2.0, c'est une nouvelle couche : un portefeuille d'identité numérique garanti par l'État, que chaque citoyen et résident de l'UE pourra utiliser, ainsi qu'une obligation légale pour une large partie du secteur privé de l'accepter.

Le règlement a été adopté le 11 avril 2024, publié au Journal officiel le 30 avril 2024, et est entré en vigueur en mai 2024. (Vous trouverez quelques sources qui citent des dates légèrement différentes dans cette fenêtre ; considérez EUR-Lex comme la source faisant autorité si vous avez besoin d'une date exacte pour un dossier juridique.)

Si votre entreprise signe des contrats, vérifie l'identité de clients, ou opère dans un secteur régulé touchant de près ou de loin l'UE, eIDAS 2.0 mérite d'être compris dès maintenant, pas fin 2027 quand l'échéance d'acceptation obligatoire arrivera réellement.

eIDAS 1.0 était surtout une histoire de secteur public. Il permettait aux gouvernements de l'UE d'émettre des schémas d'identification électronique (eID) et imposait leur reconnaissance transfrontalière entre États membres, mais il n'a jamais obligé les entreprises privées à accepter l'identité numérique de qui que ce soit. eIDAS 2.0 change cette portée de trois façons concrètes.

D'abord, il étend les obligations d'acceptation du secteur public vers une liste définie de secteurs privés : les banques, les prestataires de services de paiement et de monnaie électronique, les télécoms, les transports, l'énergie, la santé, l'éducation, et les très grandes plateformes en ligne (VLOP) comptant plus de 45 millions d'utilisateurs dans l'UE. Ensuite, il standardise l'interopérabilité transfrontalière via des actes d'exécution et des normes techniques ETSI, afin qu'un portefeuille émis au Portugal fonctionne de la même façon lorsqu'il est présenté à une entreprise en Allemagne. Enfin, il renforce les règles de confidentialité et de minimisation des données : un portefeuille doit permettre de ne partager que l'attribut spécifique dont une partie utilisatrice a réellement besoin (par exemple, « être majeur ») plutôt que de transmettre tout son dossier d'identité.

Rien de tout cela ne touche aux définitions juridiques de la SES, de l'AES ou de la QES prévues à l'article 25 du règlement modifié. Une signature électronique qualifiée conserve exactement le même statut d'« effet juridique équivalent à celui d'une signature manuscrite » qu'auparavant. Ce qui change, c'est *comment* l'identité derrière cette signature se prouve, de plus en plus via un identifiant de portefeuille plutôt que par un appel vidéo ponctuel ou le téléversement d'un document d'identité.

Le portefeuille d'identité numérique européen (EUDI Wallet) est une application gratuite, émise par l'État, qui stocke votre identité vérifiée et vous permet de partager sélectivement certains éléments (un permis de conduire, un diplôme, une preuve d'âge, un justificatif KYC bancaire) avec les entreprises et services publics qui doivent vérifier qui vous êtes.

Imaginez-le moins comme une carte d'identité unique que comme un dossier sécurisé de justificatifs vérifiables que vous contrôlez. Vous décidez ce que vous partagez, avec qui, et pour combien de temps. Les portefeuilles sont certifiés selon les exigences techniques et de sécurité fixées par des actes d'exécution, dont les premiers ont commencé à paraître en décembre 2024, avec d'autres tout au long de 2025 à mesure que les travaux de normalisation ETSI progressent.

Voici la réserve honnête : à la mi-2026, le déploiement des portefeuilles reste inégal selon les États membres. Certains gouvernements mènent de grands pilotes (les consortiums de Large Scale Pilots financés par l'UE testent depuis 2023 des cas d'usage tels que l'enregistrement de carte SIM, la vérification d'âge ou le contrôle des diplômes), tandis que d'autres accusent plus de retard sur le déploiement en production. Le règlement impose à chaque État membre une échéance ferme pour proposer au moins un portefeuille certifié, et le tableau plus bas indique précisément quand cette échéance tombe.

eIDAS 2.0 n'est pas arrivé avec une seule date charnière. Sa mise en œuvre se fait par étapes, et les deux dates qui comptent le plus pour une entreprise figurent au bas du tableau ci-dessous. Manquer la première, c'est ne pas être conforme à une obligation d'offre ; manquer la seconde, c'est ne pas être conforme à une obligation d'acceptation.

Selon la page de la Commission européenne consacrée au règlement EUDI, une vingtaine d'États membres de l'UE avaient déjà rejoint de grands pilotes de portefeuille avant même que l'horloge du déploiement obligatoire ne démarre, un signe que ce n'est pas un départ à froid pour la majeure partie du bloc. Quatre consortiums (couvrant des cas d'usage comme les paiements, les voyages, les justificatifs éducatifs et les permis de conduire numériques) mènent des tests transfrontaliers depuis 2023, exactement le genre de travail préparatoire censé rendre l'échéance de fin 2026 réaliste plutôt qu'aspirationnelle.

Voici la question que la plupart des gens se posent réellement : est-ce qu'eIDAS 2.0 change le fonctionnement des signatures électroniques ? Réponse courte : non, pas sur le plan juridique. Réponse plus longue : cela change la façon de prouver l'identité derrière la signature, et c'est sans doute la partie la plus utile.

Les trois niveaux restent inchangés. La signature électronique simple (SES) reste un simple clic pour signer. La signature électronique avancée (AES) reste liée de manière unique au signataire et détecte toute altération. La signature électronique qualifiée (QES) exige toujours un certificat qualifié délivré par un prestataire de services de confiance accrédité, et conserve exactement le même poids juridique qu'une signature manuscrite au titre de l'article 25(2). Rien n'a bougé d'un pouce.

Ce qui émerge, façonné par les actes d'exécution et les normes ETSI qui se déploient sur 2025–2026, c'est la QES adossée au portefeuille : la vérification d'identité pour un certificat qualifié s'appuyant de plus en plus sur un justificatif du portefeuille EUDI plutôt que sur une session ponctuelle de vidéo-identification ou un scan de pièce d'identité physique. En pratique, cela pourrait signifier qu'un signataire s'authentifie une fois via son portefeuille et réutilise cette identité vérifiée sur plusieurs sessions de signature avec différents prestataires, plutôt que de prouver qui il est à chaque fois. C'est une amélioration réelle par rapport à l'ancien flux, même si le dispositif est encore en maturation. Considérez-le comme une pratique émergente rendue possible par eIDAS 2.0, pas encore un remplacement universel et immédiat des méthodes existantes de vérification d'identité pour la QES.

D'ici fin 2027, l'acceptation du portefeuille cesse d'être optionnelle pour une liste précise et nommée de secteurs : les banques et autres établissements financiers, les prestataires de services de paiement et de monnaie électronique, les assureurs, les prestataires de soins de santé, et les très grandes plateformes en ligne comptant plus de 45 millions d'utilisateurs mensuels dans l'UE. Ce seuil de 45 millions représente environ 10 % de la population totale de l'UE utilisant un service unique avant que l'acceptation du portefeuille ne devienne obligatoire pour celui-ci, une barre haute, mais pas impossible à atteindre pour une poignée de grandes entreprises technologiques. Si votre entreprise entre dans l'une de ces catégories, le portefeuille n'est pas une intégration agréable à avoir que vous pouvez reporter indéfiniment. C'est une obligation légale d'acceptation assortie d'une vraie date.

Tous les autres (commerçants, agences, la plupart des éditeurs SaaS, cabinets de services professionnels) ne figurent pas actuellement sur la liste d'acceptation obligatoire. Cela ne veut pas dire qu'il faut l'ignorer. Deux éléments méritent d'être anticipés dans tous les cas : vos clients ou partenaires pourraient commencer à présenter des justificatifs de portefeuille de leur propre initiative bien avant qu'une échéance ne l'impose, et les contrats B2B demandent de plus en plus aux fournisseurs de confirmer leur préparation à eIDAS 2.0 dans le cadre de la due diligence d'achat, de la même façon que la conformité au RGPD est devenue un point standard des questionnaires fournisseurs il y a quelques années.

Pas besoin d'un projet de conformité à six chiffres pour prendre les devants. Cinq étapes pratiques couvrent l'essentiel du terrain.

1. 1
   Évaluez honnêtement votre périmètre. Êtes-vous dans un secteur régulé, ou proche du seuil VLOP ? Si non, la pression liée à l'échéance est plus faible, mais pas nulle. Voir le point ci-dessus sur la présentation volontaire du portefeuille et les questionnaires d'achat.
2. 2
   Recensez vos points de contact avec l'identité. Où effectuez-vous actuellement la vérification d'identité, le KYC, l'authentification forte du client ou la vérification de signature, et lesquels de ces flux nécessitent réellement un niveau d'assurance élevé plutôt qu'un risque faible ?
3. 3
   Surveillez la feuille de route technique 2026–2027. Les portefeuilles EUDI s'authentifieront probablement via des flux de type OIDC, et les prestataires de services de confiance qualifiés exposeront des API pour l'émission d'AES/QES liées à des justificatifs de portefeuille. Vous n'avez pas besoin de construire cela vous-même, mais vous avez besoin d'un prestataire de signature dont la feuille de route couvre ce sujet.
4. 4
   Mise à jour de la paperasse : les conditions d'utilisation, les mentions de confidentialité et les modèles de contrat devraient reconnaître un justificatif d'identité basé sur le portefeuille et une QES aux côtés de vos méthodes de signature existantes, pas comme un cas futur hypothétique.
5. 5
   Pilotez avant d'y être contraint. Testez l'acceptation du portefeuille dans un environnement hors production bien avant toute échéance, de la même façon que les équipes avisées ont piloté les flux de demandes d'accès RGPD en 2017 plutôt que de se précipiter en mai 2018.

Rien de tout cela n'exige de démonter votre pile de signature actuelle. Cela exige de choisir un prestataire qui suit déjà les actes d'exécution, afin que le travail d'acceptation du portefeuille atterrisse sur sa feuille de route plutôt que sur la vôtre.

Chaindoc est d'abord une plateforme documentaire : créer un contrat, le faire signer, être payé, le tout sans changer d'outil. La conformité est la couche de confiance sous ce workflow, pas un produit séparé ajouté après coup.

Aujourd'hui, le workflow de signature de Chaindoc prend déjà en charge les signatures de niveau SES et AES avec vérification d'identité avant l'accès au document, une empreinte cryptographique de document générée au moment de la signature, et une piste d'audit inviolable ancrée sur blockchain, les mêmes mécanismes de non-répudiation que couvre notre guide de conformité des signatures numériques pour eIDAS, le RGPD et le NIST côte à côte. Chaque document signé peut être vérifié instantanément via la vérification gratuite de PDF en ligne, afin qu'un partenaire n'ait jamais à vous croire sur parole qu'un contrat n'a pas été modifié après signature.

À mesure que les actes d'exécution finalisent les normes de justificatifs de portefeuille tout au long de 2026, cette même architecture de piste d'audit est exactement ce dont une QES adossée au portefeuille a besoin en dessous : une identité vérifiée, une empreinte immuable, et une chaîne de traçabilité horodatée. Vous n'avez pas besoin de reconstruire votre processus de signature depuis zéro quand l'obligation du portefeuille arrivera. Vous avez besoin d'un prestataire qui traite déjà la force juridique comme une fonctionnalité de premier plan plutôt qu'un à-côté. Le plan gratuit de Chaindoc coûte 0 €/mois, en permanence, sans carte bancaire requise, si bien que tester un workflow prêt pour eIDAS avant 2027 ne nécessite pas de cycle d'achat en soi. Comparez les formules payantes sur la page de tarification Chaindoc une fois prêt à dépasser le plan gratuit.

eIDAS 2.0 n'est pas une nouvelle loi sur la signature. C'est une nouvelle loi sur l'identité qui se place à côté des règles de signature que vous suivez déjà. La SES, l'AES et la QES signifient exactement ce qu'elles signifiaient sous eIDAS 1.0. Ce qui change, c'est qui doit accepter un portefeuille numérique émis par l'État, et à partir de quand : chaque État membre en propose un d'ici fin 2026, et les secteurs régulés nommés ainsi que les très grandes plateformes doivent l'accepter d'ici fin 2027.

Si vous n'êtes pas dans un secteur régulé, vous avez du temps, mais « du temps » n'est pas synonyme d'« ignorez-le ». Commencez par la checklist de préparation ci-dessus, gardez un œil sur les actes d'exécution à mesure qu'ils se finalisent d'ici 2026, et choisissez un prestataire de signature dont la feuille de route de conformité anticipe déjà l'arrivée des justificatifs adossés au portefeuille. C'est un effort plus modeste que ce que la plupart des équipes imaginent, et bien plus modeste que de se précipiter fin 2027.

Pour une vision plus complète de la conformité à travers eIDAS, le RGPD et le NIST ensemble, notre guide de conformité des signatures numériques est la lecture naturelle suivante.