eIDAS 2.0 expliqué : portefeuille européen, échéances et signature électronique en France

eIDAS 2.0 est le nom courant du règlement (UE) 2024/1183, entré en vigueur le 20 mai 2024, qui modifie le règlement eIDAS de 2014. Chaque État membre doit fournir un portefeuille européen d'identité numérique au plus tard le 24 décembre 2026. Les services privés tenus d'exiger une authentification forte, hors micro et petites entreprises, devront l'accepter à la demande de l'utilisateur au plus tard le 24 décembre 2027. Les niveaux de signature SES, AES et QES ne changent pas.

Adopté le 11 avril 2024 et publié au Journal officiel le 30 avril, le règlement (UE) 2024/1183 ne porte pas le nom « eIDAS 2.0 » : c'est un règlement modificatif, et le texte de référence reste le règlement n° 910/2014 tel que modifié. Citez donc les deux dans une note juridique.

Le cœur de la réforme, c'est l'identité numérique européenne. La signature électronique, elle, bouge peu.

Sous le règlement de 2014, un État pouvait notifier son schéma d'identification électronique, sans y être obligé. Le règlement eIDAS révisé va plus loin sur cinq points.

1. 1.
   Chaque État membre fournit au moins un portefeuille européen d'identité numérique (article 5 bis).
2. 2.
   Ce portefeuille doit être accepté par les services publics en ligne, par une partie des services privés et par les très grandes plateformes (article 5 septies).
3. 3.
   La liste des services de confiance s'allonge : attestations électroniques d'attributs, archivage, registres électroniques, gestion des dispositifs de signature à distance (article 3, point 16).
4. 4.
   Un prestataire qualifié peut vérifier votre identité au moyen du portefeuille avant de vous délivrer un certificat qualifié (article 24, paragraphe 1 bis).
5. 5.
   Les navigateurs doivent reconnaître les certificats qualifiés d'authentification de site internet (article 45, paragraphe 1 bis).

Une limite à retenir : selon l'article 2, paragraphe 3, le règlement n'affecte pas le droit national relatif à la conclusion et à la validité des contrats, ni les autres obligations de forme. Les règles françaises de forme restent en place.

Le portefeuille européen d'identité numérique, ou portefeuille EUDI, est une application qui stocke vos données d'identification et des attestations électroniques d'attributs (un diplôme, un permis de conduire) et les présente à un service en ligne. Vous seul décidez de ce que vous transmettez, et la divulgation sélective doit être possible : vous transmettez la donnée demandée, pas tout votre dossier. Son niveau de garantie est élevé.

Qui le fournit ? L'État, un organisme mandaté par lui, ou un acteur indépendant qu'il reconnaît (article 5 bis, paragraphe 2). Le code source des composants installés sur votre appareil relève d'une licence open source.

Deux règles comptent au quotidien. Le portefeuille est gratuit pour les personnes physiques et son usage reste volontaire : personne ne peut être désavantagé faute de l'utiliser (article 5 bis, paragraphes 13 et 15). Et il permet de signer en signature électronique qualifiée, par défaut et gratuitement pour les particuliers, chaque État pouvant réserver cette gratuité aux usages non professionnels.

Le dispositif a d'abord été testé. En avril 2023, quatre projets pilotes à grande échelle ont été lancés, avec plus de 350 entités de 26 États membres, de Norvège, d'Islande et d'Ukraine ; la signature de contrats fait partie des onze domaines explorés. L'agence France Titres a coordonné l'un d'eux, POTENTIAL, qui a testé entre autres la signature qualifiée à distance et s'est clôturé en septembre 2025. Pour la France, c'est l'application France Identité qui a été désignée comme futur portefeuille (détails plus bas).

Le règlement n'écrit pas ses deux grandes échéances en toutes lettres. Il les fait courir à partir de l'entrée en vigueur des actes d'exécution prévus à l'article 5 bis, paragraphe 23, et à l'article 5 quater, paragraphe 6, soit le 24 décembre 2024. D'où le calcul :

• 24 mois pour les États membres (article 5 bis, paragraphe 1) : 24 décembre 2026 ;
• 36 mois pour les services privés concernés (article 5 septies, paragraphe 2) : 24 décembre 2027.

Pour une entreprise, c'est la seconde date qui compte. Les actes d'exécution cités dans ce guide datent de novembre 2024, de mai 2025 et de juillet 2025 ; d'autres ont suivi depuis, notamment pour les services de confiance.

Sur la valeur juridique des signatures, rien ne change. Une signature électronique ne peut toujours pas être privée d'effet juridique au seul motif qu'elle est électronique ou non qualifiée, et la signature qualifiée a toujours l'effet d'une signature manuscrite (article 25). Les quatre exigences de l'article 26 pour la signature avancée sont intactes : lien univoque avec le signataire, identification, contrôle exclusif, détection de toute modification.

La pratique, elle, évolue sur trois points.

L'identification avant un certificat qualifié

Le prestataire vérifie votre identité par l'une des méthodes de l'article 24, paragraphe 1 bis : portefeuille ou identification électronique de niveau élevé, certificat qualifié déjà délivré, autre méthode confirmée par un organisme d'évaluation de la conformité, ou présence physique. Les normes de référence (règlement d'exécution 2025/1566) s'appliquent à partir du 19 août 2027.

Le portefeuille comme outil de signature

Le portefeuille doit permettre de signer en QES, par défaut et gratuitement pour les particuliers (article 5 bis, paragraphe 5). Pour qui n'a jamais eu de certificat qualifié, le changement est très concret.

Une question ouverte pour l'AES

L'article 26, paragraphe 2, demandait à la Commission d'évaluer, au plus tard le 21 mai 2026, s'il fallait des normes de référence pour la signature avancée. Si de tels actes sont adoptés, une AES qui les respecte sera présumée conforme.

Pour choisir le bon niveau selon le document, voyez nos exigences de la signature qualifiée.

La liste des services de confiance de l'article 3, point 16, va désormais du point a) au point n). Quatre familles sont nouvelles, et chacune peut être proposée comme service qualifié.

Gestion de dispositifs de signature à distance

Avec la signature à distance, votre clé reste sur un dispositif du prestataire, pas sur une carte que vous détenez. Gérer ces dispositifs devient un service de confiance ; le règlement d'exécution 2025/1567 en fixe le cadre qualifié à partir du 19 août 2027.

Attestation électronique d'attributs

Elle certifie une caractéristique d'une personne : diplôme, permis, mandat. Elle ne peut être privée d'effet juridique au seul motif qu'elle est électronique. Qualifiée, ou délivrée par ou pour un organisme public responsable d'une source authentique, elle a le même effet juridique qu'une attestation papier délivrée légalement (article 45 ter).

Archivage électronique

L'archivage qualifié est assuré par un prestataire qualifié. Il garde les documents durables et lisibles au-delà de leur validité technologique, et au moins pendant toute la durée de conservation légale ou contractuelle (article 45 undecies).

Registre électronique

Tout registre électronique garde un socle juridique : il ne peut être privé d'effet juridique au seul motif qu'il n'est pas qualifié. Seul un registre qualifié, créé et géré par des prestataires qualifiés, bénéficie d'une présomption d'intégrité et d'ordre chronologique exact (articles 45 duodecies et 45 terdecies).

Autre nouveauté : les navigateurs doivent reconnaître les certificats qualifiés d'authentification de site internet.

Avant de vous fier au mot « qualifié », apprenez à vérifier un prestataire sur la liste de confiance. L'équivalent de la signature pour les personnes morales est traité dans notre guide du cachet électronique eIDAS.

L'article 5 septies vise trois groupes, avec des règles différentes.

Les organismes publics

Quand un État exige une identification électronique pour accéder à un service public en ligne, il doit aussi accepter le portefeuille.

Les services privés soumis à l'authentification forte

Ce qui déclenche l'obligation, c'est une exigence d'authentification forte : si le droit de l'Union, le droit national ou un contrat vous impose une authentification forte de l'utilisateur pour l'identification en ligne, vous devrez accepter le portefeuille au plus tard le 24 décembre 2027. La liste de secteurs du texte n'est qu'indicative : transports, énergie, banque, services financiers, sécurité sociale, santé, eau potable, services postaux, infrastructures numériques, éducation, télécommunications. Les micro et petites entreprises (recommandation 2003/361/CE) sont exclues.

L'authentification forte (article 3, point 51) repose sur au moins deux facteurs indépendants de catégories différentes : ce que vous savez, ce que vous possédez, ce que vous êtes.

Les très grandes plateformes en ligne

Désignées au titre de l'article 33 du règlement sur les services numériques (DSA), elles comptent au moins 45 millions de destinataires actifs par mois dans l'Union, environ 10 % de sa population. Si elles exigent une authentification, elles doivent accepter et faciliter le portefeuille, pour les seules données nécessaires. Aucun délai propre ne leur est fixé.

Pour les services privés comme pour les plateformes, le portefeuille n'intervient qu'à la demande volontaire de l'utilisateur. Autre étape : une partie utilisatrice s'enregistre dans l'État membre où elle est établie. Le règlement d'exécution 2025/848 prévoit des registres nationaux publics, et seules les parties enregistrées reçoivent le certificat d'accès que le portefeuille vérifie.

Le règlement s'applique directement, mais la valeur d'un acte signé en France se lit aussi dans le Code civil.

L'article 1366 du Code civil donne à l'écrit électronique la même force probante que l'écrit papier, à deux conditions : que la personne dont il émane puisse être dûment identifiée, et qu'il soit établi et conservé dans des conditions qui en garantissent l'intégrité. L'article 1367 définit la signature électronique comme l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte.

C'est ici que la QES pèse vraiment. Selon l'article 1er du décret n° 2017-1416 du 28 septembre 2017, la fiabilité du procédé est présumée, jusqu'à preuve du contraire, lorsqu'il met en œuvre une signature électronique qualifiée. Une signature simple ou avancée garde ses effets (article 25, paragraphe 1, du règlement eIDAS), sans cette présomption.

eIDAS 2.0 ne modifie aucun de ces textes. Deux acteurs français sont à suivre.

L'ANSSI est l'organe de contrôle français des services de confiance : elle contrôle les prestataires qualifiés, leur accorde ou leur retire ce statut, et répond de la sécurité des moyens d'identification électronique.

France Identité, développée par France Titres, a été notifiée par la Commission européenne comme la solution française d'identité numérique et se présente comme le futur portefeuille européen pour la France. Elle est certifiée par l'ANSSI au niveau de garantie élevé depuis le 7 février 2024.

Cinq vérifications couvrent l'essentiel.

1. 1.
   Situez-vous par rapport à l'article 5 septies, paragraphe 2. Une loi ou un contrat vous impose-t-il une authentification forte pour l'identification en ligne ? Êtes-vous une micro ou petite entreprise ? Si la première réponse est non, ou la seconde oui, accepter le portefeuille reste un choix.
2. 2.
   Si vous êtes concerné, inscrivez le 24 décembre 2027 dans votre feuille de route et prévoyez l'enregistrement comme partie utilisatrice dans l'État membre où vous êtes établi.
3. 3.
   Listez les documents où une contestation vous coûterait cher. En France, la présomption de fiabilité ne joue que pour la QES (article 1367 du Code civil et décret 2017-1416) : c'est pour ces documents-là qu'elle se discute.
4. 4.
   Un prestataire se dit « qualifié » ? Vérifiez-le sur la liste de confiance. Un logo sur un site ne prouve rien.
5. 5.
   Ajoutez le portefeuille comme une porte d'entrée de plus, pas comme la seule : ceux qui ne l'utilisent pas ne doivent pas être désavantagés (article 5 bis, paragraphe 15).

Si l'étape 1 vous place hors du champ, consignez la réponse et son motif par écrit.

Chaindoc sert à rédiger un contrat, à le faire signer et à encaisser le paiement au même endroit.

Chaque PDF signé porte une signature PAdES-BES liée à un certificat individuel émis par l'autorité de certification de Chaindoc. La documentation sécurité de Chaindoc (en anglais) la présente comme une signature électronique avancée au sens de l'article 26. Après la dernière signature, l'empreinte du PDF final est inscrite sur SKALE Calypso, et chacun peut recalculer l'empreinte du fichier et la comparer grâce à la vérification gratuite de PDF en ligne.

La vérification d'identité (KYC) a lieu dans le parcours de signature, et son résultat rejoint la piste d'audit : une vérification par mois avec Personal, cinq avec Team, dix avec Business, aucune avec Free. Voir KYC dans le parcours de signature et comment vérifier l'identité avant la signature.

Deux limites, à connaître avant de choisir. Chaindoc n'est pas prestataire de services de confiance et ne délivre pas de certificats qualifiés : la présomption du décret 2017-1416 suppose une QES, donc un prestataire qualifié. Et l'enregistrement sur la blockchain est un registre électronique non qualifié : il ne peut être privé d'effet juridique pour cette seule raison, mais la présomption d'intégrité et d'ordre chronologique reste réservée aux registres qualifiés.

Vous pouvez essayer le parcours de signature de Chaindoc avec le plan Free : 0 €, sans limite de durée, sans carte bancaire, 5 signatures par mois. Notre guide de conformité des signatures numériques met eIDAS, le RGPD et le NIST côte à côte, et la page de tarification Chaindoc détaille les formules payantes.

Trois dates portent l'essentiel d'eIDAS 2.0 : le 24 décembre 2026 pour un portefeuille dans chaque État membre, le 19 août 2027 pour les nouvelles normes de vérification d'identité des prestataires qualifiés, et le 24 décembre 2027 pour les services privés soumis à l'authentification forte, hors micro et petites entreprises.

Vos signatures gardent la valeur qu'elles avaient. À vérifier dès maintenant : si une loi ou un contrat vous place sous l'authentification forte, quels documents justifient une QES au regard du Code civil, et si vos prestataires figurent bien sur la liste de confiance. Pour croiser eIDAS avec le RGPD et le NIST, lisez notre guide de conformité des signatures numériques.