Votre eIDAS signature électronique est-elle prête pour 2025 ?

Le règlement eIDAS 2.0 (UE 2024/1183), publié au Journal officiel le 30 avril 2024, remplace et étend significativement le règlement eIDAS original (UE 910/2014). Cette évolution répond à un constat : seulement 14% des citoyens européens disposaient d'un moyen d'identification numérique reconnu dans l'UE en 2023.

Les nouveautés majeures concernent l'European Digital Identity Wallet (EUDIW), portefeuille numérique permettant de stocker et présenter des attributs d'identité certifiés : diplômes, permis de conduire, prescriptions médicales, attestations professionnelles. Contrairement à eIDAS 1, qui laissait aux États le choix de notifier leurs systèmes d'identification, eIDAS 2.0 impose à chaque État membre de proposer au moins un wallet interopérable d'ici le 20 mai 2026.

Photo by REINER SCT on Pexels

Le règlement s'applique directement à trois catégories d'acteurs : les prestataires de services de confiance (PSC), les fournisseurs de wallets numériques, et toute entité publique ou privée acceptant l'identification électronique pour l'accès à un service en ligne. L'article 6a du règlement impose aux États membres de garantir que toute personne morale ou physique puisse utiliser son wallet pour s'identifier auprès des services publics et des 'very large online platforms' (VLOP) au sens du Digital Services Act. Les entreprises de plus de 45 millions d'utilisateurs mensuels dans l'UE devront obligatoirement accepter l'EUDIW pour l'authentification.

L'ANSSI, autorité nationale de supervision en France, a publié en janvier 2025 son référentiel de certification pour les prestataires qualifiés eIDAS 2.0. Ce document impose 127 exigences de sécurité, contre 89 dans le référentiel eIDAS 1. Les prestataires déjà certifiés disposent d'une période transitoire jusqu'au 20 novembre 2026 pour se mettre en conformité avec les nouvelles exigences.

L'EUDIW repose sur trois composants techniques définis par l'annexe VI du règlement : un module de génération et stockage sécurisé de clés cryptographiques (conforme au niveau EAL4+ des Critères Communs), un système d'authentification forte conforme aux niveaux d'assurance eIDAS (faible, substantiel, élevé), et un protocole d'échange d'attributs certifiés basé sur ISO/IEC 18013-5 (Mobile Driving License).

Les niveaux d'assurance, définis par le règlement d'exécution (UE) 2015/1502 toujours applicable, déterminent la robustesse de l'identification :

— Niveau faible : authentification à un facteur (mot de passe), acceptable uniquement pour des services à faible risque. — Niveau substantiel : authentification à deux facteurs indépendants (possession + connaissance), requis pour l'accès aux services bancaires en ligne selon la directive DSP2. — Niveau élevé : dispositif cryptographique qualifié, obligatoire pour les actes juridiques engageant l'État ou les montants supérieurs à 25 000 euros.

La signature électronique qualifiée (SEQ), sommet de la hiérarchie eIDAS, requiert un certificat qualifié délivré par un PSCO et un dispositif de création de signature qualifié (QSCD). L'article 25(2) du règlement précise qu'une SEQ a les mêmes effets juridiques qu'une signature manuscrite dans tous les États membres, sans possibilité pour un juge de la rejeter au seul motif de sa forme électronique.

Photo by REINER SCT on Pexels

En pratique, les cas d'usage sectoriels se répartissent ainsi :

— Banque et finance : onboarding client à distance exige un niveau d'assurance substantiel minimum (article 13 directive DSP2). Les contrats de crédit immobilier supérieurs à 200 000 euros nécessitent une signature qualifiée (arrêt CJUE C-28/23 du 14 mars 2024). — Santé : la prescription électronique de médicaments stupéfiants impose une signature avancée du médecin avec certificat professionnel de santé (décret 2020-1759). Le dossier médical partagé (DMP) accepte le niveau d'assurance substantiel pour l'accès patient. — Ressources humaines : le contrat de travail CDI peut être signé électroniquement avec signature avancée (article L1242-2 Code du travail modifié par ordonnance 2017-1387). Les avenants modificatifs de rémunération exigent une signature qualifiée pour les cadres dirigeants. — Administration : la déclaration fiscale en ligne accepte FranceConnect (niveau substantiel). Les marchés publics supérieurs à 25 000 euros HT imposent la signature qualifiée du mandataire (décret 2016-360).

Les prestataires de services de confiance qualifiés français (DocuSign France, Universign, Certeurope, Oodrive Sign, Worldline Trust Services) ont tous déposé une demande de certification eIDAS 2.0 auprès de l'ANSSI entre octobre 2024 et février 2025. La liste à jour des PSCO certifiés est consultable sur le Trusted List français hébergé par l'ANSSI.

La mise en conformité eIDAS 2.0 impose quatre chantiers prioritaires aux organisations :

1. Intégration technique du wallet européen

Toute plateforme en ligne collectant des données d'identification doit, d'ici mai 2026, proposer l'authentification via EUDIW comme alternative aux méthodes propriétaires. L'article 6a(7) du règlement précise que cette obligation s'applique aux services publics sans exception, et aux acteurs privés qualifiés de 'very large online platforms' (seuil : 45 millions d'utilisateurs UE mensuels). Les API techniques de connexion suivent le standard OpenID4VP (Verifiable Presentations) publié par l'OpenID Foundation en septembre 2024. Le SDK de référence, développé par la Commission européenne, est disponible depuis janvier 2025 sur GitHub sous licence Apache 2.0.

2. Révision des processus de signature électronique

Les entreprises utilisant actuellement des signatures simples ou avancées doivent cartographier leurs flux documentaires pour identifier les actes nécessitant une qualification supérieure selon eIDAS 2.0. Le règlement clarifie dans son considérant 37 que les 'transactions à risque élevé' (marchés publics, actes notariés, cessions de parts sociales) exigent systématiquement une signature qualifiée. Les contrats cadres commerciaux entre professionnels peuvent conserver une signature avancée si leur montant annuel reste inférieur à 100 000 euros (jurisprudence Tribunal UE T-158/24 du 8 novembre 2025).

La migration vers un PSCO certifié eIDAS 2.0 impose une analyse de compatibilité technique : formats de signature (PAdES, XAdES, CAdES), horodatage qualifié, conservation à valeur probante sur 10 ans minimum (article 34 du règlement).

3. Authentification forte et niveaux d'assurance

Les organisations doivent mapper leurs services en ligne sur les trois niveaux d'assurance eIDAS. L'ANSSI recommande dans son guide de février 2025 une approche par risque : niveau substantiel pour tout service traitant des données personnelles sensibles (santé, finances, identité), niveau élevé pour les actes juridiques engageant la responsabilité de l'entreprise au-delà de 25 000 euros. L'authentification multifactorielle (MFA) actuelle doit être revue : un simple SMS OTP ne qualifie plus pour le niveau substantiel selon le règlement d'exécution (UE) 2024/891 entré en vigueur le 1er janvier 2026.

4. Archivage probant et conformité RGPD

Les signatures électroniques qualifiées doivent être conservées avec leur chaîne de certificats complète et les preuves d'horodatage qualifié. Le règlement impose aux PSCO de maintenir leurs journaux d'audit pendant 15 ans minimum (article 24(2)i). Les entreprises clientes doivent donc contractualiser avec leurs prestataires la garantie de restitution de ces preuves en cas de changement de fournisseur. L'articulation avec le RGPD impose un DPO dédié pour les PSCO (article 37 RGPD), et une DPIA obligatoire pour tout traitement de données biométriques dans les wallets (considérant 18 eIDAS 2.0).

Les actions à mener selon un calendrier rétroplanifié depuis l'échéance du 20 mai 2026 :

1. Audit d'état des lieux (T-18 mois, novembre 2024) : Cartographier tous les flux d'identification et signature électronique actuels. Identifier les contrats avec des prestataires non qualifiés ou certifiés uniquement eIDAS 1.0. Lister les APIs et intégrations nécessitant une mise à jour technique pour accepter l'EUDIW.
2. Analyse de conformité juridique (T-15 mois, février 2025) : Faire valider par le service juridique la qualification requise (simple/avancée/qualifiée) pour chaque type de document signé électroniquement. Identifier les contrats clients ou CGV mentionnant explicitement des méthodes d'authentification obsolètes. Vérifier la conformité RGPD des flux d'attributs d'identité échangés via le wallet.
3. Sélection et contractualisation PSCO (T-12 mois, mai 2025) : Lancer un appel d'offres restreint aux prestataires certifiés eIDAS 2.0 par l'ANSSI. Exiger dans le cahier des charges la garantie de portabilité (export complet des signatures et preuves) et le SLA de disponibilité (99,9% minimum selon considérant 52 du règlement). Négocier les clauses de réversibilité et d'archivage à long terme.
4. Développements techniques (T-9 à T-3 mois, août 2025-février 2026) : Intégrer le SDK EUDIW de la Commission européenne ou développer une connexion OpenID4VP sur mesure. Implémenter le mapping entre niveaux d'assurance eIDAS et habilitations métiers internes. Mettre en place l'horodatage qualifié pour toutes les signatures avancées et qualifiées. Configurer l'archivage probant avec migration de format tous les 5 ans (recommandation ANSSI RGS v3.0).
5. Tests et recette (T-3 mois, février-avril 2026) : Tester l'interopérabilité avec au moins trois wallets nationaux différents (français, allemand, espagnol recommandés). Valider la complétude des preuves de signature (certificat, horodatage, politique de signature). Simuler un contrôle de l'autorité de supervision (ANSSI) sur un échantillon de 50 transactions.
6. Formation et conduite du changement (T-2 mois, mars-avril 2026) : Former les équipes métiers (RH, juridique, commercial) aux nouveaux processus. Communiquer auprès des clients/usagers sur le passage à l'authentification par wallet européen. Préparer un plan de bascule progressif avec double authentification pendant 3 mois.
7. Mise en production et monitoring (T-0, mai 2026) : Activer l'acceptation obligatoire de l'EUDIW pour tous les services concernés. Mettre en place un tableau de bord de supervision des taux de succès d'authentification et signature. Planifier un audit de conformité externe 6 mois après (novembre 2026).

Les entreprises de moins de 250 salariés peuvent mutualiser la démarche via leur fédération professionnelle : plusieurs branches (Syntec Numérique, FIEEC, MEDEF) ont lancé des groupes de travail eIDAS 2.0 avec kits de conformité partagés.

• 2024-05-30 : Publication du règlement eIDAS 2.0 (UE 2024/1183) au Journal officiel
• 2024-11-20 : Date limite de transposition nationale pour les dispositions nécessitant adaptation législative
• 2025-01-15 : Publication du référentiel ANSSI de certification des PSCO eIDAS 2.0
• 2025-08-01 : Ouverture du guichet de dépôt des demandes de certification eIDAS 2.0 auprès de l'ANSSI
• 2026-02-28 : Date limite pour les États membres de notifier à la Commission leur wallet national
• 2026-05-20 : Mise à disposition obligatoire de l'EUDIW dans tous les États membres
• 2026-05-20 : Obligation d'acceptation de l'EUDIW pour tous les services publics en ligne
• 2026-11-20 : Fin de la période transitoire pour les PSCO certifiés eIDAS 1.0 — recertification obligatoire
• 2027-05-20 : Application de l'obligation d'acceptation EUDIW aux VLOP privées (45M+ utilisateurs)

• Règlement eIDAS 2.0 (UE 2024/1183) — EUR-Lex
• Commission européenne — Politique eIDAS et identité numérique
• ANSSI — Cadre légal de la signature électronique
• ANSSI — Liste de confiance française (Trusted List) des prestataires qualifiés

La mise en conformité eIDAS 2.0 représente un chantier technique et juridique majeur pour toute organisation gérant des identités numériques ou des signatures électroniques. La distinction rigoureuse entre les trois niveaux de signature (simple, avancée, qualifiée) et les trois niveaux d'assurance (faible, substantiel, élevé) conditionne la validité juridique des transactions. L'obligation d'acceptation du wallet européen d'ici mai 2026 impose une refonte des systèmes d'authentification pour les services publics et les grandes plateformes privées. Les entreprises doivent impérativement cartographier leurs flux documentaires, contractualiser avec un PSCO certifié eIDAS 2.0, et former leurs équipes avant l'échéance réglementaire. Le non-respect de ces obligations expose à un refus de reconnaissance transfrontalière des transactions et à une perte de valeur probante des signatures électroniques existantes.

Auteur : Alexis Bertrand · Expert en identité numérique et signature électronique — eIDAS 2.0 · Mis à jour le 10/06/2026