eIDAS 2.0 expliqué : ce que cela signifie pour votre entreprise

D'ici fin 2026, les États membres de l'UE devront offrir aux citoyens et aux entreprises l'accès à un wallet d'identité numérique. Les organisations qui émettent ou vérifient des documents liés à l'identité (des chambres de commerce aux banques, assureurs et plateformes d'achat) travailleront de plus en plus avec des credentials vérifiables plutôt qu'avec des PDF et des e-mails.

Les précurseurs bénéficient d'un avantage structurel : intégration plus rapide, risque de fraude réduit, contrôles de conformité automatisés et préparation aux réglementations obligatoires avant leur entrée en vigueur. Les organisations qui attendent devront faire face à une transition accélérée, plus coûteuse et plus perturbatrice.

Le premier règlement eIDAS, Regulation (EU) No 910/2014, faisait deux choses. Il rendait les schémas nationaux d'identité électronique reconnaissables au-delà des frontières, de sorte qu'un identifiant délivré dans un État membre pouvait ouvrir un service public dans un autre. Il donnait aussi aux services de confiance comme les signatures électroniques, les cachets et les horodatages une base juridique valable partout dans l'Union.

Dans les faits, la première moitié n'est jamais vraiment arrivée. La notification d'un schéma national était facultative : au début des années 2020, une large part des Européens n'avait aucune identité électronique notifiée, et les schémas existants fonctionnaient rarement hors de leur propre pays. Rien n'obligeait non plus les organisations privées à les accepter, ce qui a conduit banques, opérateurs télécoms et plateformes à construire leurs propres contrôles d'identité.

eIDAS 2.0, Regulation (EU) 2024/1183, conserve les services de confiance et reconstruit le volet identité autour du titulaire. Chaque État membre doit désormais proposer un wallet, et non plus seulement avoir la faculté de notifier un schéma, un groupe défini d'organisations privées doit l'accepter, et les faits vérifiés concernant une personne ou une entreprise deviennent un service de confiance à part entière. Le titulaire décide de ce qui est partagé à chaque transaction, et c'est ce basculement qui fait fonctionner tout le reste.

Pour une entreprise, la différence pratique tient au sens de l'histoire. Sous l'ancien cadre, vous choisissiez de prendre en charge ou non l'identité électronique, et vous concluiez généralement que le jeu n'en valait pas la chandelle. Sous le nouveau, l'infrastructure arrive de toute façon, vos contreparties en disposent gratuitement, et la question devient celle de la vitesse à laquelle vous saurez l'exploiter.

eIDAS 2.0 s'applique à deux niveaux. Les États membres doivent construire et exploiter l'infrastructure du European Digital Identity Wallet et la mettre à disposition des citoyens et des entreprises. Les organisations qui émettent ou vérifient des documents liés à l'identité, notamment les chambres de commerce, les banques, les assureurs, les administrations publiques et les plateformes d'achat, doivent pouvoir émettre des credentials vers ce wallet ou accepter des credentials présentés depuis celui-ci.

Le déploiement suit un calendrier fixe. D'ici fin 2026, chaque État membre de l'UE doit offrir aux citoyens et aux entreprises l'accès à un wallet d'identité numérique. Avant cette date, les organisations qui émettent ou vérifient des credentials sont censées disposer de la capacité technique pour travailler avec des credentials basés sur un wallet, la demande des détenteurs de wallet apparaissant dès que le wallet lui-même devient disponible.

En pratique, se préparer implique trois choses : aligner les formats de credentials sur les standards sur lesquels repose le portefeuille (W3C Verifiable Credentials, mdoc, OpenID4VC), se connecter à un registre de confiance afin que les credentials émis puissent être vérifiés sans contacter directement l'émetteur, et adopter une architecture de protection de la vie privée dès la conception qui conserve les credentials dans le wallet du détenteur plutôt que dans un registre partagé, et ne partage que les attributs dont le vérificateur a besoin. Les organisations qui s'y prennent tôt évitent la transition accélérée, les coûts plus élevés et les perturbations liés à une attente jusqu'à l'approche de l'échéance.

L'obligation principale est le wallet lui-même. Au plus tard le 24 décembre 2026, chaque État membre doit proposer au moins un European Digital Identity Wallet, gratuit pour les personnes physiques, et veiller à ce qu'il fonctionne pour les citoyens, les résidents et les entreprises. Les administrations publiques doivent l'accepter à partir de cette même date, dans leur propre pays et pour les titulaires de tout autre État membre.

Derrière le wallet se trouve une mécanique tout aussi importante pour une entreprise et qui attire bien moins l'attention. Les États membres doivent faire en sorte que les données d'identification des personnes puissent être délivrées dans le wallet, et que des sources authentiques telles que les registres du commerce, les registres de l'éducation et les ordres professionnels puissent fournir leurs données par voie électronique. Ils doivent aussi certifier les solutions de wallet et publier la liste de celles qui sont approuvées.

Deux de ces livrables sont ceux dont une partie utilisatrice dépend au quotidien. Il doit exister un moyen de vérifier gratuitement qu'un wallet présentant une attestation est authentique et toujours valide. Et il doit exister un registre national des parties utilisatrices, dans lequel votre propre organisation s'inscrit avant de pouvoir demander quoi que ce soit à un wallet.

Les avancées sont inégales : surveillez votre propre État membre plutôt que la moyenne européenne. La date est la même partout, mais l'autorité qui tient le registre des parties utilisatrices, la durée de l'inscription et les sources authentiques raccordées en premier relèvent de décisions nationales. Ce sont elles qui déterminent le moment où vous pourrez réellement commencer.

Les services de confiance sont la partie d'eIDAS que la plupart des entreprises utilisent déjà sans la nommer. Ce sont eux qui donnent un poids juridique à un document ou à un message électronique : signer, cacheter, horodater, envoyer en recommandé et, désormais, attester de faits concernant une personne ou une organisation.

Le mot qui compte est qualifié. Un service qualifié provient d'un prestataire supervisé et publié sur une liste de confiance nationale, et il bénéficie d'une présomption légale dans chaque État membre. Un tribunal part du principe que la signature, le cachet ou l'horodatage est bien ce qu'il prétend être, et c'est à celui qui le conteste d'en apporter la preuve. Un service non qualifié peut rester une excellente preuve, mais c'est à vous de l'établir.

Les services de confiance et le wallet sont les deux moitiés d'un même tableau. Le wallet détermine comment une attestation parvient à l'autre partie et ce que son titulaire choisit de révéler, tandis que les services de confiance font tenir le contenu par la suite. La plupart des organisations en utilisent finalement plusieurs à la fois : un cachet sur ce qu'elles émettent, une attestation pour les faits dont elles peuvent se porter garantes, et une signature partout où une personne doit s'engager.

À partir du 24 décembre 2027, accepter l'European Digital Identity Wallet cesse d'être facultatif pour une grande partie du secteur privé. L'obligation suit l'exigence d'authentification forte de l'utilisateur : c'est donc votre manière d'identifier les personnes qui décide, et non l'étiquette de votre secteur.

La règle se lit plus facilement à travers des exemples. Une banque effectue déjà un contrôle fort lorsqu'une personne ouvre un compte ou confirme un paiement : le wallet doit donc devenir l'un des moyens de satisfaire ce contrôle. Un opérateur télécom qui vérifie une identité avant d'activer un abonnement, un fournisseur d'énergie qui transfère un contrat et un assureur santé qui enregistre un nouvel adhérent se trouvent tous dans la même situation.

Il en va de même bien au-delà des secteurs réglementés les plus évidents. Une université qui inscrit des étudiants, un opérateur de transport qui délivre un badge au personnel, un organisme de sécurité sociale qui verse des prestations et une très grande plateforme en ligne qui connecte ses utilisateurs relèvent tous de l'obligation dès qu'ils authentifient quelqu'un. Si vous faites déjà passer vos usagers par un contrôle d'identité formel en ligne, partez du principe que vous êtes concerné et avancez à partir de là.

Deux limites méritent d'être gardées en tête. L'obligation est déclenchée par l'utilisateur, qui demande à se servir de son wallet plutôt que de se le voir imposer, et elle porte sur l'étape d'identification, pas sur toute la relation. Ce n'est pas non plus un permis d'en demander davantage : vous ne pouvez réclamer que les données couvertes par votre inscription en tant que partie utilisatrice, soit, dans la plupart des cas, moins qu'un document scanné ne vous en aurait donné.

Les administrations publiques ouvrent la marche. Dès que les portefeuilles sont disponibles, ce qui doit être le cas au plus tard le 24 décembre 2026, elles doivent les accepter partout où elles exigent déjà une identification électronique, dans leur propre pays et pour les citoyens des autres États membres.

Les microentreprises et les petites entreprises sont exemptées de l'obligation d'acceptation. Les très grandes plateformes en ligne désignées au titre du Digital Services Act y sont soumises dès lors qu'elles authentifient des utilisateurs, même si le règlement ne leur fixe pas de date distincte.

Si votre organisation ne figure sur aucune des deux listes, la question pratique reste la même. Chaque vérification d'identité que vous réalisez aujourd'hui peut devenir une attestation présentée depuis un portefeuille en quelques secondes, avec moins de fraude, aucune gestion de documents et aucune donnée à conserver et à protéger vous-même.

Le European Digital Identity Wallet est conçu autour d'une personne. C'est la bonne forme pour prouver qui se trouve en face de vous, et la mauvaise pour la plupart des processus entre entreprises, qui portent sur l'organisation : quelle entité juridique vous avez en face, qui peut agir pour elle et jusqu'où va ce pouvoir.

eIDAS 2.0 permet déjà à une organisation de détenir des attestations et d'en recevoir qui la concernent, si bien que les données d'entreprise peuvent circuler dans un wallet dès aujourd'hui. Ce qu'il ne règle pas, c'est la couche administrative qui l'entoure : mandats, pouvoirs de représentation, dépôts et échange de documents entre entreprises et administrations, qui passe encore par des portails et des courriels.

Le 19 novembre 2025, la Commission européenne a proposé un règlement distinct pour le European Business Wallet afin de couvrir précisément cette couche. Il suit encore le processus législatif : aucune date ne permet donc de planifier, et personne ne devrait l'attendre avant d'agir.

La préparation utile n'est pas technique. Décidez dès maintenant qui, dans votre organisation, est responsable des attestations d'entreprise et qui peut engager la société, car c'est ce que tout wallet devra exprimer. Se mettre d'accord en interne prend généralement plus de temps que de construire l'intégration.

eIDAS 2.0 est supervisé, et non déclaratif. Chaque État membre désigne un organisme qui contrôle les prestataires de services de confiance qualifiés et peut retirer le statut qualifié, ainsi qu'un organisme qui supervise les fournisseurs de wallet opérant sur son territoire. Les autorités de protection des données conservent leur rôle propre partout où des données personnelles sont en jeu, c'est-à-dire presque partout sur ce sujet.

L'inscription en tant que partie utilisatrice est l'élément qui touche le plus directement les entreprises ordinaires. Comme votre inscription précise ce que vous êtes autorisé à demander à un wallet, en demander plus est visible, signalable et susceptible d'une action de l'autorité de supervision. Les États membres doivent prévoir des sanctions en cas de manquement au règlement et les rendre effectives, proportionnées et dissuasives, les montants étant fixés au niveau national.

Pour la plupart des organisations, le premier coût du retard n'est pourtant pas une amende. C'est un client capable de prouver quelque chose en quelques secondes à qui l'on demande de téléverser un scan, un concurrent qui l'intègre l'après-midi même, et une question d'achat à laquelle vous ne savez pas bien répondre.

Le second coût est celui du calendrier. Tout ce qui figure sur la liste ci-dessous demande des mois de préparation plutôt que des semaines, et tout doit se produire dans la même fenêtre que pour les autres. Commencer tôt, c'est surtout éviter de disputer plus tard une attention devenue rare.

La Business Wallet de Credenco est conçue dès l'origine pour répondre aux exigences d'eIDAS 2.0. Elle met en œuvre les W3C Verifiable Credentials, OpenID4VC pour l'émission et la présentation des credentials, et vérifie la confiance des émetteurs par rapport aux listes de confiance eIDAS de l'UE, garantissant que chaque credential émis via Credenco bénéficie de la confiance fondée sur des standards exigée par le règlement.

Les credentials sont conservés dans le wallet propre à chaque organisation, et non dans un registre partagé, et les détenteurs ne divulguent que les attributs dont le vérificateur a besoin. Cette architecture fondée sur la protection de la vie privée dès la conception n'est pas un ajout a posteriori : c'est un principe de conception fondamental, directement aligné à la fois sur le RGPD et sur les exigences du wallet d'eIDAS 2.0.