Comprendre le règlement eIDAS Volume 4
Premier panorama des actes d’exécution
du Règlement eIDAS modifié
Ce guide fait le point sur les actes d’exécution adoptés dans le cadre du règlement eIDAS révisé, et leur impact pour les parties utilisatrices des Portefeuilles Européens d’Identité Numérique (PEIN).
Le cadre européen de l’identité numérique
Le cadre européen relatif à une identité numérique est un élément essentiel pour la mise en place d’un écosystème d’identité numérique sécurisé et interopérable dans l’ensemble de l’Union. Avec pour pierre angulaire les Portefeuilles européens d’identité numérique (PEIN), il vise à faciliter l’accès aux services dans l’ensemble des États membres.
Il se définit à l’art. 3.42 du Règlement eIDAS comme « un moyen d’identification électronique qui permet à l’utilisateur de stocker, de gérer et de valider en toute sécurité des données d’identification personnelle et des attestations électroniques d’attributs afin de les fournir aux parties utilisatrices et aux autres utilisateurs des portefeuilles européens d’identité numérique, et de signer au moyen de signatures électroniques qualifiées ou d’apposer des cachets au moyen de cachets électroniques qualifiés ».
Le règlement prévoit d’apporter des précisions au moyen d’actes d’exécution. Le présent document se propose de faire un premier état des lieux des actes d’exécution votés et leur apport du point de vue de la partie utilisatrice.
L’Identité numérique
Le Triangle de Confiance et les acteurs associés : l’écosystème du PEIN
Le fonctionnement du PEIN repose sur la détention et le seul contrôle par le citoyen des informations le concernant. Ces données peuvent être issues de «fournisseur de données d’identification personnelle» ou des fournisseurs «d’attestation d’attribut». Ces derniers sont régis par le règlement lui-même. Le fournisseur de données d’identification personnelle est défini dans l’acte d’exécution CIR 2024/2977.
Une partie de la sécurité de ce modèle repose sur la séparation des rôles entre l’émetteur d’information (Issuer), l’utilisateur du PEIN (Holder) et la Partie Utilisatrice (Verifier). Cette contrainte imposée par l’acte d’exécution est une garantie de l’interopérabilité au sein de l’écosystème.
Émet des attestations d’attributs
Obtient, conserve et présente les attestations d’attributs
Utilise et vérifie les attestations d’attributs
Préserve la validité et l’authenticité des attributs d’identité
Acronymes
Entité qui crée une attestation, composée d’une série d’attributs relatives au porteur. Par exemple, une université qui délivre des diplômes universitaires ou des certificats à ses anciens étudiants.
Entité qui possède une ou plusieurs attestations et qui peut les transmettre à des tiers. Par exemple, une personne qui « détient » ses propres diplômes universitaires.
Entité qui effectue la vérification d’une attestation afin de contrôler la validité, la cohérence, etc. Par exemple, un service numérique qui vérifie la validité d’un diplôme avant l’embauche d’une personne.
Ensemble des mécanismes permettant une vérification de la validité des attestations. Par exemple, une liste de révocation.
Enrôlement et constitution de la base d’attributs par l’utilisateur
Concrètement, le citoyen télécharge sur son téléphone mobile une application proposée par un fournisseur de PEIN. Ce fournisseur authentifie le portefeuille en lui attribuant une attestation d’authenticité. Sur la base de cette attestation, prouvant la détention du PEIN par le citoyen, le citoyen demande aux fournisseurs de données d’identité (PID provider) une attestation de son identité de personne physique ou morale et l’associe à son PEIN. Il peut ensuite demander des attestations d’attributs à d’autres fournisseurs pour enrichir son identité.
Utilisation du PEIN auprès des parties utilisatrices
Lors des échanges avec une partie utilisatrice, celle-ci demande au citoyen les attributs nécessaires à la délivrance de son service. Le citoyen consent à fournir ses attributs et uniquement ceux-là. La partie utilisatrice peut alors vérifier que les attributs sont bien authentiques et les utiliser à des fins de preuve.
Le recours au PEIN pour des parties utilisatrices doit toujours appréhender les exigences nationales applicables à un service cible ainsi que le principe de minimisation des données concernant la délivrance du service cible (art. 5 ter 4 du RGPD).
La transparence est de rigueur quant aux parties utilisatrices. Comme les fournisseurs de PEIN, d’attributs et de PID, elles devraient apparaître sur des listes de confiance d’ici le 21 mai 2026.
Un règlement d’exécution n°2025/848 du 6 mai 2025 vient traiter les modalités d’enregistrement en question, à savoir la mise en place de registres nationaux des parties utilisatrices des PEIN (art.3), la publication d’une ou plusieurs politiques d’enregistrement nationales ainsi que des procédures d’enregistrement établies par les bureaux d’enregistrement. Il précise également les conditions de suspension et d’annulation d’un tel enregistrement. Ces informations devront être conservées pendant 10 ans.
Afin de garantir la compatibilité entre les acteurs de l’écosystème, des protocoles sont définis par les actes d’exécution. Ils ne sont pas exhaustifs mais sont un socle minimum commun des PEIN. Chaque unité de portefeuille dispose d’une attestation d’authenticité signée qui permet à la Partie Utilisatrice de s’assurer qu’elle échange avec un PEIN valide. Le contenu autorisé de l’attestation a été défini lors de l’enregistrement pour empêcher toute divulgation inutile.
Parmi les cas d’utilisation figurent l’échange d’attributs mais aussi le suivi des données transmises, leur journalisation, leur portabilité et leur demande d’effacement. La journalisation et la portabilité permettent à un utilisateur de changer de fournisseur de PEIN sans perte des attestations déjà reçues. Ce point anodin est en fait une évolution majeure : une copie des données est conservée sur un serveur. Le chiffrement de bout en bout apparaît comme la seule solution viable pour assurer la confidentialité.
Cadre juridique : Panorama des Règlements d’exécution
Différents Règlements d’application ont été publiés sur ce sujet en novembre 2024, puis en mai et juillet 2025.
Règlements publiés en novembre 2024
Précise les protocoles et interfaces utilisés par les solutions de PEIN en prévoyant un mécanisme fiable permettant d’authentifier les parties utilisatrices, à d’autres moyens d’identification électronique (MIE), ou à un service de confiance.
Prévoit les conditions de certification des solutions par des propriétaires de schémas nationaux en se référant aux schémas européens de certification de cybersécurité établis en vertu du CyberSecurity Act. L’intégralité des solutions de PEIN doit être certifiée au niveau de garantie élevé.
Prévoit une différenciation technique et une répartition claire des responsabilités en distinguant les différents composants et configurations des PEIN. Tous les PEIN doivent être techniquement capables de recevoir et de présenter des données dans des scenarii transfrontaliers.
Précise que certaines fonctionnalités communes devraient être disponibles dans tous les PEIN, y compris la capacité de demander, d’obtenir, de sélectionner, de combiner, de stocker, de supprimer, de partager et de présenter en toute sécurité les données d’identification personnelle et les attestations électroniques d’attributs.
Règlements publiés en mai 2025
Établit les règles relatives au processus de mise en correspondance d’identité transfrontière des personnes physiques par des organismes du secteur public.
Traite des règles relatives aux réactions aux atteintes à la sécurité du PEIN (modalités de constatation, suspension et rétablissement, retrait du PEIN).
Détermine les conditions d’enregistrement des parties utilisatrices, la tenue de registres nationaux, la délivrance de certificats d’accès, les conditions de suspension et d’annulation, et les modalités de conservation des informations.
Règlements publiés en juillet 2025
Précise l’article 24 du règlement concernant l’identification des personnes. Traite des normes de référence applicables à la vérification de l’identité, notamment la norme ETSI TS 119 461 V2.1.1 (2025-02).
Définit les règles applicables au nouveau prestataire de service de confiance qualifié de gestion de Dispositifs qualifiés de création de signature électronique (QSCD) à distance. Référence la norme ETSI TS 119 431-1.
Met à jour les procédures de coopération des États membres et de revue par les pairs au sein de l’Union Européenne. Le déclenchement de la revue par les pairs devient automatique dès lors qu’un État membre procède à la notification préalable d’un schéma d’identification électronique.
Définit les règles applicables au nouveau prestataire de service qualifié de fourniture d’attestations électroniques d’attribut, les normes, procédures de délivrance et de révocation, ainsi que les mécanismes de vérification des sources authentiques.
Revoit le processus de notification des dispositifs de création de signature et de cachet (QSCD/QSealCD). Définit les formats et procédures obligatoires de notification aux instances européennes.
Établit les procédures de rapport des autorités et leur collaboration. Impose aux autorités de supervision de structurer leurs rapports annuels selon des formats standardisés.
Définit les modalités de notification d’intention que doivent envoyer les prestataires de services de confiance qualifiés à l’autorité de supervision, avec les rapports d’évaluation de conformité et les plans de cessation.
Quel intérêt d’être Partie utilisatrice ?
Le règlement crée une obligation d’utilisation des PEIN vis-à-vis de 3 catégories d’acteurs, dans certaines conditions :
Lorsque les États membres exigent une identification et une authentification électroniques pour accéder à un service en ligne.
Dès lors qu’une authentification forte est exigée par une réglementation ou contractuellement pour l’identification en ligne.
Dès lors qu’une authentification est requise par la plateforme en ligne.
Les services de confiance numérique
Quelles sont les précisions apportées par les actes d’exécution d’eIDAS v2 ?
L’adoption des actes d’exécution du règlement eIDAS a été mise en œuvre selon un calendrier suivant un lotissement. Une série d’actes d’exécution portant majoritairement sur les services de confiance a été publiée pour appel à commentaire en mai et septembre 2025. Certains sont votés à l’heure de la rédaction de cette note et d’autres sont en attente.
Ce qu’il faut retenir de ses actes pour la partie utilisatrice est qu’ils apportent une standardisation de la mise en œuvre des services. En effet, avant 2024, les règles permettant de démontrer la fiabilité du service pouvaient différer selon les États membres. Au travers de ces actes d’exécution, la version révisée du règlement permet la définition d’un socle commun.
Les normes européennes et internationales sont majoritairement reprises et parfois adaptées. On retrouve donc une liste descriptive de normes ETSI, EUCC, et autres ISO décrivant les services. Les critères de choix de ces normes et en particulier l’attention portée à la gouvernance de celles-ci représentent un acte fort de souveraineté au service d’un règlement visant lui-même à contribuer à la souveraineté des citoyens européens.
Pour plus de précision sur la liste des services de confiance du règlement eIDAS et les modifications par rapport à la version de 2014, consultez le guide « Comprendre le règlement eIDAS volume 3 : le règlement eIDAS 2.0 ».
Applications
Identification
L’utilisation du PEIN facilite la vérification d’identité puisqu’il permet d’éviter une nouvelle vérification d’identité d’une personne non-cliente de la partie utilisatrice. En effet cette identification a été réalisée lors de la délivrance du PEIN. Elle est équivalente à une vérification d’identité réalisée lors d’un face à face physique. Cette faculté présente un intérêt indéniable pour répondre aux obligations en matière de KYC tout au long de la relation d’affaire dans le secteur bancaire.
Authentification
Le PEIN pourra aussi être utilisé pour les besoins d’authentification d’un utilisateur d’une plateforme de services. Cela pourrait en particulier être le cas pour l’accès aux sites de banques en ligne, ou pour les paiements électroniques eux-mêmes.
Signature électronique qualifiée
Le PEIN permettra d’apposer des signatures et des cachets électroniques qualifiés. Les mécanismes d’intégration et le rôle de chaque prestataire dans l’écosystème restent très ouverts. L’interopérabilité des dispositifs de signature est essentielle. À cette fin, le protocole CSC est défini comme norme minimale à l’annexe 4 du Règlement d’exécution n°2024/2979.
Fourniture d’informations complémentaires
Le Règlement d’exécution 2024/2977 précise, au travers de 2 listes, les attributs que le PEIN devra porter de façon obligatoire (nom, prénom, date de naissance, lieu de naissance, nationalité) et de façon facultative (adresse, pays de résidence, portrait, prénom, nom de naissance, sexe, adresse mail et numéro de téléphone). La certification de ces attributs facultatifs au travers du PEIN pourrait permettre une fiabilisation des échanges.
Ce qu’il faut retenir
Les parties utilisatrices ne pourront pas imposer le recours à un PEIN. Elles devront donc se mettre en capacité à gérer les différentes situations :
- Des clients personnes physiques avec et sans PEIN.
- Des clients personnes morales avec et sans PEIN.
Une attention particulière devra être portée par les parties utilisatrices au rapprochement entre leurs clients connus et le PEIN.
La responsabilité des différents acteurs de l’écosystème d’identité numérique dépendra d’une analyse des obligations découlant des actes d’exécution.
Ces actes d’exécution ont pour objectif de parfaire la mise en place d’un écosystème sécurisé et souverain d’identité numérique. De nouveaux actes d’exécution seront encore publiés avant la fin de l’année.