eIDAS 2.0 et le portefeuille européen d'identité numérique : ce qui change pour les entreprises

D’ici la fin 2026, chaque État membre de l’UE devra proposer à ses citoyens un portefeuille d’identité numérique gratuit et garanti par l’État. Ce n’est pas une ligne sur une feuille de route : c’est une échéance légale, et le compte à rebours qui y mène tourne déjà depuis plus d’un an et demi. Le texte qui l’impose est eIDAS 2.0, formellement le règlement (UE) 2024/1183 : une modification du règlement européen de 2014 sur l’identification électronique et les services de confiance (eIDAS). En clair, chaque État membre doit mettre un portefeuille d’identité sur téléphone entre les mains de ses résidents, et les entreprises des secteurs réglementés seront progressivement tenues de l’accepter.

Si vous êtes responsable de l’identité, de la sécurité ou de la conformité dans une entreprise européenne, le sujet vaut quinze minutes dès maintenant : les obligations arrivent selon un calendrier prévisible, sur lequel vous pouvez bâtir vos plans — et une bonne partie de ce qui s’écrit sur le portefeuille surestime discrètement ce qu’il fera pour vous.

Un calendrier sur lequel vous pouvez bâtir vos plans

Le règlement est entré en vigueur le 20 mai 2024. Les dates qui comptent pour une entreprise sont arrimées aux actes d’exécution — les recueils de règles techniques que la Commission européenne publie en application du règlement. Le premier lot a été adopté fin novembre 2024 et est entré en vigueur en décembre 2024, ce qui a lancé deux comptes à rebours :

24 mois — fin 2026. Chaque État membre devra fournir au moins un portefeuille européen d’identité numérique (EUDI) à ses citoyens, résidents et entreprises, gratuitement.
36 mois — fin 2027. En vertu de l’article 5 septies du règlement, les parties utilisatrices privées tenues, par la loi ou par contrat, de recourir à une authentification forte de l’utilisateur devront accepter le portefeuille lorsqu’un utilisateur demandera à s’en servir. Les secteurs visés comprennent les transports, l’énergie, la banque, les services financiers, la sécurité sociale, la santé, l’eau potable, les services postaux, les infrastructures numériques, l’éducation et les télécommunications. Les microentreprises et les petites entreprises en sont exemptées. Les très grandes plateformes en ligne (le palier des 45 millions d’utilisateurs encadré par le règlement sur les services numériques) relèvent de la même échéance.

Où en est le déploiement en pratique ? Une enquête d’avril 2026 n’a trouvé aucun portefeuille certifié en production dans aucun État membre : le Danemark, l’Irlande, la France et l’Allemagne avaient ouvert des bacs à sable publics pour les tests d’intégration, plusieurs pays prévoient de faire évoluer leurs applications nationales d’identité existantes, et les autres n’avaient rien de public à tester. L’échéance est fixe ; l’état de préparation est inégal. Ces deux réalités doivent guider votre planification.

Ce que cela change pour votre entreprise

Quatre choses, concrètement.

L’entrée en relation client passe par une nouvelle porte. Aujourd’hui, vérifier en ligne l’identité d’un nouveau client suppose des photos de documents, des appels vidéo ou un détour par la connexion bancaire — pays par pays, prestataire par prestataire. Un portefeuille contient des attributs vérifiés par l’État que l’utilisateur peut présenter en quelques secondes, valables dans tous les États membres. Pour toute entreprise qui effectue des contrôles de connaissance client (KYC), c’est un canal moins coûteux et plus rapide que ceux qu’il remplace — et un canal que beaucoup d’entreprises des secteurs cités devront de toute façon accepter.
L’obligation tombe là où la PSD2 s’applique déjà. Les banques et les prestataires de paiement sont déjà soumis à la PSD2, la directive européenne sur les services de paiement qui impose l’authentification forte du client (SCA). L’obligation d’acceptation est écrite précisément pour cette population : des parties utilisatrices déjà tenues d’authentifier fortement leurs utilisateurs. Ce qu’elle ne fait pas, c’est réécrire la PSD2. La manière dont un paiement est approuvé, et dont cette approbation est liée au montant et au bénéficiaire, reste régie par les mêmes règles qu’avant.
Les signatures qualifiées cessent d’être une option payante. Le portefeuille permet aux citoyens de créer des signatures électroniques qualifiées — celles qui ont la même valeur juridique qu’une signature manuscrite — gratuitement pour un usage non professionnel. Attendez-vous, avec le temps, à voir arriver des clients capables de signer des contrats à un niveau de garantie qui exigeait jusqu’ici un certificat payant.
« Se connecter avec son portefeuille » devient une attente. Une fois que les services publics et les banques l’accepteront, les utilisateurs demanderont pourquoi votre portail client ne le fait pas. Pour les moyennes et grandes entreprises des secteurs listés, cette question a une réponse légale, datée de 2027.

Ce qu’eIDAS 2.0 ne veut pas dire

C’est la section que la plupart des documents de fournisseurs passent sous silence, alors soyons clairs.

Le portefeuille ne gère pas vos collaborateurs. C’est un moyen d’identification destiné aux citoyens, pour accéder aux services publics et aux services privés réglementés. Il ne dit rien de vos employés, de leurs rôles, de leur accès VPN, de leurs connexions Windows ni de leurs consoles d’administration. Rien dans le règlement ne remplace votre gestion des identités et des accès (IAM), et l’obligation de protéger ces connexions internes que vous impose NIS2 reste entièrement inchangée.
Ce n’est pas une authentification unique (SSO) pour les employés. Un employé qui prouve à l’État qui il est, et un employeur qui contrôle ce qu’un employé authentifié a le droit de faire : ce sont deux problèmes différents. Le portefeuille traite le premier ; l’authentification unique, la politique de session et les accès à privilèges restent de votre ressort.
Les dates sont des échéances, pas des dates de livraison. Les jalons législatifs ont jusqu’ici été tenus, mais au printemps 2026 aucun portefeuille n’avait été certifié pour la production et l’état de préparation variait fortement d’un pays à l’autre. Planifier l’acceptation du portefeuille est prudent ; bâtir votre posture de sécurité 2026 autour de son arrivée ne l’est pas.
Notakey n’est pas un fournisseur de portefeuille EUDI. Les portefeuilles sont délivrés par les États membres ou par des prestataires qu’ils mandatent et certifient. Nous n’en construisons pas, et ce billet n’est pas un argumentaire prétendant le contraire. Nous ne sommes pas non plus un prestataire de services de confiance qualifié : une approbation Notakey est une signature cryptographique liée à une demande précise, pas une signature électronique qualifiée. Ce que nous construisons se place à côté du portefeuille — c’est l’objet de la section suivante.

La place de l’authentification d’entreprise aux côtés du portefeuille

Le portefeuille répond extrêmement bien à une question : qui est cette personne ? C’est un instrument d’identification et d’entrée en relation. La question à laquelle vos systèmes répondent toute la journée est autre : cette personne précise vient-elle d’approuver cette action précise ? Le déblocage d’un paiement, une session VPN, une connexion à un serveur, un changement de compte bénéficiaire. C’est de l’authentification et de l’approbation de transactions, cela intervient bien après l’entrée en relation, et cela reste l’affaire de l’entreprise — portefeuille ou pas.

Cette couche opérationnelle, c’est ce que fait Notakey.

Chaque approbation est lisible et spécifique. Le téléphone de l’utilisateur affiche exactement ce qui est approuvé — quel système, quelle action, quel montant — et l’approbation est une signature cryptographique portant sur cette demande exacte. C’est le modèle de lien dynamique sur lequel la SCA de la PSD2 est bâtie, et c’est la seule chose qui déjoue le push-bombing : une demande que l’utilisateur n’a jamais lancée n’est visiblement pas la sienne.
La clé ne quitte jamais le téléphone. Elle est générée dans le matériel sécurisé de l’appareil : il n’existe donc aucun secret partagé à hameçonner, à intercepter ou à réinitialiser lors d’un appel au service d’assistance.
Chaque événement est une preuve. Chaque connexion et chaque transaction signée produit un enregistrement horodaté et infalsifiable — la piste d’audit que les évaluations PSD2, NIS2 et RGPD vous demandent de produire.
Il fonctionne là où vos données doivent rester. Sur site, dans votre propre infrastructure, ou dans le cloud, avec des utilisateurs issus des sources Active Directory, LDAP ou RADIUS que vous maintenez déjà.

Une architecture 2027 sensée, autrement dit, ce n’est pas le portefeuille ou l’authentification d’entreprise. C’est le portefeuille à la porte d’entrée, pour l’identification, et derrière lui une approbation de transactions forte et auditable pour tout ce que le client ou l’employé fait ensuite.

Comment se préparer : une courte liste

Classez-vous. Êtes-vous dans l’un des secteurs de l’article 5 septies, au-dessus du seuil des petites entreprises, et tenu par la loi ou par contrat de recourir à une authentification forte de l’utilisateur ? Si oui, l’acceptation du portefeuille est une obligation légale plutôt qu’une décision produit, et un chantier qui démarre en 2027 démarre en retard.
Inventoriez les parcours. Listez chaque point côté client où vous identifiez une personne ou exigez une SCA : entrée en relation, connexion, approbation de paiement, signature de contrat. Chacun est candidat à l’acceptation du portefeuille ; chacun a aussi besoin d’une solution de repli, puisque l’acceptation est au choix de l’utilisateur.
Suivez le portefeuille de votre État membre. Les échéances sont européennes ; les bacs à sable, la certification et les dates de lancement sont nationaux. Si un bac à sable public existe sur votre marché, un test d’intégration précoce est une assurance bon marché.
Gardez l’identité client et les accès internes séparés. Le portefeuille changera la première et pas les seconds. Budgétez-les et dotez-les en personnel comme les problèmes distincts qu’ils sont.
Comblez dès aujourd’hui les lacunes d’authentification d’aujourd’hui. Un code SMS qui peut être intercepté, ou une demande d’approbation sans contexte qu’un utilisateur finira par valider à force d’être harcelé, ne devient pas acceptable pendant que vous attendez les portefeuilles. Les attaquants ne travaillent pas sur le même calendrier.

Voyez où en sont vos parcours

Le moyen le plus rapide de comprendre la couche d’approbation est de l’utiliser une fois : en lisant et en signant une transaction précise depuis votre propre téléphone, comme le feraient vos clients ou vos administrateurs.

Essayez la démo en ligne pour en signer une en deux minutes environ, ou demandez une démo et nous ferons correspondre vos parcours SCA côté client et vos accès internes à un pilote sur votre propre infrastructure.

Cet article fournit une information générale et ne constitue pas un avis juridique. Les obligations d’eIDAS 2.0 dépendent de votre secteur, de votre taille et de la mise en œuvre nationale ; les actes d’exécution continuent d’être complétés. Vérifiez les échéances et les obligations qui s’appliquent à votre organisation auprès d’un conseil qualifié.