eIDAS 2 : portefeuille d’identité numérique et services de confiance

Dossier tenu à jour. Dernière mise à jour le 31 octobre 2026. Prochaine revue le 24 décembre 2026. Temps de lecture : 17 minutes.

Dossier Régulation

Sommaire

1. Calendrier d’application
2. Le portefeuille européen d’identité numérique
3. Qui devra accepter le portefeuille ?
4. Identification électronique notifiée
5. Services de confiance : quels effets juridiques ?
6. Certificats de site internet et navigateurs
7. Obligations des prestataires de services de confiance
8. Sanctions et contrôle en France
9. Nos analyses sur ce texte
10. Ce que nous ne savons pas encore
11. Questions fréquentes
12. Historique des mises à jour
13. Textes et sources officielles

Calendrier d’application

• 1^er juillet 2016 Application de la plupart des dispositions du règlement eIDAS de 2014, dont les services de confiance (article 52).
• 29 septembre 2018 Reconnaissance obligatoire, par les organismes publics, des moyens d’identification électronique notifiés par les autres États membres (article 6, applicable trois ans après la date d’application des règlements d’exécution 2015/1501 et 2015/1502, selon l’article 52, paragraphe 2, point c, du règlement de 2014).
• 30 avril 2024 Publication du règlement eIDAS 2 (2024/1183) au Journal officiel de l’Union européenne.
• 20 mai 2024 Entrée en vigueur d’eIDAS 2, sans report d’application, y compris pour l’obligation des navigateurs de reconnaître les certificats qualifiés d’authentification de site internet, dont les normes de référence ne s’appliquent qu’à partir du 6 janvier 2027.
• 24 décembre 2024 Entrée en vigueur des règlements d’exécution 2024/2977, 2024/2979, 2024/2980, 2024/2981 et 2024/2982 sur les portefeuilles, adoptés le 28 novembre 2024 : point de départ des délais de l’article 5 bis et de l’article 5 septies.
• 21 mai 2025 Date limite d’adoption par la Commission de la plupart des actes d’exécution sur les services de confiance, adoptés ensuite de juillet à décembre 2025.
• 21 mai 2026 Fin des mesures transitoires de l’article 51 (paragraphes 2 et 3) : la gestion à distance de dispositifs qualifiés de création de signature ou de cachet exige désormais le statut qualifié, et les certificats qualifiés délivrés sous la directive 1999/93/CE perdent ce caractère. Date limite aussi pour que les prestataires qualifiés avant le 20 mai 2024 remettent un rapport d’évaluation de la conformité sur la vérification d’identité (article 51, paragraphe 4).
• 11 août 2026 Entrée en vigueur des règlements d’exécution 2026/1730, 2026/1731 et 2026/1735 du 15 juillet 2026, qui modifient les normes des portefeuilles, l’enregistrement des parties utilisatrices (2025/848) et les attestations d’attributs (2025/1569).
• 19 août 2026 Application des règles sur la notification d’intention avant le lancement d’un service qualifié (règlement d’exécution 2025/1572), et sur la liste des organismes publics émetteurs, les catalogues d’attributs et de programmes d’attestation et la vérification auprès des sources authentiques (2025/1569, articles 6 à 9, le reste du règlement s’appliquant depuis le 19 août 2025).
• 24 décembre 2026 Chaque État fournit au moins un portefeuille (article 5 bis, paragraphe 1, calcul) ; application des règles d’enregistrement des parties utilisatrices (2025/848) et de mise en correspondance des identités (2025/846).
• 6 janvier 2027 Application des normes des certificats qualifiés d’authentification de site internet (règlement d’exécution 2025/2527).
• 21 mai 2027 Les dispositifs sécurisés de création de signature reconnus au titre de la directive 1999/93/CE cessent d’être des dispositifs qualifiés (article 51, paragraphe 1).
• 19 août 2027 Application des normes de vérification de l’identité avant délivrance d’un certificat qualifié (2025/1566) et des règles de gestion à distance des dispositifs qualifiés de création de signature et de cachet (2025/1567).
• 24 décembre 2027 Acceptation du portefeuille par les entreprises privées tenues à une authentification forte, hors microentreprises et petites entreprises (article 5 septies, paragraphe 2, calcul). Notre analyse.
• 11 août 2028 Les portefeuilles doivent authentifier et valider le certificat d’enregistrement des parties utilisatrices (règlement d’exécution 2024/2982, article 3, paragraphe 4, modifié par le 2026/1731).

Le 24 décembre 2026 et le 24 décembre 2027 résultent de notre calcul : le règlement fixe des délais de vingt-quatre et de trente-six mois à compter de l’entrée en vigueur des actes d’exécution de l’article 5 bis, paragraphe 23, et de l’article 5 quater, paragraphe 6, intervenue le 24 décembre 2024.

Le portefeuille européen d’identité numérique

Le portefeuille est un moyen d’identification électronique qui permet de stocker, de gérer et de valider des données d’identification personnelle et des attestations électroniques d’attributs, de les présenter aux parties utilisatrices, et de signer ou d’apposer un cachet au moyen de signatures ou de cachets électroniques qualifiés (article 3, point 42). Il permet aussi de s’authentifier en ligne et, le cas échéant, hors ligne (article 5 bis, paragraphe 4, point a).

Sa délivrance, son utilisation et sa révocation sont gratuites pour les personnes physiques (article 5 bis, paragraphe 13). Son usage est volontaire, et l’accès aux services par d’autres moyens d’identification doit rester possible (paragraphe 15). Il doit permettre la divulgation sélective des données (paragraphe 4, point a). Les portefeuilles « offrent à toutes les personnes physiques la possibilité de signer, par défaut et gratuitement, au moyen de signatures électroniques qualifiées » (paragraphe 5, point g) ; les États peuvent limiter cette gratuité aux fins non professionnelles (paragraphe 5, deuxième alinéa).

Selon la DINUM (21 octobre 2026), l’application France Identité « constitue la base du portefeuille européen d’identité numérique développé par la France ». La DINUM écrit que le portefeuille « devra être proposé par chaque État membre courant 2027 », alors que le calcul à partir du règlement donne le 24 décembre 2026 ; la Commission écrit que le cadre impose aux États de fournir les portefeuilles aux citoyens d’ici la fin de 2026.

Qui devra accepter le portefeuille ?

Qui	Obligation	Date
Services en ligne des organismes du secteur public qui exigent une identification et une authentification électroniques (obligation à la charge des États)	Acceptent les portefeuilles (article 5 septies, paragraphe 1)	Dès la fourniture des portefeuilles, selon notre lecture
Entreprises privées tenues par la loi ou par contrat à une authentification forte, hors microentreprises et petites entreprises	Acceptent les portefeuilles, à la demande de l’utilisateur (article 5 septies, paragraphe 2)	24 décembre 2027 (calcul)
Très grandes plateformes en ligne qui exigent une authentification	Acceptent les portefeuilles, à la demande de l’utilisateur et pour les données minimales nécessaires (paragraphe 3)	Pas de délai propre
Toute partie utilisatrice, publique ou privée, qui recourt au portefeuille	S’enregistre dans l’État où elle est établie et déclare les données qu’elle demandera (article 5 ter)	24 décembre 2026 (règlement d’exécution 2025/848)

L’article 5 septies, paragraphe 2, cite parmi les domaines concernés les transports, l’énergie, la banque et les services financiers, la sécurité sociale, la santé, l’eau potable, les services postaux, les infrastructures numériques, l’éducation et les télécommunications ; la liste n’est pas limitative. Une partie utilisatrice ne peut demander d’autres données que celles déclarées lors de son enregistrement (article 5 ter, paragraphe 3) et ne peut refuser un pseudonyme lorsque la loi n’exige pas l’identification de l’utilisateur (paragraphe 9). Les intermédiaires qui agissent pour son compte sont réputés être eux-mêmes des parties utilisatrices et ne conservent pas de données sur le contenu de la transaction (paragraphe 10). En France, l’enregistrement se fera dans un registre opéré par la DINUM et intégré à Datapass. Nous avons détaillé ces obligations dans notre analyse du portefeuille.

Identification électronique notifiée

Avant le portefeuille, eIDAS a organisé la reconnaissance mutuelle des moyens d’identification électronique nationaux. Un État notifie son schéma à la Commission avec un niveau de garantie (faible, substantiel ou élevé). Lorsqu’un organisme public exige une identification de niveau substantiel ou élevé pour un service en ligne, il doit reconnaître les moyens notifiés par les autres États d’un niveau au moins équivalent (article 6). eIDAS 2 rend obligatoire l’examen par les pairs avant notification (article 12), sauf pour les schémas certifiés (article 12 bis).

Selon la dernière liste publiée par la Commission que nous avons consultée (12 août 2026), la France a notifié deux schémas : FranceConnect+ avec l’Identité numérique La Poste, de niveau substantiel (publication au Journal officiel de l’Union le 10 décembre 2021), et France Identité, de niveau élevé (2 décembre 2024).

La proposition de la Commission de juin 2021 prévoyait un « identifiant électronique univoque et persistant » ; le texte final n’en crée pas. Il impose aux États, lorsqu’ils agissent comme parties utilisatrices pour des services transfrontières, une « mise en correspondance des identités sans équivoque » des personnes qui utilisent un moyen notifié ou un portefeuille, avec des mesures pour empêcher le profilage des utilisateurs (article 11 bis). Le règlement d’exécution 2025/846, qui précise cette obligation, s’applique à partir du 24 décembre 2026.

Services de confiance : quels effets juridiques ?

Le règlement définit quatorze activités de service de confiance (article 3, point 16), parmi lesquelles la délivrance et la validation de certificats, la création et la validation de signatures et de cachets, la conservation, l’horodatage, l’envoi recommandé électronique et, depuis eIDAS 2, la gestion de dispositifs de création de signature à distance, les attestations électroniques d’attributs, l’archivage électronique et l’enregistrement de données dans un registre électronique.

Une signature électronique, qualifiée ou non, ne peut pas être privée d’effet juridique ni écartée comme preuve en justice au seul motif qu’elle est électronique ou qu’elle n’est pas qualifiée (article 25, paragraphe 1). Le même principe vaut pour les cachets, horodatages, envois recommandés, attestations d’attributs, archivage et registres électroniques (articles 35, 41, 43, 45 ter, 45 decies et 45 duodecies, paragraphe 1). La version qualifiée, fournie par un prestataire inscrit sur une liste de confiance, apporte en plus les effets suivants :

Service qualifié	Effet juridique
Signature électronique qualifiée	Effet équivalent à celui d’une signature manuscrite (article 25, paragraphe 2) ; reconnue dans tous les États membres (article 24 bis)
Cachet électronique qualifié	Présomption d’intégrité des données et d’exactitude de leur origine (article 35, paragraphe 2)
Horodatage électronique qualifié	Présomption d’exactitude de la date et de l’heure, et d’intégrité des données (article 41, paragraphe 2)
Envoi recommandé électronique qualifié	Présomption d’intégrité, d’envoi par l’expéditeur identifié, de réception par le destinataire identifié et d’exactitude de la date et de l’heure (article 43, paragraphe 2)
Attestation électronique d’attributs qualifiée, ou délivrée par un organisme public responsable d’une source authentique ou pour son compte	Même effet juridique qu’une attestation délivrée légalement sur papier (article 45 ter, paragraphe 2)
Archivage électronique qualifié	Présomption d’intégrité et d’origine des données pendant la période de préservation (article 45 decies, paragraphe 2)
Registre électronique qualifié	Présomption de classement chronologique séquentiel unique et précis des enregistrements et de leur intégrité (article 45 duodecies, paragraphe 2)

En France, l’ANSSI tient la liste nationale de confiance des prestataires qualifiés ; la Commission publie l’ensemble des listes européennes sur son tableau de bord eIDAS.

Certificats de site internet et navigateurs

Les fournisseurs de navigateurs doivent reconnaître les certificats qualifiés d’authentification de site internet (QWAC) et afficher « de manière conviviale » les données d’identité qu’ils attestent (article 45, paragraphe 1 bis). Les microentreprises et petites entreprises qui fournissent un navigateur sont dispensées, pendant leurs cinq premières années d’activité dans ce domaine, de l’obligation d’assurer la compatibilité et l’interopérabilité avec ces certificats. Les QWAC eux-mêmes ne peuvent être soumis à aucune exigence obligatoire autre que celles du paragraphe 1, qui renvoie à l’annexe IV (paragraphe 1 ter).

En cas de préoccupations étayées concernant une atteinte à la sécurité ou la perte d’intégrité d’un certificat identifié, un navigateur peut prendre des mesures conservatoires, qu’il notifie dans les meilleurs délais à la Commission, à l’organe de contrôle, au titulaire et au prestataire (article 45 bis). Pour un site, l’usage d’un QWAC reste volontaire, et la reconnaissance n’affecte pas la liberté des navigateurs d’assurer la sécurité du chiffrement et de l’authentification de domaine par les moyens qu’ils jugent appropriés (considérant 65). Les normes techniques de ces certificats s’appliquent à partir du 6 janvier 2027.

Obligations des prestataires de services de confiance

Tout prestataire, qualifié ou non, doit gérer les risques juridiques, commerciaux et opérationnels liés à ses services et notifier, dans les vingt-quatre heures, les atteintes à la sécurité ou perturbations qui ont une incidence importante sur le service ou sur les données personnelles qu’il conserve. La notification va à l’organe de contrôle, aux personnes affectées identifiables et, le cas échéant, au public et aux autres autorités compétentes. Pour les prestataires non qualifiés, ces règles figurent à l’article 19 bis : le délai court à partir du moment où le prestataire a connaissance de l’incident, et le règlement d’exécution 2025/2160 précise les mesures de gestion des risques. Pour les prestataires qualifiés, elles figurent à l’article 24, paragraphe 2, points f bis et f ter : le délai court à partir de l’incident.

Le prestataire qualifié vérifie l’identité et les attributs de la personne avant de délivrer un certificat ou une attestation qualifiés, par un portefeuille, un moyen d’identification notifié de niveau élevé, un certificat qualifié délivré selon ces méthodes, une autre méthode d’un degré de confiance élevé confirmée par un organisme d’évaluation de la conformité, ou en présence physique (article 24, paragraphes 1, 1 bis et 1 ter). Il informe l’organe de contrôle au moins un mois avant toute modification de ses services qualifiés et au moins trois mois avant une cessation d’activité, et dispose d’un plan d’arrêt d’activité (article 24, paragraphe 2). Un organisme d’évaluation de la conformité l’audite au moins tous les vingt-quatre mois, y compris sur le respect de l’article 21 de la directive NIS2 (article 20, paragraphe 1).

La directive (UE) 2022/2555 (NIS2) s’applique aux prestataires de services de confiance quelle que soit leur taille (article 2, paragraphe 2, point a). Les prestataires qualifiés sont des entités essentielles (article 3, paragraphe 1, point b) ; les autres le sont s’ils dépassent les seuils des moyennes entreprises, et sont sinon des entités importantes (article 3, paragraphes 1, point a, et 2). Lorsque l’autorité NIS2 signale qu’un prestataire qualifié ne respecte pas l’article 21 de la directive, l’organe de contrôle lui retire le statut qualifié si l’ampleur, la durée et les conséquences du manquement le justifient (article 20, paragraphe 3 bis, du règlement eIDAS).

Acte d’exécution	Objet	Application
2025/2160	Gestion des risques des prestataires non qualifiés	En vigueur depuis le 17 novembre 2025
2025/2530	Exigences applicables aux prestataires qualifiés (article 24, paragraphe 5)	En vigueur depuis le 6 janvier 2026
2025/1572	Notification d’intention et vérification avant le lancement d’un service qualifié	19 août 2026
2025/2527	Normes des certificats qualifiés d’authentification de site internet	6 janvier 2027
2026/248	Formats de signatures et cachets avancés reconnus par les organismes publics	En vigueur depuis le 23 février 2026 ; formats de l’annexe I exigés à partir du 23 février 2027 ; formats de l’annexe II reconnus pour les signatures créées avant le 23 février 2028
2025/1566	Vérification de l’identité et des attributs avant délivrance d’un certificat ou d’une attestation qualifiés	19 août 2027
2025/1567	Gestion à distance des dispositifs qualifiés de création de signature et de cachet	19 août 2027

Sanctions et contrôle en France

Les États membres fixent des sanctions « effectives, proportionnées et dissuasives » (article 16, paragraphe 1). Pour les prestataires de services de confiance, qualifiés ou non, ils prévoient des amendes administratives dont le montant maximal s’élève au moins à 5 millions d’euros, ou, pour une personne morale, à 5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial si ce montant est plus élevé (paragraphe 2). Ces montants sont des minimums : chaque État peut prévoir des plafonds plus élevés.

L’ANSSI indique être l’organe de contrôle chargé de qualifier les prestataires de services de confiance et tient la liste de confiance. Le décret n^o 2009-834 (article 4) la charge de cette qualification sans viser expressément le règlement eIDAS. Au 31 octobre 2026, nous n’avons identifié aucun régime de sanctions français propre à eIDAS 2 en vigueur.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, habilite les agents de l’ANSSI à constater les manquements au règlement eIDAS et prévoit des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les fournisseurs de moyens d’identification notifiés par la France, les prestataires de services de confiance établis en France, les fournisseurs de dispositifs qualifiés certifiés par l’ANSSI et les organismes d’évaluation de la conformité (texte de la commission spéciale de l’Assemblée nationale du 10 septembre 2025, articles 26 et 37). Adopté par le Sénat le 12 mars 2025, il n’avait pas été examiné en séance publique par l’Assemblée nationale au 31 octobre 2026.

Nos analyses sur ce texte

• Portefeuille européen d’identité numérique : qui devra l’accepter, et quand ? Entreprises concernées, enregistrement des parties utilisatrices, cas des intermédiaires, état du portefeuille français. Publiée le 31 octobre 2026
• NIS2 en France : la fiche de suivi La transposition de la directive qui s’applique aux prestataires de services de confiance quelle que soit leur taille. Fiche tenue à jour
• Calendrier des échéances numériques 2026-2027 Les dates d’eIDAS 2 à côté de celles des autres textes, chacune reliée à sa source. Revu chaque mois

Ce que nous ne savons pas encore

• La date effective de mise à disposition du portefeuille français : le calcul donne le 24 décembre 2026, la DINUM écrit « courant 2027 » et l’ANSSI écrivait en septembre 2024 « d’ici novembre 2026 ».
• Si la modification, en juillet 2026, des actes d’exécution de l’article 5 bis, paragraphe 23, a une incidence sur le point de départ des délais : le règlement ne le dit pas, et la Commission retient la fin de 2026.
• Les textes français qui désigneront l’organe de contrôle des portefeuilles (article 46 bis) et le régime de sanctions applicable aux parties utilisatrices.
• Le calendrier d’adoption du projet de loi sur la résilience, qui fixerait les sanctions des prestataires de services de confiance.
• L’issue de la proposition de portefeuille européen des entreprises (COM(2025) 838), dont l’article 20 limiterait aux seules personnes physiques l’obligation de fournir un portefeuille, alors que l’article 5 bis, paragraphe 1, vise aujourd’hui « toutes les personnes physiques et morales ».
• Le sort de la proposition d’omnibus numérique (COM(2025) 837), qui prévoit un point d’entrée unique pour la notification des incidents, y compris au titre du règlement eIDAS.

Questions fréquentes

Une signature électronique simple a-t-elle une valeur juridique ?

Oui. Elle ne peut pas être écartée comme preuve au seul motif qu’elle est électronique ou non qualifiée (article 25, paragraphe 1). En droit français, toute signature électronique vaut signature si elle repose sur un procédé fiable d’identification garantissant son lien avec l’acte (code civil, article 1367). La différence porte sur la preuve : la fiabilité n’est présumée que pour la signature qualifiée (décret n^o 2017-1416). Pour les autres, en cas de contestation, c’est à celui qui s’en prévaut d’établir la fiabilité du procédé.

Mon site doit-il utiliser un certificat qualifié (QWAC) ?

En règle générale, non : le règlement n’en impose pas l’usage aux sites, et le considérant 65 le dit volontaire. L’obligation porte sur les navigateurs, qui doivent reconnaître ces certificats. Des textes sectoriels peuvent toutefois l’exiger : les prestataires de services de paiement s’identifient au moyen d’un certificat qualifié de cachet ou d’authentification de site internet (règlement délégué (UE) 2018/389, article 34).

Le portefeuille permettra-t-il de signer des contrats ?

Il doit permettre à toute personne physique de signer gratuitement au moyen d’une signature électronique qualifiée, mais chaque État peut limiter cette gratuité aux fins non professionnelles (article 5 bis, paragraphe 5).

Mon prestataire de signature électronique relève-t-il de NIS2 ?

Oui, s’il fournit un service de confiance au sens de l’article 3, point 16, ce qui est le cas de la création de signatures électroniques, et quelle que soit sa taille. Qualifié, c’est une entité essentielle, et son audit eIDAS couvre l’article 21 de NIS2. Non qualifié, il est entité importante, ou essentielle s’il dépasse les seuils des moyennes entreprises. En France, les obligations découleront de la loi de transposition, qui n’est pas encore adoptée.

Historique des mises à jour

31 octobre 2026 : création du dossier.