eIDAS 2.0 : cryptographie obligatoire pour 27 États

Le 24 août 2026, Fourthline Trust Services AB, filiale stockholmoise du groupe néerlandais Fourthline, a obtenu le statut de prestataire de services de confiance qualifié (QTSP) au titre du règlement européen eIDAS. L’annonce, presque technique en apparence, marque en réalité l’entrée dans la phase la plus concrète d’eIDAS 2.0 : d’ici décembre 2026, chacun des 27 États membres doit proposer au moins un portefeuille d’identité numérique européen (EUDI Wallet) certifié, et les actes d’exécution mis à jour cet été imposent pour la première fois des exigences cryptographiques détaillées à toute la chaîne, du composant logiciel embarqué sur le smartphone jusqu’au certificat qualifié. Pour les développeurs, les banques, les assureurs et les administrations, la cryptographie de l’identité numérique cesse d’être un sujet d’architecture interne pour devenir une obligation réglementaire datée.

Ce basculement intervient alors que la France, via l’ANSSI, mène sa propre bascule vers la cryptographie post-quantique et que l’ENISA referme la consultation publique sur la version 3 de ses mécanismes cryptographiques agréés. Les trois chantiers se percutent au même moment, et eIDAS 2.0 sert désormais de vecteur juridique pour imposer des choix cryptographiques précis à des centaines de millions d’utilisateurs européens.

eIDAS 2.0, un règlement qui redéfinit la cryptographie de l’identité numérique

Le règlement (UE) 2024/1183, dit eIDAS 2.0, est entré en vigueur en mai 2024 pour remplacer le cadre de 2014 jugé trop fragmenté. Son objectif affiché tient en une phrase : donner à chaque citoyen européen un portefeuille numérique capable de prouver son identité, de signer un document ou de présenter un diplôme sans dépendre d’un identifiant Google ou Facebook. Mais derrière cet objectif grand public se cache un chantier cryptographique considérable. Le cadre de référence d’architecture européen (ARF), publié en plusieurs versions depuis 2023 et mis à jour cet été, précise que le portefeuille doit gérer des preuves de possession d’attributs, des attestations vérifiables et des protocoles de divulgation sélective reposant sur des primitives cryptographiques avancées, le tout sous supervision réglementaire directe.

Concrètement, cela veut dire qu’un portefeuille EUDI ne se contente pas de stocker un mot de passe ou un certificat X.509 classique. Il doit permettre à son détenteur de prouver, par exemple, qu’il a plus de 18 ans sans révéler sa date de naissance exacte, une opération qui repose sur des schémas de divulgation sélective et des systèmes d’identifiants anonymes. Le document d’architecture européen le formule sans détour : un accès sécurisé à des fonctions cryptographiques stockées localement ou à distance sera nécessaire pour mettre en œuvre la majorité des fonctionnalités du portefeuille EUDI, qu’il s’agisse de signature électronique qualifiée, d’authentification ou de divulgation sélective. La cryptographie n’est donc plus un détail d’implémentation : elle est directement citée dans le texte réglementaire.

Décembre 2026 : la date qui bouleverse le calendrier des 27

La mécanique juridique d’eIDAS 2.0 repose sur deux échéances distinctes, et c’est cette distinction que beaucoup d’entreprises sous-estiment encore. La première, fixée à décembre 2026, oblige chaque État membre à mettre à disposition au moins un portefeuille d’identité numérique certifié. La seconde, environ douze mois plus tard, transforme l’usage du portefeuille en obligation légale pour une longue liste d’organisations : services publics en ligne, banques, assureurs et plusieurs catégories d’acteurs privés régulés devront accepter le portefeuille EUDI comme moyen d’identification et de signature.

Entre ces deux dates, la fenêtre de mise en conformité se réduit à quelques mois. Or les actes d’exécution qui précisent les exigences cryptographiques n’ont été stabilisés que cet été, ce qui laisse aux fournisseurs de solutions d’identité, aux intégrateurs et aux équipes de sécurité internes une période de préparation courte pour auditer leurs choix d’algorithmes, leurs tailles de clés et leurs profils de certificats. La pression calendaire explique en partie pourquoi les premiers prestataires qualifiés, comme Fourthline, se positionnent dès l’été 2026 plutôt que d’attendre le dernier trimestre.

Fourthline Trust Services, premier grand prestataire qualifié de la rentrée

L’annonce du 24 août 2026 mérite d’être replacée dans son contexte. Fourthline Trust Services AB, basée à Stockholm, devient prestataire de services de confiance qualifié (QTSP) au sens du règlement eIDAS et rejoint à ce titre la liste de confiance européenne (Trusted List). Ce statut lui permet d’émettre des signatures électroniques qualifiées ainsi que d’autres services de confiance comme les cachets électroniques ou l’horodatage, reconnus juridiquement dans les 27 États membres sans nécessiter de reconnaissance mutuelle bilatérale.

Ce qui distingue cette annonce d’une simple actualité d’entreprise, c’est son calendrier. Elle intervient quatre mois avant l’échéance de décembre 2026 pour les portefeuilles EUDI, et illustre la montée en puissance du deuxième rail de confiance d’eIDAS 2.0, celui des prestataires qualifiés, en parallèle du rail des portefeuilles d’identité. Une analyse publiée en juillet 2026 décrit précisément cette architecture à deux vitesses : d’un côté les portefeuilles EUDI Wallets pilotés par les États membres, de l’autre les prestataires qualifiés qui opèrent la couche de signature et de certification, les deux devant aligner leurs choix cryptographiques sur les standards européens de long terme.

La Roumanie, terrain d’essai du portefeuille européen

Pendant que les prestataires qualifiés se positionnent, certains États testent déjà le portefeuille lui-même. Une étude de cas publiée le 20 août 2026 présente la Roumanie comme l’un des premiers bancs d’essai grandeur nature de l’EUDI Wallet en Europe, avec un déploiement pilote auprès de ses citoyens plusieurs mois avant l’échéance de décembre. Le choix n’est pas anodin : tester tôt permet de détecter les failles d’implémentation avant que l’obligation légale d’acceptation ne s’applique à grande échelle.

Le pilote roumain illustre aussi la dimension sécuritaire du dossier. Les fournisseurs qui visent un niveau de garantie « substantiel » ou « élevé » pour l’authentification doivent soumettre leurs mécanismes de détection de fraude, de falsification et d’attaques par deepfake à des tests indépendants avant la fin de 2026, ce qui inclut explicitement l’évaluation des primitives cryptographiques utilisées pour protéger les flux d’identification. Le raisonnement européen est limpide : un portefeuille d’identité numérique qui devient obligatoire pour ouvrir un compte bancaire ou signer un contrat de travail doit résister à des attaques bien plus sophistiquées qu’un simple mot de passe volé.

Ce que changent les actes d’exécution d’août 2026 sur la cryptographie

La mise à jour des actes d’exécution relatifs au portefeuille EUDI, publiée fin juillet et affinée en août 2026, introduit deux nouveautés techniques majeures. La première concerne ce que le texte appelle l’attestation d’unité de portefeuille (wallet unit attestation), un mécanisme qui décrit comment les composants matériels et logiciels d’un portefeuille doivent prouver leur intégrité au moyen de primitives cryptographiques normalisées, avant même que l’utilisateur ne s’authentifie. La seconde fixe des contraintes précises sur les algorithmes et les tailles de clés autorisées, en cohérence avec les lignes directrices européennes existantes, notamment des restrictions sur certaines suites TLS 1.2 jugées obsolètes.

L’attestation d’unité de portefeuille, un nouveau maillon de confiance

Concrètement, la conformité ne se limite plus à l’infrastructure à clé publique traditionnelle gérée par l’émetteur du certificat. Elle s’étend désormais au code client lui-même : applications mobiles, applets sécurisés et éléments matériels sécurisés doivent démontrer, via des attestations cryptographiques, qu’ils n’ont pas été altérés. C’est un changement de philosophie pour les éditeurs de solutions d’identité, habitués à concentrer leurs efforts de sécurité sur le serveur plutôt que sur le terminal de l’utilisateur.

XAdES, PAdES, CAdES : harmoniser les profils de signature

Le second volet vise l’interopérabilité entre États membres. Les actes d’exécution harmonisent les profils de certificats, les suites cryptographiques utilisées pour accéder aux services de confiance et les formats de signature XAdES, PAdES et CAdES, afin de réduire les divergences nationales observées sous l’ancien régime eIDAS de 2014. Sous l’ancien texte, un certificat qualifié émis en Pologne n’était pas toujours interprété de la même façon par un vérificateur portugais. Objectif affiché pour 2026 et 2027 : qu’un document signé avec un portefeuille estonien soit vérifiable sans friction technique par une administration espagnole.

Deux rails de confiance, une seule architecture cryptographique

La sécurité du portefeuille EUDI ne repose pas sur un unique secret partagé mais sur une architecture de contrôle distribuée. Comme le résume un rapport publié en 2026 par la société de services d’identité TRUID, la sécurité du portefeuille EUDI repose sur le contrôle qu’exercent les États membres sur les fournisseurs d’identité de base (PID Providers) et sur le stockage d’une clé privée au sein même du portefeuille. Autrement dit, ni l’État ni le fabricant du téléphone ne détiennent seuls la clé qui permet de signer au nom de l’utilisateur : elle réside dans un élément sécurisé du terminal, généralement protégé par une puce dédiée.

Cette architecture pose une question de confidentialité que les chercheurs universitaires ont largement documentée. Le professeur Hannes Federrath, spécialiste de la sécurité des systèmes distribués à l’université de Hambourg, souligne l’intérêt des identifiants anonymes pour répondre à cette exigence : les fonctions de confidentialité intégrées distinguent les identifiants anonymes des certificats traditionnels, ce qui en fait la solution idéale pour satisfaire toutes les exigences de confidentialité du portefeuille EUDI prévues par le règlement eIDAS 2.0. Cette remarque cible directement le compromis que les architectes du portefeuille doivent gérer : prouver un attribut sans exposer l’ensemble de l’identité, et rendre cette preuve non traçable d’un service à l’autre.

La convergence avec l’ENISA et les mécanismes cryptographiques agréés (ACM v3)

eIDAS 2.0 ne fonctionne pas en vase clos. L’agence européenne de cybersécurité, l’ENISA, a publié le 2 juin 2026 le premier brouillon de la version 3 de son document de référence, les Agreed Cryptographic Mechanisms (ACM), soumis à consultation publique jusqu’à la fin juillet 2026. Ce texte, qui sert de socle au schéma de certification européen EUCC, retire ou interdit plusieurs mécanismes jugés affaiblis : clés RSA sous 3 000 bits, groupes Diffie-Hellman à 2 048 bits, certains hachages comme SHA-224, et diverses suites TLS 1.2 considérées obsolètes. Notre analyse détaillée de cette bascule est disponible dans notre article sur le bannissement du RSA sous 3 000 bits par l’ENISA.

Une analyse de juillet 2026 sur les lignes directrices ENISA/EUCC souligne que l’alignement des mécanismes cryptographiques d’eIDAS 2.0 avec l’ACM version 3 garantit que les portefeuilles EUDI et les prestataires qualifiés s’appuieront sur des algorithmes considérés comme robustes pour la signature, le hachage et l’échange de clés, dans une perspective de résilience à moyen terme face à la menace quantique. Ce point rejoint la trajectoire suivie séparément par la France : l’ANSSI a déjà annoncé qu’elle cesserait de certifier les produits dépourvus de cryptographie résistante au quantique à partir de 2027, une décision que nous détaillons dans notre couverture de la fin de la certification des produits non quantum-safe par l’ANSSI. Deux calendriers différents, un même mouvement de fond : la cryptographie de l’identité et des transactions numériques européennes migre vers des primitives plus robustes sous la pression conjuguée de Bruxelles et des agences nationales.

L’AI Act s’invite dans la cryptographie : marquage des contenus générés

Un troisième texte est venu se greffer sur ce chantier cet été. Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle impose des obligations de marquage cryptographique du contenu généré par IA, de provenance lisible par machine et de déclaration des deepfakes au moment de leur création. Un bulletin d’information de juin 2026 souligne que ces obligations doivent s’intégrer aux infrastructures eIDAS 2.0, notamment via l’utilisation de signatures électroniques et de certificats qualifiés pour authentifier l’origine d’un contenu.

Pour les prestataires de confiance européens, la conséquence est directe : ils doivent adapter leurs politiques de certificats et leurs suites cryptographiques pour prendre en charge ce nouvel usage, qui dépasse largement le cas d’usage initial de la signature de documents administratifs. Un même certificat qualifié pourrait ainsi, à terme, servir aussi bien à signer un acte notarié qu’à authentifier la provenance d’une vidéo générée par un modèle d’IA, ce qui reconfigure la charge de travail des équipes de conformité cryptographique dans les entreprises du secteur.

Calendrier cryptographique d’eIDAS 2.0 : les dates qui comptent

Le tableau suivant regroupe les échéances confirmées à ce jour pour la bascule cryptographique liée à eIDAS 2.0 et aux textes connexes.

Date	Obligation	Acteurs concernés
Mai 2024	Entrée en vigueur du règlement (UE) 2024/1183, dit eIDAS 2.0	27 États membres
2025	Publication et mises à jour du cadre de référence d’architecture (ARF) du portefeuille EUDI	Commission européenne, États membres
2 juin 2026	Publication du brouillon de l’ACM version 3 par l’ENISA, consultation publique ouverte	ENISA, organismes de certification EUCC
Fin juillet 2026	Clôture de la consultation publique sur l’ACM version 3	Éditeurs de sécurité, prestataires de confiance
2 août 2026	Entrée en application de l’article 50 de l’AI Act (marquage cryptographique du contenu IA)	Fournisseurs de systèmes d’IA générative, PSCo
20 août 2026	Publication de l’étude de cas sur le pilote EUDI Wallet en Roumanie	Roumanie, fournisseurs d’identité
24 août 2026	Fourthline Trust Services AB obtient le statut de QTSP	Fourthline, liste de confiance européenne
Décembre 2026	Chaque État membre doit proposer au moins un portefeuille EUDI certifié	27 États membres
~Fin 2027 (environ 12 mois après déc. 2026)	Obligation légale d’acceptation du portefeuille par une large liste d’organisations	Banques, assureurs, services publics en ligne
2030	Horizon recommandé pour la bascule complète vers des mécanismes cryptographiques quantum-safe dans les infrastructures critiques	ANSSI, Commission européenne, OIV

Qui doit s’adapter, et à quel coût

Le règlement eIDAS 2.0 ne s’adresse pas qu’aux administrations. Sa liste de « parties utilisatrices » (relying parties) obligées d’accepter le portefeuille couvre les banques soumises à des obligations de connaissance client, les compagnies d’assurance, les opérateurs de télécommunications et une partie des grandes plateformes numériques. Pour ces organisations, la mise en conformité cryptographique ne se résume pas à ajouter un bouton « se connecter avec l’EUDI Wallet » sur leur site. Elle implique un audit complet de la chaîne de vérification : validation du certificat de l’émetteur, vérification de l’attestation d’unité de portefeuille, contrôle de la fraîcheur de la révocation, et gestion des cas de dégradation gracieuse quand un utilisateur ne dispose pas encore de portefeuille certifié.

Les recommandations opérationnelles de l’ANSSI, largement relayées auprès des équipes de sécurité françaises en juillet 2026, donnent une feuille de route transposable à l’ensemble du continent : inventorier les actifs cryptographiques et les données sensibles, identifier les systèmes qui devront être mis à jour, interroger les fournisseurs sur leur feuille de route de migration cryptographique, et intégrer cette préparation dans les cycles habituels de renouvellement technologique plutôt que d’en faire un projet isolé mené dans l’urgence à l’approche de l’échéance. Les équipes qui traitent aujourd’hui des signatures numériques classiques via HMAC ou ECDSA, comme nous l’expliquions dans notre comparatif sur HMAC face aux signatures numériques, devront étendre leurs compétences aux formats de signature qualifiée propres à eIDAS.

De la directive de 1999 à eIDAS 2.0 : une histoire de confiance numérique

Pour mesurer l’ampleur du changement, il faut remonter à la directive européenne de 1999 sur les signatures électroniques, premier texte à donner une valeur juridique à la signature numérique sur le continent. Ce cadre, appliqué de façon disparate selon les pays, a été remplacé en 2014 par le règlement eIDAS original, qui a introduit les notions de signature électronique qualifiée et de prestataire de services de confiance qualifié, avec un socle cryptographique commun mais une reconnaissance mutuelle encore incomplète entre États membres.

Dix ans plus tard, eIDAS 2.0 change de nature. Le texte de 2014 réglementait des services fournis par des tiers de confiance professionnels : notaires, banques, opérateurs de certification. eIDAS 2.0 met un portefeuille cryptographique directement entre les mains de chaque citoyen européen, avec l’ambition qu’il devienne aussi banal qu’une carte d’identité physique. C’est ce changement d’échelle, du service professionnel à l’outil grand public, qui explique pourquoi les exigences cryptographiques se sont autant précisées et durcies entre le texte de 2014 et les actes d’exécution publiés cet été.

Comparaison internationale : comment les autres pays gèrent l’identité numérique

L’Union européenne n’est pas seule à repenser l’identité numérique à l’échelle nationale. Plusieurs pays ont engagé des chantiers comparables, avec des choix architecturaux et cryptographiques qui diffèrent sensiblement de l’approche européenne centrée sur la divulgation sélective et la non-traçabilité.

Système	Zone	Approche cryptographique	Statut en 2026
Portefeuille EUDI (eIDAS 2.0)	Union européenne	Attestations vérifiables, divulgation sélective, clé privée dans un élément sécurisé du terminal	Pilotes nationaux en cours, obligation dès décembre 2026
GOV.UK One Login	Royaume-Uni	Authentification centralisée par l’État avec vérification documentaire, hors cadre eIDAS	Déploiement progressif auprès des services publics britanniques
Permis de conduire mobile (mDL, norme ISO 18013-5)	États-Unis (plusieurs États)	Cryptographie à courbes elliptiques pour la présentation locale des attributs	Adoption état par état, sans cadre fédéral unifié
Singpass	Singapour	Authentification forte et signature via infrastructure nationale à clé publique	Système national déjà mature, utilisé pour les services publics et privés

La singularité du modèle européen tient à son insistance sur la non-traçabilité entre services. Le cadre de référence d’architecture est explicite sur ce point : le cadre technique du portefeuille d’identité numérique européen ne doit permettre à aucune partie d’obtenir des données permettant de suivre, relier ou corréler les transactions ou le comportement de l’utilisateur, sauf autorisation explicite de ce dernier, et doit permettre des techniques préservant la vie privée qui garantissent la non-liabilité, l’attestation d’attributs ne nécessitant pas l’identification de l’utilisateur. Peu de systèmes nationaux comparables imposent une contrainte cryptographique aussi stricte dès la conception.

Ce que disent les experts et les textes officiels

Au-delà des textes réglementaires, chercheurs et documents officiels convergent sur un point : la réussite technique d’eIDAS 2.0 dépendra moins du calendrier politique que de la robustesse des choix cryptographiques faits maintenant.

Hannes Federrath, professeur de sécurité des systèmes distribués à l’université de Hambourg, sur l’intérêt des identifiants anonymes : « les fonctions de confidentialité intégrées distinguent les identifiants anonymes des certificats traditionnels, ce qui en fait la solution idéale pour satisfaire toutes les exigences de confidentialité du portefeuille EUDI prévues par le règlement eIDAS 2.0 » (source).
Le cadre de référence d’architecture européen (ARF), sur les besoins cryptographiques du portefeuille : « un accès sécurisé à des fonctions cryptographiques stockées localement ou à distance sera nécessaire pour mettre en œuvre la majorité des fonctionnalités du portefeuille EUDI » (source).
Le rapport 2026 de TRUID sur la sécurité du portefeuille : « la sécurité du portefeuille EUDI repose sur le contrôle qu’exercent les États membres sur les fournisseurs d’identité de base et sur le stockage d’une clé privée au sein même du portefeuille » (source).

Cinq prédictions pour la suite d’eIDAS 2.0

Sur la base du calendrier connu et des tendances observées depuis le début de l’année 2026, plusieurs évolutions paraissent probables d’ici la fin de la période de transition.

D’autres prestataires suivront Fourthline sur la liste de confiance européenne dans les semaines qui précèdent l’échéance de décembre 2026, chacun cherchant à sécuriser des contrats avec les grandes banques avant que l’obligation d’acceptation ne s’applique.
Les pilotes nationaux, à l’image de celui mené en Roumanie, se multiplieront à l’automne 2026 dans d’autres États membres qui souhaitent tester leur portefeuille avant l’échéance légale plutôt que de le découvrir en production.
Les exigences cryptographiques d’eIDAS 2.0 et celles de l’ACM version 3 de l’ENISA finiront par converger dans un texte de référence commun, les deux chantiers portant déjà sur les mêmes familles d’algorithmes de signature et de hachage.
Le lien entre eIDAS 2.0 et l’article 50 de l’AI Act se renforcera, avec des prestataires de confiance qui proposeront des offres dédiées à la certification cryptographique de contenus générés par IA, un marché quasiment inexistant avant 2026.
La question de la migration post-quantique, aujourd’hui traitée séparément par l’ANSSI en France, s’invitera progressivement dans les spécifications techniques du portefeuille EUDI à mesure que l’horizon 2030 se rapprochera.

Questions fréquentes

Qu’est-ce que le portefeuille d’identité numérique européen (EUDI Wallet) ?

C’est une application, prévue par le règlement eIDAS 2.0, qui permet à un citoyen européen de stocker et de présenter des attestations d’identité, des diplômes ou des permis de conduire, et de signer électroniquement des documents avec la même valeur juridique qu’une signature manuscrite.

Quand le portefeuille EUDI devient-il obligatoire ?

Chaque État membre doit proposer au moins un portefeuille certifié d’ici décembre 2026. L’obligation légale d’acceptation par une large liste d’organisations, dont les banques et certains services publics, s’appliquera environ douze mois plus tard.

Quelle cryptographie utilise le portefeuille EUDI ?

Le cadre de référence d’architecture impose des mécanismes de divulgation sélective, des attestations vérifiables et le stockage de la clé privée dans un élément sécurisé du terminal, avec des contraintes précises sur les algorithmes et les tailles de clés fixées par les actes d’exécution publiés en 2026.

Qu’est-ce qu’un prestataire de services de confiance qualifié (QTSP) ?

C’est une entité, comme Fourthline Trust Services depuis le 24 août 2026, autorisée à émettre des signatures électroniques qualifiées, des cachets électroniques ou de l’horodatage reconnus juridiquement dans les 27 États membres via la liste de confiance européenne.

Quel est le lien entre eIDAS 2.0 et l’ANSSI ?

Les deux chantiers sont distincts mais convergent. L’ANSSI a annoncé qu’elle cesserait de certifier les produits de sécurité dépourvus de cryptographie résistante au quantique à partir de 2027, tandis qu’eIDAS 2.0 fixe ses propres exigences cryptographiques pour le portefeuille européen et les prestataires qualifiés, avec un horizon commun de bascule complète autour de 2030.

L’article 50 de l’AI Act a-t-il un rapport avec eIDAS 2.0 ?

Oui. Depuis le 2 août 2026, l’article 50 impose un marquage cryptographique du contenu généré par IA. Ces obligations s’appuient sur les mêmes infrastructures de signature électronique et de certificats qualifiés que celles prévues par eIDAS 2.0.

Les entreprises françaises doivent-elles se préparer dès maintenant ?

Oui. L’ANSSI recommande d’inventorier ses actifs cryptographiques, d’identifier les systèmes concernés et d’interroger ses fournisseurs sur leur feuille de route de migration, plutôt que d’attendre l’approche des échéances de décembre 2026 et de fin 2027.

Le portefeuille EUDI remplace-t-il la carte d’identité nationale ?

Non, il la complète. Le portefeuille s’appuie sur un fournisseur d’identité de base (PID Provider) contrôlé par l’État membre, mais la carte d’identité physique reste le document source de référence.

eIDAS 2.0 : Crypto Obligatoire pour 27 États [2026]