Le règlement eIDAS expliqué

Qu'est-ce que le règlement eIDAS

Le règlement (UE) n°910/2014, adopté le 23 juillet 2014 et applicable depuis le 1^er juillet 2016, porte sur « l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur ». Son acronyme vient de l'anglais electronic IDentification, Authentication and trust Services.

Deux caractéristiques en font un texte structurant. C'est d'abord un règlement, et non une directive : il s'applique directement dans chaque État membre, sans transposition nationale, ce qui garantit un cadre identique partout. Il a ensuite abrogé la directive 1999/93/CE qui régissait la signature électronique depuis 1999 et dont les transpositions nationales divergentes rendaient les signatures difficilement reconnues d'un pays à l'autre.

Ce qu'il a changé

Trois apports principaux.

La non-discrimination

Une signature électronique ne peut pas être écartée comme preuve en justice au seul motif qu'elle est électronique. Ce principe, posé pour tous les niveaux, met fin à un réflexe encore répandu consistant à exiger du papier « pour être sûr ».

Une échelle de niveaux commune

Le règlement définit trois catégories : la signature électronique simple, la signature électronique avancée et la signature électronique qualifiée. Dans la pratique du marché, on parle de quatre niveaux, le niveau 3 désignant une signature avancée adossée à un certificat qualifié. Nous détaillons ces niveaux dans notre page signature qualifiée ou avancée.

La reconnaissance transfrontalière

Une signature qualifiée émise dans un État membre doit être reconnue comme telle dans tous les autres. C'est l'apport le plus concret pour les entreprises qui contractent hors de France : plus besoin de négocier au préalable la validité du procédé de signature.

L'article 25, le cœur du sujet

Si l'on ne devait retenir qu'un article, ce serait celui-là. Il tient en trois paragraphes qui structurent toute la valeur juridique de la signature électronique.

• Article 25.1 — l'effet juridique d'une signature électronique ne peut être refusé au seul motif qu'elle se présente sous forme électronique ou qu'elle ne satisfait pas aux exigences de la signature qualifiée. C'est le principe de non-discrimination.
• Article 25.2 — l'effet juridique d'une signature électronique qualifiée est équivalent à celui d'une signature manuscrite. C'est la présomption qui fait toute la différence : le doute ne profite plus à celui qui conteste.
• Article 25.3 — une signature qualifiée émise dans un État membre est reconnue en tant que telle dans tous les autres États membres.

En droit français, cette articulation se combine avec l'article 1367 du code civil, qui reconnaît la signature électronique dès lors qu'elle consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte, et avec le décret n°2017-1416, qui précise que la fiabilité d'un procédé est présumée lorsqu'il s'agit d'une signature électronique qualifiée au sens d'eIDAS.

Prestataires qualifiés et liste de confiance européenne

Une signature qualifiée suppose un prestataire de services de confiance qualifié (en anglais QTSP). Ce statut n'est pas déclaratif : il est accordé après un audit de conformité et un contrôle par l'organe de supervision national. En France, c'est l'ANSSI qui joue ce rôle.

Chaque État membre publie la liste des prestataires qualifiés établis sur son territoire. Ces listes nationales sont agrégées dans la liste de confiance européenne (LOTL, List of Trusted Lists), publiée par la Commission européenne. C'est la référence unique et vérifiable : un prestataire qui n'y figure pas ne délivre pas de signature qualifiée, quel que soit son argumentaire commercial.

Vous pouvez consulter cette liste sur le navigateur officiel des listes de confiance de la Commission européenne. C'est le réflexe à avoir avant de retenir un prestataire.

Les autres services de confiance couverts

Le règlement ne traite pas que de la signature. Il encadre un ensemble de services de confiance, chacun pouvant être qualifié ou non :

• Le cachet électronique — l'équivalent de la signature, mais pour une personne morale : il scelle un document au nom de l'entreprise, sans signataire personne physique.
• L'horodatage électronique — l'attestation qualifiée de la date et de l'heure d'un document, opposable aux tiers.
• L'envoi recommandé électronique — la version dématérialisée de la lettre recommandée, avec preuves d'envoi et de réception.
• L'authentification de site internet — les certificats attestant l'identité de l'organisation derrière un site.
• La préservation des signatures — le maintien dans le temps de la validité d'une signature, au-delà de l'expiration du certificat.

Securit Expert distribue plusieurs de ces services au-delà de la signature ; ils sont regroupés dans l'espace client commun.

eIDAS 2 et le portefeuille d'identité européen

Le règlement (UE) 2024/1183, entré en vigueur en 2024, révise eIDAS. Son apport principal est le portefeuille européen d'identité numérique (EUDI Wallet) : une application que chaque État membre doit proposer à ses citoyens et entreprises pour stocker et présenter des attestations d'identité et des attributs vérifiés.

Ce que cela change pour la signature : le portefeuille permettra de créer des signatures qualifiées directement depuis l'application, ce qui devrait simplifier encore la phase de vérification d'identité. Le déploiement s'échelonne sur plusieurs années selon les États membres.

Ce que cela ne change pas : les signatures qualifiées produites aujourd'hui conservent leur valeur. Le cadre de l'article 25 n'est pas remis en cause — eIDAS 2 ajoute des moyens, il ne retire pas de garanties.

Ce qu'il faut retenir

• eIDAS est un règlement d'application directe dans les 27 États membres, en vigueur depuis 2016.
• Une signature électronique ne peut jamais être rejetée au seul motif qu'elle est électronique.
• Seule la signature qualifiée bénéficie de l'équivalence légale avec la signature manuscrite (article 25.2) et de la reconnaissance automatique dans toute l'Union.
• Cette qualification suppose un prestataire inscrit sur la liste de confiance européenne — c'est vérifiable publiquement, en quelques secondes.
• eIDAS 2 étend le cadre avec le portefeuille d'identité européen, sans remettre en cause l'existant.