Règlement eIDAS 2

Le règlement de 2014 fonctionnait pour les services de confiance mais avait largement échoué pour l'identification électronique. Lors de la réforme, seuls 14 États membres avaient notifié un système eID, lacune visée par la réforme pour les services financiers, les services privés peinaient à se connecter et le règlement couvrait l'identité mais pas les attributs vérifiables comme qualifications ou certificats. Un citoyen avec une eID nationale opérationnelle ne pouvait donc l'utiliser à l'étranger ou chez un prestataire privé.

eIDAS 2 traite ces deux problèmes: il impose un portefeuille dans chaque État membre, supprimant la disparité des systèmes notifiés, et étend les obligations d'acceptation au privé, réglant l'autre moitié du problème. Les services de confiance de 2014 restent en vigueur avec des ajouts, préservant le fondement juridique des signatures et cachets bancaires existants.

Trois instruments concentrent l'essentiel des usages bancaires actuels du règlement. La signature électronique qualifiée d'une personne physique a l'effet juridique d'une signature manuscrite dans l'UE, permettant de conclure un prêt ou une ouverture de compte à distance. Le cachet électronique qualifié est l'équivalent pour une personne morale, utilisé sur relevés, confirmations et correspondance de masse institutionnelle. L'horodatage électronique qualifié relie des données à une heure avec présomption d'exactitude, rendant l'archive défendable des années après.

Pour une banque, il faut déterminer où le niveau qualifié est nécessaire et où une signature avancée suffit, car le premier coûte plus et nécessite la vérification d'identité du signataire. Cette distinction juridique dépend du document et reste inchangée par eIDAS 2. Ce qui change est l'identification du signataire, désormais réalisable par portefeuille.

C'est l'ajout ayant l'effet le plus direct sur les processus bancaires. Une attestation électronique d'attributs est une déclaration vérifiable sur une caractéristique, indépendamment de l'identité complète: qualification professionnelle, rôle dans une entreprise, adresse ou preuve d'un âge minimum. La version qualifiée vient d'un prestataire de confiance qualifié et bénéficie d'une présomption de fiabilité renforcée.

La reconnaissance transfrontalière rend cet instrument utilisable dans toute l'Union. Une attestation qualifiée dans un État membre doit l'être dans tous les autres, permettant d'accepter une attestation espagnole ou polonaise sans évaluation bilatérale. La page EUDI Wallet en finance explique comment elles parviennent à une banque via un portefeuille et ce que leur lecture exige.

Le règlement ajoute des catégories moins médiatisées que le portefeuille mais importantes pour l'infrastructure bancaire. L'archivage électronique qualifié confère un statut juridique défini à la préservation de données intègres et lisibles durant de longues périodes, problème exact des documents bancaires conservés dix ans.

Les registres électroniques qualifiés fournissent un service de confiance enregistrant des données en séquence avec intégrité, ordre chronologique et authenticité garantis. Un registre électronique devient ainsi un service nommé par le droit européen, exploitable par un prestataire qualifié, voie distincte des régimes DLT du droit financier. La page titres tokenisés présente le droit des titres correspondant. La gestion qualifiée des dispositifs distants de création de signature couvre les clés placées dans le matériel du prestataire plutôt que sur la carte du signataire, fonctionnement courant de la signature distante.

Un certificat qualifié d'authentification de site web, QWAC, relie un domaine à l'identité juridique vérifiée de son organisation, déclaration absente d'un simple certificat TLS. Le règlement impose désormais aux navigateurs de reconnaître ces certificats et d'afficher leurs données d'identité sous une forme accessible.

Cette clause était la partie la plus contestée de la réforme. Les éditeurs de navigateurs affirmaient que reconnaître obligatoirement des certificats d'autorités non évaluées par eux affaiblirait leur capacité à retirer la confiance à une autorité compromise, tandis que la Commission voulait informer les utilisateurs sur l'exploitant d'un site. Pour les banques, le certificat offre un moyen d'identifier leurs sites web: le QWAC rend l'opérateur d'un domaine vérifiable, mais sa présentation visible par les clients reste une question ouverte. La lutte contre l'hameçonnage est l'usage visé, et la cybersécurité financière en Allemagne couvre les contrôles plus larges.

Les services de confiance allemands sont surveillés par Bundesnetzagentur, qui tient la liste nationale des prestataires qualifiés et des services concernés. Un prestataire qualifié doit être audité par un organisme indépendant d'évaluation de conformité tous les 24 mois selon le règlement, et le superviseur agit sur le résultat.

Pour une banque, cette structure compte au moment de la vérification. Une banque utilisant signature, cachet ou attestation vérifie le prestataire dans la liste de confiance, source faisant autorité plutôt que sa propre déclaration. Une banque elle-même prestataire qualifiée, comme certaines pour les signatures internes, supporte directement l'obligation d'audit.

Le règlement confie les détails techniques aux actes d'exécution, dont le premier ensemble était attendu six mois après l'entrée en vigueur, couvrant spécifications, normes de certification et cadre de référence des portefeuilles. Les États membres disposaient de douze mois pour préparer l'émission des portefeuilles et désigner leurs dispositifs de supervision.

Les questions encore ouvertes concernent l'articulation avec les autres droits. eIDAS 2 seul ne précise pas comment évaluer une présentation de portefeuille selon l'authentification forte exigée par le droit des paiements. Il ne répartit pas non plus la responsabilité lorsque fournisseur de portefeuille, prestataire de confiance et banque participent à une transaction échouée. Une banque planifiant ces aspects doit considérer sa conception comme provisoire, et la page DSP3 couvre le volet paiements.

Non, 2024/1183 est modificatif, le texte applicable restant le règlement (UE) n° 910/2014 modifié. Les processus bancaires existants de signature, cachet et horodatage qualifiés conservent leur base et leurs effets juridiques, sans renouvellement documentaire dû à la réforme. L'amendement ajoute portefeuille, catégories de services de confiance et obligations d'acceptation.

Le règlement impose deux obligations aux banques, la première étant l'acceptation: une banque soumise à l'authentification forte doit accepter un portefeuille sur demande de l'utilisateur, projet d'intégration et de conformité assorti d'une échéance. La seconde est la conduite des parties utilisatrices: une banque lisant un portefeuille doit s'enregistrer, déclarer attributs et finalités demandés et les respecter. Les très grandes plateformes ont aussi l'obligation d'acceptation avec la même minimisation des données, point utile pour une banque distribuant via elles.