Signature électronique : ce qui change avec eIDAS 2

Identité numérique européenne, signature qualifiée à distance, nouveaux services de confiance… Sous un intitulé austère, eIDAS 2 change la façon dont les entreprises contractent, prouvent et archivent leurs documents. Pour les DSI, les DAF et les juristes, le sujet va bien au-delà du bouton « Signer ». Tour d’horizon des nouveautés.

Un contrat avec un partenaire allemand, un fournisseur référencé à distance, une délégation de signature à vérifier : tout se joue désormais en ligne. Mais comment s’assurer de l’identité d’un interlocuteur, de ses pouvoirs et de la solidité des preuves ?

C’est à cette chaîne de confiance que s’attaque eIDAS 2. Le règlement (UE) 2024/1183, entré en vigueur le 20 mai 2024, révise le texte de 2014. Le premier eIDAS reconnaissait les signatures électroniques, le second organise la confiance de bout en bout, de la vérification d’identité jusqu’à la conservation des preuves.

Le portefeuille européen : votre identité dans la poche

C’est la mesure phare du texte. Le portefeuille européen d’identité numérique (EUDI Wallet) est une application sur smartphone. Chaque État membre doit en proposer au moins un à ses citoyens au plus tard le 24 décembre 2026. Son usage reste facultatif pour les particuliers, et ceux qui le refusent ne doivent subir aucune discrimination.

Que pourra-t-on faire avec ?

• Prouver son identité en ligne comme au guichet
• Présenter des justificatifs : permis de conduire, diplôme, attestation professionnelle
• Signer électroniquement des documents, au niveau qualifié
• Ne partager que le strict nécessaire : un site peut vérifier qu’un client est majeur sans connaître sa date de naissance

En France, l’application France Identité, qui dépassait les 2 millions d’utilisateurs en mai 2025, doit servir de socle. Mais un protocole d’accord signé autour de France Titres situe le lancement officiel du portefeuille français en 2027, soit après l’échéance européenne.

Exemple

Un industriel lyonnais référence un sous-traitant espagnol. Aujourd’hui, il réclame un extrait d’immatriculation, des attestations sociales et fiscales, une délégation de signature… puis relance trois fois et vérifie chaque pièce à la main. Demain, ces justificatifs pourront être présentés sous forme d’attestations électroniques vérifiables, contrôlées en quelques secondes et datées avec certitude.

Attention toutefois : une identité vérifiée ne vaut pas délégation de pouvoir. Le dirigeant d’une PME et le stagiaire de son service achats présentent des identités tout aussi certaines. Ils n’engagent pas l’entreprise de la même manière.

Et pour les entreprises ? Un portefeuille dédié en préparation

Le portefeuille d’identité vise d’abord les personnes physiques. Pour les personnes morales, Bruxelles prépare un outil spécifique. Le 19 novembre 2025, la Commission a présenté une proposition de règlement instituant les portefeuilles européens des entreprises (European Business Wallets), construits sur le même cadre qu’eIDAS 2.

L’idée : permettre à une société de stocker et de présenter ses données d’identification et ses attestations (immatriculation, mandats, certifications) à ses partenaires comme aux administrations. Une fois le texte en vigueur, les administrations disposeraient de deux ans pour l’accepter.

Le texte est encore en négociation : ce n’est pas une obligation d’aujourd’hui. Mais il vise précisément la question des pouvoirs, la plus délicate en B2B. C’est un dossier à suivre de près pour les directions juridiques.

Signature électronique : ce qui change… et ce qui ne change pas

Tordons le cou à une idée reçue : eIDAS 2 ne crée aucun nouveau niveau de signature. Les 3 catégories historiques restent en place.

Un point mérite d’être souligné : aucune signature ne peut être écartée par un juge au seul motif qu’elle est électronique. En France, l’article 1367 du Code civil et le décret du 28 septembre 2017 accordent à la seule signature qualifiée une présomption de fiabilité. Concrètement, la charge de la preuve s’inverse : avec une signature avancée, c’est à vous de prouver qu’elle est fiable ; avec une qualifiée, c’est à votre adversaire de prouver qu’elle ne l’est pas.

La vraie nouveauté : la qualification pour tous

Le portefeuille européen devra permettre à chaque citoyen de produire gratuitement, par défaut, des signatures qualifiées. Les États peuvent toutefois réserver cette gratuité aux usages non professionnels. Deux options techniques coexistent :

• un dispositif sécurisé intégré au portefeuille
• un dispositif distant, géré par un prestataire qualifié

Cette gestion à distance devient un service de confiance qualifié à part entière. Le droit consacre ainsi la signature « dans le cloud », déjà largement entrée dans les usages.

Et pour l’entreprise ? Cette gratuité vise d’abord les citoyens. Un salarié qui signe au nom de sa société ne pourra pas forcément en profiter, puisque les États peuvent la limiter aux usages non professionnels. Quant à la société elle-même, elle signe par cachet électronique ou via une offre professionnelle chez un prestataire qualifié. Les budgets de signature ne disparaissent donc pas ; c’est le côté client qui se simplifie, avec des signataires mieux équipés et des parcours plus fluides.

Faut-il tout signer en qualifié ?

Non, et ce serait même contre-productif : plus de friction, plus de coûts, des taux d’abandon en hausse. Le bon réflexe consiste à croiser trois critères : l’enjeu financier, les exigences légales propres à l’acte et le risque de contestation. Un bon de commande récurrent de 2 000 euros se contente très bien d’une signature avancée bien documentée. Une garantie à première demande de 2 millions mérite la qualification.

Au-delà de la signature : vérifier les pouvoirs du signataire

Pour les juristes, l’apport le plus structurant se trouve peut-être ailleurs. Les attestations électroniques d’attributs entrent dans la famille des services de confiance encadrés. Elles certifient une qualité ou un droit : un diplôme, une habilitation, et même un pouvoir de représentation lorsqu’une attestation adéquate a été émise. Les attestations qualifiées, comme celles délivrées à partir de sources publiques authentiques (registres officiels, état civil), produisent des effets juridiques renforcés dans toute l’Union.

Savoir qui a signé une commande ne règle qu’une partie du problème. L’acheteur pouvait-il engager son entreprise pour ce montant ? Sa délégation courait-elle encore ce jour-là ? Avec eIDAS 2, ces contrôles pourront être en partie automatisés, à condition que l’entreprise cocontractante ait émis les attestations correspondantes. La technologie ouvre la porte ; elle ne dispense pas de regarder ce qu’il y a derrière.

4 briques de confiance à connaître

• Le cachet électronique : c’est la « signature » d’une personne morale. Il garantit qu’un document émane bien de telle entreprise et n’a pas été modifié. Factures, attestations, relevés ou certificats émis en masse sont son terrain naturel.
• L’archivage électronique qualifié : il bénéficie d’une présomption d’intégrité et d’origine des documents pendant toute la durée de conservation.
• Les registres électroniques qualifiés : inspirés des technologies de registres distribués, ils sont présumés intègres et fidèles à l’ordre chronologique des enregistrements.
• La gestion à distance des dispositifs de signature : elle permet de signer en qualifié sans clé USB ni carte à puce.

Une nuance de taille, cependant : ces présomptions portent sur la conservation, pas sur la véracité. Un mensonge parfaitement archivé reste un mensonge.

Le message de fond est limpide : signer ne suffit plus. Il faut pouvoir démontrer, cinq ou dix ans plus tard, ce qui a été signé, par qui, avec quels pouvoirs et dans quelles conditions.

Facture électronique : deux chantiers qui se croisent

En France, le sujet tombe à pic. Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques, et les grandes entreprises comme les ETI doivent les émettre. Les PME et microentreprises suivront le 1er septembre 2027.

Les deux réformes restent distinctes, mais elles reposent sur une même exigence : garantir l’authenticité de l’origine et l’intégrité du contenu d’un document. Pour une facture, la réglementation fiscale admet plusieurs voies, dont la piste d’audit fiable et la signature ou le cachet électronique qualifié.

Le piège à éviter : mener les deux projets en silo. Résultat garanti : deux prestataires, deux formats de preuve et deux architectures qui ne se parlent pas. Une entreprise qui revoit en ce moment ses flux de facturation a tout intérêt à repenser dans le même élan sa politique de signature, de cachet et d’archivage.

DSI : préparer les systèmes

La signature électronique est déjà entrée dans les mœurs : 74 % des organisations en sont équipées, et 86 % des professionnels de la finance, du juridique et des RH lui font confiance (Ipsos Digital pour Yousign, 2025).

Les questions qu’une DSI doit se poser dès maintenant :

• Comment recevoir et contrôler une attestation présentée depuis un portefeuille ?
• Comment rattacher une identité certifiée à un compte client existant, sans créer de doublon ?
• Comment vérifier en temps réel la validité d’un certificat, sa révocation et le statut du prestataire sur les listes de confiance européennes ?
• Comment garantir que les preuves resteront lisibles dans dix ans, quand formats et logiciels auront changé ?

La réponse passe par des interfaces interopérables, une vraie gestion des incidents et des solutions de repli quand le portefeuille d’un utilisateur flanche. Le RGPD s’invite aussi dans la conception : exiger une identité complète quand une simple qualité suffit contrevient au principe de minimisation. Enfin, mieux vaut une architecture ouverte et réversible qu’un parcours captif d’un fournisseur unique. Les prestataires de services de confiance relèvent en outre de la directive NIS 2, ce qui relève le niveau d’exigence en cybersécurité sur toute la chaîne.

DAF : des gains mesurables, pas une sécurité magique

Côté finance, les bénéfices attendus sont tangibles : contractualisation plus rapide, habilitations vérifiées sans aller-retour de courriels, moins de ressaisies, meilleure traçabilité. Les dossiers de référencement fournisseurs, aujourd’hui alimentés de Kbis et d’attestations URSSAF à relancer tous les six mois, pourraient s’en trouver nettement allégés.

Mais gare à l’excès de confiance. Les chiffres du dernier baromètre Allianz Trade, réalisé avec Odoxa, sont éloquents :

• 85 % des ETI et grandes entreprises, et 60 % des PME, ont subi au moins une tentative de fraude en un an
• 52 % des ETI et grandes entreprises constatent une hausse de ces tentatives
• dans 40 % des cas, au moins une tentative a abouti à une fraude avérée

Or une identité authentifiée ne valide ni un changement de RIB ni un ordre de virement. La fraude au faux fournisseur n’a pas besoin de falsifier une signature si elle peut convaincre un vrai signataire. Plafonds d’engagement, séparation des tâches et contre-appels de vérification restent indispensables.

Le retour sur investissement, lui, se mesure sur des indicateurs précis : coût de traitement d’un dossier, délai de signature, taux d’abandon des parcours en ligne, nombre de litiges.

Juristes : bâtir une véritable politique de preuve

Pour la direction juridique, eIDAS 2 est l’occasion de formaliser ce qui reste souvent implicite. Trois questions structurent le travail :

1. Quel niveau de signature pour quel acte ? Une matrice simple, croisant montant, nature de l’acte et risque, évite les débats au cas par cas.
2. Que conserver ? Le document signé, mais aussi les certificats, l’horodatage, le rapport de validation, la preuve du consentement et celle des pouvoirs du signataire.
3. Pendant combien de temps ? Le règlement facilite la reconnaissance transfrontière, mais il n’efface ni les règles nationales de forme, ni les actes qui exigent un acte authentique, ni les durées de conservation propres à certains documents.

Le choix des prestataires mérite la même rigueur. Une qualification se vérifie, elle ne se déduit pas d’un logo. Les services qualifiés figurent sur les listes de confiance publiées par chaque État membre ; en France, c’est l’ANSSI qui tient la sienne. Réversibilité, export des preuves dans un format exploitable et continuité de service en cas de défaillance ont toute leur place dans les contrats.

eIDAS 2 : le calendrier à garder en tête

Entre eIDAS 2 et la réforme de la facture électronique, les échéances se resserrent. D’ici fin 2027, les deux chantiers seront pleinement en vigueur.

Frise des échéances eIDAS 2 et facture électronique · 2024-2027

À partir de décembre 2027, certaines entreprises privées devront accepter le portefeuille lorsque l’utilisateur choisit de s’en servir. Cela vaut dès lors que la loi ou le contrat leur impose une authentification forte pour identifier leurs clients en ligne. Banques, assurances et services financiers sont en première ligne, mais aussi les télécoms, l’énergie, la santé ou les transports. Les très grandes plateformes en ligne relèvent de règles spécifiques. Les microentreprises et petites entreprises, elles, échappent à cette obligation.

Résumons : ni portefeuille imposé à tous les sites, ni signature qualifiée obligatoire partout. Mais attendre 2027 pour s’en préoccuper serait une erreur. Les projets d’identité et d’archivage prennent du temps, et les fournisseurs adaptent leurs offres dès maintenant.

Tous les États ne tiendront pas l’échéance de décembre 2026, et la Commission elle-même le reconnaît. Les premiers mois du portefeuille européen ressembleront sans doute à ceux de FranceConnect : peu d’usages, des parcours encore hésitants, puis une adoption qui s’accélère sans prévenir. Les entreprises qui auront préparé leurs systèmes pendant cette phase calme n’auront pas à improviser le jour où leurs clients se présenteront avec leur portefeuille.