Blog

Intégré en quelques minutes, prouvable jusqu’en 2040 : ce que change eIDAS 2 pour la finance et l’assurance

TL;DR. À partir de décembre 2027, les banques et les assureurs devront accepter le portefeuille européen d’identité numérique partout où l’authentification forte du client est déjà exigée par la loi. Traité comme une simple contrainte de conformité, cela représente un coût. Bien anticipé, cela supprime l’essentiel de la friction à l’entrée en relation, et résout au passage un problème de preuve que vous ignoriez peut-être avoir.

Faites la connaissance de Marie. Elle a 48 ans, vient d’acheter un appartement avec son compagnon, et se décide un mardi soir à enfin souscrire une assurance-vie.

Elle trouve votre site, l’offre lui convient et elle lance la demande. Vingt minutes plus tard, elle a photographié sa carte d’identité à trois reprises parce que les deux premières photos étaient floues, cherché un justificatif de domicile que plus personne ne reçoit sur papier depuis 2019, et atterri sur un écran qui promet qu’un dossier sera examiné sous deux jours ouvrables.

Marie ferme l’onglet. Marie ne reviendra pas.

Gardez cette image en tête, car dans environ seize mois, ce mardi soir aura une tout autre allure. La raison tient à un règlement au nom peu engageant.

Ce qu’eIDAS recouvre réellement

eIDAS signifie electronic IDentification, Authentication and trust Services. Le texte original date de 2014 et soutient discrètement des outils que vous utilisez déjà, comme itsme ou votre carte eID. La refonte de 2024, le Règlement (UE) 2024/1183, introduit un élément majeur : le portefeuille européen d’identité numérique, une application délivrée par votre État membre, qui conserve l’identité vérifiée d’un citoyen et peut attester certains éléments le concernant. Chaque État membre a désigné son propre portefeuille national : l’application myGov du BOSA en Belgique, France Identité en France, et DigiD aux Pays-Bas. Les trois sont déjà opérationnels aujourd’hui pour les services publics, et les versions certifiées du portefeuille sont en phase pilote avant l’échéance de décembre 2026.

Le périmètre mérite d’être précisé, car eIDAS est régulièrement confondu avec un dispositif bien plus vaste. En résumé, eIDAS encadre trois éléments :

1. la manière d’établir l’identité d’une personne
2. la manière dont elle signe ou scelle un document
3. la manière dont cette preuve traverse le temps.

Identité, signature, preuve. Dans la finance et l’assurance, ces trois éléments se situent précisément au début, au milieu et à la fin de presque tous les processus que vous exploitez.

Un portefeuille belge fonctionne d’ailleurs aussi en Espagne. Aucune négociation de reconnaissance bilatérale, aucun parcours distinct pour le client installé depuis Lisbonne l’année dernière. Une dernière caractéristique mérite d’être connue : le portefeuille prend en charge la divulgation sélective. Un client peut ainsi prouver qu’il a plus de 18 ans sans communiquer sa date de naissance. Vous demandez moins d’informations, vous en conservez donc moins, et une donnée jamais collectée est une donnée que vous n’avez jamais à sécuriser, à justifier ou à déclarer en cas de violation. 

Les échéances d’eIDAS 2

Chaque État membre doit proposer un portefeuille d’ici fin 2026, et les organismes publics doivent l’accepter dès cette même date. Les secteurs privés réglementés, dont les banques et les services financiers, doivent accepter le portefeuille d’ici décembre 2027, partout où l’authentification ou l’identification forte du client est déjà imposée par le droit européen ou national. Pour les banques, la situation est sans ambiguïté, puisque la DSP2 impose déjà l’authentification forte. Pour les assureurs, tout dépend du parcours concerné, ce qui rend le premier exercice utile l’identification des flux réellement soumis à cette obligation.

Deux éléments rendent cette échéance moins confortable qu’il n’y paraît. Le règlement anti-blanchiment (AMLR) s’applique dès le 10 juillet 2027, cinq mois plus tôt, et il est plus strict qu’il n’y paraît de prime abord. Pour la vérification à distance d’un client, son article 22 renvoie exclusivement aux moyens d’identification eIDAS. Autrement dit : une seule architecture d’identité, deux règlements, un seul exercice budgétaire.

Le second élément est plus réjouissant. Comme les organismes publics doivent accepter le portefeuille un an avant vous, vos clients l’auront déjà utilisé pour déclarer leurs impôts ou renouveler des permis, bien avant de s’en servir sur votre portail. La courbe d’adoption, habituellement la partie la plus coûteuse de tout projet d’identité, est ici financée par quelqu’un d’autre.

Cela vous laisse environ seize mois pour concevoir, développer, tester et vous enregistrer comme partie utilisatrice.

Mais nous avons déjà itsme

C’est vrai, et itsme ne disparaît pas : il s’agit d’un prestataire de services de confiance qualifié, appelé à s’intégrer à l’écosystème du portefeuille plutôt qu’à lui faire concurrence. Mais itsme couvre un instant, pas toute la chaîne. Il authentifie l’utilisateur et permet de signer. Il ne délivre pas les attributs vérifiés qui rendent l’entrée en relation instantanée, il ne dit rien de ce qu’il advient du document par la suite, et accepter itsme n’équivaut juridiquement pas à accepter le portefeuille. Si votre plan eIDAS 2 se résume aujourd’hui à la phrase « nous avons déjà itsme », la question intéressante est de savoir quelles pièces manquent encore.

Le mardi soir de Marie, version 2028 

Let’s get back to Marie, and fast forward to 2028. 

Retour à Marie, direction 2028.

Elle trouve votre site, l’offre lui convient et elle lance la demande. Votre portail affiche un code QR. Elle le scanne avec son portefeuille, valide la demande sur son téléphone, et son identité arrive dans vos systèmes, vérifiée par l’État lui-même. Pas de lecteur de carte, pas de photos, pas de facture d’énergie, pas de permis de conduire. L’âge, l’adresse et les attributs nécessaires à l’acceptation du risque arrivent sous forme de déclarations vérifiées, et non plus de champs qu’elle a saisis et que vous espériez, en silence, voir exacts.

Il s’agit d’un changement de formulation modeste, aux conséquences importantes pour vos données. Aujourd’hui, le client affirme et vous vérifiez. Désormais, l’émetteur atteste de manière cryptographique, et vous en prenez acte. Ce qui atterrit dans vos systèmes n’est pas simplement plus rapide, c’est plus fiable que ce que vous collectez actuellement, et cela provient déjà d’une source qui n’est pas votre centre d’appels.

Comme plus rien ne nécessite d’examen manuel, Marie obtient une décision au cours de la même session. Elle signe le contrat au moyen d’une signature électronique qualifiée générée par le portefeuille, sans jamais quitter votre parcours.

Cette dernière étape pèse plus lourd qu’il n’y paraît au premier abord. Une signature électronique qualifiée (QES) possède la même valeur juridique qu’une signature manuscrite, dans les 27 États membres. Cette équivalence est ce qui change votre position en cas de litige. Les signatures avancées (AES), où se situent la plupart des assureurs aujourd’hui, ne peuvent se voir refuser tout effet juridique du seul fait de leur caractère électronique, mais leur fiabilité reste soumise à l’appréciation d’un juge, et la charge de l’établir revient à la partie qui s’appuie sur la signature. C’est généralement vous. Avec une signature qualifiée, il n’y a rien à établir.

Le même schéma dépasse largement les contrats d’assurance-vie : mandats, clauses bénéficiaires, protocoles de règlement de sinistres, contrats de crédit. L’entrée en relation des courtiers et partenaires est également concernée, lorsqu’une entreprise prouve son identité et le mandat de son signataire au lieu d’envoyer par courriel des scans de ses statuts en espérant que le mandat soit toujours valide. Ce dernier point repose sur le European Business Wallet, un chantier distinct qui arrivera après le portefeuille citoyen, à planifier donc comme une phase deux plutôt qu’un jour un.

Douze ans plus tard : démontrer la valeur probante 

Nouveau bond en avant, cette fois jusqu’en 2040. Marie est décédée, le capital versé est conséquent, et un membre de sa famille conteste l’identité du bénéficiaire. Vos juristes partent à la recherche du contrat.

Ils le retrouvent immédiatement. Il se trouve exactement là où il devrait être : un PDF bien rangé dans la bibliothèque documentaire. C’est à ce moment précis que quelqu’un découvre que conserver un document signé ne revient pas à pouvoir le prouver.

Les signatures reposent sur des certificats, et les certificats expirent. Un contrat signé en 2028 peut reposer sur un certificat arrivé à échéance en 2033. Pour le défendre en 2040, il faut encore pouvoir démontrer que la signature était valide au moment de la signature, et un PDF ne peut pas l’établir seul, aussi soignées que soient ses métadonnées.

eIDAS répond à cette difficulté par deux services que l’on confond facilement, à tort. La conservation qualifiée maintient une signature vérifiable longtemps après l’expiration du certificat, en réhorodatant les preuves de validation avant que la cryptographie ne se fragilise. L’archivage électronique qualifié, l’un des quatre services de confiance introduits par eIDAS 2, couvre le document lui-même : tout ce qui se trouve dans un archivage qualifié bénéficie d’une présomption d’intégrité et d’origine pendant toute la durée de conservation. Un prestataire d’archivage peut s’appuyer sur un service de conservation pour la partie signature, et c’est ainsi que la plupart des prestataires qualifiés sont construits.

Le résultat concret est ce qu’il faut retenir. Sur demande, un archivage qualifié fournit à vos juristes un rapport confirmant que le document est intact et provient bien de la source annoncée, scellé par le prestataire. C’est une tout autre conversation que de présenter un PDF en affirmant qu’il paraît inchangé. Les assurances-vie, les pensions et les crédits hypothécaires courent sur vingt à trente ans, ce n’est donc pas un cas d’école théorique. C’est probablement l’essentiel de votre portefeuille.

Authentifier, signer, conserver. Une seule transaction touche ces trois dimensions, et réussir deux d’entre elles sur trois donne une impression de parfaite conformité, jusqu’à l’année où quelqu’un vous demande de le prouver.

Conformité eIDAS 2 : que faire avant 2027 

Rien ne doit être reconstruit ce trimestre. Ce qu’il faut faire, c’est arrêter de bâtir des parcours qu’il faudra ensuite démonter.

Trois actions valent la peine dès maintenant :

• Concevez les nouveaux parcours d’authentification et de signature en les rendant compatibles avec le portefeuille, même si personne ne le demande encore
• Déterminez quelles familles de documents nécessitent réellement un traitement qualifié. Ce n’est pas le cas pour toutes, et la surqualité coûte cher
• Vérifiez si votre archivage en est vraiment un, ou s’il s’agit simplement d’un dossier bien organisé

L’échéance arrivera de toute façon. Le gain d’efficacité qu’elle peut produire, lui, reste optionnel.

Prenez un parcours que vous exploitez déjà (une entrée en relation, un parcours de signature) et posez-vous trois questions :

1. Pouvez-vous authentifier cette transaction de bout en bout ?
2. Pouvez-vous la faire signer d’une manière qui résiste en cas de litige ?
3. Pouvez-vous encore prouver les deux, 20 ans plus tard ? 

Si l’une des trois réponses vous laisse un doute, vous avez identifié la faille qui mérite d’être creusée.

Nous passons en revue votre flux et ces trois questions avec vous, en une heure. Apportez votre flux, et nous vous aidons à comprendre précisément laquelle des trois vous fait défaut, et ce qu’il faut faire pour la combler.