En bref
L’utilisateur se sert du portefeuille et des services de confiance Art. 3 §5 bis. Des fournisseurs lui délivrent son portefeuille, ses données d’identité et ses attestations Art. 2 Art. 3 §16, g). La partie utilisatrice est le service qui s’y fie Art. 3 §6. Les prestataires de services de confiance, qualifiés ou non, fournissent les services de signature, de cachet, d’horodatage, d’archivage… Art. 3 §19. Autour d’eux, des organes de contrôle, des organismes d’évaluation de la conformité et des listes de confiance établissent la confiance Art. 46 bis Art. 3 §18 Art. 22.
La carte de l’écosystème
eIDAS 2 fait intervenir de nombreux acteurs. Le schéma les situe les uns par rapport aux autres ; chacun est présenté ensuite.
Le schéma se lit de haut en bas. Le fournisseur de portefeuille fournit la solution de portefeuille Art. 2 §1. L’utilisateur, qui contrôle son unité de portefeuille Art. 2 §12, y reçoit ses données d’identification personnelle et ses attestations Art. 2 §2 Art. 3 §44, puis les présente à une partie utilisatrice enregistrée Art. 5 ter §1, qui s’authentifie auprès du portefeuille par un certificat d’accès Art. 2 §14. Les prestataires de services de confiance fournissent des services de confiance Art. 3 §19 ; utilisateurs et parties utilisatrices y ont recours Art. 3 §5 bis Art. 3 §6. En bas, les organes de contrôle, les organismes d’évaluation de la conformité et les listes de confiance forment le cadre de contrôle, qui vise les fournisseurs de portefeuilles comme les prestataires de services de confiance Art. 46 bis §3, a) Art. 46 ter §3 ; il est présenté sur la page suivante Art. 46 bis Art. 46 ter Art. 3 §18 Art. 22.
Un rôle n’est pas une organisation. L’ARF, le cadre technique de référence du portefeuille (version 3.0.0 dans ce corpus ARF 3.0.0 ch. 3), le précise :
Note that a single entity may combine multiple of the roles depicted in the figure, as
long as that entity complies with all requirements, both legal and technical, for each of
the roles.
Autrement dit, une même entité peut tenir plusieurs rôles, à condition de respecter toutes les exigences, juridiques et techniques, de chacun. L’ARF est un document informatif, non contraignant § 1.3 Purpose, scope and audience.
L’utilisateur
L’utilisateur est une personne physique ou morale, ou une personne physique qui en représente une autre, qui utilise des services de confiance ou des moyens d’identification électronique fournis conformément au règlement Art. 3 §5 bis. Il n’est donc pas seulement le titulaire d’un portefeuille : une personne morale qui utilise un service de confiance, par exemple pour créer un cachet électronique, est aussi un utilisateur Art. 3 §24.
Quand il se sert d’un portefeuille, l’utilisateur en garde le contrôle total, avec les données qu’il contient Art. 5 bis §14. Ses droits (divulgation sélective, pseudonymes, journal des transactions…) sont détaillés à l’étape 3.
Le fournisseur de portefeuille
Le fournisseur de portefeuille est la personne physique ou morale qui fournit des solutions de portefeuille Art. 2 §1. Chaque État membre fournit au moins un portefeuille Art. 5 bis §1 (les modes de fourniture sont présentés à l’étape 3). L’État membre notifie à la Commission les organismes chargés de fournir les portefeuilles Art. 5 bis §18, b), et un organe de contrôle vérifie que ces fournisseurs respectent le règlement Art. 46 bis §3, a).
Le fournisseur de données d’identification personnelle (PID)
Les données d’identification personnelle (en anglais person identification data, PID) permettent d’établir l’identité d’une personne ; elles sont délivrées conformément au droit de l’Union ou au droit national Art. 3 §3. Celui qui les délivre au portefeuille est le fournisseur de données d’identification personnelle ; l’ARF l’appelle PID Provider § 3.4 Person Identification Data (PID) Providers. Le règlement d’exécution 2024/2980 le définit ainsi :
une personne physique ou morale chargée de délivrer et de révoquer les données
d’identification personnelle et de veiller à ce que les données d’identification
personnelle d’un utilisateur soient liées de manière cryptographique à une unité de
portefeuille
L’État membre notifie à la Commission les organismes chargés de veiller à ce que les PID soient associées au portefeuille Art. 5 bis §18, c). Le contenu du PID et les règles de sa délivrance sont présentés à l’étape 3.
Les émetteurs d’attestations
Une attestation électronique d’attributs permet d’authentifier des attributs : une caractéristique, une qualité, un droit ou une autorisation d’une personne ou d’un objet Art. 3 §43 Art. 3 §44. Sa délivrance est un service de confiance Art. 3 §16, g). Le règlement en connaît trois sortes, qui ne viennent pas des mêmes émetteurs et n’ont pas la même force :
| Sorte (sigle courant) | Qui la délivre | Effet juridique |
|---|---|---|
| Attestation électronique d’attributs (EAA) | un prestataire de services de confiance Art. 3 §16, g) | ne peut être privée d’effet juridique ni écartée comme preuve au seul motif qu’elle est électronique ou non qualifiée Art. 45 ter §1 |
| Attestation qualifiée (QEAA) | un prestataire de services de confiance qualifié, selon les exigences de l’annexe V Art. 3 §45 | même effet juridique qu’une attestation délivrée légalement sur papier Art. 45 ter §2 |
| Attestation délivrée par un organisme public responsable d’une source authentique ou pour son compte (PuB-EAA) | cet organisme public, ou un organisme public désigné par l’État membre pour agir pour son compte Art. 3 §46 | même effet qu’une attestation papier, et reconnue dans tous les États membres Art. 45 ter §2 Art. 45 ter §3 |
Une source authentique est un répertoire ou un système, tenu sous la responsabilité d’un organisme public ou d’une entité privée, qui est la source première d’informations sur une personne ou un objet, ou qui est reconnu comme authentique par le droit Art. 3 §47. Au moins pour les attributs énumérés à l’annexe VI du règlement, lorsqu’ils reposent sur des sources authentiques du secteur public, les États membres doivent permettre aux prestataires qualifiés qui délivrent des attestations de vérifier ces attributs par voie électronique, à la demande de l’utilisateur. Ils disposent pour cela de vingt-quatre mois à compter de l’entrée en vigueur des actes d’exécution du portefeuille et de sa certification Art. 45 sexies §1 Annexe VI.
Une règle vaut pour tous les émetteurs d’attestations, qualifiés ou non : ils ne combinent pas les données personnelles liées à ce service avec celles d’autres services qu’eux-mêmes ou leurs partenaires commerciaux proposent Art. 45 novies §1.
La partie utilisatrice
La partie utilisatrice est la personne physique ou morale qui se fie à une identification électronique, à un portefeuille, à un autre moyen d’identification ou à un service de confiance Art. 3 §6. Un exemple donné par la Commission figure à l’étape 3.
Celle qui veut s’appuyer sur le portefeuille est une partie utilisatrice de portefeuille Art. 2 §3. Elle doit s’enregistrer dans l’État membre où elle est établie Art. 5 ter §1. Deux acteurs, définis par le règlement d’exécution 2024/2980, l’accompagnent :
- le bureau d’enregistrement des parties utilisatrices de portefeuille, organisme désigné par l’État membre, dresse et tient à jour la liste des parties utilisatrices enregistrées sur son territoire Art. 2 §5 ;
- le fournisseur de certificats d’accès, mandaté par l’État membre, délivre aux parties utilisatrices enregistrées le certificat qui les authentifie auprès des portefeuilles Art. 2 §13 Art. 2 §14.
Les obligations des parties utilisatrices, et le cas des intermédiaires qui agissent pour leur compte, sont détaillés à l’étape 3.
Les prestataires de services de confiance
Un prestataire de services de confiance est une personne physique ou morale qui fournit un ou plusieurs services de confiance, en tant que prestataire qualifié ou non qualifié Art. 3 §19. Les services de confiance couvrent la délivrance et la validation de certificats, la création et la validation de signatures et de cachets électroniques, l’horodatage, l’envoi recommandé électronique, l’archivage électronique, l’enregistrement dans un registre électronique, les attestations d’attributs, etc. Art. 3 §16.
Le statut « qualifié » ne se proclame pas : il est accordé par une autorité.
«prestataire de services de confiance qualifié», un prestataire de services de confiance
qui fournit un ou plusieurs services de confiance qualifiés et a obtenu de l’organe de
contrôle le statut qualifié;
Le tableau compare les deux catégories :
| Prestataire qualifié | Prestataire non qualifié | |
|---|---|---|
| Avant de commencer | notifie son intention à l’organe de contrôle, avec un rapport d’évaluation de la conformité Art. 21 §1 ; ne commence qu’une fois son statut inscrit sur la liste de confiance Art. 21 §3 | se dote de procédures et de mesures pour gérer ses risques Art. 19 bis §1, a) |
| Contrôle | a priori et a posteriori par l’organe de contrôle Art. 46 ter §3, a) | a posteriori, si l’organe est informé d’un manquement Art. 46 ter §3, b) |
| Audit | au moins tous les vingt-quatre mois, à ses frais, par un organisme d’évaluation de la conformité Art. 20 §1 | — |
| Modifications de ses services | informe l’organe de contrôle au moins un mois avant toute modification de ses services qualifiés, trois mois avant de cesser ses activités Art. 24 §2, a) | — |
| Incidents | la directive NIS2 le range parmi les entités essentielles, quelle que soit sa taille Art. 3 §1, b) ; comme tout prestataire de services de confiance, il notifie ses incidents importants au CSIRT ou à l’autorité compétente dans les 24 heures Art. 23 §4 | notifie à l’organe de contrôle toute atteinte à la sécurité ou perturbation ayant une incidence importante, au plus tard 24 heures après en avoir eu connaissance Art. 19 bis §1, b) ; la directive NIS2, qui s’applique aux prestataires de services de confiance quelle que soit leur taille, prévoit aussi une notification sous 24 heures Art. 2 §2 Art. 23 §4 |
| Visibilité | inscrit sur la liste de confiance de son État Art. 22 §1 ; peut utiliser le label de confiance de l’Union Art. 23 §1 | — |
Un tiret signale que les dispositions citées ne prévoient rien de tel pour le prestataire non qualifié.
Un prestataire qualifié qui délivre un certificat qualifié ou une attestation qualifiée vérifie l’identité, et s’il y a lieu les attributs, de la personne concernée Art. 24 §1. Il peut le faire notamment au moyen du portefeuille Art. 24 §1 bis. Les services de confiance et ce que « qualifié » change pour chacun sont détaillés à l’étape 4 du parcours.
Qui contrôle, qui certifie, qui publie ?
Organes de contrôle, organismes d’évaluation de la conformité, organismes d’accréditation et listes de confiance sont présentés sur la page suivante : contrôle, certification et listes de confiance.
Consolidation sans valeur officielle
Cette page cite les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014 et du règlement d’exécution 2024/2980, ainsi que de la directive (UE) 2022/2555 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Règlement d'exécution (UE) 2024/2980 — version consolidée au 11/08/2026 Directive (UE) 2022/2555 (NIS2) — version consolidée au 27/12/2022. Ces consolidations sont des outils de documentation : seuls les textes publiés au Journal officiel de l’Union européenne font foi.
À retenir
- L’utilisateur est toute personne qui utilise des services de confiance ou des moyens d’identification électronique, pas seulement le titulaire d’un portefeuille Art. 3 §5 bis.
- Portefeuille, PID et attestations viennent de fournisseurs distincts, qu’une même entité peut cumuler Art. 2 § 3.1 Introduction { #roles-introduction }.
- Trois sortes d’attestations : non qualifiée, qualifiée, publique ; les deux dernières valent une attestation papier Art. 45 ter.
- La partie utilisatrice de portefeuille s’enregistre et s’authentifie par un certificat d’accès Art. 5 ter §1 Art. 2 §14.
- Le statut qualifié est accordé par l’organe de contrôle et suppose un audit au moins tous les vingt-quatre mois Art. 3 §20 Art. 20 §1.
Rédaction Asphalia.