De eIDAS 1 à eIDAS 2 : ce qui a changé et pourquoi c'est important

Depuis 2014, le règlement eIDAS est la pierre angulaire de la confiance numérique au sein de l'Union européenne. Mais près d'une décennie plus tard, une nouvelle version (eIDAS 2) est entrée en vigueur. Ce changement n'est pas une simple mise à jour : il s'agit d'une réponse aux limites pratiques observées dans la mise en œuvre d'eIDAS 1. Cet article explique pourquoi ce changement était nécessaire, quelles sont les nouveautés d'eIDAS 2 et le rôle que l'archivage électronique qualifié (QeA) peut désormais jouer dans le paysage de la confiance numérique.

Règlement (UE) 910/2014La directive eIDAS 1.0, communément appelée eIDAS 1.0, a jeté les bases juridiques de l'identification électronique et des services de confiance au sein de l'UE. Il a introduit des services clés tels que les signatures électroniques, les sceaux, les horodatages, les envois recommandés et l'authentification des sites web.

Son objectif principal était triple :

• Établir un cadre juridique harmonisé pour les transactions électroniques
• Renforcer la confiance dans les services numériques
• Assurer l'interopérabilité entre les États membres

L'une des principales innovations est le principe de non-discrimination : un document électronique ne peut se voir refuser des effets juridiques uniquement en raison de son format numérique.

eIDAS 1 a également introduit des niveaux de confiance :

• De base : Non-discrimination des formats électroniques
• Avancée : Équivalence valable avec les éléments manuscrits si des exigences spécifiques en matière d'intégrité et d'identification sont respectées.
• Qualifié : Le niveau le plus élevé, impliquant des certificats délivrés par des prestataires de services de confiance qualifiés et offrant une présomption d'authenticité et d'équivalence juridique aux signatures manuscrites.

Si eIDAS 1 a permis de réaliser des progrès significatifs, il a laissé des lacunes, notamment en ce qui concerne la conservation des informations signées et la force probante des documents numériques dans le temps.

Pourquoi eIDAS 2.0 était nécessaire

Malgré ses atouts, eIDAS 1 n'a pas suffi à soutenir une véritable économie numérique. Les principales limites sont devenues évidentes :

• De nombreux documents importants, tels que des contrats de grande valeur, continuent d'être signés sur papier
• KYC les processus sont restés tributaires de documents invérifiables
• La préservation des signatures numériques dans le temps n'a pas été suffisamment prise en compte
• La confiance dans les données partagées numériquement était limitée en raison du manque de garanties concernant l'authenticité et la provenance.

La pandémie de COVID-19 a accéléré le besoin d'alternatives numériques fiables. Elle a également mis en évidence l'inefficacité des flux de travail numériques transfrontaliers qui manquent de confiance mutuelle. La Belgique, par le biais de lois nationales telles que la loi sur le numérique de 2016, a tenté de combler certaines de ces lacunes, en particulier en ce qui concerne l'archivage électronique.

eIDAS 2.0 : Un cadre pour des informations authentiques

Le rôle de l'archivage électronique qualifié (QeA)

Le QeA comble une lacune laissée par eIDAS 1. Elle formalise les conditions dans lesquelles les informations électroniques - signées ou non - peuvent être conservées dans le temps de manière juridiquement fiable. Les exigences d'un tel service sont les suivantes

• Confidentialité : Grâce au contrôle d'accès et à la gestion de la conservation des données
• Intégrité : Via des contrôles d'immuabilité et de fixité
• Authenticité : Grâce aux métadonnées, à la traçabilité de la provenance et à la gestion des preuves
• Disponibilité : Avec une lisibilité à long terme et des contrôles de sécurité

L'AQE deviendra probablement obligatoire pour tout document soumis à une obligation légale de conservation et pour les documents qui doivent être légalement opposables à des tiers au-delà des frontières.

Alignement sur d'autres développements réglementaires

L'introduction de l'AQE est liée à d'autres règlements de l'UE :

• NIS2 : Sur la cybersécurité et la résilience opérationnelle
• GDPR : Pour la protection des données et la limitation du stockage
• Passerelle numérique unique : Faciliter l'échange de données intergouvernementales
• DORA : Spécifique à la résilience numérique dans les services financiers

Chacun de ces cadres repose sur des informations authentiques et accessibles à long terme. L'AQE fournit cette colonne vertébrale.

Regarder vers l'avenir

Les changements introduits par eIDAS 2 vont au-delà de la conformité. Ils représentent un changement dans la manière dont la confiance numérique est construite et maintenue à travers les frontières et les systèmes. Pour les organisations, c'est maintenant qu'il faut agir : mettre en œuvre un système conforme à la norme QeA ou s'y connecter pour assurer la pérennité des opérations numériques.

Les normes à venir ne feront qu'accroître les attentes :

• C2PA pour la certification de la provenance
• ISO 24574 pour les coffres-forts numériques sécurisés et le contrôle d'accès

Avec l'AQE, l'UE a achevé une pièce cruciale du puzzle : garantir que les informations numériques ne sont pas seulement valables aujourd'hui, mais aussi vérifiables demain.