eIDAS 2 : les réponses de l’ANTS sur la nouvelle réglementation européenne

Qu’est ce que eIDAS 2 et quel est le calendrier de cette réglementation ? 

La réglementation EIDAS V2 a été votée il y a maintenant deux ans. Elle impose à chaque état membre de l’Union européenne d’avoir, dès le 24 décembre 2026, au moins un portefeuille numérique certifié. Puis, dans un an, c'est-à-dire en décembre 2027, l'ensemble des « relying parties » doit pouvoir accepter le wallet européen. Ces acteurs couvrent tous les secteurs :  à la fois les plateformes à très grande échelle qui seront listées et qui auront l'obligation d'accepter ces portefeuilles numériques comme mode d'authentification et d'identification, mais également le secteur bancaire, y compris sur des sujets de paiement qui pourraient arriver. Au moment du paiement en ligne, l'identification pourrait se faire avec ce portefeuille numérique européen.  

Où en sont ces « relying parties » ?  

Le calendrier est très serré, il nous reste très peu de temps pour mettre en musique tout cela. Avec le secteur bancaire, nous travaillons déjà très bien. En tant que créateur du portefeuille numérique français, l’ANTS essaye de s’interconnecter et de préparer la situation pour les banques. La FBF, qui regroupe les acteurs du secteur bancaire et l'interbancaire français, nous permet d'avoir des réunions régulières. Nous entrons dans une phase beaucoup plus précise où les acteurs bancaires vont devoir s'enregistrer pour avoir des certificats et se déclarer comme compatibles avec les portefeuilles numériques européens. 

Quelle différence apporte eIDAS 2 par rapport à la première version ?  

Le premier règlement n’a pas eu le succès escompté. Il avait surtout été adopté par les gouvernements et les administrations et non par l'ensemble des secteurs. Il y avait une dichotomie entre les services utilisés par l’eIDAS V1, principalement en ligne, et les services de la vraie vie. Ces usages de proximité nécessitent quelque chose de hors ligne, donc décentralisé par essence. L’idée nouvelle qui apparaît avec eIDAS 2, c’est que l'utilisateur transporte, au travers de son téléphone, déplace et maîtrise ses propres informations. 

Quelles sont les garanties de sécurité apportées par cette réglementation ? 

Lorsqu’une organisation d’un secteur non-réglementé souhaitera accéder à votre wallet, on va rentrer dans une logique de « sélective disclosure », où on ne va lui confier que les informations pertinentes. Par exemple, Ikea accepte une identité fournie par un portefeuille numérique à l'occasion de la remise d'un meuble. Dans ce cas-là, on va juste transmettre peut-être nom, prénom et éventuellement juste le numéro client qui serait associé à cette identité. En aucun cas, on va transmettre autre chose. La logique va être la même que sur la preuve d'âge. On ne va donner que ce qui est nécessaire, avec le consentement de l'utilisateur. Le portefeuille numérique, c'est l'idée que l'utilisateur a tout dans sa main. Donc il n'y a pas de cloud derrière. Le certificat de la banque va permettre d'ouvrir le portefeuille numérique et de demander des données dont éventuellement certaines un peu précieuses. Cependant, elles vont atterrir dans un des services bancaires qui va avoir la responsabilité de ces données, comme c’est déjà le cas aujourd'hui. Les banques ont réglementairement le devoir d'archiver le fait qu'ils aient contrôlé un certain nombre de choses. Cela va rester. 

D’autres standards doivent être implémentés pour ce wallet européen, comme la cryptographie post-quantique. La résistance sécuritaire au post-quantique est prise très sérieusement par l'ANSSI et l’ANTS, notamment pour les puces des titres et pour les passeports, pour les cartes d'identité, mais également pour leur volet numérique. 

La réglementation eIDAS 2 apporte-elle quelque chose en termes de souveraineté des données ? 

La réglementation va probablement protéger les données des Européens sur le fait que d’autres États puissent les absorber massivement. Certaines informations de natures variées, en vrac, sont déjà acquises. Mais aujourd'hui la valeur se décale sur la certification des données et pas sur la donnée elle-même. Prenons un exemple. Je m'appelle Florent Tournois, tout le monde le sait dans cette salle. Est-ce que vous pouvez faire quelque chose avec cette information ? Oui et non. Pourquoi non ? Parce que l'information n'est garantie par personne. La question à se poser, c'est est-ce que c'est vrai ou est-ce que c'est faux ? Le moment où vous posez cette question, vous tombez sur la valeur et la certification des données elles-mêmes. Et c'est cela qu'on protège. Finalement, avoir une photo de vacances sur un réseau social d'une personne ne veut pas dire que c'est sa vraie photo. On a tous en tête les deepfakes et tout ce qui est généré aujourd'hui par les IA.  

S’il devait y avoir une troisième version de cette réglementation, que rajouterait-elle ? 

Je pense que le règlement va évoluer parce qu'aujourd'hui on a une réglementation qui s'attache à un certain nombre de sujets techniques. Au regard de l'adoption qui pourra être faite, d'un retour d'expérience d'ici 5 ou 10 ans, les sujets de souveraineté ne seront peut-être plus tout à fait les mêmes. Il est trop tôt pour le dire. Il y aura peut-être plus de distinctions sur la valeur de conscience des données de manière individuelle. Et plus d’interopérabilité par rapport aux autres continents aussi. L’Europe crée un EU Digital Identity Wallet, mais finalement les États-Unis ou l’Afrique peuvent en faire un autre. Quand on regarde ce qu'il se passe sur tous les continents, avec des préoccupations de nature différente, des contraintes de nature différente, la connectivité avec ces autres portefeuilles numériques est pour moi un enjeu majeur de demain.  

Qu’en est-il de la coordination entre les États européens ? 

Aujourd'hui, au travers du consortium Aptitude que l’ANTS coordonne, nous avons la visibilité sur les développements des 27 États. Avec FranceTitre, l'ANTS essaie de développer des animations de l'écosystème, y compris avec tous les portefeuilles numériques européens. Cela comprend des séries d'événements, d'informations, des tests d'interopérabilité. Le dernier qui s'est tenu aux Pays-Bas, à Nijmegen. Il y avait 200 participants provenant de l'ensemble de l'Europe, à la fois des services et des États.  

Quel est le rôle de l'ANTS dans ce nouveau règlement ? 

L'ANTS France Titres, son rôle dans tout cet écosystème de wallet, c'est de fournir un portefeuille numérique européen qui s'appelle France Identité et de le pousser jusqu'à la certification pour que la France soit au rendez-vous de eIDAS 2. Nous essayons également de fournir les attestations électroniques d'attribut, en lien avec la DINUM qui porte ce rôle, sur un certain nombre de ce qui est appelé les sources authentiques, comme les permis de conduire, les carte grise, etc..