Le portefeuille sort en décembre. Les banques suivront un an après.

TL;DR. Les États membres livrent le portefeuille d'identité numérique en décembre 2026. Les banques doivent l'accepter en décembre 2027. Tout le problème tient là.

Points clés

Deux dates, un écart. Commencez par le calendrier, car presque toutes les mauvaises lectures de ce dossier viennent de la fusion des deux dates en une seule.
Partie utilisatrice est un rôle juridique, pas un motif d'intégration. C'est la disposition la plus souvent sautée dans les lectures techniques, et c'est celle dont le délai de mise en œuvre est le plus long.
Le portefeuille n'abroge pas l'authentification forte du client. Une erreur récurrente dans les premières présentations de cadrage consiste à supposer que l'acceptation du portefeuille prime sur le régime d'authentification de PSD2.
Ce que la vérification ne vous dit pas. Voici la partie qui surprend systématiquement les équipes identité, et il vaut mieux l'énoncer sans détour.

Pendant dix ans, les banques ont détenu l'identifiant. L'établissement émettait l'attestation, exécutait l'authentification, conservait la piste d'audit et décidait de ce que « vérifié » voulait dire. Le règlement européen sur l'identité numérique met fin à cet arrangement sans jamais le dire frontalement. Il impose à chaque État membre de mettre un portefeuille à la disposition de ses citoyens d'ici décembre 2026, et il impose aux banques — désignées par secteur, non par déduction — d'accepter ce portefeuille pour l'authentification forte de l'utilisateur d'ici décembre 2027. Entre ces deux dates s'étend une année où l'attestation existe, où les clients la détiennent, et où l'obligation n'a pas encore mordu. La plupart des établissements traitent cette année comme du mou. C'est la fenêtre de construction.

Synthèse pour la direction

Ce texte est du droit établi, contrairement à l'essentiel du dossier 2026. Le Regulation (EU) 2024/1183 est en vigueur. Les dates sont fixées dans le texte plutôt qu'en suspens en trilogue, ce qui en fait l'un des rares programmes que l'on peut planifier avec confiance.

La banque devient partie utilisatrice. C'est un rôle juridique défini, assorti d'une obligation d'enregistrement. C'est le premier régime d'identité dans lequel une banque doit déclarer formellement, auprès d'un organisme d'enregistrement public, ce qu'elle entend demander à ses clients.

L'acceptation n'est pas une stratégie d'authentification. L'obligation consiste à accepter une présentation de portefeuille lorsqu'un utilisateur en propose une. Ce que la banque fait du niveau d'assurance obtenu — et la façon dont elle le concilie avec son propre modèle de risque — lui reste laissé.

Le plus dur commence après la vérification de l'attestation. Une présentation cryptographiquement valide vous dit que le porteur est bien celui que l'État désigne. Elle ne vous dit pas s'il s'agit de la personne qui a ouvert le compte en 2014.

Deux dates, un écart

Commencez par le calendrier, car presque toutes les mauvaises lectures de ce dossier viennent de la fusion des deux dates en une seule.

Le Regulation (EU) 2024/1183 a modifié le règlement eIDAS d'origine, le Regulation (EU) No 910/2014, et est entré en vigueur en mai 2024. Il a donné à la Commission un mandat pour adopter des actes d'exécution précisant comment les portefeuilles sont construits, certifiés, enregistrés et utilisés, et il a fixé deux obligations qui courent sur des horloges différentes.

La première pèse sur les États membres. Au 24 décembre 2026, chacun doit mettre au moins un portefeuille européen d'identité numérique à la disposition de ses citoyens et résidents. C'est une obligation de fourniture : l'État, ou une partie qu'il désigne, fournit le portefeuille, et les personnes physiques ne le paient pas.

La seconde pèse sur les parties utilisatrices. Au 24 décembre 2027, au titre de l'Article 5f, les grandes et moyennes parties utilisatrices légalement ou contractuellement tenues d'utiliser l'authentification forte de l'utilisateur à des fins d'identification — et qui opèrent dans l'un des secteurs listés, dont la banque et les services financiers — doivent accepter le portefeuille lorsqu'un utilisateur demande volontairement à s'en servir.

Douze mois séparent ces deux échéances, et l'ordre compte. L'attestation arrive d'abord. L'obligation de l'accepter arrive un an plus tard.

La plupart des plans de programme que j'ai vus s'ancrent sur la date de 2027, ce qui est une lecture raisonnable d'une échéance de conformité et une lecture médiocre du risque réel. À partir de décembre 2026, les clients d'une banque peuvent détenir une attestation d'identité numérique délivrée par l'État que la banque ne sait pas encore consommer. Les concurrents qui le savent s'en serviront — pour des délais d'entrée en relation comptés en secondes plutôt qu'en jours, et pour des parcours de réauthentification qui suppriment purement et simplement le téléversement de documents. L'échéance est en 2027. L'exposition concurrentielle commence en 2026.

Partie utilisatrice est un rôle juridique, pas un motif d'intégration

C'est la disposition la plus souvent sautée dans les lectures techniques, et c'est celle dont le délai de mise en œuvre est le plus long.

Au titre de l'Article 5b, une partie qui entend s'appuyer sur les portefeuilles européens d'identité numérique doit s'enregistrer dans l'État membre où elle est établie. L'enregistrement n'est pas une inscription sur un portail développeur. Il identifie l'établissement, consigne l'État membre d'établissement et le numéro d'enregistrement et — c'est décisif — couvre l'usage prévu, y compris les attributs que la partie utilisatrice demandera.

Trois conséquences en découlent, et aucune n'est un problème d'ingénierie.

La demande d'attributs devient une position déclarée. Une banque doit décider, à l'avance et publiquement, ce qu'elle demandera à ses clients de divulguer. « Tout ce que le portefeuille voudra bien nous donner » n'est pas une réponse disponible. La minimisation des données cesse d'être un principe que le délégué à la protection des données défend pour devenir une contrainte inscrite dans l'enregistrement.

Les évolutions produit acquièrent une dépendance d'enregistrement. Un nouveau parcours qui exige un attribut hors du périmètre enregistré n'est pas un élément de sprint. Quel que soit le délai administratif constaté dans chaque État membre, ce n'est pas le jour même.

Les banques multi-juridictionnelles s'enregistrent en plusieurs endroits. Un établissement implanté dans plusieurs États membres traite avec plusieurs organismes d'enregistrement. Le portefeuille est conçu pour être transfrontalier — un portefeuille allemand fonctionne avec une partie utilisatrice française — mais l'obligation d'enregistrement s'attache à l'établissement, et la structure du groupe détermine le nombre de conversations que cela représente.

Tableau 1 : la position de la banque, avant et après

Dimension	Identité détenue par la banque (aujourd'hui)	EUDI Wallet (Article 5f)
Qui émet l'attestation	La banque, après sa propre entrée en relation	L'État membre ou un prestataire désigné
Qui décide de sa validité	La banque, au regard de ses propres dossiers	La banque, au regard de la signature et du statut de l'émetteur
Ce que le client contrôle	Peu de chose ; la banque détient la relation	Les attributs libérés, présentation par présentation
Ce que la banque doit faire	Ce que son appétit au risque autorise	Accepter une présentation lorsqu'un utilisateur le demande
Condition préalable pour participer	Aucune au-delà de ses propres systèmes	L'enregistrement comme partie utilisatrice au titre de l'Article 5b
Coût d'une demande de données supplémentaires	Une décision produit interne	Une modification d'un périmètre enregistré et déclaré

Le portefeuille n'abroge pas l'authentification forte du client

Une erreur récurrente dans les premières présentations de cadrage consiste à supposer que l'acceptation du portefeuille prime sur le régime d'authentification de PSD2. Il n'en est rien.

L'authentification forte du client, au titre de la Directive (EU) 2015/2366 et des normes techniques de réglementation du Commission Delegated Regulation (EU) 2018/389, continue de régir la manière dont les prestataires de services de paiement authentifient les payeurs et autorisent les opérations. L'obligation de l'Article 5f s'y superpose, elle ne s'y substitue pas. Une banque doit toujours satisfaire ses obligations SCA ; elle doit en outre accepter un portefeuille lorsqu'un client en propose un pour l'authentification forte de l'utilisateur.

La question pratique n'est donc pas « le portefeuille remplace-t-il nos facteurs SCA » mais « qu'apporte une présentation de portefeuille à une authentification conforme à la SCA, et que devons-nous encore faire nous-mêmes ». C'est une question d'architecture qui admet une vraie réponse, et il vaut mieux la trancher avant l'échéance que pendant, car les deux régimes ont été rédigés par des instruments différents à des fins différentes et ils se rencontrent à l'intérieur de votre service d'authentification.

Le modèle de responsabilité recèle un piège voisin. Dans le dispositif actuel, la banque émet l'attestation et assume donc la plupart des modes de défaillance. Dans le nouveau, l'attestation est émise ailleurs et vérifiée par la banque. Une vérification qui échoue en mode passant, un statut de révocation périmé chez un émetteur, une présentation rejouée : autant de modes de défaillance dont l'établissement a peu l'expérience, et la répartition des pertes entre fournisseur de portefeuille, émetteur et partie utilisatrice est exactement le genre de question qui se règle lentement et coûteusement après le premier incident.

Ce que la vérification ne vous dit pas

Voici la partie qui surprend systématiquement les équipes identité, et il vaut mieux l'énoncer sans détour.

Une présentation de portefeuille apporte l'assurance cryptographique qu'un ensemble d'attributs a été émis par une autorité de confiance au porteur du portefeuille, et que ce porteur est présent. Elle vous dit, avec une confiance élevée, que cette personne est bien celle que l'État désigne.

Elle ne vous dit pas que cette personne est le client qui a ouvert le compte.

Pour l'entrée en relation, la distinction pèse peu — le portefeuille est proche de l'idéal, et une vérification d'identité qui exige aujourd'hui un scan de document, un contrôle de vivacité et une revue manuelle se réduit à une présentation unique. Pour un portefeuille de clients existants, elle pèse énormément. Rattacher une identité numérique délivrée par l'État à un compte ouvert en 2014 sur la foi d'un passeport depuis expiré, sous un nom qui a peut-être changé, est un problème d'appariement d'enregistrements. C'est le même travail de résolution d'entité que l'open finance et les programmes de données clients redécouvrent sans cesse, et il ne devient pas plus facile parce que l'attestation entrante est cryptographiquement excellente.

Les établissements qui traitent l'intégration du portefeuille comme un projet de canal construiront un flux de présentation fonctionnel, puis découvriront que la défaillance intéressante est le taux d'appariement avec leur propre référentiel client. Ce chantier a un long délai de mise en œuvre et ne dépend d'aucun acte d'exécution. Il peut commencer maintenant.

Tableau 2 : la décomposition réelle du chantier

Chantier	Dépend de l'existence du portefeuille ?	Peut commencer maintenant
Enregistrement comme partie utilisatrice dans chaque État membre d'établissement	Organisme d'enregistrement opérationnel	Arrêter le périmètre d'attributs que vous déclarerez
Vérification des présentations, gestion des listes de confiance et de la révocation	Oui, pour les tests de bout en bout	Choix du protocole et conception du service
Rattachement d'une identité vérifiée à un dossier client existant	Non	Oui — c'est le chemin critique
Conciliation de l'acceptation du portefeuille avec les obligations SCA	Non	Oui
Responsabilité, gestion des incidents et des litiges pour une attestation que vous n'avez pas émise	Non	Oui
Revue de minimisation des attributs sur les parcours existants	Non	Oui

Quatre sur six n'attendent rien.

Le manuel opérationnel

Six mouvements, dans l'ordre où je les enchaînerais.

Nommez le responsable redevable. Le sujet chevauche l'identité, l'entrée en relation, les paiements et le juridique, ce qui, dans la plupart des banques, revient à ne relever de personne. L'acceptation du portefeuille échoue en initiative fédérée.
Arrêtez le périmètre d'attributs avant que l'organisme d'enregistrement ne le demande. L'enregistrement déclare ce que vous demanderez. Déterminez le minimum qui soutient vos parcours, car un périmètre déclaré s'élargit plus facilement de façon délibérée qu'il ne se restreint après une revue de conformité.
Attaquez le problème de rattachement dès maintenant. Faire correspondre une identité étatique à un dossier client existant est le chantier à la traîne la plus longue et aux dépendances les plus rares. C'est aussi celui qui détermine si l'acceptation sera une bonne expérience ou une file d'attente au support.
Écrivez la conciliation SCA. Documentez la façon dont une présentation de portefeuille interagit avec vos facteurs d'authentification existants et l'endroit où les deux régimes se rencontrent. Faites-en une fiche de décision d'architecture, pas une diapositive.
Modélisez les modes de défaillance que vous n'avez jamais assumés. Révocation périmée, indisponibilité de l'émetteur, vérification qui échoue en mode passant. Vous n'avez pas émis cette attestation ; partez du principe que ces défaillances vous échappent et concevez en conséquence.
Servez-vous délibérément de l'écart de douze mois. Les portefeuilles sont en service à partir de décembre 2026. Traitez 2027 comme l'année où vous exploitez la capacité, pas comme celle où vous la construisez.

Les banques ont passé l'ère de l'open banking à apprendre qu'une interface imposée est rarement une simple interface. C'est la même leçon qui arrive par un autre instrument. Les établissements qui liront l'Article 5f comme un ticket d'intégration livreront un flux de présentation conforme dans les délais et resteront incapables de répondre à la seule question qui compte au guichet : la personne qui tient ce portefeuille est-elle celle dont vous vous apprêtez à ouvrir le compte ?

Questions fréquentes

À quelle date exactement une banque doit-elle accepter le portefeuille ?
Au 24 décembre 2027 pour les grandes et moyennes parties utilisatrices légalement ou contractuellement tenues d'utiliser l'authentification forte de l'utilisateur et opérant dans un secteur listé, ce qui inclut la banque et les services financiers. L'obligation distincte faite aux États membres de mettre au moins un portefeuille à disposition court un an plus tôt, jusqu'au 24 décembre 2026.

Est-ce acquis, ou les dates peuvent-elles bouger ?
Le Regulation (EU) 2024/1183 est en vigueur et les dates figurent dans le texte adopté, non dans une proposition en négociation. Cela le rend nettement plus ferme que l'essentiel de ce sur quoi les banques planifient aujourd'hui, et c'est l'une des raisons pour lesquelles ce dossier récompense le travail précoce.

Accepter un portefeuille signifie-t-il que nous pouvons retirer notre propre authentification ?
Non. L'obligation consiste à accepter une présentation de portefeuille lorsqu'un utilisateur demande volontairement à s'en servir. Les clients qui ne détiennent pas de portefeuille, ou qui ne souhaitent pas l'utiliser, doivent toujours être servis, et les exigences d'authentification forte du client de PSD2 continuent de s'appliquer aux parcours de paiement quoi qu'il arrive.

À quoi l'enregistrement au titre de l'Article 5b nous engage-t-il réellement ?
À vous enregistrer dans l'État membre où vous êtes établi, à identifier l'établissement et à déclarer l'usage prévu, y compris les attributs que vous entendez demander. L'effet pratique est que votre position en matière de minimisation des données devient une donnée publique et une contrainte sur vos évolutions produit futures.

Nous ne sommes pas établis dans l'UE. Cela nous atteint-il ?
L'obligation d'acceptation de l'Article 5f s'attache aux parties utilisatrices opérant dans les secteurs listés au sein du cadre de l'Union, et l'obligation d'enregistrement s'attache à l'État membre d'établissement. La structure du groupe et le lieu d'établissement de chaque entité réglementée déterminent la réponse : c'est une question juridique à trancher tôt, pas une question technique.

Quelle est la chose la plus utile à lancer ce trimestre ?
La résolution d'entité entre une identité délivrée par l'État et votre référentiel client existant. Elle ne dépend ni des portefeuilles, ni des actes d'exécution, ni des organismes d'enregistrement, c'est le chantier le plus susceptible de déterminer si l'acceptation fonctionne en pratique, et c'est celui que personne ne pilote par défaut.

Références

Parlement européen et Conseil de l'Union européenne, 2024. Regulation (EU) 2024/1183 modifiant le Regulation (EU) No 910/2014 en ce qui concerne l'établissement du cadre européen relatif à une identité numérique. Bruxelles : Journal officiel de l'Union européenne. Disponible à l'adresse : Parlement européen et Conseil de l'Union européenne, 2024..
Commission européenne, 2026. European Digital Identity Wallet. Bruxelles : Direction générale des réseaux de communication, du contenu et des technologies. Disponible à l'adresse : Commission européenne, 2026..
Commission européenne, 2026. EUDI Wallet Architecture and Reference Framework. Bruxelles : Commission européenne. Disponible à l'adresse : Commission européenne, 2026..
Parlement européen et Conseil de l'Union européenne, 2015. Directive (EU) 2015/2366 concernant les services de paiement dans le marché intérieur (PSD2). Bruxelles : Journal officiel de l'Union européenne. Disponible à l'adresse : Parlement européen et Conseil de l'Union européenne, 2015..
Commission européenne, 2018. Commission Delegated Regulation (EU) 2018/389 complétant la Directive (EU) 2015/2366 par des normes techniques de réglementation relatives à l'authentification forte du client. Bruxelles : Journal officiel de l'Union européenne. Disponible à l'adresse : Commission européenne, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon : OpenID Foundation. Disponible à l'adresse : OpenID Foundation, 2026..

Dernière révision 2026-08-08.

Republier cet article

Le portefeuille sort en décembre. Les banques suivront un an après. — Sebastien Rousseau

Les États membres livrent le portefeuille d'identité numérique en décembre 2026. Les banques doivent l'accepter en décembre 2027. Tout le problème tient là.

Cet article est sous licence Creative Commons Attribution 4.0 International. La republication nécessite l'attribution à l'URL canonique.

Le portefeuille sort en décembre. Les banques suivront un an après. — Sebastien Rousseau

Les États membres livrent le portefeuille d'identité numérique en décembre 2026. Les banques doivent l'accepter en décembre 2027. Tout le problème tient là.

Originally published at https://sebastienrousseau.com/fr/2026-08-01-eudi-wallet-eidas-2-banques-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FONDATEUR · INGÉNIEUR