Maturité eIDAS · Protection et gestion des identités numériques des citoyens
Votre gestion des identités numériques, située sur eIDAS et traduite en plan d’action chiffré.
10 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité eIDAS · Protection et gestion des identités numériques des citoyens
10 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Règlement (UE) n° 910/2014 (eIDAS), révisé par le règlement (UE) 2024/1183 (eIDAS 2) lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Le niveau de garantie exigé pour l’accès à chaque téléservice est-il défini et appliqué ?
- N1
Aucun classement des téléservices par niveau de garantie. Le moyen d’identification retenu dépend du projet et de son intégrateur.
- N2
Une partie des téléservices est classée dans un document de référence, mais le classement n’est pas repris dans les projets et coexiste avec des pratiques héritées.
- N3
Chaque téléservice est rattaché à un niveau faible, substantiel ou élevé, sur la base d’une analyse documentée. Le classement est appliqué à la mise en production, avec des exceptions ponctuelles.
- N4
Le classement conditionne systématiquement la configuration du fournisseur d’identité. Les écarts sont détectés automatiquement et tracés, les dérogations validées par le niveau hiérarchique approprié.
- N5
Le classement est révisé périodiquement selon l’évolution des usages, des incidents et du cadre réglementaire, avec un historique des révisions et une mesure de l’effet sur le taux d’aboutissement des parcours.
Action pour passer de N2 à N3
Compléter la cartographie des téléservices avec le niveau de garantie exigé et son motif, l’intégrer comme critère bloquant de la revue d’architecture, et vérifier son application lors du comité numérique trimestriel.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur eIDAS.
De quoi parle ce référentiel
Le règlement (UE) n° 910/2014, dit eIDAS, organise la reconnaissance mutuelle des moyens d’identification électronique entre États membres et encadre cinq familles de services de confiance : signature électronique, cachet électronique, horodatage, service d’envoi recommandé électronique et certificat d’authentification de site web. Il distingue trois niveaux de garantie pour l’identification (faible, substantiel, élevé) et sépare les prestataires qualifiés des prestataires non qualifiés, les premiers étant supervisés et inscrits sur les listes de confiance nationales. Pour une administration ou une entreprise qui expose des services en ligne à des citoyens, eIDAS détermine qui peut accéder à quoi, avec quel niveau de preuve, et quelle valeur juridique en découle.
En pratique, le sujet se pilote mal parce qu’il traverse plusieurs directions. La DSI porte la fédération d’identité, le juridique porte la valeur probante, la direction des services aux usagers porte le parcours d’enrôlement, la sécurité porte l’authentification. Les questions concrètes reviennent toujours : quel niveau de garantie exige réellement chacun de vos téléservices, et sur quelle analyse cette exigence repose-t-elle ? Vos parcours acceptent-ils les moyens d’identification notifiés par les autres États membres, ou seulement le vôtre ? Vos signatures sont-elles avancées, qualifiées, ou simplement électroniques au sens le plus large, et savez-vous les distinguer dans vos flux ?
La révision entrée en vigueur en 2024 change l’échelle du sujet. Le règlement (UE) 2024/1183 impose à chaque État membre de proposer au moins un portefeuille européen d’identité numérique, et oblige un large ensemble d’acteurs publics et privés à l’accepter pour l’authentification des utilisateurs. Il introduit l’attestation électronique d’attributs, qui permet de prouver un diplôme, un âge ou une qualité professionnelle sans divulguer le reste de l’identité. La confusion la plus fréquente consiste à réduire eIDAS à la signature électronique. La partie identification, longtemps discrète, devient le cœur du dispositif et concerne désormais les parcours d’accès eux-mêmes.
Un audit de conformité pose une question binaire : le service respecte-t-il l’exigence, oui ou non. Le diagnostic de maturité pose une autre question : à quel niveau de maîtrise se situe la pratique, et quelle action précise fait passer au niveau suivant. Entre une organisation qui accepte un moyen d’identification transfrontalier au cas par cas et une organisation qui l’a intégré à son socle d’authentification, l’écart n’est pas un écart de conformité, c’est un écart de maturité. Le diagnostic le rend visible, thématique par thématique, et chiffre l’effort associé.
Dans Datamensio, ce référentiel est prêt à l’emploi et modifiable. L’IA ajuste les thématiques, reformule les questions au vocabulaire de votre organisation et affine les niveaux selon la méthode CMMI. Elle peut aussi construire une déclinaison à partir de vos propres documents : politique d’authentification, cartographie des téléservices, doctrine d’identité numérique. Le référentiel obtenu reste le vôtre, publiable auprès de vos business units ou de vos entités.
Norme de référence : Règlement (UE) n° 910/2014 (eIDAS), révisé par le règlement (UE) 2024/1183 (eIDAS 2)
Les thématiques évaluées
Gouvernance de l’identité numérique
Doctrine formalisée, désignation d’un responsable, articulation entre DSI, sécurité, juridique et métiers, arbitrage des niveaux de garantie, budget dédié.
Identification électronique et niveaux de garantie
Classement des téléservices par niveau faible, substantiel ou élevé, justification du choix, conformité au règlement d’exécution 2015/1502, revue périodique.
Enrôlement et vérification d’identité
Procédures de vérification à distance et en présentiel, preuves d’identité acceptées, détection de la fraude documentaire, traçabilité de l’enrôlement.
Authentification et gestion du cycle de vie
Mécanismes d’authentification multifacteur, gestion des habilitations, suspension, révocation et renouvellement des moyens, gestion des délégations et des mandats.
Interopérabilité transfrontalière
Acceptation des moyens d’identification notifiés par d’autres États membres, raccordement au nœud eIDAS, correspondance des attributs, traitement des cas d’échec d’appariement.
Portefeuille européen d’identité numérique
Préparation à l’acceptation du portefeuille, attestations électroniques d’attributs, gestion du consentement de l’utilisateur, enregistrement des parties utilisatrices.
Services de confiance
Recours à la signature, au cachet, à l’horodatage, à l’envoi recommandé électronique et aux certificats d’authentification de site, choix entre qualifié et non qualifié, vérification des listes de confiance.
Valeur probante et conservation
Politique de signature, validation et revalidation des signatures dans le temps, archivage à valeur probante, capacité à produire la preuve en cas de contestation.
Protection des données et minimisation
Articulation avec le RGPD, minimisation des attributs transmis, information des personnes, durées de conservation, gestion des demandes d’exercice de droits.
Surveillance, incidents et amélioration
Indicateurs de suivi, journalisation, détection et notification des incidents et violations, tests réguliers des parcours, retours d’expérience et actualisation de la doctrine.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
eIDAS est-il certifiable ?
Le règlement ne certifie pas les organisations qui utilisent des services de confiance. Il prévoit une qualification pour les prestataires de services de confiance, délivrée après audit par un organisme d’évaluation de la conformité et inscription sur la liste de confiance nationale. Le diagnostic Datamensio mesure la maturité de vos pratiques et prépare ces échanges, il ne délivre aucune qualification.
Quelle différence entre ce diagnostic et un audit de conformité ?
L’audit conclut par un écart ou une conformité sur une exigence donnée. Le diagnostic situe chaque pratique sur une échelle progressive et indique l’action qui fait passer au niveau suivant. Les deux se complètent : le diagnostic construit la trajectoire, l’audit valide le résultat.
Combien de temps prend l’évaluation ?
La version courte se remplit en une session de travail. La version complète, en mode collaboratif, s’étale sur une à deux semaines : l’essentiel du temps sert à collecter les éléments auprès de la DSI, du juridique et des métiers. Les délais dépendent de la disponibilité des contributeurs.
Peut-on adapter le référentiel à notre contexte ?
Oui. Les questions, les niveaux et les thématiques sont modifiables, et vous pouvez ajouter les vôtres. L’IA reformule le contenu au vocabulaire de votre organisation ou construit une déclinaison à partir de vos documents internes. Le référentiel publié reste sous votre maîtrise.
Le diagnostic couvre-t-il la révision eIDAS 2 et le portefeuille européen ?
Oui, une thématique porte spécifiquement sur la préparation à l’acceptation du portefeuille européen d’identité numérique et sur les attestations électroniques d’attributs. Les questions distinguent ce qui relève du socle existant et ce qui relève de la mise en conformité avec le règlement (UE) 2024/1183.
Faut-il une expertise technique pour répondre ?
Les questions portent sur les pratiques de gestion, pas sur les configurations de protocoles. Un responsable de projet numérique ou un auditeur interne peut répondre à la majorité d’entre elles. Le mode collaboratif permet d’affecter les questions techniques à un correspondant identifié.
Comment comparer plusieurs entités entre elles ?
Le même référentiel est diffusé à chaque business unit ou entité, et les résultats sont comparés par thématique. Une feuille de route transversale consolide ensuite les plans d’action sans dupliquer les chantiers communs, par exemple le raccordement au nœud eIDAS.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.