Les cyberattaques se multiplient, les investissements en cybersécurité atteignent des niveaux inédits et pourtant les fuites de données continuent de battre des records. Ce paradoxe révèle une réalité que les entreprises commencent à peine à mesurer : le problème n’est plus seulement de mieux protéger les données, mais de remettre en question la manière dont elles sont échangées. En cela, le règlement européen eIDAS 2.0 ouvre une perspective bien plus profonde qu’on ne le pense souvent.
eIDAS 2.0 : de la protection des données à la réduction de leur exposition
By
Published on 10 septembre 2026 5h30
Chaque nouvelle fuite de données semble désormais suivre un scénario devenu familier. Des millions de comptes compromis, des informations personnelles qui circulent sur le dark web, des organisations contraintes d'informer leurs utilisateurs, de gérer une crise médiatique, de répondre aux autorités de contrôle et d'assumer des conséquences financières parfois considérables. Quelques semaines plus tard, une nouvelle affaire vient chasser la précédente de l'actualité, jusqu'à la suivante.
Face à cette succession d'incidents, la réponse paraît évidente : renforcer la cybersécurité. Les entreprises investissent dans des solutions toujours plus sophistiquées, multiplient les mécanismes d'authentification, chiffrent davantage leurs données, surveillent leurs infrastructures en permanence et mobilisent des équipes spécialisées. Ces efforts sont indispensables. Pourtant, ils ne suffisent manifestement plus à enrayer le phénomène.
Cette contradiction mérite d'être interrogée. Car si les défenses progressent tandis que les fuites de données continuent de s'amplifier, c'est peut-être que nous répondons parfaitement... à une mauvaise question.
Depuis des années, la cybersécurité consiste essentiellement à protéger l'accès à des bases de données toujours plus volumineuses, dans lesquelles sont centralisées les identités de millions d'utilisateurs. Ces bases constituent le cœur des systèmes d'information, mais également leur principale vulnérabilité. Elles concentrent suffisamment de valeur pour devenir des cibles prioritaires pour les attaquants. Plus elles grossissent, plus elles attirent les convoitises. Nous perfectionnons ainsi la protection d'actifs dont la simple existence crée une partie du risque.
Le véritable changement de paradigme d'eIDAS 2.0 se résume d'abord à la décentralisation des identités. Concrètement, cela signifie que vos données personnelles (identité, diplômes, etc.) restent stockées dans un portefeuille d'identité européen (EUDI Wallet) et demeurent sous votre contrôle, plutôt que d'être centralisées dans l'ensemble des systèmes qui en ont besoin. De plus, au travers de cette nouvelle architecture eIDAS 2.0, nous passons d'un monde de documents à un autre, où seules circulent des données atomiques vérifiables (attestations).
C'est précisément la logique qui sous-tend le règlement européen eIDAS 2.0, même si elle demeure souvent éclipsée par des sujets plus visibles comme la signature électronique ou la lutte contre la fraude documentaire. Ces usages sont essentiels, mais ils ne doivent pas masquer l'évolution la plus structurante du texte.
Dans ce modèle décentralisé, lorsqu'une information sera nécessaire pour réaliser une opération ou établir une relation de confiance, le citoyen européen pourra être sollicité au travers de son wallet d'identité, et ce, toujours sur la base de son consentement.
Ce changement de paradigme modifie profondément l'équation de la cybersécurité. Les attaques continueront d'évoluer et de se perfectionner, sans qu'aucun système puisse totalement s'en prémunir. En revanche, leurs conséquences peuvent être radicalement limitées dès lors qu'il s'agit de données atomiques et non vérifiables.
Le véritable apport d'eIDAS 2.0 réside dans une nouvelle manière de concevoir les échanges de données. Plutôt que de chercher indéfiniment à mieux protéger des pots de miel de plus en plus attractifs, le règlement invite à réduire l'exposition des données sensibles en limitant leur circulation au strict nécessaire, sous une forme vérifiable et contrôlée par leur titulaire.
C'est sans doute là que se trouve la véritable rupture : passer d'une cybersécurité fondée sur la seule protection des données à un changement profond de la nature des informations échangées. Cela pourrait bien constituer l'une des transformations les plus marquantes de la confiance numérique en Europe.