Quatre textes européens structurent aujourd'hui les exigences d'authentification : NIS2 (sécurité des réseaux et systèmes), DORA (résilience du secteur financier), DSP2 puis DSP3 (services de paiement) et le Cyber Resilience Act (produits comportant des éléments numériques). Aucun n'impose une technologie précise ; tous convergent vers trois attentes : authentification forte, traçabilité et sécurité dès la conception.
Cet article présente une lecture opérationnelle, pas un avis juridique. Les qualifications précises (entité essentielle/importante, seuils, périmètres) doivent être validées avec vos conseils.
Vue d'ensemble
| Texte | Nature | Qui est concerné | Attente côté authentification |
|---|---|---|---|
| NIS2 — directive (UE) 2022/2555 | Directive (transposée par chaque État) | Entités essentielles et importantes de 18 secteurs (énergie, santé, transports, administration, numérique…) | Mesures de gestion des risques incluant explicitement l'usage de solutions d'authentification multifacteur ou continue |
| DORA — règlement (UE) 2022/2554 | Règlement, applicable depuis janvier 2025 | Entités financières (banques, assurances, prestataires TIC critiques) | Contrôles d'accès robustes, authentification forte, gestion des identités, tests de résilience, gestion du risque tiers |
| DSP2 — directive (UE) 2015/2366 | En vigueur | Prestataires de services de paiement | SCA : deux facteurs indépendants de catégories distinctes + lien dynamique au montant et au bénéficiaire |
| DSP3 / PSR | En cours de processus législatif | Prestataires de paiement | Renforcement de la lutte antifraude, élargissement de la responsabilité, exigences accrues sur la fraude « autorisée » |
| CRA — règlement (UE) 2024/2847 | Règlement, obligations principales à horizon fin 2027 | Fabricants de produits avec éléments numériques | Sécurité dès la conception, gestion des vulnérabilités sur le cycle de vie, absence de mots de passe par défaut |
| eIDAS 2 — règlement (UE) 2024/1183 | Règlement | États membres, fournisseurs de services | Portefeuille d'identité européen : passage de la vérification répétée à l'acceptation d'une identité attestée |
Ce que ces textes demandent réellement
1. Une authentification forte — sans prescription technologique
NIS2 cite l'authentification multifacteur parmi les mesures attendues, DORA exige des mécanismes d'authentification robustes, DSP2 impose deux facteurs de catégories distinctes. Aucun ne dit « utilisez telle solution ». Conséquence pratique : la charge de la preuve vous revient. Il faut pouvoir démontrer que le dispositif est adapté au risque de l'action concernée.
Cela crée une exigence implicite souvent sous-estimée : une MFA contournée par un simple relais est difficile à présenter comme « adaptée au risque » sur un parcours de virement.
2. Une traçabilité opposable
Les trois textes convergent sur la capacité à prouver après coup qui a fait quoi. En cas de litige — notamment sur une fraude au paiement — la question devient : peut-on démontrer que l'opération résulte d'une action de l'utilisateur ? C'est là que la nuance entre authentifier une session et valider une action prend une portée juridique et non seulement technique.
3. La sécurité dès la conception
Le CRA déplace le curseur vers le produit : pas de mot de passe par défaut, gestion des vulnérabilités documentée, mises à jour de sécurité sur toute la durée de vie. Pour un éditeur, cela signifie que les choix d'authentification deviennent des caractéristiques réglementées du produit lui-même.
DSP3 et les paiements instantanés : l'exigence du temps réel
Deux évolutions se combinent dans le paiement :
- les virements en quelques secondes, qui suppriment la fenêtre de rattrapage a posteriori ;
- l'extension de la responsabilité à la fraude « autorisée » — celle où la victime valide elle-même l'opération, manipulée.
Ce second point est structurant : si la responsabilité s'étend aux opérations que le client a autorisées sous manipulation, alors prouver l'authentification ne suffit plus. Il faut des mécanismes capables d'attester d'une action consciente et contextualisée, au moment exact de l'opération. C'est exactement la zone que couvre le facteur cognitif.
eIDAS 2 : de la vérification à l'acceptation
Avec le déploiement des portefeuilles d'identité européens, la logique s'inverse : au lieu de refaire un KYC à chaque relation, on accepte une identité déjà attestée. Deux conséquences :
- l'enrôlement devient plus fiable, ce qui renforce toute la chaîne d'authentification ultérieure ;
- la quantité de données personnelles collectées diminue — ce qui réduit mécaniquement l'exposition en cas de fuite.
Comment s'organiser
- Cartographier les parcours par criticité, pas les outils. C'est le niveau auquel les textes raisonnent (risque de l'action).
- Identifier les méthodes non résistantes au relais encore utilisées sur des actions sensibles (SMS-OTP en tête).
- Vérifier les parcours de récupération de compte : c'est le point le plus souvent oublié dans les audits, et le plus faible.
- Documenter la traçabilité : que peut-on produire, six mois plus tard, pour démontrer l'origine d'une opération contestée ?
- Traiter la chaîne de sous-traitance (exigence explicite de DORA et de NIS2 sur les tiers).
- Intégrer la souveraineté dans l'analyse : localisation des données, juridiction applicable, dépendance à un fournisseur extra-européen.
FAQ
NIS2 impose-t-elle littéralement la MFA ?
La directive cite l'authentification multifacteur ou les solutions d'authentification continue parmi les mesures de gestion des risques attendues. La formulation est orientée risque : c'est à l'entité de justifier l'adéquation du dispositif retenu.
Une MFA classique suffit-elle pour DORA ?
DORA exige des contrôles d'accès et une authentification robustes, proportionnés au risque, ainsi que des tests. Une MFA en place est un point de départ ; sa résistance réelle aux techniques d'attaque actuelles fait partie de ce qui peut être questionné.
Quand le CRA s'applique-t-il concrètement ?
Le règlement est entré en vigueur fin 2024, avec une montée en charge des obligations et une pleine application à horizon fin 2027 — les obligations de notification arrivant avant. Les décisions de conception prises aujourd'hui sont donc déjà concernées.
DSP3 est-elle applicable ?
Non, le paquet est encore dans le processus législatif européen. Sa direction est en revanche claire (antifraude renforcée, responsabilité élargie), ce qui en fait un signal utile pour les choix d'architecture engagés maintenant.
Aller plus loin : pilier : authentification cognitive · NIS2 et la santé · DORA et la banque · souveraineté et authentification