Regolamento (UE) 2025/1943

Norme di riferimento per i certificati qualificati di firme elettroniche e sigilli elettronici

Il regolamento di esecuzione (UE) 2025/1943 della Commissione specifica le norme di riferimento e le specifiche tecniche che rendono operativa, in concreto, la presunzione di conformità prevista dal regolamento (UE) n. 910/2014 (eIDAS) per i certificati qualificati di firme elettroniche e di sigilli elettronici. Il testo nasce dall’esigenza, richiamata nei considerando, di garantire affidabilità, sicurezza e riconoscibilità delle prassi di rilascio dei certificati nell’ambiente imprenditoriale digitale, tenendo conto dell’evoluzione tecnologica e delle migliori pratiche di mercato.

Ambito di applicazione e coordinamento con eIDAS

Le disposizioni si applicano ai prestatori di servizi fiduciari qualificati che rilasciano certificati qualificati di firma elettronica e/o di sigillo elettronico e agli organismi di vigilanza chiamati a valutarne la conformità. Il regolamento attua gli articoli 28, paragrafo 6, e 38, paragrafo 6, di eIDAS, precisando che la presunzione di conformità opera solo se i servizi rispettano le norme tecniche contenute negli allegati. Il regolamento richiama inoltre l’esigenza di un riesame periodico da parte della Commissione per allineare il quadro alle nuove tecnologie, alle norme e alle specifiche tecniche emergenti.

Riferimenti tecnici e struttura degli allegati

Il cuore del regolamento è costituito dagli allegati I e II, che individuano le norme ETSI applicabili rispettivamente ai certificati qualificati di firme e di sigilli elettronici. Sono richiamate, con adattamenti, le serie ETSI EN 319 411-2, EN 319 412-1, EN 319 412-2, EN 319 412-3 e EN 319 412-5, nonché CEN/TS 419261 e i meccanismi crittografici concordati pubblicati da ENISA. Vengono inoltre richiamati standard e schemi di certificazione per la sicurezza dei moduli crittografici, tra cui ISO/IEC 15408, EUCC e, in via transitoria fino al 31 dicembre 2030, FIPS PUB 140-3 livello 3.

Verifica iniziale dell’identità e contenuto dei certificati

Per i certificati di firma, l’allegato I richiede che la raccolta e la validazione di attributi e prove sull’identità del soggetto siano conformi agli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 1 quater, di eIDAS; l’identità della persona fisica e, se del caso, i suoi attributi specifici devono essere verificati secondo tali atti. Per i certificati di sigillo, l’allegato II prevede analogo rinvio alla verifica dell’identità della persona giuridica e, se opportuno, dei suoi attributi specifici. In entrambi i casi la documentazione del prestatore deve specificare i requisiti relativi ai profili di certificato utilizzabili.

Rilascio del certificato, politica di certificazione e identificativi

Le norme di rilascio riprendono la struttura tecnica delle specifiche ETSI e richiedono che il certificato riporti l’identificativo della politica di certificazione pertinente. Se la certificate policy viene modificata in modo da incidere sulla sua applicabilità, l’identificativo deve essere aggiornato. Per i certificati di firma e di sigillo è anche disciplinato l’uso di OID ulteriori, che possono essere assegnati dal prestatore o da altri soggetti pertinenti, purché rafforzino i requisiti della politica applicabile.

Chiavi crittografiche, generazione e protezione

Il regolamento impone che la generazione delle chiavi del prestatore, incluse quelle impiegate nei servizi di revoca e registrazione, avvenga all’interno di un dispositivo crittografico sicuro certificato secondo criteri di sicurezza elevati. Sono ammessi sistemi certificati almeno EAL 4 o superiore secondo Common Criteria/ISO/IEC 15408 o EUCC; in alternativa, fino al 31 dicembre 2030, FIPS PUB 140-3 livello 3. La chiave privata di firma della CA deve essere detenuta e utilizzata all’interno di tali dispositivi. Inoltre, quando il soggetto o l’abbonato genera le proprie chiavi, queste devono rispettare gli algoritmi e le lunghezze conformi ai meccanismi crittografici concordati pubblicati da ENISA per gli usi previsti dalla certificate policy.

Sicurezza operativa, rete e continuità del servizio

Sul piano operativo, il regolamento richiede controlli periodici di sicurezza della rete: la scansione delle vulnerabilità deve essere eseguita almeno una volta a trimestre e il penetration test almeno una volta all’anno. I firewall devono essere configurati per impedire tutti i protocolli e gli accessi non necessari al funzionamento del prestatore. È inoltre disciplinata la conservazione dell’ultima CRL, qualora il servizio la fornisca, che deve essere preservata in integrità e disponibilità per il periodo indicato nella CPS.

Personale, ruoli di fiducia e cessazione del servizio

Il personale e gli eventuali subcontraenti in ruoli di fiducia devono possedere competenze, esperienza e qualifiche adeguate, conseguite mediante formazione, credenziali formali, esperienza effettiva o una combinazione di tali elementi. La conformità a tale requisito include aggiornamenti almeno ogni 12 mesi sulle nuove minacce e sulle pratiche di sicurezza correnti. Il testo amplia inoltre i ruoli di fiducia riconosciuti, includendo i funzionari addetti alla registrazione e alla revoca, con possibilità di svolgimento tramite rappresentanti formali per i contesti pubblici locali o regionali. Il piano di cessazione del prestatore deve infine rispettare i requisiti fissati negli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 5, di eIDAS.

Protezione dei dati e applicazione nel tempo

Il regolamento precisa che il trattamento dei dati personali effettuato nel suo ambito resta soggetto al regolamento (UE) 2016/679 e, se del caso, alla direttiva 2002/58/CE; per i trattamenti delle istituzioni e degli organismi dell’Unione si applica il regolamento (UE) 2018/1725. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.