Regolamento (UE) 2025/2532

Regolamento di esecuzione (UE) 2025/2532 della Commissione sui servizi di archiviazione elettronica qualificati

Il regolamento attua l’articolo 45 undecies, paragrafo 2, del regolamento (UE) n. 910/2014 (eIDAS) e definisce le norme di riferimento e le specifiche tecniche per i servizi di archiviazione elettronica qualificati. Il testo risponde all’esigenza, evidenziata dai considerando, di assicurare continuità probatoria, integrità, riservatezza e leggibilità dei documenti elettronici nel tempo, anche quando contengono firme o sigilli elettronici qualificati.

Finalità e quadro di riferimento

La Commissione richiama l’intervento del regolamento (UE) 2024/1183, che ha introdotto nel quadro eIDAS il servizio di archiviazione elettronica qualificato. L’obiettivo è costruire un insieme comune di specifiche riconosciute nei settori pertinenti, in modo da rafforzare fiducia, trasparenza e presunzione di conformità per i prestatori che rispettino il nuovo standard.

Ambito applicativo e presunzione di affidabilità

Il regolamento si applica ai prestatori di servizi fiduciari qualificati che archiviino dati o documenti elettronici, in particolare quelli recanti firme elettroniche qualificate o sigilli elettronici qualificati. La regola centrale è che il prestatore deve mantenere l’affidabilità di tali firme e sigilli anche oltre la loro validità tecnologica, conservandone integrità ed esattezza dell’origine almeno fino alla fine del periodo di conservazione legale o contrattuale. Ai fini di tale risultato, il prestatore può utilizzare un servizio qualificato di conservazione delle firme elettroniche qualificate o dei sigilli elettronici qualificati.

Norme tecniche di riferimento

Le norme e specifiche applicabili sono contenute nell’allegato e ruotano attorno alla CEN/TS 18170:2025. Il regolamento la integra con richiami a standard e strumenti tecnici tra cui:

• ETSI EN 319 401 V3.1.1 (requisiti generali per i prestatori di servizi fiduciari);
• ETSI EN 319 421 V1.3.1 (requisiti per i prestatori di servizi di marcatura temporale);
• ISO 14721:2025 (modello OAIS per i sistemi informativi di archiviazione);
• meccanismi crittografici concordati pubblicati da ENISA/ACM-ECCG;
• regolamenti di esecuzione (UE) 2024/482 e (UE) 2024/3144;
• ISO/IEC 15408:2022 e FIPS PUB 140-3.

Requisiti di governance, informazione e continuità operativa

L’allegato richiede una dichiarazione di politica e pratica conforme ai punti pertinenti della CEN/TS 18170 e della ETSI EN 319 401. Il prestatore deve disporre di procedure per notificare all’organismo di vigilanza le modifiche del servizio e la prevista cessazione, con un preavviso minimo di:

• un mese prima dell’attuazione di qualsiasi modifica;
• tre mesi prima della cessazione prevista del servizio fiduciario.

Prima dell’avvio del rapporto contrattuale, abbonati e parti facenti affidamento devono ricevere termini e condizioni precisi, chiari, completi e facilmente accessibili, sia in uno spazio pubblico sia individualmente.

Requisiti sulle risorse umane

Il personale del prestatore, e se del caso i subcontraenti coinvolti in ruoli di fiducia, deve possedere competenze, esperienza e qualifiche adeguate, dimostrabili mediante formazione, credenziali formali, esperienza pratica o combinazione delle due. È inoltre richiesto un aggiornamento periodico almeno ogni 12 mesi sulle nuove minacce e sulle pratiche di sicurezza attuali.

Sicurezza tecnica, crittografia e dispositivi certificati

Il sistema di archiviazione deve garantire la riservatezza dei dati e dei documenti per l’intero ciclo di vita, dal deposito all’eliminazione. Se l’origine dei dati è stabilita mediante firme o sigilli elettronici, tali firme o sigilli devono essere qualificati.

Quando il prestatore appone una firma digitale su un oggetto o su una registrazione digitale, la chiave privata deve essere conservata e utilizzata all’interno di un dispositivo qualificato per la creazione di firme o sigilli elettronici, oppure di un dispositivo crittografico sicuro certificato secondo:

• ISO/IEC 15408 o Common Criteria, con livello EAL 4 o superiore;
• il sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC), con livello EAL 4 o superiore;
• fino al 31 dicembre 2030, FIPS PUB 140-3 livello 3.

Se il dispositivo beneficia di certificazione EUCC, esso deve essere configurato e utilizzato conformemente a tale certificazione. Il prestatore deve inoltre monitorare la robustezza degli algoritmi crittografici impiegati e, se uno di essi diventa inadeguato secondo la valutazione del rischio, aggiornare la politica di archiviazione o creare un nuovo profilo di archiviazione per i pacchetti di archiviazione (AIP). La valutazione e l’uso degli algoritmi devono essere coerenti con i meccanismi crittografici concordati approvati da ACM-ECCG e pubblicati da ENISA. I componenti tecnici dell’archivio devono autenticarsi reciprocamente con tecniche crittografiche prima della comunicazione.

Sicurezza di rete, prove e validazione temporale

Per la sicurezza della rete si applicano i requisiti della ETSI EN 319 401. In particolare:

• la scansione delle vulnerabilità va eseguita almeno una volta a trimestre;
• il test di penetrazione va eseguito almeno una volta all’anno;
• i firewall devono bloccare tutti i protocolli e gli accessi non richiesti per il funzionamento del servizio.

È inoltre richiesto che la raccolta delle prove segua i requisiti della ETSI EN 319 401 anche per eventi critici e non critici. Quando il prestatore utilizza la marcatura temporale, deve impiegare una marcatura temporale qualificata.

Cessazione del servizio e piano di uscita

Il piano di cessazione dell’EATSP deve rispettare la CEN/TS 18170 e gli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014. Il regolamento attribuisce rilievo alla gestione ordinata della cessazione, in coerenza con i requisiti commerciali e regolamentari richiamati nell’allegato.

Protezione dei dati personali e controlli istituzionali

Il regolamento precisa che il GDPR (regolamento (UE) 2016/679) e, se del caso, la direttiva 2002/58/CE si applicano a tutte le attività di trattamento di dati personali effettuate in base al testo. È inoltre richiamato il regolamento (UE) 2018/1725 per la consultazione del Garante europeo della protezione dei dati.

Entrata in vigore e diretta applicabilità

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Come tipico degli atti regolamentari UE, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.