Regolamento (UE) 2025/1946

Regolamento di esecuzione (UE) 2025/1946 sui servizi di conservazione qualificati delle firme elettroniche qualificate e dei sigilli elettronici qualificati

Il regolamento definisce le norme tecniche di riferimento per i servizi di conservazione qualificati previsti dal regolamento (UE) n. 910/2014 (eIDAS). La finalità è assicurare che, nel lungo periodo, firme elettroniche qualificate e sigilli elettronici qualificati restino verificabili sotto il profilo dell’integrità, dell’autenticità, della prova dell’esistenza e dell’accessibilità, anche al mutare delle tecnologie.

Contesto e finalità

I considerando precisano che la presunzione di conformità prevista dagli articoli 34, paragrafo 1-bis, e 40 del regolamento eIDAS opera solo se il servizio rispetta le norme del presente regolamento. Le specifiche tecniche sono costruite sulle prassi consolidate dei settori interessati e includono controlli supplementari per rafforzare sicurezza, affidabilità e verificabilità nel tempo della qualifica e della validità tecnica delle firme e dei sigilli.

Ambito soggettivo e oggettivo

Il regolamento riguarda i prestatori di servizi fiduciari che forniscono servizi di conservazione qualificati delle firme elettroniche qualificate e dei sigilli elettronici qualificati, sia come servizio autonomo sia nell’ambito di altri servizi fiduciari qualificati, come l’archiviazione elettronica qualificata. Coinvolge anche gli organismi di vigilanza, cui spetta valutare la conformità ai requisiti tecnici per il rilascio o la conferma della qualifica.

Presunzione di conformità e ruolo della vigilanza

Se il prestatore soddisfa i requisiti dell’allegato, gli organismi di vigilanza dovrebbero presumere la conformità ai pertinenti requisiti del regolamento (UE) n. 910/2014 e tenerne conto nella procedura di qualificazione. Il testo precisa tuttavia che il prestatore può dimostrare la conformità anche con altre pratiche, purché compatibili con il quadro eIDAS.

Requisiti tecnici per la conservazione qualificata

L’allegato impone che il servizio conservi tutte le informazioni necessarie per verificare la qualifica della firma o del sigillo, incluse quelle non pubblicamente disponibili fino alla fine del periodo di conservazione. Le informazioni conservate devono consentire, in ogni momento del periodo di conservazione, di determinare se la firma o il sigillo fosse tecnicamente idoneo, al momento della conservazione, a costituire una firma elettronica qualificata UE o un sigillo elettronico qualificato UE.

Sono inoltre richieste validazioni temporali qualificate ai sensi del regolamento (UE) n. 910/2014 per le prove di conservazione. Le regole richiamano e adattano le norme ETSI TS 119 511 e ETSI TS 119 172-4, con riferimento anche ai meccanismi crittografici concordati pubblicati da ENISA.

Sicurezza crittografica e gestione delle chiavi

Quando il prestatore firma, anche solo in parte, una prova di conservazione, la chiave privata deve essere custodita e utilizzata all’interno di un dispositivo crittografico sicuro certificato. Sono ammessi:

• Common Criteria / ISO/IEC 15408 o Common Criteria CC:2022, parti 1-5, con livello EAL 4 o superiore;
• EUCC con livello EAL 4 o superiore;
• fino al 31 dicembre 2030, FIPS PUB 140-3 livello 3.

La certificazione deve riguardare un obiettivo di sicurezza o un profilo di protezione coerente con l’analisi dei rischi. Se il dispositivo beneficia di certificazione EUCC, deve essere configurato e utilizzato in conformità a tale certificazione. Le copie di backup delle chiavi private devono essere protette dal dispositivo sicuro prima della memorizzazione esterna, e l’esportazione/importazione verso un altro dispositivo sicuro è consentita solo in modo sicuro e coerente con le certificazioni applicabili.

Risorse umane, rete e sicurezza operativa

Il personale in ruoli di fiducia e, se del caso, i subcontraenti devono possedere competenze, esperienza e qualifiche adeguate, da acquisire tramite formazione, credenziali formali, esperienza pratica o combinazione delle due. È richiesto un aggiornamento periodico almeno ogni 12 mesi sulle nuove minacce e sulle pratiche di sicurezza attuali.

Sul piano della sicurezza di rete, il regolamento impone:

• scansioni delle vulnerabilità almeno una volta a trimestre;
• test di penetrazione almeno una volta all’anno;
• firewall configurati per bloccare protocolli e accessi non necessari al funzionamento del prestatore.

Cessazione del servizio e continuità operativa

Il piano di cessazione del prestatore di servizi fiduciari deve conformarsi ai requisiti fissati dagli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014. Ciò assicura che anche la fase di uscita del servizio sia governata da standard tecnici definiti a livello unionale.

Verifica dell’applicabilità tecnica e convalida delle firme

Per la parte relativa alla convalida, l’allegato modifica alcuni riferimenti tecnici di ETSI TS 119 172-4 e stabilisce regole specifiche sui vincoli di revoca. La disciplina differenzia il trattamento dei certificati che rappresentano un’ancora di fiducia da quelli che non la rappresentano, con conseguenze diverse sull’uso dei RevocationCheckingConstraints e dei RevocationFreshnessConstraints.

Le applicazioni di convalida della firma devono essere conformi a ETSI TS 119 101. Inoltre, se uno dei controlli del processo di verifica dell’applicabilità tecnica non supera la verifica, il processo si interrompe e la firma viene classificata come tecnicamente indeterminata, senza poter essere qualificata né come firma elettronica qualificata UE né come sigillo elettronico qualificato UE; l’esito deve essere riportato nella relazione di verifica.

Dati personali, consultazioni e rapporto con altri atti

Il regolamento precisa che il trattamento di dati personali effettuato nell’ambito delle sue attività è soggetto al regolamento (UE) 2016/679 e, se del caso, alla direttiva 2002/58/CE. Per le istituzioni e gli organismi dell’Unione si applica il regolamento (UE) 2018/1725. Il Garante europeo della protezione dei dati è stato consultato, e le misure adottate risultano conformi al parere del comitato competente ai sensi del regolamento eIDAS.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.