Regolamento (UE) 2025/1572

Regolamento di esecuzione (UE) 2025/1572 sulle notifiche e verifiche per l’avvio di servizi fiduciari qualificati

Il regolamento attua l’articolo 21, paragrafo 4, del regolamento (UE) n. 910/2014 (eIDAS) e coordina tale disciplina con il quadro di cibersicurezza della direttiva (UE) 2022/2555 (NIS 2). Esso nasce dall’esigenza di rendere uniformi, trasparenti e verificabili le procedure nazionali di notifica e controllo prima dell’avvio di servizi fiduciari qualificati, garantendo condizioni omogenee nell’Unione.

Finalità e contesto normativo

La Commissione evidenzia che, quando un prestatore di servizi fiduciari intende avviare un servizio fiduciario qualificato, deve notificare la propria intenzione all’organismo di vigilanza allegando una relazione di valutazione della conformità. L’organismo di vigilanza deve poi verificare se il prestatore e il servizio rispettano i requisiti applicabili e, in caso positivo, concedere la qualifica. Il regolamento mira quindi a standardizzare sia il contenuto delle notifiche sia il metodo di verifica, riducendo difformità tra Stati membri e assicurando trasparenza sull’operato delle autorità nazionali.

Ambito soggettivo e oggettivo

Le disposizioni si applicano agli organismi di vigilanza nazionali e ai prestatori di servizi fiduciari che intendono iniziare a prestare un servizio fiduciario qualificato. L’oggetto specifico è la fase pre-autorizzativa o pre-qualificatoria: notifica dell’intenzione, documentazione da produrre, analisi dei rischi, verifica di conformità e coinvolgimento delle autorità competenti in materia di cibersicurezza. Il regolamento richiama inoltre il trattamento dei dati personali, per il quale continuano ad applicarsi il regolamento (UE) 2016/679 e, se del caso, la direttiva 2002/58/CE.

Metodologia di verifica

L’articolo 1 impone agli organismi di vigilanza di predisporre una metodologia di verifica. Tale metodologia non è lasciata alla discrezionalità pura delle autorità, ma deve comprendere procedure e processi anche per il coinvolgimento delle autorità competenti individuate ai sensi dell’articolo 8, paragrafo 1, della direttiva NIS 2. Il riferimento espresso all’articolo 21, paragrafo 2, della direttiva (UE) 2022/2555 evidenzia il coordinamento tra requisiti di fiducia digitale e obblighi di sicurezza informatica.

Trasparenza verso gli operatori

L’articolo 2 obbliga gli organismi di vigilanza a pubblicare informazioni essenziali sulle modalità operative. Devono essere resi disponibili almeno:

• i dati di contatto dell’organismo di vigilanza;
• i canali di comunicazione da usare per la notifica dell’intenzione di avviare un servizio qualificato;
• l’elenco della documentazione da fornire;
• le procedure per i reclami relativi al processo di verifica;
• una descrizione generale della metodologia di verifica.

L’obiettivo è consentire ai prestatori di conoscere ex ante le regole pratiche applicate a livello nazionale e ridurre incertezze procedurali.

Contenuto della notifica del prestatore

L’articolo 3 elenca in modo puntuale le informazioni minime da includere nella notifica. Il contenuto varia a seconda che il prestatore sia una persona giuridica o fisica, ma in ogni caso devono essere indicati identificativi, recapiti e informazioni sufficienti per la reperibilità e l’identificazione del soggetto notificante.

In particolare, la notifica deve contenere:

• per le persone giuridiche: denominazione, eventuale numero di registrazione, Stato membro di stabilimento e nominativi dei firmatari o presentatori della notifica;
• per le persone fisiche: nome, numero di identificazione personale o, in mancanza, data di nascita, tipo e numero del documento d’identità;
• numero di telefono, indirizzo e-mail e indirizzo postale;
• URI attraverso cui gli utenti possano consultare ulteriori informazioni, comprese dichiarazioni sulle pratiche e politiche, termini e condizioni generali e politiche di assistenza clienti;
• l’analisi dei rischi alla base delle misure richieste dall’articolo 24, paragrafo 2, lettera f bis), del regolamento eIDAS e dall’articolo 21 della direttiva NIS 2;
• l’indicazione di ciascun servizio fiduciario qualificato che si intende avviare;
• per ciascun servizio, identificatori e, se del caso, certificati da includere nell’elenco nazionale di fiducia, la data prevista di avvio, le relazioni di valutazione della conformità e i recapiti dell’organismo di valutazione, nonché eventuali relazioni tecniche di supporto;
• il piano di cessazione previsto dall’articolo 24, paragrafo 2, lettera i), del regolamento eIDAS.

Verifica della conformità

L’articolo 4 disciplina l’attività di controllo dell’organismo di vigilanza. L’autorità analizza la documentazione ricevuta e può integrare la verifica con ispezioni in loco e colloqui con i rappresentanti del prestatore e dell’organismo di valutazione della conformità. La norma non si limita a un controllo formale, ma impone una valutazione sostanziale della conformità.

Gli elementi che devono essere verificati almeno comprendono:

• la capacità della relazione di valutazione della conformità di dimostrare adeguatamente il rispetto dei requisiti del regolamento eIDAS e della direttiva NIS 2;
• la conformità della relazione ai requisiti tecnici stabiliti negli atti di esecuzione adottati a norma dell’articolo 20, paragrafo 4, del regolamento eIDAS;
• l’eventuale presenza di informazioni nella relazione che indichino una non conformità;
• la disponibilità di ulteriori informazioni ritenute necessarie per completare la verifica.

Rapporto con la disciplina sulla protezione dei dati

Il regolamento precisa che il trattamento di dati personali effettuato in sua applicazione è soggetto al regolamento (UE) 2016/679 e, ove pertinente, alla direttiva 2002/58/CE. Inoltre, nel processo di adozione è stato consultato il Garante europeo della protezione dei dati ai sensi del regolamento (UE) 2018/1725.

Entrata in vigore e applicazione

L’articolo 5 prevede che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Tuttavia, la sua applicazione è differita al 19 agosto 2026, così da consentire un periodo transitorio per gli adattamenti necessari da parte degli Stati membri, inclusi eventuali aggiornamenti normativi, organizzativi e informatici. Il regolamento è direttamente applicabile e vincolante in tutti i suoi elementi in ciascuno Stato membro.