Regolamento (UE) 2023/2790

Regolamento di esecuzione (UE) 2023/2790 della Commissione

Il regolamento attua il quadro dell’interfaccia unica marittima europea (EMSWe) disciplinando in dettaglio il modulo di interfaccia delle dichiarazioni (RIM) e il sistema di gestione del registro e dell’accesso degli utenti (URAM). La finalità è assicurare uno scambio di dati interoperabile, sicuro e armonizzato tra operatori e interfacce uniche marittime nazionali, con attenzione alla protezione dei dati personali e all’autenticazione unificata dei mittenti.

Contesto e finalità

Il provvedimento si inserisce nel sistema del regolamento (UE) 2019/1239 e risponde all’esigenza di disporre di componenti tecnici facilmente integrabili, manutenzionabili e interoperabili tra Stati membri con tecnologie diverse. I considerando evidenziano la necessità di usare protocolli standardizzati, garantire il trattamento conforme dei dati personali, centralizzare la distribuzione e l’aggiornamento del software quando opportuno, e offrire strumenti di monitoraggio degli eventi e del traffico di rete.

Ambito soggettivo e oggettivo

Il regolamento riguarda la Commissione, gli Stati membri, le MNSW, i mittenti e i sistemi informatici coinvolti nello scambio di messaggi elettronici relativi alle formalità marittime. Il RIM costituisce il componente middleware che collega i mittenti al nucleo MNSW; URAM, invece, gestisce registrazione e autenticazione, con registro centrale e servizio centrale di autenticazione. Il testo ammette, in alternativa, l’uso di servizi nazionali di autenticazione e registri nazionali, purché conformi ai requisiti fissati.

Definizioni principali

L’articolo 1 chiarisce il lessico tecnico-giuridico del regolamento. Sono centrali la nozione di "mittente" come dichiarante o fornitore di servizi di dati, il protocollo AS4 per lo scambio sicuro dei messaggi, la "formalità" come definita nel regolamento di esecuzione (UE) 2023/204, il "codice EORI" e i concetti di registrazione, identificazione, autenticazione e certificato qualificato di sigillo elettronico ai sensi del regolamento (UE) n. 910/2014.

Modulo di interfaccia delle dichiarazioni (RIM): architettura e funzioni

Il RIM deve operare in un modello a quattro angoli: back-office del mittente, punto di accesso AS4 del mittente, RIM e nucleo MNSW. Deve supportare scambio asincrono di messaggi, con trasmissione push e pull, e deve trasferire i messaggi senza modifiche quando le verifiche hanno esito positivo. Non deve andare oltre la convalida prevista nella guida all’implementazione dei messaggi, né conservare i messaggi dopo il trasferimento riuscito.

Requisiti funzionali del RIM

Tra le principali funzioni richieste figurano:

• registrazione e memorizzazione di eventi quali mancate consegne, ritardi ed errori di destinatario;
• memorizzazione dei metadati dei messaggi scambiati;
• conservazione e consultazione dei dati tecnici necessari alla configurazione e al funzionamento;
• gestione delle eccezioni tramite interfaccia utente;
• accesso del nucleo MNSW alle informazioni di monitoraggio e registrazione;
• autenticazione del mittente tramite servizio centrale o nazionale;
• convalida sintattica e semantica dei messaggi secondo la guida all’implementazione;
• trasferimento del contenuto dei messaggi al componente pertinente senza modifiche.

Requisiti tecnici, sicurezza e portabilità del RIM

Il RIM deve usare il protocollo AS4 per l’interoperabilità e deve garantire riservatezza, sicurezza, integrità e non ripudio dei messaggi. La riservatezza è assicurata mediante cifratura delle informazioni tra punto di accesso AS4 e RIM e uso di Web Service Security. Il sistema deve inoltre offrire affidabilità, evitare la perdita di messaggi in caso di indisponibilità del servizio, essere scalabile e compatibile con architetture hardware e sistemi operativi comuni, senza richiedere hardware o software proprietari. È prevista anche la fornitura del RIM come pacchetto software autoinstallabile con indicazione delle dipendenze nelle note di rilascio.

URAM: registro centrale e servizio centrale di autenticazione

Il sistema URAM serve a gestire la registrazione e l’accesso degli utenti del sistema EMSWe. Il software deve rispettare standard interoperabili e utilizzare soluzioni aperte dell’UE; deve inoltre verificare i certificati del mittente rispetto agli elenchi di fiducia pubblicati dagli Stati membri e ai requisiti eIDAS, inclusi quelli sulle informazioni dei prestatori di servizi fiduciari qualificati che rilasciano i certificati per sigilli elettronici.

Protezione dei dati personali e sicurezza in URAM

Il regolamento insiste sulla limitazione della finalità del trattamento: i dati personali devono essere trattati solo per creare gli account utente e gestire i diritti di accesso. Il servizio centrale di autenticazione conserva i dati solo per il tempo necessario all’autenticazione, mentre il registro centrale li conserva solo per la gestione dell’account. Sono richiesti TLS per la protezione delle comunicazioni, controlli di accesso e misure per l’individuazione di attività dolose e il trasferimento sicuro di informazioni sensibili.

Autenticazione dei mittenti

L’autenticazione è un passaggio obbligatorio per l’uso sicuro del modulo. Il servizio centrale di autenticazione verifica la validità del certificato, il numero EORI e il collegamento tra i due elementi; in caso di esito positivo, il messaggio è reso disponibile al nucleo MNSW, altrimenti è inviato un messaggio di errore. Se uno Stato membro ha istituito un servizio nazionale di autenticazione, esso può essere usato per i mittenti che utilizzano un certificato rilasciato nello stesso Stato membro.

Funzioni del registro centrale

Il registro centrale consente agli Stati membri di registrare i mittenti, visualizzarne i dati, cercarli, aggiornarli, disattivarli e ottenere dati di audit e rendicontazione, tra cui la data di registrazione e la validità del certificato. Il sistema invia notifiche agli Stati membri quando un mittente da essi registrato viene registrato, aggiornato o disattivato, o quando scade il certificato. Gli Stati membri privi di un registro nazionale conforme devono utilizzare il registro centrale per inserire numero EORI e certificato del mittente, assumendosi la responsabilità della verifica e della correttezza dei dati.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 15 agosto 2025. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.