Regolamento (UE) 2025/1567

Regolamento di esecuzione (UE) 2025/1567 sulla gestione di dispositivi qualificati per la creazione di firme e sigilli elettronici a distanza

Il regolamento attua il regolamento (UE) n. 910/2014 (eIDAS) definendo norme di riferimento e specifiche tecniche per i servizi fiduciari qualificati che gestiscono dispositivi qualificati per la creazione di firme elettroniche a distanza e sigilli elettronici a distanza. La finalità, richiamata nei considerando, è accrescere certezza del diritto, affidabilità e sicurezza di tali servizi, assicurando al contempo il controllo esclusivo dei dati da parte dei firmatari e dei creatori del sigillo.

Finalità e contesto regolatorio

La Commissione sottolinea che questi servizi sono centrali per la transizione dai processi cartacei a quelli elettronici nell’ambiente imprenditoriale digitale. Le norme introdotte devono riflettere prassi consolidate e includere controlli idonei a garantire la sicurezza dei servizi fiduciari qualificati, in coerenza con le condizioni richieste per la validità delle firme elettroniche qualificate e dei sigilli elettronici qualificati.

Ambito di applicazione

Il regolamento riguarda i prestatori di servizi fiduciari qualificati che offrono la gestione a distanza di dispositivi qualificati per la creazione di firme elettroniche e sigilli elettronici. Il rinvio normativo è agli articoli 29 bis, paragrafo 2, e 39 bis del regolamento (UE) n. 910/2014. Il testo è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.

Norme tecniche e allegato

L’articolo 1 stabilisce che le norme di riferimento e le specifiche sono contenute nell’allegato. L’allegato fa leva sulla norma ETSI TS 119 431-1 V1.3.1 (2024-12) per valutare la conformità al servizio applicativo EU Server Signing Application Service v2 Policy (SSASP), con adeguamenti mirati ad alcuni profili di sicurezza e di governance del servizio.

Controlli organizzativi e sicurezza operativa

Tra i requisiti più rilevanti figurano quelli sul personale: il servizio deve impiegare persone in ruoli di fiducia, e eventualmente subappaltatori in ruoli di fiducia, dotati di competenze e qualifiche adeguate. È previsto inoltre un aggiornamento periodico almeno annuale sulle nuove minacce e sulle pratiche di sicurezza vigenti. Sul piano della continuità operativa, il piano di cessazione del servizio deve essere coerente con gli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014.

Sicurezza di rete e crittografia

Le misure di rete impongono una scansione delle vulnerabilità almeno trimestrale e una configurazione dei firewall volta a bloccare protocolli e accessi non necessari al funzionamento del TSP. In materia crittografica, il regolamento richiede controlli di sicurezza per l’intero ciclo di vita delle tecniche crittografiche e l’uso di tecniche conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza di ENISA.

Requisiti generali e certificazione QSCD

L’allegato prevede che la dichiarazione sulla prassi del TSP includa il riferimento alla certificazione del QSCD utilizzato, in conformità ai requisiti dell’allegato II del regolamento (UE) n. 910/2014. Tale elemento collega direttamente il servizio di gestione remota alla disciplina europea sui dispositivi qualificati di creazione della firma o del sigillo.

Protezione dei dati e consultazione istituzionale

Il regolamento precisa che il regolamento (UE) 2016/679 si applica a tutte le attività di trattamento di dati personali effettuate ai sensi del presente testo e, se del caso, anche la direttiva 2002/58/CE. È inoltre richiamata la consultazione del Garante europeo della protezione dei dati ai sensi del regolamento (UE) 2018/1725.

Entrata in vigore e applicazione

L’atto entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma la sua applicazione è differita al 19 agosto 2027, così da consentire ai prestatori interessati un periodo adeguato per verificare la conformità ai nuovi requisiti. I considerando indicano anche che la Commissione potrà riesaminare e aggiornare il regolamento in funzione dell’evoluzione tecnologica e delle migliori pratiche del mercato interno.