Regolamento (UE) 2024/2981

Certificazione dei portafogli europei di identità digitale

Il regolamento istituisce un quadro comune per la certificazione dei portafogli europei di identità digitale, in attuazione dell’articolo 5 quater del regolamento (UE) n. 910/2014. La finalità dichiarata è garantire un livello elevato e omogeneo di sicurezza, fiducia, interoperabilità e protezione dei dati, evitando la frammentazione del mercato interno e allineando il sistema agli sviluppi tecnologici e alla futura evoluzione della normazione e della ciberresilienza.

Contesto normativo e principi di fondo

Il testo si coordina con il regolamento (UE) 2016/679 e, se del caso, con la direttiva 2002/58/CE per ogni trattamento di dati personali. Fa inoltre ampio rinvio al regolamento (UE) 2019/881 sulla cibersicurezza, al regolamento di esecuzione (UE) 2015/1502 sui livelli di garanzia dell’identificazione elettronica, al regolamento di esecuzione (UE) 2024/482 sull’EUCC, al regolamento (UE) 2024/1183 e alla raccomandazione (UE) 2021/946. Il sistema è impostato in modo modulare: i requisiti nazionali devono poter fare ricorso, se disponibili e pertinenti, a sistemi di certificazione già esistenti e a norme tecniche europee, internazionali o nazionali.

Ambito oggettivo della certificazione

L’oggetto della certificazione riguarda la fornitura e il funzionamento delle soluzioni di portafoglio e dei regimi di identificazione elettronica nel cui contesto esse sono rese disponibili. Sono inclusi i componenti software, le configurazioni e, quando forniti dalla soluzione di portafoglio, anche i componenti e le piattaforme hardware necessari; sono inoltre compresi i processi di onboarding, gestione e manutenzione. L’articolo 3 precisa che ciascun sistema nazionale deve descrivere l’architettura specifica coperta e, se copre più architetture, prevedere un profilo distinto per ciascuna.

Definizioni rilevanti

Le definizioni dell’articolo 2 sono centrali per l’applicazione pratica del regolamento. In particolare, la "soluzione di portafoglio" è intesa come combinazione di software, hardware, servizi, impostazioni e configurazioni, mentre il "portafoglio" opera attraverso un’"istanza di portafoglio", una "applicazione crittografica sicura per il portafoglio" (WSCA) e un "dispositivo crittografico sicuro per il portafoglio" (WSCD). Rilevanti anche il "registro dei rischi", le "risorse critiche", l’"oggetto della certificazione" e la nozione di "incidente" rinviata alla direttiva (UE) 2022/2555.

Struttura dei sistemi nazionali di certificazione

Gli Stati membri devono assegnare un titolare del sistema a ciascun sistema nazionale di certificazione. Quest’ultimo è chiamato a elaborare e mantenere il sistema, disciplinarne le attività, monitorarne l’attuazione e informare il gruppo di cooperazione sulle revisioni. Il titolare può subappaltare attività, ma resta responsabile delle funzioni affidate a terzi.

Registro dei rischi e valutazione dei rischi

Uno degli assi portanti del regolamento è il registro dei rischi dell’allegato I, che elenca rischi di alto livello, rischi di sistema, minacce tecniche e scenari di minaccia specifici per i portafogli. I sistemi nazionali di certificazione devono trattare tali rischi mediante requisiti di sicurezza e, per ciascuna architettura specifica, i fornitori devono integrare la valutazione di rischio del sistema con rischi e minacce propri della loro attuazione. Il registro deve essere aggiornato periodicamente in collaborazione con il gruppo di cooperazione.

Requisiti di sicurezza e ambiente operativo

I sistemi nazionali devono fissare requisiti funzionali e di cibersicurezza coerenti con il livello di garanzia elevato richiesto per i portafogli. Il regolamento insiste sul fatto che la sicurezza va valutata sull’intera soluzione, ma anche sui suoi componenti; alcuni componenti possono essere certificati a un livello inferiore solo se ciò è giustificato e non riduce il livello complessivo richiesto. Per i componenti hardware e le piattaforme su cui girano i componenti software, quando non forniti dal fornitore del portafoglio, il sistema nazionale deve formulare ipotesi da verificare tramite attività di valutazione.

Gestione di incidenti, vulnerabilità e disclosure

L’articolo 5 impone al titolare del certificato obblighi puntuali di notifica di violazioni, compromissioni, vulnerabilità e modifiche che possano incidere sulla conformità. Devono essere adottate politiche e procedure di gestione delle vulnerabilità, incluse quelle conformi alla norma EN ISO/IEC 30111:2019 e, per quanto applicabile, al regolamento sulla ciberresilienza. La relazione sull’analisi dell’impatto delle vulnerabilità deve descrivere impatto, rischi, rimedi possibili e modalità di rimedio. Inoltre, le vulnerabilità pubblicamente note e sanate devono essere divulgate e registrate negli archivi online richiamati dall’allegato V.

Ruolo degli organismi di certificazione

Gli organismi di certificazione devono essere accreditati ai sensi del regolamento (CE) n. 765/2008 e della norma EN ISO/IEC 17065:2012, con specifici requisiti di competenza su architetture, minacce, soluzioni di sicurezza e sistema nazionale applicabile. Essi svolgono attività di vigilanza, devono notificare rilascio, sospensione e annullamento dei certificati all’organismo di vigilanza competente e possono subappaltare solo nel rispetto delle garanzie previste dal regolamento.

Valutazione della conformità e contenuto delle prove

L’articolo 13 elenca le attività di valutazione: audit dell’attuazione, prove funzionali, valutazione dei processi di manutenzione, analisi della dipendenza, valutazione delle vulnerabilità e analisi dell’evoluzione delle minacce. L’allegato IV dettaglia in modo molto tecnico le attività specifiche per WSCD, WSCA, dispositivi dell’utente finale, istanza di portafoglio, servizi/processi e servizi TIC. L’allegato II, invece, stabilisce i criteri per valutare l’accettabilità delle informazioni di garanzia provenienti da sistemi quali EUCC, EUCS, SOG-IS, EN 17640, ISO/IEC 27001, SOC 2 e altri sistemi pertinenti.

Certificazione, attestazione e trasparenza

L’articolo 14 impone il rilascio di un certificato di conformità con contenuti minimi dettagliati nell’allegato VII. La relazione pubblica di certificazione e la relazione di valutazione della certificazione devono contenere elementi essenziali sulla soluzione, sui risultati delle prove, sui requisiti soddisfatti e sulle eventuali non conformità, come indicato nell’allegato VIII. In parallelo, l’allegato V impone la pubblicazione di informazioni di sicurezza essenziali, tra cui limitazioni d’uso, indicazioni per l’uso sicuro, periodo di supporto alla sicurezza, contatti per la segnalazione di vulnerabilità e collegamenti agli archivi di vulnerabilità.

Sorveglianza, ricertificazione e gestione delle modifiche

Il ciclo di certificazione non è statico: l’articolo 18 richiede valutazioni periodiche, la ricertificazione prima della scadenza del certificato e un processo di gestione delle modifiche della soluzione di portafoglio. L’allegato IX propone un ciclo quadriennale di riferimento con sorveglianza annuale e valutazione delle vulnerabilità almeno biennale, precisando che la validità del certificato non può superare cinque anni. Le valutazioni speciali sono previste in caso di modifiche significative o mutamenti del panorama delle minacce.

Reclami, ricorsi, registrazioni e riservatezza

Il regolamento richiede procedure efficaci per reclami e ricorsi, con comunicazione dello stato del procedimento e del diritto a un ricorso giurisdizionale effettivo. Gli organismi di certificazione e i titolari dei certificati devono conservare in modo sicuro le registrazioni rilevanti per almeno cinque anni dopo annullamento o scadenza, salvo termini maggiori previsti dal diritto UE o nazionale. Tutti i soggetti che accedono alle informazioni nel sistema devono inoltre proteggere segreti commerciali, dati riservati e proprietà intellettuale.

Transizione e applicazione temporale

Il regolamento prevede un riesame quando sarà adottato il primo sistema europeo di certificazione della cibersicurezza per le soluzioni di portafoglio. Quanto all’efficacia, entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.