Regolamento (UE) 2024/2979

Integrità e funzionalità di base dei portafogli europei di identità digitale

Il regolamento di esecuzione (UE) 2024/2979 completa il quadro del regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183, fissando requisiti tecnici e funzionali minimi per i portafogli europei di identità digitale. La finalità è assicurare un ecosistema interoperabile, sicuro e rispettoso della protezione dei dati, coerente con l’architettura e il quadro di riferimento elaborati a livello UE e con la raccomandazione (UE) 2021/946.

Inquadramento generale e rapporti con altri atti

Il regolamento si colloca in un pacchetto di quattro regolamenti di esecuzione adottati dalla Commissione in materia di portafogli europei di identità digitale, insieme a quelli su protocolli e interfacce, dati di identificazione personale e attestati elettronici di attributi, e notifiche alla Commissione. Per il trattamento di dati personali restano applicabili il regolamento (UE) 2016/679 e, se del caso, la direttiva 2002/58/CE; inoltre, la Commissione si riserva la possibilità di riesaminare e aggiornare il testo per mantenerlo allineato agli sviluppi tecnologici e alle migliori pratiche.

Definizioni e architettura del portafoglio

Il testo distingue tra soluzione di portafoglio, unità di portafoglio e istanza di portafoglio. La soluzione di portafoglio è l’insieme complessivo di software, hardware, servizi, impostazioni e configurazioni forniti dal fornitore; l’unità di portafoglio è la configurazione riferita al singolo utente; l’istanza di portafoglio è l’applicazione con cui l’utente interagisce direttamente. Sono inoltre definiti i concetti di applicazione crittografica sicura, dispositivo crittografico sicuro, risorse critiche, attestato di unità di portafoglio, politica di divulgazione incorporata e parte facente affidamento sul portafoglio.

Integrità, autenticazione e protezione delle risorse critiche

Le unità di portafoglio non possono eseguire le funzionalità previste dall’articolo 5 bis, paragrafo 4, del regolamento (UE) n. 910/2014 prima dell’autenticazione dell’utente, salvo l’autenticazione necessaria per accedere al portafoglio. Per ogni unità deve essere apposto almeno un attestato di unità di portafoglio conforme ai requisiti del regolamento, firmato o sigillato con un certificato basato su un certificato presente nell’elenco di fiducia di cui al regolamento di esecuzione (UE) 2024/2980.

Le istanze di portafoglio devono impiegare almeno un dispositivo crittografico sicuro per la gestione delle risorse critiche e garantire la sicurezza delle comunicazioni con le applicazioni crittografiche sicure. Quando le risorse critiche si riferiscono all’identificazione elettronica ad alto livello di garanzia, si applicano anche i requisiti tecnici del regolamento di esecuzione (UE) 2015/1502.

Funzioni minime delle applicazioni crittografiche sicure

Le applicazioni crittografiche sicure per il portafoglio devono poter operare solo dopo l’autenticazione riuscita dell’utente nei casi in cui trattino risorse critiche diverse da quelle necessarie per l’autenticazione stessa. Esse devono essere in grado di generare nuove chiavi, cancellare in sicurezza risorse critiche, produrre prova del possesso di chiavi private e proteggere le chiavi private per tutta la loro durata. Se tali applicazioni sono fornite su elemento sicuro integrato, la soluzione deve basarsi sulle specifiche tecniche dell’allegato I o su specifiche equivalenti.

Autenticità, validità e revoca dell’unità di portafoglio

Ogni unità di portafoglio deve contenere attestati di unità di portafoglio con chiavi pubbliche, mentre le corrispondenti chiavi private devono essere protette da un dispositivo crittografico sicuro. I fornitori devono informare gli utenti sui loro diritti e obblighi, mettere a disposizione meccanismi indipendenti dall’unità per l’identificazione e l’autenticazione sicure e garantire il diritto dell’utente di chiedere la revoca degli attestati.

La revoca spetta esclusivamente al fornitore del portafoglio che ha rilasciato l’unità. Il fornitore deve adottare una politica pubblicamente disponibile che indichi condizioni e tempistiche di revoca, informare l’utente entro 24 ore dalla revoca con un messaggio conciso, accessibile e in linguaggio semplice, specificando anche il motivo e le conseguenze, e rendere pubblicamente disponibile lo stato di validità dell’attestato con modalità riservate e con indicazione della sua ubicazione nell’attestato.

Formati, registrazioni e divulgazione incorporata

Le soluzioni di portafoglio devono supportare i formati per dati di identificazione personale e attestati elettronici di attributi elencati nell’allegato II, in particolare ISO/IEC 18013-5:2021 e Verifiable Credentials Data Model 1.1 del W3C.

Le istanze di portafoglio devono registrare tutte le transazioni con parti facenti affidamento e con altre unità di portafoglio, anche se non concluse, comprese le operazioni di firma e sigillo. Le registrazioni devono contenere almeno la data e l’ora, i dati identificativi della controparte e dello Stato membro di stabilimento, il tipo di dati richiesti o presentati e, per le transazioni non completate, il motivo del mancato completamento. Le registrazioni devono essere protette in termini di integrità, autenticità e riservatezza, essere accessibili al fornitore solo ove necessario e previo consenso esplicito dell’utente, restare accessibili per il tempo richiesto dal diritto UE o nazionale ed essere esportabili dall’utente. Devono inoltre essere registrate le segnalazioni inviate dall’utente alle autorità di protezione dei dati tramite il portafoglio.

Quanto alla divulgazione incorporata, gli attestati elettronici di attributi devono poter essere trattati secondo le politiche comuni dell’allegato III. L’istanza deve elaborare la politica insieme ai dati ricevuti, verificare che la parte facente affidamento soddisfi i requisiti della politica e informare l’utente sull’esito della verifica.

Firme e sigilli elettronici qualificati

Il regolamento impone che gli utenti possano ricevere certificati qualificati per firme elettroniche qualificate o sigilli elettronici qualificati collegati a dispositivi di creazione locali, esterni o remoti rispetto all’istanza di portafoglio. Le soluzioni devono potersi interfacciare in modo sicuro con tali dispositivi. Per le persone fisiche deve essere assicurato, almeno per finalità non professionali, l’accesso gratuito ad applicazioni di creazione di firme che consentano firme elettroniche qualificate gratuite.

Le applicazioni per la creazione di firme possono essere fornite da portafogli, prestatori di servizi fiduciari o parti facenti affidamento. Devono permettere la firma o il sigillo di dati dell’utente o della parte affidante, supportare almeno i formati obbligatori dell’allegato IV e informare l’utente dell’esito del processo. Possono essere integrate nell’istanza di portafoglio o esterne; se integrate e collegate a dispositivi qualificati remoti, devono supportare l’interfaccia di programmazione indicata nell’allegato IV, corrispondente alla specifica Cloud Signature Consortium (CSC) v2.0.

Portabilità dei dati e pseudonimi

Laddove tecnicamente fattibile e fatta eccezione per le risorse critiche, le unità di portafoglio devono supportare esportazione sicura e portabilità dei dati personali per consentire la migrazione a un’altra soluzione di portafoglio, mantenendo un livello di garanzia elevato ai sensi del regolamento di esecuzione (UE) 2015/1502. Il testo incoraggia implicitamente anche l’uso di tali soluzioni per backup e recupero, in quanto collegato alla portabilità.

Le unità di portafoglio devono inoltre supportare la generazione di pseudonimi conformemente all’allegato V, che richiama Web Authentication – Level 2 del W3C. Devono anche saper generare, su richiesta di una parte facente affidamento, uno pseudonimo specifico e unico per quella parte, da fornire da solo o insieme ai dati o attestati richiesti.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.