Regolamento (UE) 2026/1735

Regolamento di esecuzione (UE) 2026/1735 della Commissione: norme e specifiche applicabili agli attestati elettronici di attributi

Il regolamento interviene sul regolamento di esecuzione (UE) 2025/1569 per adeguarlo all’evoluzione dell’architettura e del quadro di riferimento dei portafogli europei di identità digitale, sviluppati sulla base della raccomandazione (UE) 2021/946. L’obiettivo dichiarato è rafforzare l’armonizzazione tra Stati membri, migliorare la sicurezza, l’interoperabilità e la coerenza tecnica dei servizi fiduciari relativi agli attestati elettronici di attributi, in linea con il regolamento (UE) n. 910/2014.

Ambito soggettivo e oggettivo

Il regolamento riguarda i fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica, o per suo conto. Le disposizioni incidono sul rilascio, sulla revoca, sulla verifica e sulla firma o sigillo dei risultati di verifica relativi ad attributi verificati contro fonti autentiche. Il regolamento richiama inoltre espressamente l’applicazione del regolamento (UE) 2016/679 e, se del caso, della direttiva 2002/58/CE per i trattamenti di dati personali, nonché del regolamento (UE) 2018/1725 per le istituzioni, gli organi e gli organismi dell’Unione.

Conformità ai regimi per gli attestati di attributi

Il nuovo testo dell’articolo 3 chiarisce che, quando gli attestati elettronici di attributi sono inclusi in regimi registrati nel catalogo dei regimi per gli attestati di attributi, i fornitori devono conformarsi ai requisiti del regime corrispondente. Le politiche e le procedure adottate dagli emittenti per soddisfare tali requisiti rientrano nella valutazione di conformità prevista dal regolamento (UE) n. 910/2014.

Revoca, tutela della privacy e requisiti tecnici

L’articolo 4 è riscritto per disciplinare la revoca degli attestati con validità superiore a 24 ore. La revoca deve avvenire almeno:

• su richiesta della persona cui l’attestato è stato rilasciato o, se del caso, del soggetto cui l’attestato si riferisce;
• quando il fornitore viene a conoscenza di una compromissione della sicurezza o dell’affidabilità dell’attestato;
• nelle altre ipotesi previste dal diritto dell’Unione o nazionale.

I fornitori devono inoltre adottare tecniche di revoca e metodi di gestione che proteggano la vita privata e ostacolino la correlabilità e la tracciabilità. Tali tecniche devono essere conformi ai requisiti dell’allegato II del regolamento modificato.

Verifica degli attributi e firma/sigillo del risultato

L’articolo 9 introduce un espresso rinvio alle specifiche tecniche dell’allegato IV per i meccanismi di verifica. Il risultato della verifica deve indicare se l’attributo è stato verificato o meno e deve specificare l’organismo del settore pubblico responsabile della fonte autentica, oppure l’organismo designato ad agire per suo conto. Inoltre, il risultato deve essere firmato o sigillato dall’organismo responsabile della fonte autentica, o dall’intermediario designato riconosciuto a livello nazionale, con almeno una firma elettronica avanzata basata su certificato qualificato o un sigillo elettronico avanzato basato su certificato qualificato.

Norme di riferimento e specifiche tecniche

Gli allegati aggiornano in modo sostanziale il quadro tecnico applicabile.

Nell’allegato I sono elencate le norme di riferimento e le specifiche da applicare all’articolo 3, tra cui:

• ETSI TS 119 471 V1.1.1 (2025-05);
• ETSI EN 319 401 V3.2.1 (2026-01);
• i meccanismi crittografici concordati pubblicati da ENISA;
• FIPS PUB 140-3;
• i regolamenti di esecuzione (UE) 2024/482 e 2024/3144;
• ISO/IEC 15408:2022.

Lo stesso allegato introduce la definizione di "dispositivo crittografico sicuro" e disciplina vari aspetti operativi, tra cui autenticazione reciproca, convalida dell’unità EUDIW, gestione della revoca, notifica delle modifiche all’organismo di vigilanza, sicurezza delle chiavi e degli algoritmi crittografici, certificazione dei dispositivi di firma/sigillo e gestione delle vulnerabilità. È previsto anche che il piano di cessazione dell’EAASP sia conforme ai requisiti degli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014.

L’allegato II stabilisce che gli attestati devono essere rilasciati nel rispetto di almeno una delle norme dell’allegato II del regolamento di esecuzione (UE) 2024/2979 e che devono essere applicate le relative tecniche di revoca.

L’allegato IV, inserito tramite il presente regolamento, specifica ulteriori requisiti tecnici per i meccanismi di verifica, richiamando ETSI TS 119 478 V1.1.1 (2026-01) e precisando le regole di coerenza tra risultati di verifica, valori di attributo e struttura della risposta AttributeVerificationResponse.

Decorrenza

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Tuttavia, l’articolo 1, paragrafo 3, relativo alle specifiche tecniche del meccanismo di verifica e al risultato della verifica, si applica solo dal 1o gennaio 2027. Il regolamento è direttamente applicabile in tutti gli Stati membri.