Regolamento (UE) 2025/1566

Norme di riferimento per la verifica dell’identità e degli attributi della persona a cui deve essere rilasciato il certificato qualificato o l’attestato elettronico di attributi qualificato

Il regolamento di esecuzione definisce un quadro tecnico uniforme per le verifiche di identità e di attributi svolte dai prestatori di servizi fiduciari qualificati quando rilasciano certificati qualificati o attestati elettronici di attributi qualificati. La scelta di norme armonizzate mira a garantire controlli equivalenti in tutta l’Unione, rafforzando affidabilità, sicurezza e interoperabilità, in coerenza con il regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183.

Contesto normativo e finalità

I considerando chiariscono che l’articolo 24 del regolamento (UE) n. 910/2014 impone al prestatore qualificato di verificare l’identità e, se del caso, attributi specifici della persona fisica o giuridica destinataria del rilascio. La Commissione evidenzia l’esigenza di parità di trattamento tra operatori e di fiducia nell’esito delle verifiche, nonché la necessità di adattare le norme alle prassi consolidate e ai requisiti di sicurezza. È inoltre richiamata la necessità di un periodo transitorio adeguato, per consentire agli operatori di conformarsi prima dell’applicazione effettiva.

Ambito di applicazione

Il regolamento si applica ai prestatori di servizi fiduciari qualificati nell’ambito del rilascio di certificati qualificati e attestati elettronici di attributi qualificati. Le disposizioni riguardano sia persone fisiche sia persone giuridiche, per quanto la verifica degli attributi sia pertinente al caso concreto. L’allegato contiene la specifica tecnica di riferimento, che deve essere seguita per la conformità alle clausole richiamate dell’allegato C della norma ETSI TS 119 461 V2.1.1 (2025-02).

Norma tecnica di riferimento e adeguamenti

L’allegato individua come norma di base la ETSI TS 119 461 V2.1.1 (2025-02), applicabile per la conformità all’allegato C, clausola C.3. È inoltre richiamata la ETSI EN 319 401 V3.1.1 (2024-06) tra i riferimenti normativi. Il regolamento non si limita a recepire la norma tecnica, ma introduce adeguamenti specifici, volti a integrare controlli supplementari e a rafforzare la robustezza dei processi di verifica.

Verifiche connesse a prove autorevoli e livelli di garanzia elevati

Una previsione importante riguarda il caso in cui la verifica dell’identità per il rilascio del certificato o dell’attestato sia effettuata contestualmente alla verifica per il rilascio di prove autorevoli. In tale ipotesi, il processo di verifica deve essere stato sottoposto a valutazione tra pari o certificato da un organismo di valutazione della conformità accreditato ai fini della conformità a un livello di garanzia elevato, oppure deve rispettare i requisiti delle clausole da C3.1 a C3.6.

Controllo dell’identità tramite altri mezzi di identificazione

Per i casi d’uso relativi al controllo dell’identità mediante altri mezzi di identificazione, l’organismo indipendente di valutazione della conformità deve essere accreditato ai sensi dell’articolo 3, punto 18, del regolamento (UE) n. 910/2014. Quando tutti i requisiti applicabili sono soddisfatti, la valutazione dovrebbe concludersi con un certificato di conformità basato su una verifica della certificazione. Il processo deve fondarsi su una valutazione della sicurezza che tenga conto dei livelli di garanzia dei mezzi di identificazione elettronica notificati o dei portafogli europei di identità digitale certificati, includendo prove rigorose per verificare la resistenza a potenziali minacce.

Verifica automatizzata, parametri FAR e FRR

Per i processi di verifica dell’identità completamente automatizzati, il regolamento richiede che l’IPSP definisca valori target per FAR e FRR sulla base di un’analisi dei rischi e di una procedura di intelligence sulle minacce. La metodologia da seguire è quella indicata nella relazione ENISA "Methodology for sector cybersecurity assessment" o una metodologia equivalente. I valori fissati devono essere pari o inferiori a quelli eventualmente previsti per i casi d’uso ibridi e devono essere mantenuti in modo coerente nel tempo.

Convalida del documento di identità fisica

L’allegato prevede che l’efficacia delle misure relative a specifici requisiti di convalida del documento di identità fisica sia verificata da un laboratorio accreditato o da un’autorità nazionale competente, qualora designati. La prima verifica deve avvenire entro il 19 agosto 2027 e deve essere ripetuta ogni due anni.

Piani di cessazione

Il piano di cessazione dei servizi deve essere conforme ai requisiti stabiliti negli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014. Si tratta quindi di un rinvio dinamico a ulteriori specifiche di livello esecutivo già previste dal quadro eIDAS.

Protezione dei dati e consultazioni istituzionali

Il regolamento precisa che il trattamento di dati personali effettuato ai sensi delle nuove regole resta soggetto al regolamento (UE) 2016/679 e, se del caso, alla direttiva 2002/58/CE. Per le istituzioni, gli organi e gli organismi dell’Unione si applica il regolamento (UE) 2018/1725. È inoltre richiamata la consultazione del Garante europeo della protezione dei dati, che ha espresso parere il 6 giugno 2025.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma la sua applicazione è differita al 19 agosto 2027. Tale differimento è giustificato dall’esigenza di consentire ai prestatori qualificati di adeguarsi e di permettere alle autorità di verificare la conformità ai nuovi requisiti prima dell’avvio dell’applicazione obbligatoria.