Regolamento (UE) 2025/2531

Regolamento di esecuzione (UE) 2025/2531 della Commissione – norme di riferimento e specifiche per i registri elettronici qualificati

Il regolamento attua il nuovo quadro eIDAS introdotto dal regolamento (UE) 2024/1183 per la registrazione di dati elettronici in un registro elettronico qualificato. La finalità è fornire un insieme comune e verificabile di norme tecniche, organizzative e crittografiche, così da garantire ordine cronologico, integrità, affidabilità e presunzione di conformità dei servizi fiduciari qualificati interessati.

Ambito e funzione del regolamento

Il testo si applica ai prestatori di servizi fiduciari qualificati che offrono il servizio di registrazione di dati in un registro elettronico qualificato, inclusi i modelli basati su tecnologie di registro elettronico distribuito. Il sistema normativo serve a rendere omogenee le modalità di creazione, gestione, mantenimento e aggiornamento del registro, nonché la modalità con cui i dati vengono registrati e verificati ai fini della qualificazione del servizio.

I considerando chiariscono che la Commissione intende far riflettere nelle specifiche le prassi consolidate e riconosciute nei settori pertinenti, integrandole con controlli supplementari di sicurezza e affidabilità. È inoltre previsto un riesame periodico del regolamento, per mantenerlo allineato agli sviluppi tecnologici, alle nuove pratiche e alle migliori soluzioni del mercato interno.

Presunzione di conformità e ruolo della vigilanza

Il regolamento si innesta sul meccanismo di presunzione di conformità previsto dall’articolo 45 terdecies del regolamento (UE) n. 910/2014. La presunzione opera soltanto quando il prestatore rispetta i requisiti stabiliti nell’allegato; in tal caso, gli organismi di vigilanza devono tenerne conto nella concessione o conferma della qualifica del servizio fiduciario.

Resta però possibile per il prestatore dimostrare la conformità anche con altre pratiche tecniche o organizzative, purché idonee a soddisfare i requisiti del regolamento eIDAS.

Definizioni principali

L’allegato introduce una serie di definizioni tecniche essenziali per l’interpretazione del regime applicabile. Tra queste figurano il "carattere definitivo" della registrazione, il "registro elettronico distribuito", i "nodi" e la "rete" di registro, il "sistema di registro elettronico distribuito", il "consenso" e il "meccanismo di consenso", nonché la "transazione convalidata" e il "collegamento crittografico".

Sono inoltre definiti il "fornitore di registri elettronici qualificati" e il "registro elettronico distribuito qualificato", quest’ultimo inteso come registro distribuito che soddisfa i requisiti di un registro elettronico qualificato.

Relazione sul registro e trasparenza contrattuale

Se il prestatore deve elaborare una relazione sul registro, questa deve essere prodotta in modo automatizzato. Il regolamento richiede inoltre che la dichiarazione sulla pratica del servizio fiduciario contenga almeno:

• le capacità funzionali e tecniche della piattaforma del registro e il suo utilizzo durante l’intera prestazione del servizio;
• i meccanismi di autenticazione dell’origine dei dati;
• i meccanismi di ordinamento cronologico sequenziale;
• l’eventuale collegamento crittografico impiegato;
• l’eventuale meccanismo di consenso, compreso il margine temporale fino al carattere definitivo;
• i meccanismi di integrità dei dati.

Prima dell’avvio del rapporto contrattuale, abbonati e parti facenti affidamento sul servizio devono ricevere informazioni chiare, complete e facilmente accessibili, anche individualmente, sui termini e condizioni applicabili.

Requisiti di sicurezza, personale e gestione delle modifiche

Il prestatore deve disporre di procedure per notificare all’organismo di vigilanza ogni modifica della prestazione del servizio fiduciario. La notifica va effettuata almeno un mese prima dell’attuazione della modifica e almeno tre mesi prima della cessazione prevista del servizio.

Quanto alle risorse umane, il personale in ruoli di fiducia può soddisfare i requisiti di competenze, esperienza e qualifiche tramite formazione e credenziali formali, esperienza effettiva o una combinazione di entrambe. È inoltre imposto un aggiornamento periodico almeno ogni 12 mesi sulle nuove minacce e sulle pratiche di sicurezza correnti.

Requisiti crittografici e firme elettroniche

Il regolamento attribuisce un ruolo centrale alla crittografia. Devono essere adottati adeguati controlli per la gestione di chiavi, algoritmi e dispositivi crittografici lungo l’intero ciclo di vita, eventualmente secondo un approccio di agilità crittografica.

Per attestare l’origine delle registrazioni, i fornitori devono usare firme elettroniche avanzate basate su certificati qualificati o sigilli elettronici avanzati basati su certificati qualificati, conformi agli standard ETSI richiamati. Per JAdES è espressamente previsto che il parametro di intestazione x5c sia presente con la semantica e la sintassi dell’IETF RFC 7515.

Ordine cronologico e integrità delle registrazioni

Il fornitore deve garantire l’ordine cronologico sequenziale univoco delle registrazioni nel registro. A tal fine, il regolamento consente l’uso di collegamenti crittografici basati su hash list o hash tree, con funzioni SHA-256 o superiori oppure SHA3-256 o superiori. In alternativa, quando si ricorre alla registrazione temporale, devono essere utilizzate marcature temporali qualificate.

Per l’integrità dei dati si richiedono firme o sigilli elettronici avanzati basati su certificati qualificati, con l’obbligo di rendere immediatamente individuabile ogni modifica successiva dei dati registrati.

Dispositivi crittografici sicuri e scadenza transitoria

Se vengono impiegati meccanismi di firma digitale, le chiavi private devono essere custodite e utilizzate in dispositivi crittografici sicuri certificati secondo criteri Common Criteria/EUCC almeno a livello EAL 4, oppure, in via transitoria fino al 31 dicembre 2030, secondo FIPS PUB 140-3 livello 3.

La certificazione deve riguardare un obiettivo di sicurezza o un profilo di protezione coerente con i requisiti del documento e deve tenere conto dell’analisi dei rischi e delle misure fisiche e non tecniche. Se il dispositivo beneficia di certificazione EUCC, esso deve essere configurato e usato in conformità a tale certificazione.

Sicurezza di rete, monitoraggio e cessazione del servizio

Sono previste verifiche ricorrenti della sicurezza di rete: la scansione delle vulnerabilità deve avvenire almeno una volta al trimestre, mentre il test di penetrazione almeno una volta all’anno. I firewall devono essere configurati per bloccare protocolli e accessi non necessari al funzionamento del prestatore.

Le attività di monitoraggio devono essere proporzionate alla sensibilità delle informazioni raccolte o analizzate. Infine, il piano di cessazione del prestatore deve essere coerente con i requisiti stabiliti negli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014.

Tecnologie di registro distribuito e governance

Per i fornitori che utilizzano tecnologie di registro elettronico distribuito si applicano anche ISO 23257:2022, relativa all’architettura di riferimento, e ISO/TS 23635:2022, relativa alle linee guida di governance. In particolare, il testo richiama la necessità di politiche e pratiche scritte e pubblicamente accessibili sulla struttura di governance del servizio.

Protezione dei dati e consultazioni istituzionali

Il regolamento si coordina espressamente con il GDPR (regolamento (UE) 2016/679) e, se del caso, con la direttiva 2002/58/CE. I considerando richiamano anche gli orientamenti EDPB 02/2025 sul trattamento dei dati personali mediante blockchain. Inoltre, il Garante europeo della protezione dei dati è stato consultato ai sensi del regolamento (UE) 2018/1725.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.