Regolamento (UE) 2025/1945

Convalida di firme e sigilli elettronici qualificati e avanzati basati su certificati qualificati

Il regolamento di esecuzione (UE) 2025/1945 attua il regolamento (UE) n. 910/2014 (eIDAS) fissando le norme tecniche di riferimento per la convalida delle firme e dei sigilli elettronici qualificati, nonché delle firme e dei sigilli elettronici avanzati basati su certificati qualificati. La finalità, espressamente richiamata nei considerando, è assicurare che i processi di validazione siano uniformi, aderenti a prassi consolidate e idonei a supportare la presunzione di conformità prevista dal quadro eIDAS.

Finalità e contesto regolatorio

Il testo sottolinea il ruolo delle firme e dei sigilli elettronici nell’ambiente imprenditoriale digitale, in particolare per garantire integrità dei dati, autenticità e maggiore certezza sull’identità del firmatario o del creatore del sigillo. La Commissione afferma inoltre di voler mantenere il regolamento allineato agli sviluppi tecnologici e alle migliori pratiche, prevedendone il riesame periodico e l’eventuale aggiornamento.

Ambito di applicazione

Le regole riguardano i processi di convalida di:

• firme elettroniche qualificate;
• sigilli elettronici qualificati;
• firme elettroniche avanzate basate su certificati qualificati;
• sigilli elettronici avanzati basati su certificati qualificati.

Le norme si applicano nell’ambito del regolamento (UE) n. 910/2014 e sono direttamente applicabili in tutti gli Stati membri. Non vengono introdotte esclusioni generali, ma il testo delimita il proprio oggetto ai processi di verifica tecnica e, ove necessario, di qualificazione.

Norme tecniche di riferimento

L’articolo 1 rinvia a due allegati distinti:

• allegato I: convalida di firme e sigilli elettronici qualificati;
• allegato II: convalida di firme e sigilli elettronici avanzati basati su certificati qualificati.

Entrambi gli allegati si fondano principalmente sulle specifiche ETSI TS 119 172-4 e ETSI TS 119 102-2, con adattamenti specifici. Tra i riferimenti più rilevanti figurano anche ETSI EN 319 102-1, ETSI TS 119 612 e ETSI TS 119 101.

Regole sui certificati e sulle revoche

Una parte centrale delle specifiche riguarda i vincoli di convalida in materia X.509 e la verifica delle revoche. In sintesi:

• se il certificato dell’entità finale è un’ancora di fiducia, non si applicano i RevocationCheckingConstraints;
• se non è un’ancora di fiducia, i RevocationCheckingConstraints devono essere impostati su "eitherCheck";
• se il certificato è un’ancora di fiducia, non si utilizzano i RevocationFreshnessConstraints;
• se non è un’ancora di fiducia, i RevocationFreshnessConstraints si applicano con un massimo di 24 ore per il certificato di firma;
• per gli altri certificati, inclusi quelli relativi a validazioni temporali, non sono previsti limiti massimi specifici.

Esito dei controlli e qualificazione tecnica

Se uno dei controlli richiesti non supera la verifica, il processo deve interrompersi e la firma è classificata come tecnicamente indeterminata, né qualificata né avanzata qualificata, a seconda del contesto. L’esito e i passaggi intermedi devono essere registrati nella relazione di verifica delle norme di applicabilità.

Per le firme elettroniche avanzate e i sigilli elettronici avanzati basati su certificati qualificati, la qualificazione tecnica dipende da due condizioni cumulative:

• il certificato di firma, al best signature time, deve essere un certificato qualificato UE;
• il processo previsto al punto 4.2 dell’allegato pertinente deve avere esito TOTAL-PASSED.

In assenza di tali presupposti, la firma o il sigillo non possono essere definiti tecnicamente come avanzati basati su certificato qualificato.

Protezione dei dati personali

Il regolamento richiama espressamente l’applicazione del regolamento (UE) 2016/679 e, se del caso, della direttiva 2002/58/CE a tutte le attività di trattamento di dati personali effettuate in forza del presente atto. È inoltre indicato che il Garante europeo della protezione dei dati è stato consultato, in conformità al regolamento (UE) 2018/1725.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi, con applicazione diretta in ciascuno Stato membro.