Regolamento (UE) 2025/2162

Modalità di applicazione del regolamento eIDAS in materia di accreditamento e valutazione della conformità dei servizi fiduciari qualificati

Il regolamento di esecuzione istituisce un quadro tecnico e procedurale armonizzato per l’accreditamento degli organismi che valutano i prestatori di servizi fiduciari qualificati e i servizi fiduciari qualificati ai sensi del regolamento (UE) n. 910/2014. La disciplina risponde all’esigenza, richiamata nei considerando, di garantire verifiche omogenee, trasparenti e affidabili, in coordinamento con gli obblighi di sicurezza informatica della direttiva (UE) 2022/2555, nonché di facilitare il controllo da parte delle autorità di vigilanza e la pubblicità delle attestazioni rilasciate.

Ambito di applicazione soggettivo e oggettivo

Il regolamento si applica agli organismi di valutazione della conformità, agli organismi nazionali di accreditamento e ai titolari dei regimi di valutazione della conformità. L’oggetto materiale è la valutazione dei prestatori di servizi fiduciari qualificati e dei servizi da essi prestati, con riferimento ai servizi elencati nell’articolo 3, paragrafo 1, lettera e), tra cui certificati qualificati di firma e sigillo elettronico, autenticazione di siti web, convalida e conservazione qualificata, validazioni temporali qualificate, recapito elettronico certificato qualificato, gestione di dispositivi qualificati a distanza, archiviazione elettronica qualificata, attestati elettronici qualificati di attributi e registri elettronici qualificati.

Definizioni e architettura del sistema

L’articolo 1 chiarisce i principali concetti operativi: decisione di certificazione, certificato di conformità, relazione di valutazione della conformità, regime di valutazione della conformità, accreditamento e accreditamento con ambito flessibile. Il "titolare del regime" è il soggetto responsabile dello sviluppo e del mantenimento del regime; il regolamento ammette che tale ruolo sia distinto dall’organismo di valutazione della conformità che applica il regime. Il sistema si fonda sulla combinazione tra norme tecniche consolidate e procedure di accreditamento svolte dagli organismi nazionali secondo il quadro del regolamento (CE) n. 765/2008.

Requisiti di accreditamento degli organismi di valutazione della conformità

Per poter adottare decisioni di certificazione nei diversi regimi, gli organismi di valutazione della conformità devono essere accreditati secondo EN ISO/IEC 17065:2012, integrata dalla norma ETSI EN 319 403-1 v2.3.1. L’accreditamento è effettuato dagli organismi nazionali di accreditamento conformemente a EN ISO/IEC 17011:2017. Il considerando e gli articoli operativi valorizzano la possibilità di certificazioni composte, subappalto a soggetti debitamente accreditati e, in generale, l’uso di standard tecnici consolidati come parametri di riferimento.

Certificato di accreditamento e trasparenza

L’articolo 3 disciplina il contenuto minimo del certificato di accreditamento. Esso deve indicare almeno:

• codice identificativo univoco e data di rilascio;
• dati dell’organismo nazionale di accreditamento e dell’organismo accreditato;
• ambito di applicazione dell’accreditamento per i singoli servizi fiduciari qualificati;
• regime di valutazione della conformità applicato, con specificazione di anno e versione;
• eventuale uso dell’accreditamento con ambito flessibile e documento che descrive il relativo processo.

Devono inoltre essere rese evidenti la data di inizio e, se del caso, la data di fine dell’accreditamento per ciascun servizio qualificato, nonché ogni modifica rilevante alle informazioni del certificato. Il certificato deve descrivere chiaramente l’ambito dell’accreditamento e, secondo i considerando, deve contenere dati sufficienti per consentire a terzi di verificare l’abilitazione dell’organismo a operare nel quadro eIDAS.

Riesame degli accreditamenti esistenti e gestione delle modifiche

L’articolo 4 introduce un meccanismo di monitoraggio delle modifiche alle norme di riferimento o ai regimi di valutazione della conformità. Il titolare del regime deve rilevare e notificare tempestivamente all’organismo nazionale di accreditamento le modifiche intervenute. Se non è stato previsto un accreditamento con ambito flessibile, l’organismo nazionale valuta se le modifiche incidano in modo sostanziale sulla capacità dell’organismo accreditato di effettuare le valutazioni.

Se l’impatto è rilevante, l’organismo nazionale chiede misure correttive entro un termine ragionevole; in caso di mancata attuazione, l’accreditamento è sospeso o revocato immediatamente. Se invece le modifiche non incidono sulla capacità valutativa, l’accreditamento può essere prorogato ed esteso. In ogni caso, l’organismo nazionale aggiorna tempestivamente il certificato. Inoltre, l’organismo di valutazione della conformità deve informare i prestatori già valutati di eventuali effetti del riesame, anche sulle future decisioni di certificazione.

Obblighi operativi degli organismi di valutazione della conformità

L’articolo 5 impone la pubblicazione dei certificati di conformità in un archivio pubblico tenuto dall’organismo di valutazione della conformità. Il subappalto è ammesso solo tenendo conto della natura dell’attività e assicurando il rispetto delle norme dell’allegato I da parte del subappaltatore. Inoltre, al momento del rilascio della decisione di certificazione, il prestatore deve essere posto in condizione di esibire agli organismi di vigilanza le relazioni complete di valutazione corrispondenti.

Regimi di valutazione della conformità

L’articolo 6 stabilisce il contenuto minimo dei regimi di valutazione della conformità. Ogni regime deve identificare il titolare, conformarsi al tipo 6 della norma EN ISO/IEC 17067:2013 e includere le norme tecniche dell’allegato II con anno e versione. Se è applicabile un accreditamento con ambito flessibile, ciò deve risultare nel regime.

I regimi devono disciplinare almeno:

• gestione dei reclami;
• notifiche all’organismo di vigilanza designato ai sensi dell’articolo 46 ter, paragrafo 1, del regolamento (UE) n. 910/2014;
• eventuale subappalto;
• sorveglianza annuale basata sui requisiti applicabili della clausola 7.9 della ISO/IEC 17065:2012;
• gestione e notifica delle modifiche da parte del prestatore;
• requisiti di competenza del gruppo valutatore, inclusa esperienza in almeno tre valutazioni di prestatori di servizi fiduciari o di sistemi di gestione della sicurezza delle informazioni e disponibilità di almeno due persone qualificate.

I titolari del regime devono inoltre imporre ai prestatori l’obbligo di preavviso di almeno un mese per modifiche significative nei servizi certificati e di almeno tre mesi per la cessazione dei servizi o di parte di essi. Il regime non può consentire decisioni di certificazione positive o certificati di conformità in presenza di non conformità. Deve poi disciplinare la procedura di rilascio del certificato, imponendo al prestatore di informare immediatamente l’organismo di vigilanza di ogni modifica del certificato e di astenersi dal prestare o pubblicizzare il servizio interessato fino alla riconferma della qualifica. Infine, deve prevedere risorse e tempo adeguati per le valutazioni e almeno una valutazione annuale di sorveglianza per ogni servizio qualificato valutato.

Relazione di valutazione della conformità: contenuto minimo e funzione

L’articolo 7 rinvia all’allegato III, che detta un contenuto molto dettagliato della relazione di valutazione della conformità. La relazione deve accompagnare una decisione di certificazione chiara e deve contenere dati identificativi del prestatore e dell’organismo valutatore, l’ambito della valutazione, le prove raccolte, i riferimenti all’accreditamento, la metodologia adottata, l’identificazione delle identità digitali dei servizi e la descrizione della gerarchia PKI quando pertinente.

L’allegato III richiede inoltre l’elenco dei terzi e dei subappaltatori coinvolti, la documentazione interna esaminata, la valutazione della conformità rispetto ai requisiti eIDAS e NIS 2 per ciascun servizio pertinente, l’indicazione di eventuali non conformità e del piano di azioni correttive, le opportunità di miglioramento, il tempo impiegato in persona/giorni, i termini per la successiva sorveglianza e per la successiva valutazione ex articolo 20, paragrafo 1, del regolamento (UE) n. 910/2014, nonché la dichiarazione che la documentazione di certificazione è destinata anche all’uso da parte dell’organismo nazionale di vigilanza.

Informazioni sull’accreditamento accessibili al pubblico

L’articolo 8 rafforza la trasparenza prevedendo che chiunque possa richiedere gratuitamente informazioni aggiornate e storiche sull’ambito, sulla data di inizio e, se del caso, sulla data di fine dell’accreditamento per ciascun tipo di servizio fiduciario qualificato. Tali informazioni sono messe a disposizione dagli organismi nazionali di accreditamento e devono essere conservate per almeno 6 anni dopo l’accreditamento.

Regime transitorio e continuità operativa

L’articolo 9 contiene una clausola di grandfathering: gli organismi già accreditati, prima del 17 novembre 2025, secondo ETSI EN 319 403 versione 2.2.2 o precedente, ai fini della valutazione dei prestatori di servizi fiduciari qualificati e dei servizi da essi prestati, sono considerati conformi ai requisiti dell’articolo 2, paragrafo 1, fino al 17 maggio 2027. Il considerando corrispondente evidenzia l’obiettivo di evitare discontinuità e consentire una transizione ordinata verso il nuovo quadro tecnico.

Allegati tecnici e norme di riferimento

L’allegato I indica le norme applicabili al subappalto delle attività di valutazione: EN ISO/IEC 17025:2017 per le prove, EN ISO/IEC 17021-1:2015 per gli audit dei sistemi di gestione, EN ISO/IEC 17020:2012 per le ispezioni e EN ISO/IEC 17065:2012 per le attività di valutazione della conformità.

L’allegato II elenca le norme di riferimento per ciascun servizio fiduciario qualificato, con la ETSI TS 119 612 v2.4.1 quale norma di base, affiancata da ulteriori standard ETSI, ISO e CEN specifici per firma, sigillo, autenticazione di siti web, convalida, conservazione, timestamp, recapito certificato, dispositivi a distanza, archiviazione, attestati di attributi e registri elettronici.

Entrata in vigore e applicabilità diretta

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Esso si colloca nel quadro del regolamento eIDAS aggiornato dal regolamento (UE) 2024/1183 e si coordina, per i profili di trattamento dati, con il regolamento (UE) 2016/679 e, se del caso, con la direttiva 2002/58/CE.