Regolamento (UE) 2025/1569

Regolamento di esecuzione (UE) 2025/1569: attestati elettronici di attributi e fonti autentiche

Il regolamento dà attuazione alle disposizioni del regolamento (UE) n. 910/2014, come modificato dal quadro europeo di identità digitale, fissando regole tecniche e procedurali per il rilascio, la revoca, la notifica e la verifica degli attestati elettronici qualificati di attributi e degli attestati elettronici di attributi emessi da organismi del settore pubblico o per loro conto. L’obiettivo è rafforzare interoperabilità, fiducia, sicurezza e tutela della riservatezza nell’ecosistema dei portafogli europei di identità digitale.

Contesto e finalità

I considerando evidenziano che gli attestati elettronici di attributi sono elementi essenziali per un ecosistema dei portafogli sicuro e interoperabile, in grado di consentire la condivisione affidabile di informazioni con le parti facenti affidamento sulla certificazione. Il regolamento cerca inoltre di armonizzare l’azione degli Stati membri, facendo leva sulla raccomandazione (UE) 2021/946 e sull’architettura e quadro di riferimento ivi richiamati, con la possibilità di aggiornare periodicamente le specifiche in linea con l’evoluzione tecnologica e le migliori pratiche del mercato interno.

Ambito soggettivo e oggettivo

L’articolo 1 circoscrive l’ambito alle norme di riferimento, specifiche e procedure relative a:

• attestati elettronici qualificati di attributi;
• attestati elettronici di attributi rilasciati da organismi del settore pubblico responsabili di una fonte autentica o per loro conto;
• elenco dei fornitori di tali attestati pubblici;
• catalogo di attributi e catalogo di regimi per gli attestati;
• verifica degli attributi rispetto a fonti autentiche o intermediari designati.

Le disposizioni sono pensate per i fornitori di servizi fiduciari qualificati, per gli organismi pubblici coinvolti nel rilascio degli attestati, per gli Stati membri che devono notificare organismi e istituire meccanismi di verifica, e per la Commissione, che gestisce cataloghi ed elenchi pubblici.

Definizioni rilevanti

L’articolo 2 introduce un set di definizioni operative particolarmente rilevanti per la pratica: unità di portafoglio, utente del portafoglio, soluzione di portafoglio, istanza di portafoglio, applicazione crittografica sicura per il portafoglio e dispositivo crittografico sicuro per il portafoglio. Definisce inoltre il catalogo di attributi, il catalogo di regimi per gli attestati, il regime per gli attestati di attributi, il tipo di attestati elettronici di attributi, il fornitore del portafoglio, le risorse critiche e il titolare di un regime.

Rilascio degli attestati: requisiti comuni e regimi registrati

L’articolo 3 stabilisce che i fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati rilasciati da organismi pubblici devono rispettare l’allegato I e garantire la conformità alle specifiche tecniche dell’allegato II. Se l’attestato rientra in un regime registrato nel catalogo dei regimi, il fornitore deve rispettare anche i requisiti di quel regime; le politiche e procedure adottate per assicurare tale conformità sono assoggettate alla valutazione di conformità prevista dal regolamento (UE) n. 910/2014.

L’allegato I rinvia alla norma ETSI EN 319 401 v3.1.1 (2024-06) per le specifiche applicabili ai prestatori di servizi fiduciari. L’allegato II impone, tra l’altro, che gli attestati siano rilasciati in un formato conforme a una delle norme richiamate dal regolamento di esecuzione (UE) 2024/2979 e che, nel rilascio:

• sia verificato, se del caso, il potere del richiedente di agire per conto dell’interessato;
• sia verificata, se del caso, l’identità della fonte autentica;
• sia trattato solo il minimo insieme di attributi necessario.

Se l’attestato è rilasciato a un portafoglio europeo di identità digitale, il fornitore deve autenticarsi nell’unità di portafoglio e verificare che essa non sia revocata o sospesa.

Revoca, validità e tutela della privacy

L’articolo 4 disciplina in modo dettagliato la gestione della validità e della revoca. I fornitori devono adottare politiche scritte e pubbliche che disciplinino validità e revoca, incluse le condizioni per la revoca immediata e le misure per rendere disponibili le informazioni sullo stato dell’attestato. La revoca può essere effettuata solo dal fornitore che ha emesso l’attestato.

Per gli attestati con validità superiore a 24 ore, la revoca deve avvenire almeno nei casi seguenti:

• richiesta esplicita della persona cui è stato rilasciato l’attestato, o del soggetto cui esso si riferisce, se del caso;
• conoscenza, da parte del fornitore, di una compromissione della sicurezza o dell’affidabilità dell’attestato;
• altre situazioni previste dal diritto dell’Unione o nazionale o dalle politiche del fornitore.

Devono inoltre essere adottate tecniche e metodi di gestione della revoca che proteggano la vita privata e ostacolino correlabilità e tracciabilità. Le informazioni sullo stato di validità o revoca devono essere rese disponibili alle parti facenti affidamento in modo da garantire integrità e autenticità.

Notifica degli organismi pubblici e elenco UE dei fornitori pubblici

L’articolo 5 obbliga gli Stati membri a notificare alla Commissione, tramite un sistema elettronico sicuro, almeno le informazioni elencate nell’allegato III sugli organismi del settore pubblico di cui all’articolo 45 septies, paragrafo 3, del regolamento (UE) n. 910/2014. Le notifiche, incluse le modifiche, devono essere effettuate almeno in lingua inglese, senza oneri irragionevoli di traduzione.

L’articolo 6 prevede che la Commissione rediga, mantenga e pubblichi l’elenco dei fornitori di attestati elettronici di attributi rilasciati da organismi pubblici. L’elenco deve essere:

• accessibile sia in formato firmato o sigillato elettronicamente per il trattamento automatizzato, sia tramite sito web leggibile da umani;
• disponibile senza registrazione o autenticazione;
• accessibile solo tramite TLS all’avanguardia.

La Commissione deve inoltre pubblicare senza indebito ritardo, tramite canale sicuro, le specifiche tecniche dell’elenco, l’URL, i certificati per verificare firma/sigillo e i meccanismi per convalidare eventuali modifiche dell’ubicazione o dei certificati.

L’allegato III specifica il contenuto minimo della notifica: nome dell’organismo, Stato membro, base giuridica del suo ruolo, contatti, URL informativo e relazione di valutazione della conformità.

Catalogo di attributi

L’articolo 7 istituisce un catalogo di attributi gestito e pubblicato dalla Commissione, con un sistema sicuro per la presentazione di richieste di inclusione o modifica. La Commissione valuta le richieste tenendo conto dei pareri del gruppo di cooperazione, della capacità dell’attributo di creare una base comune per interazioni elettroniche sicure e rispettose della vita privata, della promozione dell’interoperabilità e della normativa settoriale applicabile.

Gli Stati membri devono richiedere l’inclusione degli attributi dell’allegato VI del regolamento (UE) n. 910/2014 quando tali attributi si basano su fonti autentiche per la verifica da parte dei prestatori qualificati. Possono essere richiesti anche altri attributi, se basati su fonti autentiche del settore pubblico; i soggetti privati considerati fonti primarie o riconosciuti come fonti autentiche possono chiedere l’inclusione di altri attributi, purché siano responsabili degli stessi.

La richiesta deve contenere almeno:

• identificazione del richiedente;
• eventuale base normativa o prassi amministrativa che lo qualifica come fonte primaria o fonte autentica riconosciuta;
• indicazione se si tratta di un attributo già presente o nuovo;
• namespace unico;
• identificatore unico dell’attributo e sua versione;
• descrizione semantica;
• tipo di dati;
• punto di verifica nazionale o link alla procedura di verifica.

La richiesta deve essere firmata o sigillata con firma o sigillo elettronico qualificati, oppure avanzati basati su certificato qualificato. Se la Commissione accerta completezza e coerenza, può registrare l’attributo; rilascia inoltre un identificatore unico per ciascun attributo. Il catalogo è gratuito, pubblico, accessibile senza autenticazione, leggibile da macchina e da umano, con funzione di ricerca e in canale sicuro.

Catalogo di regimi per gli attestati di attributi

L’articolo 8 istituisce anche il catalogo dei regimi per gli attestati di attributi. La Commissione valuta le richieste di inclusione o modifica tenendo conto dei pareri del gruppo di cooperazione, della base comune per interazioni sicure e rispettose della privacy, dell’interoperabilità e della normativa settoriale.

La richiesta può essere presentata dai titolari dei regimi e deve contenere almeno:

• nome del regime, unico nel catalogo;
• nome e contatti del titolare;
• stato e versione;
• riferimenti alle leggi, norme o orientamenti applicabili;
• formato o formati degli attestati;
• uno o più namespace, identificatori, descrizioni semantiche e tipi di dati degli attributi, con riferimento al catalogo di attributi o a definizioni analoghe nel regime;
• descrizione del modello di fiducia e della governance, compresi i meccanismi di revoca;
• requisiti per fornitori o fonti informative;
• indicazione se gli attestati devono essere qualificati, pubblici o entrambi.

Anche tali richieste devono essere firmate o sigillate con strumenti qualificati o avanzati basati su certificato qualificato. Il catalogo è pubblico, gratuito, accessibile senza identificazione, in formato che garantisca integrità e autenticità, con funzione di ricerca; la Commissione assegna un identificatore univoco a ciascun regime.

Verifica degli attributi rispetto a fonti autentiche o intermediari designati

L’articolo 9 disciplina i meccanismi di verifica che gli Stati membri devono istituire per consentire ai prestatori qualificati, su richiesta dell’utente, di verificare elettronicamente gli attributi. Gli Stati membri possono mettere a disposizione punti di verifica unici per gli attributi dell’allegato VI quando essi si basano su fonti autentiche del settore pubblico.

Il meccanismo deve fornire un punto di accesso per la richiesta di verifica. Gli attributi da verificare sono trasmessi al punto di verifica dal prestatore qualificato su richiesta dell’utente; l’organismo pubblico o l’intermediario designato restituiscono l’esito della verifica. La risposta deve indicare solo se l’attributo è stato verificato o meno e specificare l’organismo responsabile della fonte autentica o, se del caso, l’organismo designato che agisce per suo conto.

Gli Stati membri possono imporre controlli di accesso o altri meccanismi di verifica per garantire integrità, autenticità e riservatezza, anche per accertare che il richiedente sia un prestatore qualificato e agisca su richiesta di un utente legittimo. Possono inoltre prevedere controlli sull’uso dei metodi di verifica per prevenire richieste illegittime o eccessive, soprattutto quando le fonti autentiche contengano dati personali riservati o sensibili.

Interoperabilità, riuso e collegamenti con altri atti UE

L’articolo 10 consente agli Stati membri, ai fini degli articoli da 3 a 9, di fare riferimento e riutilizzare i servizi comuni del sistema tecnico previsto dal regolamento (UE) 2018/1724, insieme ai relativi componenti nazionali. La Commissione deve fare altrettanto, ove opportuno, per il sistema di notifiche, l’elenco degli organismi pubblici e i cataloghi.

Il regolamento richiama inoltre il regolamento (UE) 2016/679 e, se del caso, la direttiva 2002/58/CE per il trattamento dei dati personali, nonché il regolamento (UE) 2018/1725 per il trattamento da parte delle istituzioni dell’Unione.

Entrata in vigore e decorrenza applicativa

L’articolo 11 stabilisce che il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea. Tuttavia, gli articoli da 6 a 9 si applicano solo dal 19 agosto 2026, così da consentire tempo sufficiente per predisporre l’elenco dei fornitori pubblici, i cataloghi e i punti di verifica. Il regolamento è direttamente applicabile in tutti gli Stati membri.