Regolamento (UE) 2025/2527

Norme di riferimento per i certificati qualificati di autenticazione di siti web

Il regolamento di esecuzione (UE) 2025/2527 della Commissione completa il quadro dell’eIDAS individuando le norme di riferimento per i certificati qualificati di autenticazione di siti web. Il testo mira a rafforzare fiducia, trasparenza e interoperabilità nelle interazioni online, consentendo al contempo un uso tecnicamente flessibile dei certificati in diversi scenari operativi.

Finalità e contesto normativo

Il regolamento è adottato ai sensi dell’articolo 45, paragrafo 2, del regolamento (UE) n. 910/2014. Nei considerando, la Commissione evidenzia che i certificati qualificati di autenticazione di siti web sono essenziali per autenticare un sito web e collegarlo alla persona fisica o giuridica a cui il certificato è rilasciato. Le norme di riferimento devono riflettere prassi consolidate e risultare ampiamente riconosciute nei settori pertinenti, senza impedire l’innovazione né limitare la libertà dei fornitori di browser web di adottare soluzioni idonee per sicurezza, autenticazione dei domini e cifratura del traffico.

Ambito di applicazione e impostazione tecnica

Il regolamento si applica ai certificati qualificati di autenticazione di siti web disciplinati dal regolamento (UE) n. 910/2014. La Commissione chiarisce che le norme di riferimento devono consentire più modalità di rilascio: come certificati autonomi, come certificati associati ad altri certificati o in altre configurazioni compatibili con il quadro eIDAS.

Viene inoltre richiamata la possibilità di impiego in diversi casi d’uso, incluso l’utilizzo nell’ambito della direttiva (UE) 2015/2366 sui servizi di pagamento. Questa impostazione conferma che l’atto non si limita al contesto browser, ma abbraccia anche soluzioni tecniche usate per l’autenticazione TLS al di fuori del browser.

Norme di riferimento individuate nell’allegato

L’articolo 1 rinvia all’allegato, che distingue due grandi categorie:

• per i certificati qualificati di autenticazione di siti web rilasciati per l’autenticazione TLS al di fuori del contesto di un browser web: ETSI EN 319 411-2 V2.6.1 (2025-06), con le politiche di certificazione QNCP-w-gen, QEVCP-w o QNCP-w secondo quanto previsto nella norma, oppure ETSI TS 119 495 V1.7.1 (2024-07);
• per gli altri certificati qualificati di autenticazione di siti web, inclusi quelli utilizzati nel contesto di un browser web: ETSI TS 119 411-5 V2.1.1 (2025-02).

L’allegato costituisce quindi il nucleo operativo del regolamento, perché traduce il rinvio normativo in specifiche tecniche concretamente applicabili ai prestatori di servizi fiduciari qualificati.

Protezione dei dati e consultazioni istituzionali

I considerando precisano che il regolamento (UE) 2016/679 si applica a tutte le attività di trattamento di dati personali svolte ai sensi del regolamento; se del caso, si applica anche la direttiva 2002/58/CE. È inoltre indicato che il Garante europeo della protezione dei dati è stato consultato ai sensi del regolamento (UE) 2018/1725 e ha formulato il proprio parere il 21 ottobre 2025.

Entrata in vigore, decorrenza e obbligatorietà

Ai sensi dell’articolo 2, il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma si applica solo dal 6 gennaio 2027. Il differimento dell’applicazione è motivato, nei considerando, dall’esigenza di concedere un tempo sufficiente ai prestatori di servizi fiduciari qualificati per verificare la conformità ai nuovi requisiti.

Come di consueto per i regolamenti UE, l’atto è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Prospettive di aggiornamento

La Commissione afferma espressamente che riesaminerà periodicamente il regolamento e lo aggiornerà, se necessario, per mantenerlo allineato agli sviluppi globali, alle nuove tecnologie, pratiche, norme o specifiche tecniche, in coerenza con il quadro evolutivo dell’eIDAS riformato dal regolamento (UE) 2024/1183.