Regolamento (UE) 2026/248

Regolamento di esecuzione (UE) 2026/248 sui formati delle firme elettroniche avanzate e dei sigilli elettronici avanzati

Il regolamento aggiorna la disciplina tecnica di attuazione del regolamento (UE) n. 910/2014 (eIDAS) in materia di riconoscimento, da parte degli organismi del settore pubblico, dei formati di firme elettroniche avanzate e sigilli elettronici avanzati impiegati nei servizi online. L’obiettivo è rafforzare l’interoperabilità transfrontaliera e la convalida automatica o agevolata dei documenti elettronici, sostituendo la precedente decisione di esecuzione (UE) 2015/1506.

Contesto e finalità

Il provvedimento nasce dall’esigenza, evidenziata nei considerando, di dotare gli Stati membri di strumenti tecnici adeguati al trattamento dei documenti firmati o sigillati elettronicamente e di adeguare i formati riconosciuti all’evoluzione di tecnologie, prassi e specifiche tecniche. La Commissione richiama inoltre la necessità di favorire la convalida transfrontaliera e di assicurare che le informazioni sul metodo di convalida siano facilmente accessibili nel documento elettronico, nella firma, nel sigillo o nel relativo contenitore.

Ambito soggettivo e oggettivo

Il regolamento si applica agli Stati membri quando richiedono, per l’accesso a servizi online di un organismo del settore pubblico o per suo conto, una firma elettronica avanzata o un sigillo elettronico avanzato, anche se basati su certificato qualificato. L’obbligo riguarda sia il riconoscimento di formati standard sia quello di formati alternativi, purché esista un metodo di convalida transfrontaliera conforme ai requisiti del regolamento. I considerando precisano che, quando il trattamento automatico dei metodi alternativi non è tecnicamente fattibile, continuano ad applicarsi le regole generali dell’articolo 27 e dell’articolo 37 del regolamento eIDAS.

Formati standard riconosciuti

L’articolo 1 e l’articolo 3 impongono il riconoscimento dei formati o contenitori con firma associata e con sigillo associato conformi all’allegato I. Tra le specifiche elencate figurano i profili di base XAdES, CAdES, PAdES e JAdES, nonché i contenitori associati ASiC. Per JAdES l’allegato I introduce un adattamento puntuale del requisito relativo all’header x5c (X.509 Certificate Chain), che deve essere presente nella firma JAdES come parametro di header firmato o non firmato, con semantica e sintassi definite dal RFC 7515.

Regime transitorio per i formati dell’allegato II

L’allegato II elenca formati tecnici che restano riconoscibili solo per documenti creati prima del 23 febbraio 2028. Si tratta, in sostanza, di una fase di transizione che consente una migrazione graduale dai formati consolidati verso quelli più aggiornati dell’allegato I. La Commissione motiva tale scelta con l’esigenza di consentire agli Stati membri di adeguare le proprie applicazioni di convalida e, al contempo, di limitare nel tempo l’uso dei formati meno recenti.

Metodi alternativi di convalida delle firme

Per i formati di firma elettronica avanzata diversi da quelli standard, l’articolo 2 consente il riconoscimento se lo Stato membro in cui è stabilito il prestatore di servizi fiduciari mette a disposizione degli altri Stati membri un metodo di convalida conforme. Il metodo deve, ove possibile, essere idoneo al trattamento automatico, accessibile gratuitamente online e corredato da istruzioni chiare, complete e comprensibili.

Inoltre, il metodo deve essere indicato nel documento firmato, nella firma o nel contenitore elettronico e deve confermare la validità della firma solo a condizioni rigorose, tra cui:

• validità del certificato al momento della firma;
• se la firma è collegata a un certificato qualificato, validità di tale certificato come certificato qualificato di firma rilasciato da prestatore qualificato;
• corrispondenza dei dati di convalida ai dati trasmessi alla parte facente affidamento;
• corretta trasmissione dell’insieme unico di dati identificativi del firmatario;
• indicazione chiara dell’eventuale pseudonimo;
• indicazione dell’uso di un dispositivo qualificato, se applicabile;
• integrità dei dati firmati;
• rispetto dei requisiti dell’articolo 26 del regolamento (UE) n. 910/2014 al momento della firma;
• restituzione del corretto risultato di convalida e possibilità di rilevare questioni di sicurezza.

L’indicazione del metodo di convalida deve consentire alle parti facenti affidamento di accedere facilmente e gratuitamente alle specifiche complete del metodo stesso.

Metodi alternativi di convalida dei sigilli

L’articolo 4 replica la logica dell’articolo 2 per i sigilli elettronici avanzati. I formati diversi da quelli standard sono riconosciuti se lo Stato membro in cui è stabilito il prestatore di servizi fiduciari utilizzato dal creatore del sigillo offre metodi di convalida agli altri Stati membri e tali metodi rispettano i requisiti previsti.

Anche qui il metodo deve essere, ove possibile, automatico, gratuito, chiaro, accessibile e indicato nel documento sigillato, nel sigillo o nel contenitore. Deve confermare la validità del sigillo solo se risultano soddisfatte, tra le altre, le seguenti condizioni:

• validità del certificato al momento della sigillatura;
• se collegato a certificato qualificato, presenza di un certificato qualificato di sigillo rilasciato da prestatore qualificato;
• corrispondenza dei dati di convalida ai dati trasmessi alla parte facente affidamento;
• corretta trasmissione dell’insieme unico di dati identificativi del creatore del sigillo;
• indicazione chiara dell’eventuale pseudonimo;
• indicazione dell’uso di un dispositivo qualificato, se applicabile;
• integrità dei dati sigillati;
• rispetto dei requisiti dell’articolo 36 del regolamento (UE) n. 910/2014 al momento della sigillatura;
• corretto esito del processo di convalida e possibilità di rilevare problemi di sicurezza.

Anche in questo caso l’indicazione del metodo deve consentire l’accesso facile e gratuito alle specifiche complete del metodo di convalida.

Abrogazione del precedente atto di esecuzione

L’articolo 5 abroga espressamente la decisione di esecuzione (UE) 2015/1506, che stabiliva i precedenti formati di riferimento. I riferimenti a tale decisione devono ora intendersi fatti al presente regolamento, assicurando continuità normativa e sostituzione del quadro tecnico precedente.

Entrata in vigore, decorrenza e applicabilità

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Tuttavia, l’obbligo di riconoscere i formati standard di cui all’articolo 1, paragrafo 1, e all’articolo 3, paragrafo 1, si applica solo dal 23 febbraio 2027, così da lasciare agli Stati membri il tempo necessario per aggiornare le proprie soluzioni di convalida.

Il testo precisa infine che il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, con i consueti effetti tipici del regolamento UE.

Profili di protezione dei dati

Il regolamento richiama l’applicazione del regolamento (UE) 2016/679 e, se del caso, della direttiva 2002/58/CE a tutte le attività di trattamento di dati personali svolte nell’ambito della sua applicazione. È inoltre menzionata la consultazione del Garante europeo della protezione dei dati ai sensi del regolamento (UE) 2018/1725.