Regolamento (UE) 2025/847

Regolamento di esecuzione (UE) 2025/847 della Commissione sulle reazioni a violazioni della sicurezza dei portafogli europei di identità digitale

Il regolamento attua il quadro dell’identità digitale dell’Unione, introdotto e rafforzato dal regolamento (UE) n. 910/2014 come modificato dal regolamento (UE) 2024/1183, dettando regole uniformi per gestire incidenti di sicurezza che colpiscano i portafogli europei di identità digitale. La finalità è assicurare una reazione rapida, coordinata e sicura, idonea a proteggere gli utenti, le parti facenti affidamento e la fiducia complessiva nell’ecosistema europeo dell’identità digitale.

Contesto normativo e rapporti con altri atti dell’Unione

Il regolamento si inserisce nel più ampio quadro europeo relativo all’identità digitale e si coordina con la normativa in materia di protezione dei dati personali e di cibersicurezza. I considerando precisano che restano fermi gli obblighi derivanti dal regolamento (UE) 2016/679, dal regolamento (UE) 2018/1725 e, se del caso, dalla direttiva 2002/58/CE, nonché le discipline di NIS 2, del regolamento (UE) 2019/881 e del regolamento (UE) 2024/2847.

Ambito di applicazione

Le misure riguardano le violazioni della sicurezza o le compromissioni che interessano:

• le soluzioni di portafoglio;
• i meccanismi di convalida di cui all’articolo 5 bis, paragrafo 8, del regolamento (UE) n. 910/2014;
• il regime di identificazione elettronica nell’ambito del quale tali portafogli sono forniti.

I destinatari operativi delle regole sono gli Stati membri che forniscono o gestiscono la reazione all’incidente, i fornitori di portafogli, gli utenti del portafoglio, le parti facenti affidamento registrate e la Commissione, con scambi informativi anche tra Stati membri tramite i punti di contatto unici designati ai sensi dell’articolo 46 quater, paragrafo 1, del regolamento (UE) n. 910/2014.

Definizioni rilevanti

L’articolo 2 introduce definizioni centrali per l’applicazione del regolamento, tra cui:

• soluzione di portafoglio;
• utente del portafoglio;
• parte facente affidamento sul portafoglio;
• istanza di portafoglio;
• applicazione crittografica sicura per il portafoglio;
• dispositivo crittografico sicuro per il portafoglio;
• fornitore del portafoglio;
• unità di portafoglio;
• risorse critiche;
• attestato di unità di portafoglio.

Tali nozioni sono essenziali per comprendere quali componenti della catena tecnica e organizzativa siano colpiti da sospensione, ripristino o ritiro.

Valutazione della violazione e criteri di affidabilità

L’articolo 3 impone agli Stati membri di valutare se la violazione o compromissione pregiudichi l’affidabilità della soluzione di portafoglio, dei meccanismi di convalida o del regime di identificazione elettronica. La valutazione deve essere compiuta tenendo debito conto dei criteri dettagliati nell’allegato I.

Se l’incidente compromette l’affidabilità della soluzione, lo Stato membro deve sospendere la fornitura e l’uso della soluzione e applicare le regole su sospensione e informazioni; se invece decide il ritiro, deve applicare la disciplina specifica del ritiro e delle relative comunicazioni.

È inoltre previsto un obbligo di cooperazione transfrontaliera: quando uno Stato membro venga a conoscenza di una possibile violazione che possa incidere su soluzioni fornite da un altro Stato membro, deve informare senza indebito ritardo la Commissione e i punti di contatto unici degli Stati membri interessati.

Sospensione della fornitura e misure immediate

L’articolo 4 stabilisce che, in caso di sospensione, non possano essere fornite, utilizzate o attivate unità di portafoglio nell’ambito della soluzione sospesa. Gli Stati membri devono inoltre valutare se sia necessario revocare gli attestati di unità di portafoglio o adottare rimedi supplementari.

Le misure devono essere adottate senza indebito ritardo e in ogni caso entro 24 ore dalla sospensione. Tuttavia, il regolamento tutela il diritto alla portabilità dei dati previsto dall’articolo 5 bis, paragrafo 4, lettera g), del regolamento (UE) n. 910/2014, purché il suo esercizio non comprometta la sicurezza delle risorse critiche.

Informazioni da fornire in caso di sospensione

L’articolo 5 impone un obbligo di informazione molto dettagliato entro 24 ore dalla sospensione, verso:

• i punti di contatto unici;
• la Commissione;
• gli utenti del portafoglio interessati;
• le parti facenti affidamento registrate.

Le informazioni minime richieste comprendono l’identificazione del fornitore e della soluzione sospesa, la data e l’ora di rilevazione e di sospensione dell’incidente, i dati di contatto, la descrizione della violazione o compromissione, i dati compromessi, la stima degli interessati, gli impatti potenziali e le misure di rimedio già adottate o programmate, oltre a eventuali misure di migrazione verso soluzioni alternative.

Ripristino della soluzione di portafoglio

L’articolo 6 disciplina il ripristino dopo la rimessione in sicurezza della soluzione. Lo Stato membro deve intervenire senza indebito ritardo per ristabilire la fornitura, l’attivazione e l’uso della soluzione, potendo ricorrere a diverse tecniche:

• rilascio di unità di portafoglio nell’ambito di una nuova versione della soluzione;
• rilascio di nuovi attestati per nuove unità o, se del caso, per unità precedentemente rilasciate, purché conformi ai requisiti di sicurezza vigenti dopo il rimedio;
• revoca delle misure che ostacolavano la fornitura di nuove unità, quando tali misure erano legate solo all’incidente risolto.

Informazioni sul ripristino

L’articolo 7 richiede che tutti i soggetti già informati della sospensione ricevano senza indebito ritardo anche l’informazione del ripristino. La comunicazione deve includere, oltre agli elementi identificativi essenziali della soluzione, la data e l’ora del rimedio e del ripristino, la descrizione delle misure adottate e l’indicazione di eventuali impatti residui, con le relative misure di mitigazione per utenti e parti facenti affidamento.

Ritiro della soluzione di portafoglio

L’articolo 8 prevede il ritiro obbligatorio quando non sia stato posto rimedio alla violazione o compromissione entro tre mesi dalla sospensione. In tal caso, lo Stato membro deve ritirare la soluzione senza indebito ritardo e comunque entro 72 ore dalla scadenza del termine triennale.

Gli effetti del ritiro sono incisivi:

• revoca degli attestati di unità di portafoglio;
• impossibilità di farli tornare validi;
• impossibilità di rilasciare nuovi attestati a unità esistenti;
• impossibilità di fornire nuove unità nell’ambito della soluzione interessata.

Anche in questa fase è preservato, entro i limiti di sicurezza richiesti, il diritto alla portabilità dei dati.

Informazioni sul ritiro

L’articolo 9 impone un ulteriore obbligo di trasparenza: entro 24 ore dal ritiro devono essere informati i punti di contatto unici, la Commissione, gli utenti interessati e le parti facenti affidamento registrate. Il contenuto minimo della comunicazione comprende la causa del ritiro, l’identificativo della soluzione, le date e gli orari rilevanti, la descrizione dell’incidente, i dati compromessi, la stima degli interessati, gli impatti potenziali e le misure di transizione verso soluzioni o servizi alternativi.

Sistema di trasmissione delle informazioni

L’articolo 10 prevede che le informazioni di cui agli articoli 3, 5, 7 e 9 siano trasmesse tramite il sistema CIRAS gestito da ENISA, oppure tramite un sistema equivalente concordato tra Stati membri e Commissione. La disposizione mira a ridurre gli oneri amministrativi e a favorire una gestione uniforme e tracciabile degli incidenti.

Criteri sostanziali dell’allegato I

L’allegato I fornisce i criteri per capire quando una violazione o compromissione è sufficientemente grave da incidere sull’affidabilità della soluzione. Tra i parametri più rilevanti figurano:

• rischio di decesso o danni gravi alla salute;
• accessi non autorizzati o sospettati malevoli ai sistemi informativi e di rete dei soggetti interessati;
• indisponibilità completa del servizio per oltre 12 ore consecutive o per oltre 16 ore su base settimanale;
• impatto sulla disponibilità del servizio per oltre l’1 % degli utenti o delle parti facenti affidamento;
• compromissione dell’accesso fisico ai luoghi critici;
• compromissione di integrità, riservatezza o autenticità dei dati, anche con effetti su dati personali, comunicazioni elettroniche o persone vulnerabili;
• annullamento o imminente annullamento della certificazione della soluzione;
• perdita finanziaria diretta superiore a 500 000 EUR o, se inferiore, al 5 % del fatturato totale annuo dell’esercizio precedente.

L’allegato chiarisce inoltre che non si considerano gli effetti ordinari di manutenzione preventivamente notificata, se tali effetti non integrano nessuno dei criteri di gravità. Specifica infine come misurare la durata dell’incidente, la limitazione del servizio e le perdite finanziarie, includendo i costi di sostituzione, personale, consulenza, risarcimenti e mancati ricavi, ma escludendo i costi ordinari di funzionamento quotidiano.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Fa eccezione l’articolo 10, che si applica dal 7 maggio 2026.