Regolamento (UE) 2025/1568

Regolamento di esecuzione (UE) 2025/1568: valutazioni tra pari dei regimi di identificazione elettronica

Il regolamento attua il quadro eIDAS per disciplinare in modo uniforme la procedura di valutazione tra pari dei regimi di identificazione elettronica da notificare. La finalità è favorire interoperabilità, fiducia reciproca e sicurezza dei regimi nazionali, mediante una cooperazione strutturata nel gruppo di cooperazione per l’identità digitale europea.

Finalità e contesto normativo

La Commissione richiama l’articolo 12, paragrafo 6, e l’articolo 46 sexies, paragrafo 7, del regolamento (UE) n. 910/2014, nonché il nuovo assetto del gruppo di cooperazione istituito per l’identità digitale europea. I considerando chiariscono che le peer review non sono audit, devono garantire una distribuzione equilibrata degli oneri tra gli Stati membri e servono a migliorare la comprensione dei regimi notificabili e la fiducia nel loro funzionamento transfrontaliero.

Ambito soggettivo e oggettivo

Il regolamento si applica agli Stati membri che pre-notificano un regime di identificazione elettronica e a quelli che scelgono di partecipare alla valutazione tra pari. Coinvolge anche la Commissione, che trasmette le informazioni al gruppo di cooperazione e organizza la riunione iniziale, e il gruppo di cooperazione, che adotta il parere finale e pubblica le informazioni, salvo opposizione scritta dello Stato membro interessato.

Avvio della valutazione tra pari

La procedura prende avvio con la pre-notifica del regime alla Commissione e agli altri Stati membri. La pre-notifica deve includere tre blocchi informativi minimi:

• una mappatura dei livelli di garanzia rispetto ai requisiti del regolamento di esecuzione (UE) 2015/1502, secondo il modello dell’allegato I;
• un libro bianco che descriva regime, ecosistema e contesto nazionale, secondo l’allegato II;
• una mappatura del quadro di interoperabilità rispetto ai requisiti del regolamento di esecuzione (UE) 2015/1501, secondo l’allegato III. Le informazioni di cui alla lettera c) vanno fornite almeno in inglese; la traduzione non è dovuta se comporta un onere amministrativo o finanziario irragionevole.

Partecipazione, conflitti di interesse e regole generali

La partecipazione alla peer review è volontaria per gli Stati membri. Chi partecipa sostiene i propri costi e deve utilizzare le informazioni acquisite solo ai fini della valutazione, senza divulgarle a terzi se sensibili o riservate. Devono essere comunicati eventuali conflitti di interesse dei rappresentanti nominati; in presenza di conflitto, lo Stato membro il cui regime è valutato può rifiutare la partecipazione del rappresentante interessato. Il regolamento prevede inoltre che un regime non sia sottoposto a un’ulteriore valutazione nei due anni successivi alla conclusione della precedente, salvo modifiche significative.

Preparazione e ruolo dei soggetti coinvolti

Dopo la conferma della completezza della pre-notifica, la Commissione informa il gruppo di cooperazione e programma una riunione entro due mesi. La data della presentazione del regime al gruppo di cooperazione è la data ufficiale di inizio della valutazione. Gli altri Stati membri possono nominare rappresentanti che compongono il gruppo di valutazione tra pari. Tra questi vengono assegnati:

• un coordinatore, responsabile dell’organizzazione, della comunicazione e del controllo procedurale;
• fino a tre relatori, in funzione della portata della valutazione;
• almeno un membro attivo per gruppo di lavoro. Le disposizioni organizzative non disciplinate espressamente dal regolamento, incluse quelle su riservatezza e conflitti di interesse, sono concordate dagli Stati membri coinvolti alla luce degli orientamenti del gruppo di cooperazione.

Struttura della valutazione e contenuti esaminati

La valutazione è normalmente articolata in tre gruppi di lavoro:

• registrazione;
• gestione e autenticazione dei mezzi di identificazione elettronica;
• gestione e organizzazione. Ciascun gruppo verifica l’allineamento del regime ai requisiti corrispondenti del regolamento di esecuzione (UE) 2015/1502. Le attività possono comprendere esame dei documenti, analisi dei processi, seminari tecnici, valutazione di eventuali assessment di terzi indipendenti e redazione della relazione finale.

Informazioni supplementari e limiti alla collaborazione

Se le informazioni iniziali non sono sufficienti, i gruppi di lavoro possono formulare richieste motivate di informazioni o documentazione supplementare. Lo Stato membro pre-notificante deve cooperare, salvo che:

• non disponga delle informazioni e la loro acquisizione comporti un onere amministrativo irragionevole;
• si tratti di aspetti di sicurezza pubblica o nazionale;
• siano coinvolti segreti commerciali, professionali o d’impresa;
• la sensibilità dei dati impedisca la creazione di un canale sicuro di trasmissione. In tal caso lo Stato membro deve spiegare al coordinatore i motivi del rifiuto e fornire una sintesi di alto livello o una versione espunta della documentazione.

Esito della procedura e parere finale

Il regolamento scandisce in modo preciso le fasi conclusive. Entro tre mesi dall’inizio, il gruppo di valutazione trasmette allo Stato membro un progetto di relazione; entro tre mesi e due settimane invia alla Commissione e al gruppo di cooperazione la relazione finale e un progetto di parere; entro tre mesi e tre settimane fornisce il progetto di parere definitivo. La relazione finale e il progetto di parere definitivo devono essere presentati al gruppo di cooperazione entro quattro mesi, o entro sei mesi se è stata concessa la proroga. Prima dell’adozione del parere definitivo, il gruppo di cooperazione può chiedere chiarimenti o ulteriori informazioni. Il parere finale deve indicare se e in che modo il regime soddisfa i requisiti applicabili del regolamento di esecuzione (UE) 2015/1502 per i livelli di garanzia dichiarati, identificare lo Stato membro, il regime e il relativo livello di garanzia, e precisare se la valutazione si è conclusa con successo. Le informazioni della pre-notifica sono pubblicate, salvo che lo Stato membro abbia richiesto per iscritto di non divulgarle.

Aggiornamento delle valutazioni in caso di modifiche significative

Se un regime notificato subisce modifiche che incidono su interoperabilità, sicurezza o affidabilità, lo Stato membro deve informarne senza ritardo il gruppo di cooperazione e aggiornare le informazioni già trasmesse. Dopo una precedente valutazione, qualsiasi Stato membro del gruppo di cooperazione può chiedere un aggiornamento; in tal caso la procedura degli articoli 3-5 si riattiva, ma la verifica è limitata agli elementi modificati e al relativo impatto.

Allegati: contenuto minimo della documentazione

L’allegato I dettaglia il contenuto minimo della mappatura dei livelli di garanzia: informazioni generali sullo Stato membro e sul livello di garanzia, autorità responsabili, soggetti che gestiscono registrazione, rilascio dei mezzi e nodo eIDAS, descrizione del regime, vigilanza, responsabilità, componenti tecniche, interoperabilità, sicurezza, documentazione di supporto e certificazione. L’allegato II richiede al libro bianco di descrivere l’ecosistema generale, la storia del regime e il suo ruolo nel sistema nazionale e nei rapporti con le relying parties. L’allegato III fornisce il modello per la mappatura dell’interoperabilità, includendo requisiti su nodi, protezione dei dati, integrità e autenticità dei messaggi, formati comuni, gestione della sicurezza, garanzie ISO/IEC 27001 e dati di identificazione personale. L’allegato IV contiene il modello di parere del gruppo di cooperazione, da adattare al singolo regime e al relativo livello di garanzia.

Abrogazione ed entrata in vigore

Il regolamento abroga la decisione di esecuzione (UE) 2015/296, che disciplinava la cooperazione nel precedente contesto eIDAS. Entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.