Regolamento (UE) 2025/2530

Requisiti per i prestatori di servizi fiduciari qualificati

Il regolamento di esecuzione (UE) 2025/2530 della Commissione attua l’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014 (eIDAS) per quanto riguarda i requisiti applicabili ai prestatori di servizi fiduciari qualificati che erogano servizi fiduciari qualificati. La finalità è rendere operativa la presunzione di conformità al quadro eIDAS solo quando il prestatore rispetta i requisiti, le norme di riferimento e le specifiche fissati dal presente atto e dagli allegati richiamati. I considerando evidenziano la centralità di tali prestatori per interazioni digitali sicure, l’esigenza di aggiornamento periodico rispetto a nuove tecnologie e prassi, nonché il coordinamento con le norme in materia di protezione dei dati e con gli strumenti dell’Unione sulla cibersicurezza.

Ambito soggettivo e rapporto con altri atti

Il regolamento riguarda esclusivamente i prestatori di servizi fiduciari qualificati e i servizi fiduciari qualificati rientranti nel regolamento (UE) n. 910/2014. Il sistema di rinvio agli altri regolamenti di esecuzione è centrale: l’allegato elenca le norme di riferimento e le specifiche tecniche per i diversi servizi qualificati, dalla emissione di certificati alla conservazione qualificata, dalla validazione temporale ai servizi di recapito certificato, fino ai registri elettronici qualificati. Il testo precisa inoltre che il regolamento (UE) 2016/679 si applica a tutte le attività di trattamento di dati personali e, se del caso, anche la direttiva 2002/58/CE; è richiamato altresì il regolamento (UE) 2018/1725 per la consultazione del Garante europeo della protezione dei dati.

Notifiche preventive agli organismi di vigilanza

L’articolo 1 impone al prestatore qualificato di notificare prima dell’attuazione le modifiche significative che possono incidere sulla conformità del servizio o sulla qualificazione. L’elenco delle modifiche rilevanti è ampio e comprende, tra l’altro, cambiamenti della documentazione contrattuale e operativa, dell’architettura tecnica, dell’hosting dei componenti tecnici, dell’uso di tecniche o materiali crittografici, delle procedure di identificazione, della governance, del piano di cessazione, delle risorse finanziarie e dell’assicurazione di responsabilità civile, dei terzi coinvolti e degli elementi che incidono sull’elenco nazionale di fiducia. La notifica deve contenere la descrizione della modifica, la data e l’ora previste, le ragioni e, se pertinenti, le prove a sostegno e i documenti aggiornati.

Gestione dei rischi

L’articolo 2 rinvia mutatis mutandis agli articoli 2, 3 e 4 del regolamento di esecuzione (UE) 2025/2160 per disciplinare il quadro di gestione dei rischi dei prestatori qualificati. Ne deriva un obbligo di impostare una gestione strutturata dei rischi connessi alla prestazione del servizio fiduciario qualificato, in continuità con l’impianto metodologico previsto per i servizi fiduciari non qualificati. Il considerando 6 collega tale assetto anche alle esigenze di gestione dei rischi giuridici, commerciali, operativi e di altro tipo previste dall’articolo 24, paragrafo 2, del regolamento eIDAS.

Piano di cessazione: contenuto, aggiornamento e risorse

L’articolo 3 disciplina in modo analitico il piano di cessazione, che va predisposto per ciascun servizio fiduciario qualificato. Il piano deve assicurare la cessazione ordinata del servizio o di sue parti, preservando la continuità e la possibilità di produrre prove in sede giudiziaria, oltre a descrivere come restano accessibili le informazioni richieste dall’articolo 24, paragrafo 2, lettera h), del regolamento (UE) n. 910/2014. Il prestatore deve mantenere controlli e procedure per garantire la disponibilità interna della documentazione rilevante, l’aggiornamento costante del piano e dei documenti associati, e il riesame almeno ogni due anni nonché in occasione di modifiche del prestatore o del servizio. Deve inoltre assicurare risorse finanziarie sufficienti o un’assicurazione adeguata per coprire i costi di attuazione del piano, anche in caso di cessazione imprevista.

Prescrizioni operative in caso di cessazione

Il regolamento richiede che il piano disciplini almeno: la cessazione dei servizi e l’eventuale disattivazione dei componenti tecnici; l’aggiornamento tempestivo dell’elenco nazionale di fiducia; la revoca dei certificati qualificati non ancora revocati, salvo trasferimento integrale degli obblighi a un altro prestatore in modo da garantire la continuità dei requisiti eIDAS; il divieto di creare o rendere utilizzabili nuovi risultati del servizio dopo la cessazione; l’accessibilità e l’utilizzabilità di tutti i registri pertinenti; la gestione di scenari di cessazione prevista, imprevista, parziale e totale; la salvaguardia degli interessi degli abbonati, inclusa la custodia delle informazioni necessarie alla verifica della validità giuridica dei risultati; l’eventuale predisposizione di servizi alternativi da parte di altri prestatori per limitare le perturbazioni; e l’invio di avvisi alle parti note interessate dalla cessazione. I registri devono inoltre consentire la prova della conformità al regolamento eIDAS e al GDPR e la continuità dei servizi per i dati di convalida e per la custodia costante delle informazioni relative ai risultati già creati.

Norme di riferimento applicabili ai diversi servizi qualificati

L’allegato costituisce il nucleo tecnico del regolamento e associa a ciascuna categoria di servizio qualificato specifici punti di norme e specifiche tecniche già adottate in altri regolamenti di esecuzione. Sono coperti, tra gli altri, i certificati qualificati di firme e sigilli elettronici, i certificati di autenticazione di siti web, i servizi di convalida qualificati, i servizi di conservazione qualificati, le validazioni temporali elettroniche qualificate, i servizi elettronici di recapito certificato qualificati, i servizi di gestione di dispositivi qualificati per la creazione di firme o sigilli a distanza, i servizi di archiviazione elettronica qualificati, gli attestati elettronici qualificati di attributi e i registri elettronici qualificati. La presunzione di conformità opera solo se tutti i requisiti dell’allegato, per quanto applicabili al servizio specifico, sono effettivamente attuati.

Prevalenza delle disposizioni e decorrenza

In caso di contrasto tra norme di riferimento/specifiche richiamate nell’allegato e requisiti degli articoli 1, 2 e 3, prevalgono questi ultimi. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento.