Regolamento (UE) 2025/1929

Regolamento di esecuzione (UE) 2025/1929: validazione temporale elettronica qualificata

Il regolamento di esecuzione definisce le modalità tecniche di applicazione dell’articolo 42 del regolamento (UE) n. 910/2014 (eIDAS) in materia di validazione temporale elettronica qualificata. La finalità è rafforzare l’affidabilità del collegamento tra data/ora e dati elettronici e assicurare l’accuratezza delle fonti di misurazione del tempo, così da rendere uniforme nell’Unione la base tecnica per la presunzione di conformità dei servizi qualificati.

Contesto normativo e finalità

I considerando evidenziano che le validazioni temporali elettroniche qualificate sono essenziali per la transizione dai processi cartacei a quelli digitali e per garantire integrità e tracciabilità dei documenti elettronici. Il regolamento si colloca nell’evoluzione del quadro eIDAS, con richiamo all’articolo 42, paragrafo 1 bis, che collega la presunzione di conformità al rispetto di standard tecnici stabiliti dalla Commissione. È altresì previsto che la Commissione riesamini e, se necessario, aggiorni il testo per mantenerlo allineato a sviluppi tecnologici, norme e migliori pratiche; i trattamenti di dati personali restano soggetti al regolamento (UE) 2016/679 e, se del caso, alla direttiva 2002/58/CE.

Ambito soggettivo e oggettivo

Il regolamento riguarda i prestatori di servizi fiduciari qualificati che rilasciano validazioni temporali qualificate e le autorità nazionali di vigilanza che valutano la conformità e la qualifica del servizio. Le regole tecniche si applicano alle norme di riferimento per la TSU/TSA, ai protocolli, agli algoritmi crittografici, alle misure di sicurezza del personale e delle reti, nonché ai requisiti di cessazione del servizio. La conformità ai requisiti dell’allegato consente alle autorità di presumere la conformità al regolamento eIDAS e tenerne conto ai fini della concessione o conferma della qualifica del servizio fiduciario.

Norme ETSI e riferimenti tecnici

L’allegato rende applicabili, con adattamenti, due standard ETSI centrali per il settore: ETSI EN 319 421 V1.3.1 e ETSI EN 319 422 V1.1.1. Tra i riferimenti richiamati figurano ISO/IEC 15408:2022 (Common Criteria), ETSI EN 319 401, le specifiche ETSI EN 319 422, i meccanismi crittografici concordati pubblicati da ENISA e, per il trasporto, HTTPS come definito in IETF RFC 3161. È inoltre richiamato il sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC), disciplinato dagli atti di esecuzione del 2024 richiamati nel testo.

Requisiti organizzativi e di sicurezza operativa

Il testo impone alla TSA di rendere nota nella propria dichiarazione informativa la disponibilità del servizio di validazione temporale. In materia di personale, i soggetti in ruoli di fiducia e gli eventuali subcontraenti devono poter dimostrare competenze, esperienza e qualifiche tramite formazione, credenziali formali, esperienza effettiva o combinazione delle stesse; la formazione deve includere aggiornamenti almeno annuali sulle nuove minacce e sulle pratiche di sicurezza vigenti.

Gestione delle chiavi e dispositivi crittografici sicuri

La generazione delle chiavi della TSU e la custodia/uso della chiave privata devono avvenire all’interno di dispositivi crittografici sicuri certificati. Il regolamento ammette certificazioni Common Criteria/EAL 4 o superiore, EUCC/EAL 4 o superiore, oppure fino al 31 dicembre 2030 FIPS PUB 140-3 livello 3. La certificazione deve coprire un obiettivo di sicurezza o un profilo di protezione coerente con l’analisi dei rischi e con le misure di sicurezza fisiche e non tecniche; se il dispositivo è certificato EUCC, deve essere configurato e usato in conformità alla certificazione. L’esportazione e l’importazione della chiave di firma sono ammesse solo in modo sicuro e coerente con la certificazione dei dispositivi.

Algoritmi crittografici, chiavi e protocolli

Sia per la generazione delle chiavi della TSU sia per gli algoritmi hash e di firma utilizzati nei token e nei certificati, il regolamento impone la conformità ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati da ENISA. Anche le lunghezze delle chiavi devono rispettare tali meccanismi. Per il protocollo di validazione temporale, client e server devono supportare HTTPS. È inoltre disciplinata la struttura del token nel caso in cui la TSA dichiari una validazione temporale elettronica qualificata: il token deve contenere un esempio di estensione qcStatements con la sintassi prevista da IETF RFC 3739, includere la dicitura "esi4-qtstStatement-1" e non qualificare tale estensione come critica.

Sicurezza delle reti, test periodici e continuità/cessazione

La sicurezza di rete è rafforzata da obblighi di controllo periodico: scansione delle vulnerabilità almeno trimestrale, test di penetrazione almeno annuale e configurazione dei firewall per bloccare protocolli e accessi non necessari al funzionamento della TSA. In caso di cessazione del servizio, il piano di cessazione del TSP deve essere conforme ai requisiti degli atti di esecuzione adottati ai sensi dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Per gli operatori del settore, ciò implica l’immediata rilevanza delle specifiche tecniche contenute nell’allegato ai fini della qualifica e del mantenimento della conformità dei servizi di validazione temporale elettronica qualificata.