Regolamento (UE) 2025/1944

Norme di riferimento per i servizi elettronici di recapito certificato qualificati e interoperabilità

Il regolamento di esecuzione (UE) 2025/1944 della Commissione disciplina le norme di riferimento e le specifiche tecniche applicabili ai servizi elettronici di recapito certificato qualificati, nonché i requisiti per la loro interoperabilità. Esso si colloca nel quadro del regolamento (UE) n. 910/2014 (eIDAS), in particolare dell'articolo 44, e mira a rafforzare sicurezza, affidabilità e riconoscibilità dei servizi qualificati nel mercato interno.

Finalità e contesto regolatorio

I considerando evidenziano che i servizi elettronici di recapito certificato qualificati offrono un canale sicuro per trasmettere documenti e dati, garantendo prova dell'invio e della ricezione, oltre a una forte certezza nell'identificazione di mittente e destinatario. La Commissione collega la presunzione di conformità alla puntuale osservanza delle norme del presente regolamento e sottolinea che i criteri tecnici prescelti riflettono prassi consolidate e ampiamente riconosciute, integrate da controlli ulteriori per aumentare il livello di sicurezza. È inoltre previsto un riesame periodico per adeguare il quadro agli sviluppi tecnologici e alle migliori pratiche di mercato.

Ambito di applicazione

Il regolamento si applica ai prestatori di servizi fiduciari qualificati che erogano servizi elettronici di recapito certificato qualificati, nonché ai rapporti di interoperabilità tra due o più prestatori che decidano di collegare i rispettivi servizi. La disciplina incide sia sui processi di invio e ricezione dei dati sia sui requisiti tecnici e organizzativi necessari per la verifica dell'identità, l'autenticazione, la generazione delle prove, la sicurezza crittografica e la continuità del servizio.

Norme di riferimento per i QERDS

L'articolo 1 rinvia all'allegato I, che individua la norma ETSI EN 319 521 V1.1.1 (2019-02) come base applicativa, con una serie di adattamenti e integrazioni. Tra i riferimenti centrali figurano ETSI EN 319 401, ETSI EN 319 411-1, ETSI EN 319 522-1 e 319 522-2, oltre a meccanismi crittografici concordati pubblicati da ENISA, alla norma ISO/IEC 15408-1:2022, ai regolamenti di esecuzione (UE) 2024/482 e 2024/3144 e a FIPS PUB 140-3.

Identificazione del destinatario e del mittente

Il regolamento disciplina in modo puntuale l'identificazione delle parti. Il destinatario deve essere verificato con un livello di sicurezza molto elevato, tramite presenza fisica, identificazione elettronica con livello di garanzia elevato o portafoglio europeo di identità digitale, certificato qualificato di firma o sigillo, oppure altri metodi confermati da un organismo di valutazione della conformità. Per il mittente, la verifica deve avvenire con mezzi adeguati, inclusi presenza fisica, portafoglio europeo di identità digitale o mezzo notificato con livello significativo, certificato di firma o sigillo avanzato rilasciato secondo la Normalised Certificate Policy, o altri metodi validati. La verifica può essere svolta anche da terzi; la nota chiarisce che tale terzo può essere un altro QERDSP quando mittente e destinatario siano abbonati a prestatori diversi.

Autenticazione collegata all'identità verificata

Una volta verificata l'identità, il QERDSP deve vincolare ad essa i mezzi di autenticazione appropriati. Per il mittente sono previsti, tra gli altri, l'autenticazione a due fattori, il portafoglio europeo di identità digitale o un mezzo notificato con livello elevato o significativo, l'autenticazione TLS reciproca con certificato NCP, la firma digitale supportata da certificato NCP o altri mezzi confermati da organismo di valutazione della conformità. Per il destinatario si richiede un meccanismo a più fattori, oppure il portafoglio europeo di identità digitale o un mezzo notificato con livello elevato o significativo, oppure un certificato qualificato, oppure altri mezzi che garantiscano un livello di sicurezza molto elevato. In uno scenario specifico di connessione sicura macchina-a-macchina, il regolamento ammette che, dopo l'autenticazione reciproca iniziale basata su certificati NCP, la seconda fase possa essere svolta con autenticazione a fattore unico se le misure organizzative e di sicurezza sono adeguate.

Prove, conservazione e semantica delle evidenze

L'ERDS deve generare e rendere disponibili alle parti legittimate le prove relative agli eventi ERD. Tali prove devono essere coerenti con la semantica definita nella norma ETSI EN 319 522-2, e il prestatore deve inoltre archiviare le prove e/o i loro riassunti per ogni prova emessa. Il regolamento valorizza così la tracciabilità e la spendibilità probatoria degli scambi certificati.

Requisiti organizzativi, formazione e sicurezza operativa

Il personale del prestatore impegnato in ruoli di fiducia deve possedere competenze, esperienza e qualifiche dimostrabili tramite formazione, credenziali formali, esperienza pratica o una combinazione di tali elementi. La conformità richiede anche aggiornamenti almeno annuali sulle nuove minacce e sulle pratiche di sicurezza vigenti. Sul piano operativo, si applicano i requisiti della norma ETSI EN 319 401 in materia di gestione dei media e di catena di approvvigionamento.

Controlli crittografici e sicurezza della rete

Il regolamento impone l'uso di tecniche crittografiche adeguate, in linea con i meccanismi approvati da ENISA. La chiave privata di firma dell'ERDS deve essere custodita e utilizzata in un dispositivo crittografico sicuro certificato secondo Common Criteria o EUCC almeno a livello EAL 4; in alternativa, fino al 31 dicembre 2030, è ammessa la certificazione FIPS PUB 140-3 livello 3. In più, il prestatore deve impiegare protocolli e algoritmi all'avanguardia per la cifratura a livello Transport Layer, eseguire scansioni delle vulnerabilità almeno una volta a trimestre, test di penetrazione almeno una volta l'anno e configurare i firewall in modo da bloccare protocolli e accessi non necessari.

Cessazione del servizio e continuità

Il piano di cessazione dell'ERDSP deve rispettare i requisiti fissati negli atti di esecuzione adottati ai sensi dell'articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014. Ciò conferma che la chiusura ordinata del servizio è parte integrante del presidio regolatorio dei servizi fiduciari qualificati.

Interoperabilità tra prestatori

L'articolo 2 rinvia all'allegato II, che individua le norme ETSI EN 319 522-1, 319 522-2, 319 522-3, 319 522-4-1, 319 522-4-2 e 319 522-4-3 come standard di riferimento per l'interoperabilità. L'obiettivo è consentire il trasferimento agevole dei dati elettronici certificati tra due o più prestatori qualificati e promuovere pratiche eque nel mercato interno.

Protezione dei dati e consultazioni istituzionali

Il regolamento precisa che il trattamento dei dati personali effettuato nell'ambito delle attività disciplinate resta soggetto al regolamento (UE) 2016/679 e, ove applicabile, alla direttiva 2002/58/CE. Per le istituzioni e gli organismi dell'Unione si applica anche il regolamento (UE) 2018/1725; a tal fine è stato consultato il Garante europeo della protezione dei dati.

Entrata in vigore e applicazione

L'articolo 3 prevede l'entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. Il regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.