Regolamento (UE) 2025/2243

Specifiche funzionali per le piattaforme eFTI

Il regolamento di esecuzione (UE) 2025/2243 completa il quadro del regolamento (UE) 2020/1056 fissando le prescrizioni funzionali e tecniche dettagliate per le piattaforme eFTI. La finalità è consentire alle autorità competenti di accettare e trattare, in modo sicuro e interoperabile, le informazioni regolamentari sul trasporto merci messe a disposizione in formato elettronico dagli operatori economici interessati.

Contesto e ratio normativa

Il testo si colloca nel sistema eFTI già delineato dal regolamento base e dalle norme attuative collegate, in particolare il regolamento di esecuzione (UE) 2024/1942 e il regolamento delegato (UE) 2024/2024. Il legislatore europeo mira a favorire il riuso delle soluzioni TIC esistenti, ridurre i costi di implementazione, migliorare la fiducia degli operatori nella condivisione dei dati e garantire che l’accesso delle autorità avvenga in modo limitato, autenticato e tracciabile. Per il settore rifiuti, il regolamento coordina inoltre le piattaforme eFTI con DIWASS ai fini dell’interoperabilità con il regime del regolamento (UE) 2024/1157.

Ambito di applicazione

Il regolamento riguarda le piattaforme eFTI, i relativi gestori, gli utenti commerciali che operano per conto degli operatori economici interessati e le autorità competenti degli Stati membri. Si applica sia alle informazioni regolamentari sul trasporto merci in generale sia, in modo speciale, alle informazioni relative alle spedizioni di rifiuti e ai documenti connessi. Le prescrizioni incidono anche sui sistemi TIC esterni o affluenti che si connettono alle piattaforme eFTI e sulle interazioni con i gate eFTI.

Definizioni chiave

L’articolo 1 definisce le nozioni operative indispensabili per l’implementazione tecnica, tra cui:

• sistema TIC e sistema TIC affluente;
• dati eFTI e eFTI CMDS;
• gate eFTI;
• utente commerciale, utente accreditato e non accreditato;
• titolare dei dati;
• autorità primaria e temporanea di autorizzazione;
• marchio di certificazione;
• DIWASS e operatore di spedizioni di rifiuti.

Queste definizioni sono essenziali perché determinano l’assetto dei diritti di accesso, dei ruoli autorizzativi e della tracciabilità delle operazioni sulla piattaforma.

Accesso delle autorità competenti

Le autorità competenti possono accedere ai dati eFTI solo tramite comunicazione machine-to-machine attraverso una connessione sicura tra piattaforma eFTI e gate eFTI. La piattaforma deve:

• convalidare la richiesta o il follow-up;
• identificare l’UUID dell’eFTI CMDS e i riferimenti ai diritti di accesso;
• conservare una traccia di controllo della richiesta e della risposta;
• fornire i dati richiesti oppure un messaggio di errore;
• notificare agli utenti commerciali interessati le richieste e le comunicazioni di follow-up, quando le autorizzazioni lo consentono.

L’accesso pubblico o indiscriminato non è previsto: il modello è fortemente controllato e limitato agli obblighi informativi pertinenti alla specifica spedizione.

Accesso degli utenti commerciali e autorizzazioni

Gli utenti commerciali possono accedere ai dati eFTI tramite interfaccia uomo-macchina o tramite scambio machine-to-machine con sistemi TIC affluenti. Il regolamento distingue due meccanismi di autorizzazione:

• autorizzazione principale, basata su registri dei diritti di trattamento degli utenti accreditati;
• autorizzazione temporanea, per utenti non accreditati, con credenziali e diritti limitati nel tempo.

Il sistema deve garantire identificazione e autenticazione affidabili, anche tramite mezzi di identificazione elettronica conformi al regolamento (UE) n. 910/2014. Per gli accessi tramite sistemi affluenti, la piattaforma deve effettuare misure di onboarding e verifiche sul controllo effettivo dell’accesso da parte del sistema esterno.

Gestione del registro delle autorizzazioni

I registri delle autorizzazioni devono essere una componente TIC distinta, interna o esterna alla piattaforma, ma comunque collegata in modo sicuro. Per ogni utente accreditato il registro deve contenere un profilo univoco con:

• identificazione codificata;
• diritti di trattamento e durata;
• riferimento agli elementi o gruppi di dati trattabili;
• indicazione se l’utente può agire come autorità primaria o temporanea di autorizzazione;
• eventuale facoltà di ricevere notifiche sulle richieste delle autorità.

Per gli utenti non accreditati, il sistema consente l’accesso temporaneo mediante autenticazione a due fattori e con sessione che termina al completamento dell’operazione o allo spirare del termine autorizzato. I dati del registro devono essere conservati a fini di audit per almeno il medesimo periodo previsto per la disponibilità dell’eFTI CMDS, e i dati personali devono essere cancellati entro un termine ragionevole dopo tale scadenza.

Interoperabilità con DIWASS per i rifiuti

Il regolamento dedica una disciplina specifica all’integrazione con DIWASS, necessaria per le informazioni regolamentari relative alle spedizioni di rifiuti rientranti nell’ambito eFTI. Le piattaforme devono stabilire connessioni sicure con il sistema centrale o, se previsto dallo Stato membro, con un sistema locale collegato al sistema centrale.

Quando la connessione è attiva, la piattaforma deve consentire anche:

• il download delle copie dei documenti relativi alla spedizione di rifiuti;
• la trasmissione e la modifica delle conferme del trasferimento del vettore;
• la ricezione dei dati di firma del destinatario quando il destinatario è un impianto di trattamento dei rifiuti.

Trasparenza e notifiche agli operatori

Gli utenti commerciali possono richiedere notifiche o relazioni periodiche sulle richieste di accesso delle autorità e sulle relative comunicazioni di follow-up. Le informazioni minime da includere nelle notifiche sono:

• numero identificativo della richiesta e dell’eventuale follow-up;
• Stato membro dell’autorità richiedente;
• UUID dell’eFTI CMDS;
• contenuto del follow-up, se presente.

La trasparenza è quindi parte integrante del modello di fiducia perseguito dal regolamento.

Trattamento dei dati e operazioni consentite

Il trattamento dei dati avviene per mezzo di un insieme univoco di dati, l’eFTI CMDS, costituito selezionando gli elementi dei sottoinsiemi applicabili alle prescrizioni informative della specifica spedizione. I dati devono essere conformi alle strutture, agli elenchi di codici e alle regole operative del regolamento delegato (UE) 2024/2024.

Le operazioni di trattamento consentite includono, tra le altre:

• creazione e modifica del CMDS;
• lettura e download;
• firma di speditore, vettore e destinatario;
• timbro del trasporto combinato;
• archiviazione.

Per i rifiuti sono previste ulteriori operazioni di recupero documentale e di trasmissione/modifica delle conferme del trasferimento. La piattaforma deve avvisare l’utente che, trattando i dati, accetta la possibile messa a disposizione automatica dei dati alle autorità competenti e la registrazione della traccia di controllo delle operazioni svolte.

Tracciabilità, archiviazione e stati del CMDS

Ogni operazione deve essere registrata in un audit trail che consenta di individuare l’UUID del CMDS, l’identità codificata dell’utente o i dati dell’autenticazione a due fattori, la data e l’ora e il tipo di operazione. La piattaforma deve mantenere i dati disponibili online almeno finché il CMDS è nello stato "attivo" e, se del caso, "inattivo"; successivamente deve conservarlo nello stato "pronto per l’archiviazione" o "archiviato" per i periodi previsti dal regolamento (UE) 2020/1056.

Nel settore stradale, per un CMDS con elemento eFTI581 pari a "3", la piattaforma deve assegnare lo stato "inattivo" per il periodo corrispondente ai termini di conservazione richiamati dal regolamento (CE) n. 1072/2009, e solo dopo il loro decorso passare allo stato "pronto per l’archiviazione".

Interfacce uomo-macchina e copie dei documenti

Le interfacce web o applicative devono consentire:

• identificazione, autenticazione e autorizzazione degli utenti;
• download dell’UIL dell’eFTI CMDS in formato leggibile meccanicamente;
• download di una copia leggibile dall’uomo del CMDS e, se applicabile, dei documenti rifiuti.

Le copie devono includere il marchio di certificazione e una validazione temporale. Inoltre devono essere previste funzioni di protezione dell’accesso per impedire usi non autorizzati quando il dispositivo non è sotto il controllo dell’utente.

Disponibilità e sicurezza degli scambi

Le piattaforme devono restare disponibili per l’accesso delle autorità almeno per i periodi in cui i CMDS risultano attivi e, se del caso, inattivi. Gli scambi di dati devono avvenire tramite punti di accesso eDelivery o equivalenti, con chiavi e certificati di sicurezza validi, e in conformità alle specifiche di messaggistica richiamate dal regolamento di esecuzione (UE) 2024/1942.

Per DIWASS, la piattaforma deve inoltre mantenere punti di accesso conformi alle specifiche del regolamento di esecuzione (UE) 2025/1290 e un’interfaccia API per ricevere i dati di firma del destinatario quando occorra.

Sicurezza e conservazione dei dati archiviati

I gestori delle piattaforme devono adottare misure tecniche e organizzative per garantire la sicurezza, la disponibilità e la conservazione dei dati archiviati. Se l’archiviazione è locale, le misure devono coprire capacità, backup, protezione fisica, recupero in caso di danno e gestione dei rischi; se è cloud, il fornitore deve rispettare le principali norme e pratiche internazionali di sicurezza e protezione dei dati personali.

È inoltre richiesto che i dati siano archiviati nell’Unione o sotto la giurisdizione dell’Unione o di uno Stato membro.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.