Regolamento (UE) 2025/1570

Modalità di notifica delle informazioni sui dispositivi certificati per firme elettroniche qualificate e sigilli elettronici qualificati

Il regolamento di esecuzione (UE) 2025/1570 disciplina le modalità operative con cui gli Stati membri devono notificare alla Commissione le informazioni sui dispositivi per la creazione di firme elettroniche qualificate e sigilli elettronici qualificati che siano stati certificati, oppure non siano più certificati. La finalità è quella di assicurare una fonte trasparente e affidabile di informazioni sullo stato di certificazione di tali dispositivi, in coerenza con il regolamento (UE) n. 910/2014 (eIDAS).

Ambito di applicazione e finalità

Il regolamento si applica alle notifiche che gli Stati membri inviano alla Commissione in relazione ai dispositivi certificati ai sensi dell’articolo 31, paragrafo 1, del regolamento (UE) n. 910/2014, nonché ai successivi aggiornamenti delle informazioni già trasmesse. Il perimetro riguarda sia i dispositivi per la creazione di firme elettroniche qualificate sia quelli per la creazione di sigilli elettronici qualificati; il testo non introduce obblighi diretti per gli operatori privati, ma regola il flusso informativo tra autorità nazionali e Commissione.

Canale di notifica e formato della comunicazione

L’articolo 1 stabilisce che la notifica debba essere effettuata in forma elettronica attraverso un canale elettronico sicuro messo a disposizione dalla Commissione. Lo stesso canale deve essere utilizzato anche per trasmettere le informazioni aggiornate e i documenti di accompagnamento qualora intervengano modifiche successive alla comunicazione iniziale, incluse le variazioni dello stato di certificazione dei dispositivi.

Contenuto minimo della notifica

L’allegato definisce in modo puntuale il contenuto minimo delle informazioni da trasmettere. In particolare, devono essere indicati:

• l’identificazione del dispositivo, mediante nome del prodotto, riferimenti ai componenti software e hardware configurati, con relative versioni, e versione del dispositivo;
• l’identità dell’organismo che ha chiesto la certificazione;
• la descrizione del dispositivo, inclusa l’indicazione se si tratti di un dispositivo per firma qualificata, per sigillo qualificato o di entrambi, e la categoria di appartenenza tra quelle previste dal testo;
• il certificato di conformità del dispositivo ai requisiti dell’allegato II del regolamento (UE) n. 910/2014;
• il riferimento alla relazione di certificazione rilasciata ai sensi dell’articolo 30 del regolamento (UE) n. 910/2014, che deve restare invariato almeno per il periodo di validità del certificato di conformità;
• l’identità dell’emittente della relazione di certificazione, con riferimento alla qualifica di organismo di certificazione designato da uno Stato membro e conforme ai requisiti dell’articolo 30, paragrafo 3;
• l’URL del sito da cui la relazione di certificazione sia liberamente accessibile;
• la data di inizio effettiva della certificazione, lo stato di certificazione e la data di scadenza;
• l’eventuale intenzione di non continuare la certificazione al termine di quella vigente;
• i dati di contatto dell’organismo designato;
• l’indicazione del metodo di certificazione conforme all’articolo 30, paragrafo 3, primo comma, lettera a) o b), e, se del caso, il riferimento e l’URL delle procedure alternative notificate alla Commissione.

Documentazione di certificazione e relazioni pertinenti

Oltre ai dati elencati, devono essere trasmesse tutte le pertinenti relazioni di certificazione redatte secondo gli atti di esecuzione adottati ai sensi dell’articolo 30, paragrafo 3, secondo comma, del regolamento (UE) n. 910/2014. Per ciascuna relazione devono essere forniti il riferimento, l’identità dell’emittente, l’URL di accesso gratuito, la data di rilascio e, se disponibile pubblicamente, la versione del documento sul target di sicurezza relativo al dispositivo o ai suoi componenti oggetto della valutazione.

Entrata in vigore e applicazione differita

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, ma la sua applicazione è differita al 19 dicembre 2025. I considerando spiegano tale scelta con la necessità di concedere alla Commissione tempo sufficiente per adattare il canale esistente di notifica.

Profili di protezione dei dati

Il testo chiarisce che il regolamento (UE) 2016/679 si applica a tutte le attività di trattamento di dati personali svolte a norma del regolamento stesso e che, se del caso, si applica anche la direttiva 2002/58/CE. È inoltre richiamata la consultazione del Garante europeo della protezione dei dati ai sensi del regolamento (UE) 2018/1725, a conferma dell’attenzione ai profili di data protection connessi alla gestione delle notifiche.