Regolamento (UE) 2025/1942

Servizi di convalida qualificati delle firme e dei sigilli elettronici

Il regolamento di esecuzione (UE) 2025/1942 completa il quadro eIDAS stabilendo le norme tecniche e le specifiche che devono essere rispettate dai servizi di convalida qualificati delle firme elettroniche qualificate e dei sigilli elettronici qualificati. La ratio, espressamente richiamata nei considerando, è garantire integrità, autenticità e correttezza del processo e dell’esito della convalida, rafforzando la fiducia nei servizi fiduciari qualificati e favorendo la digitalizzazione dei processi imprenditoriali.

I considerando chiariscono che la presunzione di conformità ai sensi degli articoli 33, paragrafo 2, e 40 del regolamento (UE) n. 910/2014 opera solo se il servizio rispetta le norme tecniche qui stabilite. Viene inoltre sottolineato che, in presenza di conformità all’allegato, gli organismi di vigilanza dovrebbero presumere la conformità ai requisiti del regolamento eIDAS ai fini della qualificazione del servizio, fermo restando che il prestatore può dimostrare la conformità anche con altre pratiche.

Base giuridica e collocazione sistematica

L’atto è adottato dalla Commissione sulla base dell’articolo 33, paragrafo 2, e dell’articolo 40 del regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183. L’impostazione è quella del regolamento di esecuzione: non introduce un regime autonomo, ma specifica i parametri tecnici di attuazione del quadro eIDAS per i servizi di validazione qualificata.

La Commissione afferma inoltre di riesaminare periodicamente tecnologie, pratiche e specifiche tecniche, con l’obiettivo di mantenere l’atto allineato agli sviluppi del mercato e alle migliori pratiche. Questo elemento è rilevante per i professionisti perché segnala una possibile evoluzione futura degli standard tecnici richiamati.

Ambito di applicazione soggettivo e oggettivo

L’atto riguarda i prestatori di servizi fiduciari che erogano servizi di convalida qualificati delle firme elettroniche qualificate e dei sigilli elettronici qualificati, nonché gli organismi di vigilanza che devono valutarne la conformità. L’ambito materiale copre l’intero ciclo di convalida: definizione delle politiche, requisiti organizzativi, controlli crittografici, processo di verifica, relazione di convalida e continuità/cessazione del servizio.

Sotto il profilo territoriale, il regolamento è direttamente applicabile in tutti gli Stati membri. Sotto il profilo temporale, entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Norme tecniche di riferimento

L’articolo 1 rinvia all’allegato, che contiene il cuore prescrittivo del regolamento. Le norme centrali sono ETSI TS 119 441 e ETSI TS 119 172-4, cui si aggiungono numerosi richiami a ulteriori standard e specifiche tecniche.

Tra i riferimenti più rilevanti figurano:

• ETSI EN 319 401 sui requisiti generali dei prestatori di servizi fiduciari;
• ETSI EN 319 102-1 sulle procedure di creazione e validazione delle firme AdES;
• ETSI TS 119 102-2 sulla relazione di convalida;
• ETSI TS 119 612 sulle trusted lists;
• norme e criteri crittografici e di sicurezza, tra cui ISO/IEC 15408, FIPS PUB 140-3, EUCC e meccanismi crittografici concordati pubblicati da ENISA.

Requisiti organizzativi, sicurezza e risorse umane

L’allegato impone al prestatore una serie di requisiti organizzativi e di sicurezza. La dichiarazione sulla pratica del servizio di convalida deve essere strutturata secondo l’allegato A della norma richiamata e deve elencare o richiamare le politiche di servizio supportate.

La politica di sicurezza delle informazioni deve documentare i controlli di sicurezza e di tutela della vita privata adottati per proteggere i dati personali. Sul piano delle risorse umane, il personale in ruoli di fiducia, e ove applicabile i subcontraenti in ruoli di fiducia, deve possedere competenze, esperienza e qualifiche adeguate tramite formazione, credenziali formali, esperienza pratica o una combinazione di tali elementi. È richiesto anche un aggiornamento periodico almeno ogni 12 mesi sulle nuove minacce e sulle pratiche di sicurezza attuali.

Sono inoltre previsti requisiti su sicurezza operativa e rete: uso di un ambiente di applicazione con patch di sicurezza aggiornate, scansioni di vulnerabilità almeno trimestrali, penetration test almeno annuali e firewall configurati per bloccare protocolli e accessi non necessari. Se è consentito l’accesso remoto a sistemi di archiviazione o trattamento di dati riservati, deve esistere una politica formale documentata.

Controlli crittografici e firma delle relazioni di convalida

Il regolamento dedica particolare attenzione alla sicurezza crittografica. Quando le relazioni di convalida sono firmate, il certificato di firma pubblica del prestatore deve essere rilasciato da una CA affidabile secondo le regole pertinenti; la chiave privata deve essere detenuta e utilizzata in un dispositivo crittografico sicuro certificato.

La certificazione del dispositivo può avvenire, alternativamente, secondo:

• criteri comuni/ISO/IEC 15408 o Common Criteria CC:2022, con livello EAL 4 o superiore;
• EUCC con livello EAL 4 o superiore;
• fino al 31 dicembre 2030, FIPS PUB 140-3 livello 3.

La certificazione deve riguardare un obiettivo di sicurezza o un profilo di protezione coerente con il documento, fondato su un’analisi dei rischi e considerato anche in relazione alle misure di sicurezza fisiche e non tecniche. Se il dispositivo beneficia di certificazione EUCC, esso deve essere configurato e utilizzato conformemente a tale certificazione. L’esportazione e importazione della chiave privata sono ammesse solo se effettuate in modo sicuro e coerente con la certificazione dei dispositivi.

Processo di convalida e relazione di convalida

L’allegato disciplina il processo di convalida della firma, la risposta/protocollo di convalida e la relazione finale. La domanda di convalida deve rispettare i requisiti tecnici richiamati dalla norma ETSI TS 119 101. Inoltre, quando il servizio intende convalidare firme o sigilli qualificati ai sensi dell’articolo 32, paragrafo 1, o dell’articolo 40 del regolamento (UE) n. 910/2014, il processo deve seguire i requisiti di ETSI TS 119 172-4.

La risposta di convalida deve recare l’OID della politica di servizio. La relazione di convalida deve essere conforme a ETSI TS 119 102-2 e, in particolare:

• indicare chiaramente l’origine di ciascun PoE, distinguendo tra firma, client e server;
• recare la firma della relazione, corrispondente alla firma digitale del prestatore;
• se la politica di convalida non è completamente elaborata dal servizio, riportare anche i vincoli ignorati o annullati;
• rispettare i requisiti di formato e obiettivo della firma quando le relazioni sono firmate.

Politiche di servizio e gestione dei casi in cui la politica si fonda su una politica fiduciaria definita

Il regolamento prevede un quadro per la definizione di politiche dei servizi di convalida basate su una politica in materia di servizi fiduciari definita nel documento. In tale ipotesi, il prestatore deve effettuare una valutazione dei rischi per determinare requisiti commerciali e requisiti di sicurezza da includere nella politica per la comunità e l’applicabilità dichiarate.

Inoltre, la politica deve essere approvata e modificata tramite un processo di revisione definito, che includa le responsabilità per il mantenimento della politica. Deve esistere un processo di revisione per assicurare che la politica sia supportata dalle dichiarazioni sulle pratiche. Le politiche supportate devono essere messe a disposizione della comunità di utenti e le relative revisioni agli abbonati.

Disposizioni specifiche per i servizi qualificati di convalida delle firme elettroniche qualificate

L’allegato B contiene regole specifiche per il servizio di convalida qualificato delle firme elettroniche qualificate, come definito all’articolo 33 del regolamento (UE) n. 910/2014. Se il prestatore è un QSVSP, l’attuazione deve essere conforme a ETSI TS 119 172-4.

Tra gli ulteriori requisiti figurano:

• esecuzione di prove su diversi casi d’uso, positivi e negativi;
• controllo del calcolo dell’hash, lato server o tramite verifica del client se consentita;
• conformità della relazione di convalida a ETSI TS 119 102-2;
• uso dei meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati da ENISA per l’impiego di tecniche crittografiche adeguate.

L’allegato C, di carattere informativo, spiega che per verificare tutte le condizioni dell’articolo 32, paragrafo 1, e dell’articolo 40 del regolamento (UE) n. 910/2014 occorre un algoritmo di convalida corretto e deterministico; in tale contesto la politica di convalida è centrale e la norma ETSI TS 119 172-4 è richiamata come supporto tecnico.

Protezione dei dati e rapporti con la normativa orizzontale UE

Il regolamento precisa che il trattamento di dati personali effettuato nell’applicazione delle sue disposizioni resta soggetto al regolamento (UE) 2016/679 e, se del caso, alla direttiva 2002/58/CE. A livello di governance europea, è inoltre richiamata la consultazione del Garante europeo della protezione dei dati ai sensi del regolamento (UE) 2018/1725.

Per operatori e consulenti, ciò significa che i requisiti tecnici del regolamento devono essere letti insieme agli obblighi di minimizzazione, sicurezza, accountability e, ove pertinente, riservatezza delle comunicazioni previsti dalla disciplina privacy.

Entrata in vigore e applicabilità

L’articolo 2 stabilisce che il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Come atto regolamentare dell’Unione, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Per i professionisti, l’effetto pratico è che la conformità dei servizi di convalida qualificati va valutata non solo rispetto al testo eIDAS, ma anche rispetto agli standard tecnici richiamati nell’allegato, che diventano il parametro operativo per la qualificazione e la vigilanza dei servizi.