Domande frequenti

eIDAS 2.0 (regolamento (UE) 2024/1183) è la revisione complessiva del quadro europeo del 2014 in materia di identificazione elettronica e servizi fiduciari. A differenza dell'eIDAS originario, che si basava sul riconoscimento reciproco volontario dei regimi nazionali di identificazione elettronica, eIDAS 2.0 impone a ogni Stato membro di fornire a tutti i cittadini e residenti un portafoglio europeo di identità digitale (EUDIW). Amplia inoltre i servizi fiduciari qualificati con l'attestazione elettronica di attributi, l'archiviazione elettronica e i registri elettronici, e introduce nuovi obblighi di accettazione per le parti facenti affidamento pubbliche e private.

eIDAS 2.0 è stato pubblicato nella Gazzetta ufficiale dell'UE il 30 aprile 2024 ed è entrato in vigore il 20 maggio 2024. Gli Stati membri devono offrire almeno un portafoglio europeo di identità digitale entro il 24 dicembre 2026. Quella data non è un intervallo: l'articolo 5 bis, paragrafo 1, concede loro 24 mesi dall'entrata in vigore dei primi atti di esecuzione, e i regolamenti di esecuzione (UE) dal 2024/2977 al 2024/2982 sono entrati in vigore il 24 dicembre 2024. L'obbligo di accettazione per le parti facenti affidamento nei settori regolamentati segue tra il 2026 e il 2027.

eIDAS 2.0 riguarda una platea ampia di soggetti nell'UE. Gli Stati membri devono mettere in campo wallet certificati e aggiornare la propria infrastruttura nazionale di identificazione elettronica. Piattaforme online di dimensioni molto grandi, istituti finanziari, prestatori di assistenza sanitaria e pubbliche amministrazioni sono soggetti all'obbligo di accettare l'EUDIW. I prestatori di servizi fiduciari devono adeguarsi alle categorie ampliate di servizi qualificati, e qualsiasi organizzazione che verifichi l'identità o gli attributi dei propri clienti, dalle banche ai datori di lavoro, dovrà prepararsi ai flussi di verifica tramite wallet.

I cittadini dell'UE riceveranno un portafoglio di identità digitale gratuito e garantito dallo Stato, con cui potranno dimostrare la propria identità, firmare documenti e condividere attributi verificati (come l'età, le qualifiche o i dati della patente) oltre frontiera con pieno valore legale. Il wallet dà agli utenti il controllo dei propri dati grazie alla divulgazione selettiva, cioè alla possibilità di condividere solo le informazioni minime necessarie. Questo elimina la necessità di portare con sé più documenti fisici e semplifica i rapporti sia con i servizi pubblici sia con le imprese.

I servizi fiduciari qualificati previsti da eIDAS 2.0, tra cui le firme elettroniche qualificate, i sigilli elettronici qualificati, le validazioni temporali elettroniche qualificate e le attestazioni elettroniche qualificate di attributi, hanno automaticamente efficacia giuridica transfrontaliera in tutti gli Stati membri. Una firma elettronica qualificata equivale giuridicamente a una firma autografa, mentre le attestazioni elettroniche qualificate di attributi godono di una presunzione legale di esattezza. Non servono quindi accordi bilaterali ulteriori né procedure nazionali di riconoscimento per la validità transfrontaliera.

eIDAS 2.0 fa parte dell'agenda digitale più ampia dell'UE e si interseca direttamente con diversi altri regolamenti. Le piattaforme online di dimensioni molto grandi definite dal regolamento sui servizi digitali (DSA) devono accettare l'EUDIW per autenticare gli utenti. Il regolamento antiriciclaggio si collega a eIDAS 2.0 attraverso l'obbligo di accettare il wallet nell'adeguata verifica della clientela. PSD2 e la futura PSD3 si collegano tramite l'autenticazione forte del cliente. Insieme, queste norme formano un quadro interconnesso per la trasformazione digitale europea.

La Commissione europea finanzia quattro Large-Scale Pilots (LSP), cioè EWC, POTENTIAL, NOBID e DC4EU, per provare l'EUDIW in scenari transfrontalieri reali prima del pieno dispiegamento. Questi progetti pilota validano le specifiche tecniche dell'Architecture Reference Framework, raccolgono riscontri sull'esperienza d'uso, individuano ostacoli giuridici e organizzativi e coinvolgono parti facenti affidamento e fornitori di attributi nell'integrazione pratica. I loro risultati alimentano direttamente l'affinamento degli atti di esecuzione, dei requisiti di certificazione e delle specifiche finali del wallet.

Sì. Qualsiasi organizzazione che offra servizi a cittadini dell'UE o tratti i loro dati di identità può essere interessata da eIDAS 2.0. Le organizzazioni di paesi terzi che operano sul mercato dell'Unione, in particolare piattaforme online di dimensioni molto grandi, prestatori di servizi finanziari e imprese sanitarie, potrebbero dover accettare l'EUDIW come strumento valido di verifica dell'identità. Il regolamento prevede inoltre accordi di riconoscimento reciproco con paesi terzi, con la possibile estensione dell'accettazione del wallet oltre i confini dell'UE. Le organizzazioni di tutto il mondo dovrebbero seguire l'evoluzione di eIDAS 2.0 come parte della propria strategia di conformità internazionale.

L'EUDIW è un'applicazione mobile che ogni Stato membro deve fornire ai propri cittadini e residenti, gratuitamente per le persone fisiche. Conserva i dati di identificazione personale (PID) e le attestazioni elettroniche di attributi (EAA) come attestati digitali firmati crittograficamente. L'utente può presentarli alle parti facenti affidamento, online e offline, per dimostrare la propria identità o singoli attributi. Il wallet usa protocolli standardizzati (OpenID4VC) e formati di attestato (SD-JWT e mdoc) per garantire l'interoperabilità transfrontaliera tra tutte le implementazioni nazionali.

eIDAS 2.0 stabilisce obblighi di accettazione per diverse categorie di organizzazioni. Le piattaforme online di dimensioni molto grandi, come definite dal regolamento sui servizi digitali, devono accettare il wallet per autenticare gli utenti. Gli istituti finanziari soggetti all'adeguata verifica della clientela in base alla normativa antiriciclaggio devono accettarlo per la verifica dell'identità. Le pubbliche amministrazioni devono accettarlo per l'accesso ai servizi pubblici digitali. I prestatori di assistenza sanitaria devono accettarlo quando il diritto dell'Unione o nazionale richiede la verifica dell'identità del paziente. Altri settori possono essere individuati negli atti di esecuzione.

L'EUDIW può conservare i dati di identificazione personale (PID), cioè l'identità di base rilasciata dallo Stato, e un'ampia gamma di attestazioni elettroniche di attributi (EAA). Tra queste: patenti di guida digitali, diplomi e qualifiche professionali, credenziali sanitarie come i certificati di vaccinazione, dati di iscrizione societaria e poteri di rappresentanza, prove dell'età, documenti di viaggio e conferme di titolarità di un conto bancario. Il wallet può contenere attestazioni qualificate (QEAA) e non qualificate, con presunzioni legali più forti per quelle qualificate.

L'EUDIW integra diversi accorgimenti di privacy by design imposti da eIDAS 2.0. La divulgazione selettiva permette di condividere solo gli attributi di cui la parte facente affidamento ha effettivo bisogno: per esempio dimostrare di avere più di 18 anni senza rivelare la data di nascita. Le parti facenti affidamento devono registrarsi e dichiarare quali attributi richiederanno e per quale finalità. Il wallet mostra all'utente una schermata di consenso chiara, con l'indicazione esatta dei dati richiesti e di chi li richiede. L'architettura prevede anche misure contro la collusione tra parti facenti affidamento e contro il tracciamento degli utenti tra servizi diversi.

Sì. eIDAS 2.0 impone che l'EUDIW consenta all'utente di creare firme elettroniche qualificate (QES), che equivalgono giuridicamente a una firma autografa in tutti gli Stati membri. Ciò avviene tramite l'integrazione con servizi di firma a distanza gestiti da prestatori di servizi fiduciari qualificati (QTSP): il wallet fornisce la garanzia di identità e l'autorizzazione dell'utente, mentre l'infrastruttura cloud del QTSP esegue la firma crittografica. Almeno un servizio di QES deve essere disponibile gratuitamente ai titolari del wallet per usi non professionali.

Sì. L'EUDIW è progettato per gestire verifiche sia online (a distanza) sia offline (di prossimità). Di persona il wallet può presentare attestati via NFC o Bluetooth nel formato mdoc (ISO 18013-5), pensato per contesti con connettività limitata. Rende quindi possibili casi d'uso come mostrare una patente digitale durante un controllo stradale, verificare l'età a una cassa fisica o effettuare controlli di identità alla frontiera, in tutti i casi senza bisogno di una connessione a internet nel momento della presentazione.

L'interoperabilità è garantita dall'Architecture Reference Framework (ARF), che impone formati di attestato comuni (SD-JWT e mdoc), protocolli di presentazione standardizzati (OpenID4VC), meccanismi di fiducia condivisi (liste di fiducia e attestazioni del wallet) e requisiti coerenti di certificazione della sicurezza. Tutte le implementazioni nazionali devono rispettare queste specifiche e superare la valutazione di conformità. I Large-Scale Pilots stanno provando in modo specifico scenari transfrontalieri, e gli atti di esecuzione formalizzeranno i requisiti tecnici esatti che ogni wallet dovrà soddisfare.

Le imprese dovrebbero anzitutto valutare se ricadono in una categoria soggetta all'obbligo di accettazione: piattaforme online di dimensioni molto grandi, istituti finanziari, prestatori di assistenza sanitaria o erogatori di servizi pubblici. Poi dovrebbero mappare i processi attuali di verifica dell'identità e di firma dei documenti per individuare dove l'EUDIW diventa rilevante. I team tecnici dovrebbero prendere familiarità con l'Architecture Reference Framework, con i protocolli OpenID4VC e con i formati SD-JWT e mdoc. È vivamente consigliato collaborare con un Large-Scale Pilot o con un QTSP per test di integrazione precoci, perché accelera in modo sensibile la preparazione.

eIDAS 2.0 affida l'applicazione agli organismi di vigilanza nazionali, che possono imporre sanzioni secondo il diritto interno. Il regolamento non fissa importi armonizzati, a differenza del GDPR, ma impone agli Stati membri di prevedere sanzioni effettive, proporzionate e dissuasive. Le organizzazioni che rifiutano di accettare l'EUDIW quando la legge lo impone, o che non adempiono ai propri obblighi come prestatori di servizi fiduciari, rischiano provvedimenti che possono comprendere sanzioni pecuniarie, la sospensione del servizio o la revoca dello status qualificato. Va considerato anche il rischio reputazionale.

I costi dipendono dall'infrastruttura esistente e dalla complessità dei casi d'uso. Le organizzazioni con sistemi di identità moderni basati su OpenID Connect troveranno il passaggio a OpenID4VC relativamente lineare, con tempi di sviluppo nell'ordine di settimane più che di mesi. Le voci di costo principali sono: adeguamento dei flussi di autenticazione alle presentazioni dal wallet, integrazione delle librerie di verifica per SD-JWT e mdoc, attuazione della registrazione come parte facente affidamento e aggiornamento delle interfacce per i flussi di consenso. Le implementazioni di riferimento open source degli LSP riducono in modo sensibile i costi di sviluppo.

Sì. Secondo eIDAS 2.0 le parti facenti affidamento che intendono accedere ai dati del wallet devono registrarsi presso l'organismo di vigilanza dello Stato membro in cui sono stabilite. La registrazione richiede di dichiarare quali attributi l'organizzazione intende richiedere e per quale finalità. Questo obbligo è una garanzia di riservatezza centrale: consente la vigilanza sugli schemi di accesso ai dati e previene la raccolta non autorizzata. Il procedimento e i requisiti esatti saranno precisati negli atti di esecuzione, la cui evoluzione le organizzazioni dovrebbero seguire per essere pronte in tempo.

L'EUDIW è pensato per snellire e, in molti casi, sostituire in misura significativa gli attuali processi di KYC e di verifica dell'identità. Per gli istituti finanziari, ricevere direttamente dal wallet dati di identificazione personale verificati dallo Stato offre un livello di garanzia più alto di molte procedure basate su documenti o su video identificazione. Le organizzazioni devono però aggiornare i propri presidi antiriciclaggio per accogliere la verifica tramite wallet e continuare a conservare le registrazioni adeguate. Nel periodo di transizione la maggior parte dovrà sostenere sia i canali tradizionali sia quelli basati sul wallet.

Le organizzazioni che rilasciano attestati, come università, ordini professionali, enti pubblici e autorità di certificazione, dovrebbero valutare di diventare fornitori di attributi ai sensi di eIDAS 2.0. Gli enti pubblici sono espressamente tenuti a rendere disponibili gli attributi delle proprie fonti autentiche per l'attestazione elettronica. Ciò significa sviluppare la capacità di rilasciare EAA o QEAA in formati standardizzati (SD-JWT, mdoc) compatibili con l'EUDIW. Le organizzazioni possono rilasciare gli attestati direttamente o avvalersi di un QTSP che emetta per loro conto attestazioni elettroniche qualificate di attributi.

eIDAS 2.0 impone requisiti rigorosi di minimizzazione dei dati. Le organizzazioni possono richiedere solo gli attributi strettamente necessari al servizio che erogano e devono dichiarare la finalità di ciascuna richiesta in fase di registrazione. L'interfaccia del wallet mostra all'utente un quadro chiaro di quali attributi vengono richiesti e da chi, rendendo possibile un consenso informato. Chi richiede dati eccessivi è esposto all'attenzione degli organismi di vigilanza e a possibili provvedimenti. Questi obblighi integrano e rafforzano i principi di minimizzazione già previsti dal GDPR.

L'ARF impone il supporto di due formati: SD-JWT (Selective Disclosure JSON Web Token) e mdoc (ISO 18013-5). SD-JWT estende i normali JWT con la divulgazione selettiva basata su hash con sale, il che lo rende adatto alle interazioni via web e via API. mdoc usa la codifica CBOR per una rappresentazione binaria compatta, efficiente negli scenari offline e di prossimità via NFC o Bluetooth. Entrambi supportano la divulgazione selettiva e sono opzioni di formato all'interno della famiglia di protocolli OpenID4VC.

L'EUDIW usa la famiglia di protocolli OpenID for Verifiable Credentials (OpenID4VC). OpenID4VCI (Verifiable Credential Issuance) definisce come il wallet riceve gli attestati dagli emittenti, mentre OpenID4VP (Verifiable Presentations) definisce come il wallet li presenta ai verificatori. SIOPv2 (Self-Issued OpenID Provider v2) consente al wallet di agire come fornitore di identità. Questi protocolli si appoggiano al diffuso quadro OpenID Connect, il che abbassa la soglia di ingresso per le organizzazioni che hanno già un'infrastruttura OIDC.

L'attestazione del wallet è un meccanismo crittografico che permette a parti facenti affidamento ed emittenti di verificare che l'applicazione sia autentica, certificata e in esecuzione in un ambiente sicuro. Il fornitore del wallet, di norma lo Stato membro, rilascia un'attestazione firmata e legata alle chiavi crittografiche del wallet e alle caratteristiche di sicurezza del dispositivo. Nel verificare una presentazione, la parte facente affidamento controlla questa attestazione per accertarsi che il wallet non sia stato manomesso. Questo impedisce che wallet clonati o modificati presentino attestati fraudolenti e fornisce un meccanismo di revoca se emergono vulnerabilità.

Le implementazioni dell'EUDIW devono raggiungere il livello di garanzia elevato e superare valutazione di conformità e certificazione secondo il quadro Common Criteria o uno schema equivalente. I requisiti principali comprendono: conservazione delle chiavi crittografiche in un elemento sicuro o in un ambiente di esecuzione affidabile; protezione contro la compromissione del dispositivo e la clonazione del wallet; canali di comunicazione sicuri per lo scambio di attestati; misure contro il tracciamento da parte delle parti facenti affidamento e contro la correlazione delle transazioni; meccanismi robusti di autenticazione per l'accesso al wallet. Il wallet deve inoltre prevedere procedure di backup e ripristino che non compromettano l'integrità degli attestati.

Le parti facenti affidamento dovrebbero seguire una verifica in più passaggi: primo, controllare l'attestazione del wallet per confermare che l'applicazione sia autentica; secondo, verificare la firma crittografica degli attestati presentati con la chiave pubblica dell'emittente; terzo, controllare lo status qualificato dell'emittente nelle liste di fiducia; quarto, accertare che l'attestato non sia scaduto né revocato; quinto, confermare tramite il key binding che l'attestato sia legato al wallet che lo presenta. Il flusso di presentazione è gestito dal protocollo OpenID4VP, e librerie di verifica per SD-JWT e mdoc sono disponibili in diversi linguaggi di programmazione.

Sì, in misura significativa. La famiglia di protocolli OpenID4VC è concepita come estensione di OpenID Connect, quindi chi ha già un'infrastruttura OIDC parte in vantaggio. Configurazioni esistenti dei fornitori di identità, librerie client e prassi di sicurezza costituiscono una base per i flussi basati sul wallet. Servono però alcune aggiunte: gestione delle richieste e risposte di presentazione verificabile (OpenID4VP), lettura e verifica dei formati di attestato (SD-JWT e mdoc), integrazione delle liste di fiducia per validare gli emittenti e verifica dell'attestazione del wallet. Molte librerie OIDC vengono estese proprio per supportare queste funzioni.