L’inizio dell’anno 2026 si apre con una data di fine dello stesso anno, il 24 dicembre 2026. Questa data è stabilita nell’articolo 5 bis, paragrafo 1 del regolamento europeo 910/2014 ampiamente noto come eIDAS, come scadenza (ordinatoria) per la fornitura di almeno un Portafoglio Europeo di Identità Digitale (EUDIW).
La norma stabilisce che “al fine di garantire che tutte le persone fisiche e giuridiche nell’Unione abbiano un accesso transfrontaliero sicuro, affidabile e senza soluzione di continuità a servizi pubblici e privati, mantenendo nel contempo il pieno controllo dei loro dati, ciascuno Stato membro fornisce almeno un portafoglio europeo di identità digitale entro 24 mesi dalla data di entrata in vigore degli atti di esecuzione di cui al paragrafo 23 del presente articolo e all’articolo 5 quater, paragrafo 6”.
Questa data stabilita nel regolamento è, appunto, quella sopra citata.
Indice degli argomenti
Portafoglio europeo di identità digitale: cosa significa la scadenza 2026
Le attività di sviluppo del portafoglio europeo di identità digitale chiudono il 2025 con l’evento di presentazione delle varie iniziative di wallet allineate alle specifiche ARF (Architecture Reference Framework), nell’ambito delle quali l’EUDIW deve essere prodotto.
In questa sede vengono descritti gli scenari operativi per il portafoglio e le criticità per la sua diffusione. Il regolamento eIDAS aggiornato nel 2024 ha impatti anche nel settore dei servizi fiduciari e, tra essi, è importante il nuovo servizio di archiviazione elettronica.
La disponibilità di un’identità digitale è pervasiva in tutti i settori della trasformazione digitale e il settore pubblico e privato dovranno fare i conti con eIDAS e i 30 regolamenti di esecuzione che ne attuano l’operatività, la NIS 2, le norme sull’intelligenza artificiale (non trattate in questo articolo) e tutto il sistema a contorno di questa numerosità di novità normative.
Iniziamo con l’EUDIW.
Dalle specifiche ARF agli atti di esecuzione: gli snodi operativi
Come bene noto, l’EUDIW ha l’obiettivo di garantire un’identità digitale unica e interoperabile a livello europeo (con ambizioni al di fuori del vecchio continente). Questa identità deve essere allo stato dell’arte per quanto riguarda la cybersecurity e la protezione dei dati personali.
L’articolo 5 bis del regolamento eIDAS, che è di circa quattro pagine, fornisce immediata evidenza della complessità degli obiettivi, a partire dalla numerosità dei requisiti.
Lo sviluppo delle soluzioni nazionali ha messo in evidenza varie criticità e, tra queste, due appaiono particolarmente rilevanti: la sicurezza del sistema e la sostenibilità economica dello stesso.
Sicurezza del portafoglio europeo di identità digitale: certificazione e smartphone
Sul primo tema l’eIDAS stabilisce le regole nell’esteso articolo 5 quater. Gli Stati membri stanno istituendo sistemi nazionali di certificazione conformi al regolamento di esecuzione 2024/2981, anche con attenzione alle possibili certificazioni a norma del regolamento europeo 2016/679 (GDPR) in materia di requisiti relativi al trattamento dei dati personali.
L’architettura dell’EUDIW si presta a nuove sfide tecnologiche: abbiamo l’applicazione dell’app del portafoglio (denominata normativamente unità di portafoglio) in un ambiente “ostile”, che è uno smartphone con sistema operativo non certificato.
Questa unità può essere “clonata” sotto il controllo del titolare in varie istanze di portafoglio. Le informazioni critiche come il PID (Personal Identification Data) e le quantità crittografiche a supporto delle operazioni devono essere protette ad un elevato livello di garanzia (EAL 4+) con il massimo livello di analisi dello stesso (Ava_Van 5 – advanced methodical vulnerability analysis).
Il procedimento di valutazione da parte di organismi di valutazione della conformità (CAB) designati dagli Stati membri è complesso sul piano operativo e richiede tempi di valutazione di alcuni mesi.
Per quanto appena indicato, ci si sta orientando verso l’utilizzo di architetture che fanno uso di hardware già certificato per altri scopi come gli HSM (Hardware Security Module) che abbiano i livelli di garanzia richiesti per la firma elettronica qualificata remota/a distanza.
Economia del portafoglio europeo di identità digitale: costi, ricavi e sostenibilità
La sostenibilità economica dell’EUDIW è un tema altrettanto critico. La messa in opera di un EUDIW ha costi importanti che, nel settore pubblico, possono essere a carico dello Stato, ma che poi devono essere equilibrati tra costi e introiti istituzionali.
Il settore privato non potrebbe certamente agire in perdita e quindi il modello di business deve essere chiaro e rassicurante. Al momento, a livello europeo, si sono evidenziate varie ipotesi operative che prevalentemente si concentrano sugli attestati elettronici di attributi.
Questi sono attestati in forma elettronica che consentono l’autenticazione di attributi. Questi sono la caratteristica, la qualità, il diritto o l’autorizzazione di una persona fisica o giuridica o di un oggetto.
L’attributo e la sua attestazione sono fisiologicamente connessi con l’identità che si associa ad essi nei vari possibili scenari operativi. La stessa identità può essere quella di un cittadino ma che, in un contesto professionale, può essere un pubblico ufficiale, un legale rappresentante o il possessore di titoli di studio o competenze professionali.
Attestati elettronici nel portafoglio europeo di identità digitale: ipotesi operative
Gli specialisti comunitari hanno sviluppato varie ipotesi che sono anche organiche alle caratteristiche ed esigenze del singolo Stato membro. Le indicazioni più significative possono essere sintetizzate di seguito:
- Ricavi per l’emissione e gestione per attestazioni “secondarie” utilizzabili in scenari non istituzionali.
- Costi di attivazione utente per servizi su EUDIW pubblici o privati, sia per scopi professionali che privati.
- Tariffe applicate ai soggetti che verificano gli attributi per scopi commerciali.
- Sponsorizzazioni di soggetti privati per l’evoluzione del sistema o l’introduzione di nuove funzionalità.
- Reinvestimenti di ricavi indiretti derivanti da risparmi operativi scaturiti dall’utilizzo dell’EUDIW.
In questo scenario non è trascurabile il fatto che l’EUDIW utilizzato è un componente sovranazionale transettoriale e che gli attestati elettronici di attributi operano nello stesso scenario.
Servizi fiduciari e norme nazionali: archiviazione, recapito e transizione europea
Il regolamento eIDAS, dopo le modifiche del 2024, ha introdotto nuovi servizi fiduciari e ne ha aggiornati altri.
Il servizio fiduciario che ha particolarmente attirato l’attenzione del mercato italiano è quello dell’archiviazione elettronica. Questo nuovo servizio fiduciario è stato consolidato con l’approvazione del regolamento di esecuzione sui requisiti per i servizi di archiviazione elettronica qualificati stabilito nell’articolo 45 undecies del regolamento eIDAS.
Questa approvazione è avvenuta all’unanimità lo scorso 13 novembre nell’ambito del Comitato eIDAS e il regolamento è stato pubblicato in GUCE il 17 dicembre 2025 come 2025/2532 ed entrerà in vigore il ventesimo giorno successivo alla pubblicazione.
Questo regolamento di esecuzione era molto atteso dal mercato italiano, anche con un certo timore, dopo che il regolamento eIDAS aveva introdotto i principi generali comunitari per l’archiviazione elettronica.
In questo documento è senz’altro un risultato positivo l’approvazione, non scontata a priori, che reca nel testo il riferimento alla norma tecnica CEN/TS 18170:2025 (Requisiti funzionali per i servizi di archiviazione elettronica). La sua applicazione deve avvenire con specifici adattamenti per il contesto europeo, ma le sue regole garantiscono omogeneità all’attuale contesto nazionale.
Questa norma viene integrata con una serie di riferimenti tecnici, tra cui gli standard ETSI per le firme elettroniche e i servizi fiduciari e il modello OAIS (Open Archival Information System) conforme allo standard ISO 14721:2025.
Questo nuovo scenario richiede un rapido aggiornamento delle Linee guida per la formazione, la gestione e la conservazione dei documenti informatici in capo ad AgID, anche per il coordinamento con la NIS 2.
Cad ed eIDAS
La delega al Governo per l’aggiornamento del Codice dell’Amministrazione è un’altra componente importante del nuovo scenario che si andrà a presentare nel corso del 2026. I tempi per la pubblicazione in Gazzetta del decreto legislativo sono di ampio respiro, quindi questa evoluzione sarà visibile molto probabilmente alla fine del 2026.
Un vulnus sempre più profondo è l’obsolescenza del DPCM 22 febbraio 2013 (il cui testo risale alla fine del 2011) rispetto agli scenari nazionali ed europei. Questo decreto è addirittura precedente al primo eIDAS e, tra l’altro, stabilisce una serie di norme sulla Firma Elettronica Avanzata che continuano a limitarne l’utilizzo in molti settori del mondo pubblico e privato.
Un altro servizio fiduciario “aggiornato” è quello sui servizi elettronici di recapito certificato che trova attuazione nel regolamento di esecuzione 2025/1944. Questa normativa dovrà essere gestita nell’ottica di una evoluzione in chiave europea dei servizi di recapito come la piattaforma delle notifiche (SEND) e della PEC, oggi esclusivamente nazionale.
Cosa cambierà
Il 2026 si presenta, per i temi dell’identità digitale e quelli strettamente connessi, come un anno di consolidamento e attuazione delle regole operative con l’attivazione del Portafoglio Europeo di Identità Digitale e di tutto l’ecosistema che ne consentirà il funzionamento effettivo.
Il regolamento eIDAS aggiornato porta trenta nuovi regolamenti di esecuzione che dovranno essere attuati in evoluzione della situazione attuale e la cosa non è semplice.
Le regole del regolamento eIDAS sono europee e un’identità digitale unica, interoperabile e allo stato dell’arte per quanto riguarda la cibersicurezza e la protezione dei dati dovrebbe portare ad un ulteriore passo verso un’Europa omogenea e cooperativa nell’ambito della società dell’informazione e della comunicazione.
Gli aggiornamenti normativi anche di natura tecnica e organizzativa dovranno essere celeri, efficaci e veramente semplificativi. Le parole di riferimento dovranno essere “creare fiducia nei cittadini e nelle imprese”.
