Sperimentazione IT-Wallet, regole e scadenze per i Comuni

Da qualche giorno è stato pubblicato il Regolamento AgID che fissa le regole e le procedure amministrative necessarie per la registrazione al Sistema IT-Wallet e per la presentazione dei progetti di sperimentazione, compresi i contenuti della relazione tecnica che i soggetti richiedenti la registrazione al Sistema IT-Wallet sono tenuti ad allegare al fine di dimostrare la sicurezza delle proprie Soluzioni Tecniche.

Questo è l’ultimo tassello che si aggiunge ai decreti pubblicati negli scorsi mesi:

• Decreto 19 marzo 2026, che contiene la disciplina del Sistema IT-Wallet e dei relativi servizi ai sensi dell’articolo 64-quater, comma 5 del CAD;
• Decreto 17 giugno 2026, che approva le Linee guida del Sistema IT-Wallet e disciplina l’architettura, i soggetti coinvolti e le modalità della sperimentazione.

Il quadro della sperimentazione IT-Wallet

Il Sistema IT-Wallet nasce dall‘art. 64-quater del CAD, introdotto dal DL 19/2024, e permette a persone fisiche e giuridiche di accedere a servizi pubblici e privati presentando Attestati Elettronici, cioè dati di identificazione o attributi (patente, titoli, qualifiche, deleghe, licenze) già autenticati alla fonte, firmati digitalmente e non ripudiabili.

Il percorso si innesta nel più ampio progetto europeo dell’EUDI Wallet, relativo all’interoperabilità dei Wallet nazionali, per cui ciascun Stato membro deve presentare una propria infrastruttura – conforme alle specifiche tecniche – entro la scadenza del 26 dicembre 2026.

Gli Attestati Elettronici riconosciuti all’interno dell’ecosistema IT-Wallet sono classificati gerarchicamente e standardizzati secondo i seguenti domini e categorie principali.

Altre categorie aggiuntive possono essere aggiunte man mano che l’ecosistema IT-Wallet cresce.

Le categorie attualmente contenute nella Documentazione Tecnica sono trasversali a tutti gli eventi della vita e diversi stati e situazioni delle persone.

Le Linee guida pongono alcuni principi:

• l’utente ha il controllo esclusivo della propria istanza del wallet;
• gli emittenti non sanno come e dove l’utente usa gli attestati;
• l’utente può presentare solo gli attributi necessari (divulgazione selettiva);
• accessibilità e usabilità sono requisiti obbligatori.

Per attivare il wallet, l’utente installa l’app, accetta i termini e supera i controlli di sicurezza del dispositivo. Poi ottiene l’attestato di identificazione (IT-Wallet ID) autenticandosi con CIEid a livello elevato. Con l’IT-Wallet ID può autenticarsi presso i verificatori con livello di garanzia significativo.

Registrazione e spazio di sperimentazione IT-Wallet

Il regolamento istituisce lo Spazio di Sperimentazione IT-Wallet, un ambiente controllato in cui i soggetti registrati testano le proprie soluzioni con AgID, ACN e Dipartimento per la trasformazione digitale. La partecipazione è volontaria. Non dà diritti acquisiti né fondi prioritari, e non prevede ristori né commissioni.

I ruoli per cui ci si può registrare sono cinque:

• fornitore di soluzione IT-Wallet privata;
• fornitore di attestati di attributi;
• verificatore;
• soggetto aggregatore;
• titolare di fonte autentica.

IPZS (Registro, IT-Wallet ID e attestati di interesse pubblico) e PagoPA (soluzione pubblica) sono registrati di diritto, in quanto si occupano della certificazione dei dati dell’identità delle persone e della gestione dell’infrastruttura.

La domanda va presentata tramite il portale di onboarding.
Nella fase iniziale si usa il modulo dell’Allegato 1, firmato digitalmente dal legale rappresentante e inviato via PEC ad AgID. Se AgID non emette un provvedimento negativo entro 90 giorni, la domanda è accolta con riserva; il termine può essere sospeso una sola volta per richiedere integrazioni.

L’iscrizione al Registro diventa effettiva solo dopo i test tecnici di validazione.

Il ruolo dei Comuni nella sperimentazione IT-Wallet

I Comuni sono Pubbliche Amministrazioni (art. 2, c. 2, lett. a, CAD) e hanno un regime semplificato per richiedere l’iscrizione alla Sperimentazione; i documenti da presentare variano in relazione ai diversi ruoli:

I Comuni come titolari di fonte autentica

I Comuni gestiscono archivi riconosciuti come fonte primaria, per esempio tributi e stato autorizzativo degli immobili.
Le Linee guida dicono cosa devono fare:

• registrare nel Catalogo degli Attestati le informazioni necessarie all’emissione;
• rendere disponibili i dati tramite e-service PDND, nel rispetto delle Linee guida di interoperabilità;
• comunicare le variazioni e lo stato di validità degli attributi;
• garantire la qualità dei dati e supportare i fornitori.

Se il Comune aderisce già alla PDND, la registrazione è “a semplice richiesta” con la sola documentazione tecnica DIT1, costituita da:
“documentazione, informazioni ed elementi tecnici richiesti dalle Specifiche Tecniche in funzione del ruolo per il quale è richiesta la registrazione, inclusi, ove applicabili, gli identificativi dell’entità, i riferimenti agli endpoint, le informazioni relative alla configurazione federativa, alle chiavi, ai certificati, alle interfacce applicative, ai contatti tecnici e amministrativi, alle informazioni privacy e alle ulteriori informazioni necessarie all’onboarding tecnico e all’integrazione nel Registro IT-Wallet.”

La verifica degli attestati IT-Wallet

È il ruolo più immediato: accettare il wallet allo sportello o nei servizi online, per questo è sufficiente presentare la documentazione DIT1 (vedi sopra).
Le Linee guida impongono al Comune di:

– mantenere aggiornato l’elenco dei servizi e, per ciascuno, degli attributi richiesti;

– chiedere solo dati pertinenti e non eccedenti;

– autenticare gli attestati ricevuti, verificandone possibilmente anche la validità, perché un attestato scaduto può dimostrare ancora la maggiore età;

– consentire all’utente di chiedere la cancellazione dei dati presentati;

– assistere l’utente in caso di problemi.

L’aggregazione dei servizi per altri enti

Un Comune, o un’unione di Comuni, può gestire le soluzioni di verifica per conto di altri enti, con accordi bilaterali liberi. Anche qui basta presentare la documentazione DIT1 (vedi sopra).

L’emissione comunale degli attestati di attributi

Il Comune emette in proprio attestati.

Le Linee guida richiedono di interagire con le fonti autentiche tramite PDND, di mantenere gli attributi costantemente aggiornati e di revocare o sospendere gli attestati nei casi previsti. Sono tra gli altri l’aggiornamento dei dati alla fonte, il decesso dell’utente e gli incidenti di sicurezza.

Il regolamento chiede, oltre alla DIT1 (vedi sopra), la polizza assicurativa (almeno 1,5 milioni di euro annui e 150.000 euro per sinistro) e le certificazioni dell’Allegato 2 (che a seconda dei ruoli, sono distinte in Obbligatorie e Raccomandate), e aggiunge obblighi più gravosi: analisi annuale dei rischi, piano di sicurezza e penetration test semestrali.

Un Comune può emettere un attestato se è il fornitore legittimato per quel tipo di attestato. Il Catalogo degli Attestati del Registro indica, per ciascun attestato, formato, titolare della fonte, fornitore legittimato al rilascio e natura (attributi pubblici o interesse pubblico).

Obblighi e controlli nel sistema IT-Wallet

Tutti i soggetti registrati devono rispettare regolamento, Linee guida, Specifiche Tecniche e misure privacy. Devono anche:

– trattare i dati su infrastrutture localizzate nell’Unione europea;

– monitorare la sicurezza e gestire gli incidenti;

– comunicare ad AgID le variazioni;

– inviare dati statistici anonimi;

– consentire le verifiche di AgID.

In caso di violazioni AgID può diffidare, sospendere o revocare la registrazione. Le Specifiche Tecniche, pubblicate su www.wallet.gov.it, dettagliano formati e interfacce.

Progetti e scadenze della sperimentazione IT-Wallet

Chi vuole provare casi d’uso non previsti può presentare un Progetto di Sperimentazione seguendo le indicazioni contenute nell’Allegato 6: obiettivi misurabili, architettura, analisi dei rischi, durata di norma fino a 18 mesi, maturità tecnica pari ad almeno TRL 4.

Entrando più nello specifico, la domanda deve contenere i seguenti elementi:

• le ragioni per cui l’oggetto del Progetto non risulta già contemplato dal quadro normativo applicabile, dalle Linee Guida o dalle Specifiche Tecniche;
• una descrizione dettagliata del Progetto di Sperimentazione, evidenziando gli aspetti di innovatività, il valore aggiunto atteso per il Sistema IT-Wallet e/o per i suoi utenti e la coerenza con le finalità della Sperimentazione IT-Wallet;
• il Piano di sperimentazione, che deve specificare:
  – gli obiettivi misurabili del progetto e le metriche che saranno utilizzate per valutarne il successo;
  – le Soluzioni Tecniche che si intendono sperimentare e la loro architettura;
  – la descrizione dell’utilizzo di standard tecnologici impiegati, all’interno dell’Unione Europea, dal mercato di riferimento e la coerenza con le Specifiche Tecniche del Sistema IT- Wallet;
  – la durata prevista per la sperimentazione del progetto, di norma non superiore a 18 mesi, salvo proroghe motivate;
  un’analisi dettagliata dei rischi potenziali (tecnologici, operativi, di sicurezza, di protezione dei dati) e le relative strategie di mitigazione e gestione;
  – le risorse (tecniche, umane, finanziarie) dedicate al Progetto di Sperimentazione;
  eventuali necessità di interazione con altri partecipanti alla sperimentazione o con sistemi esterni;
• un’attestazione della maturità della Soluzione Tecnica, che deve essere in uno stato sufficientemente avanzato per l’avvio dei test.

Per un Comune il percorso più sostenibile è graduale: il presupposto principale è l’adesione alla PDND: attualmente sono 7654 i Comuni aderenti su un totale di 7.894, quindi ne mancano ancora 250 all’appello.

A questo può seguire la registrazione come verificatore e fonte autentica.

La partecipazione di uno o più Comuni alla sperimentazione è una facoltà, che permetterebbe di “mettere le mani in pasta” e mettere alla prova eventuali soluzioni tecnologiche, anche di fornitori privati.

In ogni caso, l’art. 5 comma 3 del Decreto 19/3/2026 prevede che “Entro e non oltre il termine di dodici mesi (che decorrono dal 3 agosto 2026, quindi entro il 3 agosto 2027), tutti i soggetti di cui al primo periodo (tutte le Pubbliche Amministrazioni) sono tenuti ad aderire, senza ulteriori oneri, al sistema IT-Wallet in qualità di titolare di fonte autentica al fine di rendere disponibili i dati e i documenti di cui al medesimo periodo.

Alle regole e agli obblighi di rendere disponibili i dati e i documenti per la generazione di attestati elettronici ai sensi del presente articolo non possono essere opposte le disposizioni che regolamentano le singole banche dati.”

Quindi i Comuni si trovano ora di fronte ad un doppio impegno:

• da un lato, prepararsi ad accettare le attestazioni di cui sono in possesso i cittadini per usufruire dei propri servizi pubblici – e qui le disposizioni introdotte dal DL 19/2026 sono molte chiare nel descrivere il principio “once only by design”;
• dall’altro lato, prepararsi anche a mettere a disposizione i dati di cui sono titolari in qualità di “fonte autentica”, di cui un’esemplificazione è contenuta nel Catalogo già citato, come ad esempio la posizione fiscale per i tributi locali e gli atti e certificati che riguardano gli immobili di proprietà (permesso di costruire, certificazioni energetiche, ecc.)