Articolo Pubblicazioni
Regolamento eIDAS (2014): identità digitale e servizi fiduciari in Europa
di Vincenzo Calabrò · Pubblicato il 15 settembre 2014
Abstract
Il Regolamento (UE) n. 910/2014, adottato il 23 luglio e pubblicato nella Gazzetta ufficiale dell’Unione il 28 agosto 2014, sostituisce la direttiva 1999/93/CE sulle firme elettroniche e introduce regole comuni per l’identificazione elettronica e per i servizi fiduciari. L’articolo descrive le due parti del regolamento, i livelli di garanzia, i servizi fiduciari previsti, il calendario di applicazione e il rapporto con il sistema pubblico di identità digitale in preparazione in Italia.
Perché un regolamento
La direttiva 1999/93/CE aveva introdotto in Europa il riconoscimento giuridico delle firme elettroniche, ma il recepimento nazionale ha prodotto regole diverse da paese a paese. Una firma valida in Italia poteva essere difficile da verificare in Germania, e i cittadini non potevano usare la propria identità elettronica nazionale per accedere ai servizi di un altro Stato. Il nuovo regolamento, direttamente applicabile senza bisogno di recepimento, punta a creare un mercato interno per l’identità digitale e per i servizi fiduciari.
L’identificazione elettronica
Il regolamento non impone agli Stati di creare un sistema di identità elettronica. Stabilisce che, se uno Stato notifica alla Commissione un proprio regime di identificazione, gli altri Stati devono riconoscerlo per l’accesso ai propri servizi pubblici online, quando questi richiedono un’identificazione con un livello di garanzia corrispondente. I livelli di garanzia sono tre:
- basso, che offre un grado limitato di fiducia nell’identità dichiarata;
- significativo, che offre un grado sostanziale di fiducia e riduce in modo significativo il rischio di uso abusivo;
- elevato, che offre il grado più alto di fiducia e mira a impedire l’uso abusivo o l’alterazione dell’identità.
I criteri tecnici per ciascun livello, come le modalità di registrazione e verifica dell’identità e le caratteristiche dei mezzi di autenticazione, saranno definiti con atti di esecuzione. Il riconoscimento reciproco diventerà obbligatorio dopo un periodo transitorio, quando saranno completate le procedure di notifica e di cooperazione tra gli Stati.
I servizi fiduciari
Il regolamento disciplina una serie di servizi fiduciari, distinguendo per ciascuno una forma ordinaria e una forma qualificata, offerta da prestatori sottoposti a vigilanza e inseriti in elenchi di fiducia nazionali:
- firma elettronica, per le persone fisiche;
- sigillo elettronico, per le persone giuridiche, che garantisce origine e integrità di un documento emesso da un’organizzazione;
- validazione temporale elettronica, che prova l’esistenza di dati in un certo momento;
- servizio elettronico di recapito certificato, che prova l’invio e la ricezione di dati;
- certificati di autenticazione di siti web, che collegano un sito alla persona fisica o giuridica titolare;
- conservazione delle firme e dei sigilli qualificati.
La firma elettronica qualificata ha lo stesso effetto giuridico di una firma autografa e deve essere riconosciuta in tutti gli Stati membri. Per le altre forme di firma il regolamento stabilisce che non possono essere private di effetti giuridici o dell’ammissibilità come prova solo perché in forma elettronica, lasciando ai giudici la valutazione.
Il calendario
Il regolamento è entrato in vigore il 17 settembre 2014, venti giorni dopo la pubblicazione, ma la maggior parte delle disposizioni si applica dal 1° luglio 2016, data in cui la direttiva 1999/93/CE sarà abrogata. Nei prossimi due anni la Commissione dovrà adottare numerosi atti di esecuzione, con standard tecnici e formati, e i prestatori di servizi dovranno adeguarsi ai nuovi requisiti per ottenere o mantenere la qualifica.
Vigilanza ed elenchi di fiducia
Ogni Stato membro deve designare un organismo di vigilanza sui prestatori di servizi fiduciari stabiliti nel proprio territorio. I prestatori qualificati devono essere verificati almeno ogni ventiquattro mesi da un organismo di valutazione della conformità accreditato, che ne attesta il rispetto dei requisiti. Lo stato di qualificato viene registrato in un elenco di fiducia nazionale, pubblicato in forma leggibile anche dalle macchine, così che un software di verifica possa controllare automaticamente se una firma proviene da un prestatore qualificato. I servizi qualificati potranno usare un marchio di fiducia dell’Unione.
I requisiti per i prestatori qualificati riguardano personale qualificato, sistemi e prodotti affidabili protetti da modifiche, misure contro falsificazione e furto di dati, registrazione delle attività, piani di cessazione del servizio e una garanzia finanziaria o assicurativa adeguata. Sono, in sostanza, requisiti di un sistema di gestione della sicurezza.
Il caso italiano
L’Italia ha una lunga esperienza con la firma digitale, regolata fin dalla fine degli anni Novanta, e con la posta elettronica certificata, che ha un valore legale nazionale ma non è riconosciuta negli altri paesi. Il regolamento offre l’occasione per allineare questi strumenti. La firma digitale italiana corrisponde in sostanza alla firma qualificata. La PEC dovrà confrontarsi con i requisiti del recapito certificato qualificato per ottenere riconoscimento europeo.
Sul versante dell’identità è in preparazione il Sistema pubblico per la gestione dell’identità digitale, lo SPID, previsto dall’articolo 64 del Codice dell’amministrazione digitale. Il modello prevede più gestori privati accreditati che rilasciano le identità ai cittadini, con livelli di sicurezza crescenti. Per poter essere notificato in base al regolamento eIDAS, il sistema dovrà rispettare i criteri dei livelli di garanzia europei.
Le questioni di sicurezza
Un’identità elettronica riconosciuta in tutta l’Unione è anche un bersaglio più attraente. La sicurezza della registrazione, cioè la verifica dell’identità al momento del rilascio, conta quanto quella del mezzo di autenticazione. Un’identità rilasciata sulla base di documenti falsi è una frode con validità europea. Il regolamento prevede l’obbligo per i prestatori di servizi fiduciari di notificare le violazioni di sicurezza all’organismo di vigilanza entro ventiquattro ore e, quando i dati personali sono coinvolti, anche all’autorità per la protezione dei dati.
Vedi anche: l’articolo del 2005 Firma digitale, l’articolo del 2006 PEC: valore legale e l’articolo del 2026 European Digital Identity Wallet.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn